Обработка персональных данных: оператор, организация обработки, хранение и передача, права работников в сфере обработки.

Организация обработки персональных данных

Перед обработкой персональных данных работодатель должен информировать сотрудника о целях, источниках, методах сбора и характере сведений о нем, получить письменное согласие на их обработку.

Читайте также: Защита персональных данных

Если обработка данных сотрудников осуществляется лишь по поводу трудовых отношений, то их согласие не требуется. Например, не нужно разрешение работника для внесения его данных в кадровую документацию, составления доверенности на представительство, сдачи сведений, содержащихся в отчетах.

В других ситуациях необходимо получать согласие, например, когда банк запрашивает информацию о размере заработной платы или лицензирующий орган – копию диплома.

До начала обработки данных, предприятие должно известить об этом Роскомнадзор. Без уведомления этой организации фирма имеет право обрабатывать индивидуальные сведения в рамках трудовых отношений и трудового законодательства.

Отчет в налоговую при УСН для ИП, имеющих рабочий персонал, требует предоставления следующей документации: декларации по форме УСН, справки о численности сотрудников по форме «2-НДФЛ», книги расходов и доходов.

Переход на УСН должен осуществляться с соблюдением определенных условий и по установленным правилам о которых можно узнать из этой статьи.

Однако, если планируется передавать личную информацию, например, для оформления банковской зарплатной карты или по программе медицинского страхования, то уведомление в Роскомнадзор оформлять и отправлять обязательно. Данный документ можно составить как в бумажной, так и в электронной форме.

После этого каждому работодателю полагается назначить лицо, ответственное за организацию обработки данных. Таким лицом может быть любой работник прошедший инструктаж.

Оператор персональных данных

Все до одного предприятия и организации в независимости от формы собственности – это операторы персональных данных, потому что они осуществляют их обработку.

В российском законодательстве содержится четкое определение понятия «обработка персональных данных».

К ней относятся любые действия, совершаемые оператором над индивидуальной информацией:

  • сбор,
  • уточнение,
  • систематизацию,
  • использование,
  • удаление,
  • хранение и др.
И если раньше к персональным данным относили лишь ФИО, место рождения, адрес регистрации, данные паспорта, то сейчас это любая информацию о человеке, например, сведения об образовании, доходах, семейном положении и т.д.

Но работодатель не наделен правом обрабатывать информацию о политических взглядах, религиозных убеждениях, личной жизни сотрудника.

Закон предписывает: любая работа с индивидуальными данными сотрудников, должна проводиться только на базе нормативных актов, содействовать интересам сотрудников в трудоустройстве, карьере, обучении, обеспечивать их личную безопасность. Также обрабатывать данные можно с целью осуществления контроля качества и объемов работы, сохранения имущества.

Обязательно ли получать согласие на обработку

Да, в противном случае обработка не будет правомерной. С 2019 года вступили в силу поправки в КоАП РФ, и административная ответственность ужесточилась. Штрафы выросли до 75 000 рублей.

Чтобы избежать ответственности, строго контролируйте, что физлицо подписало образец соглашения на обработку персональных данных.

Организация должна не только получить разрешение, но и уведомить Роскомнадзор о том, что она обрабатывает персданные. Требование прописано в 22 статье ФЗ 152. Там же указаны и исключения, среди которых:

  • работодатели, которые используют персданные для внутреннего использования;
  • лица, обрабатывающие сведения с целью обеспечения безопасности на транспорте.

Как правильно оформить согласие

Единственное неукоснительное правило: письменно. Унифицированные бланки отсутствуют, организации сами разрабатывают шаблоны.

Лучше подробно перечислить информацию, которую вы собираете с лица, и что планируете с ней делать, в том числе ограничения. Можно ограничиться общей фразой о том, что любая предоставленная информация о себе может быть обработана и использована по усмотрению организации в тех пределах, что позволяет законодательство.

Рекомендуется включить в согласие информацию о том, как отозвать разрешение. Такое право закреплено законом. Укажите, нужно ли письменное заявление и куда его направить.

