Персональные данные в налоговых органах

В конце июля 2006 г. был принят, а в 2007 г. вступил в силу Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон) [1], который регламентирует работу операторов персональных данных (ПД) - государственных организаций и частных компаний - с конфиденциальной информацией клиентов, сотрудников, партнеров и иных контрагентов. Закон определяет понятие "персональные данные", а также устанавливает ряд требований к информационным системам, обрабатывающим персональные данные граждан, в целях обеспечения защиты прав и свобод последних.
Созданные до дня вступления в силу Закона информационные системы ПД должны быть приведены в соответствие с его требованиями не позднее 1 января 2010 г.

В соответствии с ч. 1 ст. 22 Закона все операторы ПД, а к ним относятся и налоговые органы всех уровней, обязаны уведомить о своем намерении осуществлять обработку ПД уполномоченный орган по защите прав субъектов персональных данных - Роскомнадзор [2], который вносит полученные сведения в реестр операторов .
--------------------------------
Более подробная информация доступна на сайте Роскомнадзора. URL: http:/www.rsoc.ru.

Случаи, когда обработка ПД осуществляется без уведомления Роскомнадзора, перечислены в ч. 2 ст. 22 Закона.
В статье рассматриваются наиболее эффективные и наименее затратные пути и инструменты защиты ПД для применения налоговыми органами в качестве операторов персональных данных граждан РФ.

Угрозы

Налоговые органы располагают данными об официальных доходах граждан, суммах уплаченных ими налогов и месте работы. Вся эта информация в принципе может быть использована, например, в целях совершения кражи либо грабежа. Но такие инциденты происходят крайне редко. Более того, многие чиновники и политики публично отчитываются о своих официальных доходах и имуществе, однако факты мошенничества и иных преступлений с использованием этой предоставленной информации о доходах не зафиксированы.

Есть страны, где налоговые данные обо всех гражданах общедоступны. Например, в Норвегии налоговые декларации жителей являются публичной информацией с 1863 г., а с 2002 г. они доступны и через Интернет. Сведения включают имя, возраст, доходы и адрес налогоплательщика. Попытка обнародования такого рода информации предпринималась и в Италии, но впоследствии решение было отменено.

Тем не менее определение персональных данных в Законе звучит категорично широко: "...персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация".
Таким образом, сведения о доходах также являются персональными данными, конфиденциальность которых подлежит обязательной защите.
Среди послаблений, которые предусматривает Закон и которыми могут воспользоваться налоговые органы, следует назвать отсутствие необходимости получать письменное согласие гражданина на обработку его ПД, так как она осуществляется по требованию федерального закона (в нашем случае - Налогового кодекса РФ) (п. 1 ч. 2 ст. 6), и уведомлять гражданина о начале обработки его ПД (ч. 3 ст. 18).

Как защищать

Статьей 7 Закона установлено, что операторы и третьи лица, получающие доступ к персональным данным, должны обеспечивать конфиденциальность ПД. Поскольку техническая защита конфиденциальной информации (к которой относятся и ПД) является лицензируемым видом деятельности [3], поставщики работ (услуг) для налоговых органов по этому виду деятельности должны иметь соответствующую лицензию Федеральной службы по техническому и экспортному контролю (ФСТЭК России, ранее - Гостехкомиссия при Президенте РФ).
Кроме того, применяемые средства защиты информации должны быть сертифицированы ФСТЭК России, а объекты информатизации - аттестованы .
--------------------------------
Более подробная информация о процедуре сертификации доступна на сайте ФСТЭК России. URL: http://www.fstec.ru.

