О Федеральном законе Российской Федерации от 27 июля 2006 г. N 152-ФЗ "О персональных данных" и о соответствующей сертификации

Закон содержит параграф "Ст.25 п3. Информационные системы персональных данных, созданные до дня вступления в силу настоящего Федерального закона, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2010 года.", в связи с чем некоторые производители программного обеспечения (далее НППО) запугивают пользователей ответственностью за использование несертифицированного ПО.

По этому поводу требуется высказать несколько замечаний.

НППО видимо считают, что пользователи не в состоянии самостоятельно прочесть указанный закон и навязывают несколько ложных выводов.

1. Нагнетать страхи уже поздно, "часом икс" по указанному закону является 1 января 2010 года, а не 1 января 2011 года, как указывают в своих прессрелизах НППО. И тот факт, что НППО получили сертификат ФСТЭК (причем даже не относящийся к сфере указанного закона) в 2010м году, вовсе не переносит срок на конец 2010 года
2. В законе ничего не говорится о сертификации ПО на соответствие этому закону.
3. Предприятия не обязаны выполнять ряд требований этого закона (в частности уведомлять уполномоченные органы о факте сбора персональных данных и получать письменное согласие субъектов персональных данных), если обрабатываемые персональные данные относятся к персоналу предприятия или партнерам и клиентам предприятия (т.е. всех тех, с кем у предприятия договорные отношения, см. Ст.22 ч.2 указанного закона)). Таким образом предприятие ответственно только за предотвращение утечек персональных данных, а также за предоставление доступа субъекту персональных данных к его данным. Т.е. никаких новых обязанностей у администрации информационной системы предприятия в связи с этим законом не возникает, т.к. защитой учетных записей и баз данных они занимались всегда.
4. НППО, получающие сертификат ФСТЭК (не важно, какой конкретно), продолжают указывать в своих лицензиях "отказ от гарантий" (AS IS). ФСТЭК тоже не принимает на себя ответственность за неприятности, вызванные использованием сертифицированного ими ПО. По закону ответственность за неправомерное использование персональных данных ложится на оператора персональных данных (т.е. на пользователя ПО, а не производителя). В случае преследования по этому закону оператор не сможет предъявить иски ни НППО, ни ФСТЭК. Поэтому сертификат ФСТЭК никакой дополнительной защиты пользователю не дает.