В конце документ подписывается и ставится дата.

Готовый образец согласия на обработку персданных может выглядеть так:

Скачать

Что можно делать с персданными

Обрабатывать, как говорится в законе:

  • использовать их для оформления бумаг, передачи другим лицам для исполнения ими своих обязанностей;
  • вносить в базы данных, в приказы и соглашения;
  • использовать при начислении и уплате налогов налоговым агентом, при отчислении в Пенсионный фонд.

Это не полный перечень. Под обработкой понимается любое действие с персданными. Но что бы ни делали операторы, владелец сведений должен заранее одобрить работу с ними. Для этого подписывается образец формы согласия на обработку персональных данных. Затем оператор должен уведомить Роскомнадзор, что намерен работать с персданными, если правоотношения не подпадают под исключения, перечисленные в ч. 2 ст. 22 152-ФЗ.

Фото 1

Что относится к персональным данным

Индивидуальные сведения о людях называются персональными данными. Они охраняются специальным Федеральным законом, который вступил в силу в январе 2006 года. Говорится о них и в Конституции Российской Федерации. Актуальность вопроса повысилась с развитием информационных систем, баз данных, интернета в целом. Имея сведения о человеке, можно причинить ему вред, завладеть его имуществом и деньгами. Одна из целей закона о персданных — защитить людей от незаконных посягательств, предотвратить преступления в этой сфере. Наличие закона не свело к нулю все проблемы, в частности, из-за человеческой невнимательности и попустительства, мы часто подписываем заявление о согласии на обработку персональных данных, не вникая в нюансы. Например, можем пропустить оговорку, которая позволяет компании разместить информацию на официальном сайте, а банку — передать информацию коллекторам.

Перечень того, что подпадает под определение персданных, очень широкий. Но люди не знают, на что подписываются, потому что это перечисление не включают в образец заполнения согласия на обработку персональных данных:

  • паспорт (данные о самом документе);
  • где, когда родились;
  • данные об имени и фамилии;
  • информация об отчестве (при наличии);
  • телефонные номера;
  • место жительства;
  • СНИЛС и ИНН;
  • размер зарплаты;
  • биометрические (вес, цвет волос, ДНК и т. д.).

Сюда же относится и специфическая информация, которая не всегда встречается в анкете психолога или в расширенном опроснике при трудоустройстве, но характеризует человека:

  • верит ли он в бога, и если да, то в какого (религиозные);
  • имеется ли собственная система философских убеждений и в чем ее особенность;
  • национальность.

Где можно найти персданные

Они хранятся на бумажных и электронных носителях. Встретить их можно на сайте организации, на визитках, в документах бухгалтерии и отдела кадров, в личных документах человека, в заключенных с ним договорах. Совершая покупку или регистрируясь на каком-то форуме (не анонимном), вы автоматически даете согласие на обработку персональных данных на сайте.

Хранение и передача персональных данных

Понимая высокую значимость и ценность персональной информации, государство проявляет заботу о соблюдении прав всех своих граждан в области защиты индивидуальных сведений и обязывает всех работодателей создавать условия для этого в рамках своей организации.

Как хранить данные, предприятие решает самостоятельно, закрепляя порядок хранения в определенном документе, как правило, в Положении о персональных данных, или в Правилах внутреннего распорядка.

Читайте также: Персональные данные

При обработке личных данных работника необходимо помнить о том, что:

  • передача индивидуальных сведений третьим лицам строго запрещена без согласия сотрудника. Исключением здесь являются ситуации, когда это нужно для предупреждения угрозы здоровью и жизни человека;
  • под запретом находится передача данных о сотруднике в коммерческих целях без его разрешения;
  • лица, обрабатывающие персональные данные, не должны их разглашать, соблюдать режим конфиденциальности (ответственность за неразглашение можно закрепить в должностных инструкциях);
  • информация передается в рамках одной организации, у одного работодателя в соответствии с внутрифирменным нормативным актом, с которым должен быть ознакомлен каждый сотрудник;
  • доступ к базе данных разрешается только отдельным лицам, и работают они исключительно с информацией, необходимой им для выполнения трудовых функций;
  • запрещен сбор сведений о состоянии здоровья сотрудников, за исключением той информации, которая напрямую связана с вопросом о возможности выполнения должностных обязанностей.