В качестве примера технического средства защиты ПД, подлежащего сертификации, можно назвать систему предотвращения утечек данных - DLP, в частности InfoWatch Traffic Monitor российского разработчика InfoWatch (рис. 1 не приводится). Данный программный комплекс представляет собой систему контентной фильтрации и анализа исходящего SMTP, HTTP-трафика и соответствует требованиям руководящего документа "Защита от несанкционированного доступа к информации. Часть I. Программное обеспечение средств защиты информации. Классификация по уровню контроля недекларированных возможностей" (утв. Приказом Гостехкомиссии России от 04.06.1999 N 114) для 4-го уровня контроля. Этот комплекс может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно , а также для защиты информации в информационных системах персональных данных до 1-го класса включительно .
--------------------------------
Руководящий документ "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации" (утв. решением председателя Гостехкомиссии России от 30.03.1992).
Порядок проведения классификации информационных систем персональных данных (утв. Приказом ФСТЭК России N 55, ФСБ России N 86, Мининформсвязи России N 20 от 13.02.2008).

Резюмируя сказанное, следует отметить некоторую трудоемкость процессов сертификации и аттестации, однако их результат позволит налоговым органам значительно снизить риски, связанные с санкциями за несоблюдение требований законодательства.

Как отвечать

Кроме обязанности обеспечить защиту ПД на оператора также возложена обязанность информировать граждан о том, какие его данные обрабатываются и как. Каждый гражданин РФ может направить письменный запрос и получить от оператора следующую информацию (ч. 4 ст. 14 Закона):
"1) подтверждение факта обработки персональных данных оператором, а также цель такой обработки;
2) способы обработки персональных данных, применяемые оператором;
3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
4) перечень обрабатываемых персональных данных и источник их получения;
5) сроки обработки персональных данных, в том числе сроки их хранения;
6) сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных".
Несмотря на то что количество запросов от граждан по поводу защиты ПД, скорее всего, будет весьма небольшим, налоговому органу нужно быть готовым ответить на запрос в течение 10 дней. Ниже приведены рекомендации по ответу на запрос, адресованный налоговому органу.

1. Цель обработки данных о доходах определяет Налоговый кодекс РФ (в принципе нет необходимости его цитировать, достаточно дать ссылку на номер пункта и статьи).
2. Под способами обработки ПД можно понимать те действия (операции), которые перечислены в п. 3 ст. 3 Закона: "...сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение". Также следует уточнить, что эти действия осуществляются, например, "при помощи средств вычислительной техники" или "при помощи автоматизированной системы с участием оператора".
3. Лиц, которые получают доступ к ПД, не следует перечислять поименно, достаточно указать круг должностей и наименование подразделений, где они работают.
4. Перечислять нужно не сами данные, а их описание. Например, "хранятся и обрабатываются фамилия, имя, отчество, ИНН, домашний адрес, сведения о доходах".
5. Здесь следует указать, когда полагается уничтожить хранящиеся ПД. Например, "по истечении 5 лет после окончания года, к которому данные о доходах относятся". Проверка факта уничтожения данных является задачей персонала, непосредственно обслуживающего базу данных.
6. По этому пункту возникает больше всего вопросов. Юридические последствия - это возникновение новых прав и обязанностей или прекращение старых. Обычно обработка данных о доходах вызывает такие последствия, как обязанность уплатить налог, право получить вычет или иную льготу, а также обязанность представить в предусмотренных случаях те или иные документы. Различная статистическая обработка данных предусматривает обезличивание ПД и, следовательно, никаких юридических последствий для субъекта ПД не влечет.
Обратите внимание: каждый оператор ПД отвечает только за те данные, которые обрабатываются в его системе. При передаче ПД иным операторам заявителя следует переадресовать за информацией к ним.

Утечки

Лица, виновные в нарушении требований Закона, должны нести гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность (ст. 24 Закона). В настоящее время законодательно установлена только административная ответственность (ст. ст. 13.11 - 13.13 КоАП РФ) за нарушение установленного порядка обработки (сбора, хранения, использования) ПД, а также правил защиты информации.

Кроме того, утечка ПД, ставшая достоянием общественности, наносит серьезный вред имиджу и деловой репутации организации.
Однако нарушение установленного порядка не всегда влечет за собой утечку ПД. И наоборот, имевшая место утечка вовсе не означает, что был нарушен установленный порядок. Эти два явления необязательно коррелируют между собой, то же можно сказать и о мерах противодействия данным явлениям.
Прежде всего нужно учитывать, что почти половина всех утечек конфиденциальной информации из информационной среды любой организации происходят неумышленно, т.е. являются случайными.

