Согласно статистике, за январь — сентябрь 2020 г. в нашей стране утекло 96,5 млн записей персональных данных и платежной информации, большая часть которых была опосредована намеренными действиями со стороны сотрудников компаний. При этом 79 % утечек личных сведений не связаны с хакерскими атаками, они произошли ввиду нарушений внутри компании. Поэтому 72 % информации были предоставлены самими ее сотрудниками. Об этом заявила первый замглавы Комитета Совета Федерации по конституционному законодательству и госстроительству Ирина Рукавишникова [1].
О. К. Коробкова, проведя исследования по данному вопросу, отмечает, что большая часть российских организаций (примерно 98 %) так или иначе сталкивается с утечкой конфиденциальной информации, а также предоставлением информации, не соответствующей действительности (62 %), различными сбоями в работе информационных систем ввиду халатного отношения сотрудников (15), потерей информации (7), кражей оборудования (6), др. (28 %) [2, с. 49].
На эту проблему в 2020 г. обратил внимание президент России, подписав закон, наделяющий гражданина правом предъявлять требования к оператору об удалении персональных данных из общедоступных источников.
1 марта 2021 г. начали действовать изменения в Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» [3] (далее — Закон № 152-ФЗ). В юридический оборот вошел новый термин «персональные данные, разрешенные для распространения», связанный с распространением персональных данных неопределенному кругу лиц. Этот термин фактически вытеснил ранее существующий «общедоступные персональные данные». Согласно пояснительной записке к законопроекту, целью поправок является ограничение неконтролируемого использования персональных данных, которые размещаются на сайтах и в других открытых источниках. Теперь оператор, получивший персональные данные, не может их распространять.
По-новым правилам для распространения такой информации он обязан получить помимо согласия лица на обработку персональных данных отдельное согласие лица на распрос транение, которое предоставило такие данные. При этом оператор персональных данных — это лицо, их обрабатывающее. А субъектом персональных данных может быть любое физическое лицо, к которому прямо или косвенно относятся персональные данные, обрабатываемые оператором.