Справка о лицензировании деятельности по технической защите конфиденциальной информации

В соответствие с частью 2 статьи 19 ФЗ «О персональных данных» Правительство РФ устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.

В соответствие с ФЗ «О лицензировании отдельных видов деятельности» (пункт 11 части 1 статьи 17) лицензированию подлежит деятельность по технической защите конфиденциальной информации. Исходя из  этого, контролирующие органы выдвигают требование получения всеми операторами персональных данных лицензии на техническую защиту конфиденциальной информации во всех случаях, включая те, когда обработка персональных данных осуществляется для собственных нужд (например, в рамках трудовых отношений), что не вытекает из положений Закона «О персональных данных» и не соответствует духу Закона «О лицензировании отдельных видов деятельности».

В Постановлении Правительства РФ от 15 августа 2006 г. № 504, в котором под деятельностью по технической защите конфиденциальной информации, подлежащей лицензированию, понимается «комплекс мероприятий и (или) услуг по ее защите от несанкционированного доступа, в том числе и по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней». Указанное в данном Постановлении некорректное определение лицензируемого вида деятельности позволяет предъявлять требования по лицензированию не только к лицам, осуществляющим услуги по защите конфиденциальной информации, но и к лицам, защищающим свою собственную конфиденциальную информацию, составляющую, например, коммерческую тайну. Таким образом, положения данного Постановления могут распространяться на всех юридических лиц, занимающихся предпринимательской деятельностью, что противоречит положениям ст. 4 ФЗ «О лицензировании отдельных видов деятельности», устанавливающей критерии определения лицензируемых видов деятельности: «к лицензируемым видам деятельности относятся виды деятельности, осуществление которых может повлечь за собой нанесение ущерба правам, законным интересам, здоровью граждан, обороне и безопасности государства, культурному наследию народов России и регулирование которых не может осуществляться иными методами, кроме как лицензированием».

Применительно к защите персональных данных можно говорить, что контроль и надзор за выполнением требований законодательства со стороны операторов персональных данных осуществляет Уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) и регулирование такой деятельности уже осуществляется ФЗ «О персональных данных».

За осуществление предпринимательской деятельности без лицензии или с нарушением предусмотренных в ней условий установлена административная ответственность. Но практику применения ч.ч. 2, 3 ст. 14.1 КоАП РФ нельзя назвать единообразной. Руководитель организации может избежать штрафа, если докажет, что работа им выполняется для собственных нужд и не является предпринимательством.

Например, среди дел о привлечении к административной ответственности по ч. ч. 2 и 3 ст. 14.1 КоАП РФ, рассмотренных Арбитражным судом Курганской области в 2007 году и в I полугодии 2008 года, данная категория занимает доминирующее положение (более половины). При этом если в 2007 году удовлетворены заявления по 67% дел, то в I полугодии 2008 года этот процент составил лишь 53%.

Суды считают, что получение лицензии на деятельность, подлежащую лицензированию, обязательно для тех лиц, для которых эта деятельность является основной. В случае, если деятельность рассматривается как элемент основной производственной деятельности и именно от ее осуществления не происходит извлечение прибыли, получение лицензии на нее не требуется. Эта позиция содержится в Постановлениях ФАС ВВО от 06.05.2005 N А43-30702/2004-26-1135, апелляционной инстанции Арбитражного суда Свердловской области от 02.02.2005 N А60-39874/2004-С9, ФАС СЗО от 09.11.2007 N А05-5724/2007, ФАС ВВО от 18.06.2008 N А31-6296/2007-13, решении Арбитражного суда Свердловской области от 26.05.2008 N А60-5642/2008-С9.

Кроме того, для многих случаев лицензируемой деятельности законодатель предусматривает исключения при осуществлении определенной деятельности для собственных нужд лиц. Например, лицензирование перевозок пассажиров автомобильным транспортом, оборудованным для перевозок более 8 человек не производится, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя (Постановление Правительства РФ от 30.10.2006 №637). Также Постановление Правительства РФ от 22.10.2007 №689 «Об утверждении Положения о лицензировании деятельности по выявлению электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)»; Постановление Правительства РФ от 22.01.2007 №32 «Об утверждении Положения о лицензировании технического обслуживания медицинской техники (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)».

Таким образом, все указанные исключения и судебная практика подтверждают, что основной признак лицензируемой деятельности – она должна быть предпринимательской, т.е. из осуществления этой деятельности должна извлекаться выгода. В то же время непосредственно из обработки персональных данных операторами персональных данных никакая выгода не извлекается, если только эту деятельности не оказывают на основании договора аутсорсинга. Исходя из духа и смысла ФЗ «О лицензировании отдельных видов деятельности» только эта деятельность должна лицензироваться, а не все случаи обработки персональных данных.