Персональные данные (равно как и другая конфиденциальная информация) публикуются в Интернете из-за ошибок в конфигурации веб-сервера, отправляются по электронной почте на ошибочный адрес, распечатанные материалы не уничтожаются должным образом и вместе с мусором могут быть вынесены за пределы организации, часто теряются мобильные носители информации и устройства, например ноутбуки и флэш-устройства. Если налоговая инспекция сумеет исключить фактор случайности в работе, проблема утечки конфиденциальных данных автоматически решается наполовину. Борьба со случайными утечками, как нетрудно понять, проще и дешевле, чем борьба со "злоумышленными" сотрудниками, поскольку подразумевает технические меры защиты и лишь в минимальной степени - организационные. Именно с них и следует начинать.

Для предотвращения случайных утечек кроме разъяснительной работы с персоналом следует применять и технические средства защиты. Даже простейшая DLP-система эффективно перехватывает случайно отправленную на неверный адрес электронную почту, а также детектирует или блокирует перемещение конфиденциального файла в не предназначенную для него директорию веб-сервера. Более сложные DLP-системы, например InfoWatch Traffic Monitor, способны выявлять и умышленные утечки.

Еще одна мера - ограничение или запрет записи конфиденциальной информации на отчуждаемые и мобильные носители. Именно мобильные носители информации - ноутбуки, карманные персональные компьютеры, флэш-накопители, компакт-диски и т.п. занимают ведущее место в распределении утечек по типам носителей. Вышесказанное справедливо как для случайных, так и для умышленных утечек.



Это можно сделать путем введения более или менее жестких мер - полное отключение USB-портов и CD/DVD-приводов на рабочих станциях или настройка DLP-системы с целью перехвата записи на внешний носитель только конфиденциальной информации (любая другая информация допускается к записи).
Также эффективным решением проблемы случайных и отчасти умышленных утечек ПД является введение обязательного шифрования для всех мобильных носителей информации. Тогда кража или утеря последних будет означать инцидент с имуществом, но не с данными. На практике зашифрованные данные можно считать надежно защищенными при любом случайном инциденте.

Выводы

В России утечка персональных данных граждан, касающихся доходов, пока не несет существенной угрозы в виде финансовых и иных убытков. Однако граждане испытывают моральный дискомфорт при разглашении этих сведений. В связи с чем в будущем вполне вероятны судебные иски против операторов ПД, надлежащим образом не обеспечивающих защиту данного вида конфиденциальной информации согласно требованиям Закона.
На сегодняшний день основной риск для операторов ПД в целом и для налоговых органов, в частности, - возможность привлечения к ответственности за несоблюдение установленного порядка обработки и защиты ПД.
Еще один серьезный риск для оператора ПД в случае утечки ПД - потеря деловой репутации. Граждане ревниво относятся к сведениям о своих доходах, обнародование факта утечки этих сведений (будь она случайная или умышленная) не лучшим образом может сказаться на репутации налогового органа.
Перечень мероприятий для защиты ПД слишком велик для изложения в рамках одной статьи. Для сотрудников отдела защиты информации существуют различные 3 - 4-дневные курсы по техническим и организационным мерам защиты конфиденциальных данных. Для рядовых работников рекомендуется провести 1 - 2-часовую лекцию о персональных данных и порядке работы с ними.

Литература

1. Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных данных" // Рос. газ. 2006. 29 июля (N 165).
2. Приказ Федеральной службы по надзору в сфере связи и массовых коммуникаций от 17 июля 2008 г. N 08 "Об утверждении образца формы уведомления об обработке персональных данных". [Электронный ресурс]. Документ опубликован не был.
3. Постановление Правительства РФ от 15 августа 2006 г. N 504 "О лицензировании деятельности по технической защите конфиденциальной информации" // Рос. газ. 2006. 29 авг. (N 190).

Б.И.Сторчак
Генеральный директор Государственного научно-исследовательского института развития налоговой системы ФНС России (ГНИИ РНС)