1. Статьей 1 комментируемого Закона определяется сфера действия Закона, а также уточняются отношения, на которые действие этого Закона не распространяется.
Персональные данные (далее также - ПД) могут обрабатывать федеральные органы государственной власти. Под федеральными органами власти следует понимать органы власти, осуществляющие властные полномочия на федеральном уровне. Согласно ст.10 Конституции РФ государственная власть в РФ осуществляется на основе разделения на законодательную, исполнительную и судебную. Статья 11 Конституции РФ определяет, что государственную власть в Российской Федерации осуществляют Президент РФ; Федеральное Собрание (Совет Федерации и Государственная Дума); Правительство РФ; суды РФ.
Действие комментируемого Закона распространяется также на органы государственной власти субъектов РФ, обрабатывающие ПД. На уровне субъектов РФ существуют органы исполнительной и законодательной власти субъектов РФ.
Субъектами, обрабатывающими ПД, также могут быть иные органы государственной власти, кроме тех, что перечислены выше. К ним, например, относятся Центральный банк РФ, Пенсионный фонд РФ, Федеральный фонд обязательного медицинского страхования, Фонд социального страхования РФ, Центральная избирательная комиссия РФ и т.п.
Обработка ПД ведется и органами местного самоуправления.
Согласно ч.1 ст.34 Федерального закона от 6 октября 2003 года N 131-ФЗ "Об общих принципах организации местного самоуправления в Российской Федерации" структуру органов местного самоуправления составляют:
- представительный орган муниципального образования;
- глава муниципального образования;
- местная администрация (исполнительно-распорядительный орган муниципального образования);
- контрольно-счетный орган муниципального образования;
- иные органы и выборные должностные лица местного самоуправления, предусмотренные уставом муниципального образования и обладающие собственными полномочиями по решению вопросов местного значения.
Обработку ПД осуществляют, в том числе, иные муниципальные органы.
Если юридические лица обрабатывают ПД, на них также распространяется действие комментируемого Закона (о юридических лицах см. ст.48 и др. Гражданского кодекса РФ (далее по тексту - ГК РФ)). Стоит учитывать, что требования комментируемого Закона распространяются также на представительства юридических лиц иностранных государств, осуществляющих деятельность по обработке ПД на территории РФ.
Под физическими лицами, осуществляющими обработку ПД в рамках комментируемого Закона, понимаются граждане, осуществляющие предпринимательскую деятельность без образования юридического лица с момента государственной регистрации в качестве индивидуального предпринимателя (см. ст.23 ГК РФ). Обращаем внимание, что согласно ч.1 комментируемой статьи обработка ПД может происходить как с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, так и без использования таких средств.
Понятие информационно-телекоммуникационной сети раскрывается в ст.2 Федерального закона от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (далее по тексту - ФЗ "Об информации, информационных технологиях и о защите информации"). Под информационно-телекоммуникационной сетью понимается технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники. Таким образом, нормы комментируемого Закона теперь распространяются и на участников и операторов передачи голосовых и иных сообщений (данных) по сетям связи (например, передача сообщений по электронной или голосовой почте и т.п.).
Порядок обработки ПД без использования средств автоматизации регулируется комментируемым Законом в том случае, если такая обработка, как установлено в ч.1 комментируемой статьи, соответствует характеру действий (операций), совершаемых с ПД с использованием средств автоматизации.
Под обработкой ПД без использования средств автоматизации здесь понимается такая обработка ПД, которая позволяет осуществлять в соответствии с заданным алгоритмом поиск ПД, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях ПД, и (или) доступ к таким данным. Таким образом, действия комментируемого Закона распространяются только на массовую обработку ПД. Например, создание в организации картотеки данных клиентов на бумажных носителях будет считаться обработкой ПД без использования средств автоматизации и подпадать под действие комментируемого Закона.
Под средствами автоматизации понимаются технические средства, освобождающие человека частично или полностью от непосредственного участия в процессах получения, преобразования, передачи и использования информации. В качестве примера можно привести автоматизированные банковские системы, содержащие данные о сотрудниках банка, о клиентах, партнерах, биллинговые системы, содержащие данные о клиентах, осуществляющих оплату услуг, call-центры, содержащие данные о клиентах и сотрудниках в зависимости от предназначения call-центра, автоматизированные медицинские системы, содержащие данные о пациентах и т.п.
Автоматизированная обработка ПД включает в себя действия с автоматизированными файлами ПД. В случае с обработкой ПД понятие "автоматизированный файл ПД" обозначает любой комплекс данных о субъектах ПД, подвергающийся автоматизированной обработке.
В ст.2 Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (Страсбург, 28 января 1981 года) "автоматизированная база данных" означает любой набор данных, к которым применяется автоматическая обработка. При этом "автоматическая обработка" включает следующие операции, если они полностью или частично осуществляются с применением автоматизированных средств:
- накопление данных;
- проведение логических или/и арифметических операций с такими данными;
- их изменение, стирание, восстановление или распространение.