Пренебрежение проверкой может привести к большим проблемам и финансовым потерям. Поэтому просто обязательно необходимо быть бдительным и вовремя проверять контрагентов по ИНН и другим критериям.

Ответственность по 152-ФЗ ИП, руководителя компании как операторов личной информации наступает не только при организации трудовых отношений, но и в процессе хозяйственной деятельности. Подробности читайте тут.

Исключением в области передачи данных является информирование некоторых Государственных органов о несчастном производственном случае, а также отправка сведений в ПФР, налоговую службу, ФСС, службы госконтроля и надзора за исполнением трудового законодательства.

Лучше всего, если специалисты, обрабатывающие персональные данные, находятся отдельно от других работников. На рабочих местах данных лиц должны быть размещены сейфы для хранения документов.

Вопросы и ответы

У нас группа предприятий ООО и Физ.лица а конкретно ветеринарные клиники. С владельцами животных заключаем договор на оказание услуг в письменной форме.Также вносим персональные данные владельцев в облачную программу, которую предоставляет другое юридическое лицо, то есть передаем 3 стороне,соответственно работает смс а емайл оповещение из этой программы.Существует мнение что,согласно статье 22 закона 152 -ФЗ ,если обработка данных необходима для исполнения договора, то уведомлять Роскомнадзор что обрабатываете персональные данные не нужно.Вопрос: Наши предприятия должны включать согласие о обработке персональных данных в договор и регистрироваться в роскомнадзоре как оператор персональных данных,и что делать с владельцами данные которых мы храним со времени когда еще не было этого закона?

Эксперт:

Сергей, добрый день! Согласно ст. 22  ФЗ О персональных данных уведомление РКН не требуется в случае если

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются,а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

т.е. данное условие касается случаев когда ПД не представляются третьим лицам, а вы говорите о наличии группы лиц, поэтому если есть хоть малейший риск передачи ПД третьим лицам лучше уведомить. Обработка ПД возможна без получения согласия ПД когда она нужна в для исполнения договора стороной которого является субъект (п. 5 ч. 1 ст. 6), но это не касается  не обязательности согласия когда имеет место передача ПД третьим лицам. Поэтому Вам лучше включить согласие на обработку ПД в договор либо оферту, в том числе согласие на передачу ПД третьим лицам, либо можно предлагать подписывать такое согласие отдельно. Также надо учитывать требования к в том числе хранению ПД на территории РФ (ч. 5 ст. 18) которые касаются всех ПД без исключения, т.е. в том числе полученных до вступления в силу изменений

Эксперт:

Сергей!

В соответствии со ст.22 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»:

2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:


2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

поскольку Вы предоставляете данные другому юр.лицу, то в Вашем случае согласие на это получать нужно, и уведомление также нужно направлять.

Эксперт:

Сергей,

Если компания планирует собирать сведения о физических лицах, она должна уведомить об этом Роскомнадзор сразу же после регистрации. Причем уведомить ведомство о намерении обрабатывать персональные данные граждан нужно до начала обработки сведений (ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). С 1 июля 2017 года введены повышенные административные штрафы за несоблюдение требований Федерального закона № 152-ФЗ. 

Отправить сообщение в Роскомнадзор можно по интернету на официальном сайте ведомства. В уведомлении указывают правовые основания для обработки персональных данных, цели сбора данных, дату начала обработки и меры по обеспечению сохранности полученных сведений. Сбором данных считается получение от физлиц любой информации, которая позволяет их идентифицировать.

При этом закон содержит ряд исключений, при которых уведомлять Роскомнадзор не требуется. Список таких ограничений установлен в ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ. Не требуется подавать уведомление в следующих случаях:

При сборе и обработке персональных данных без использования средств автоматизации. Если обработка осуществляется без компьютера и электронных баз данных, уведомлять Роскомнадзор не требуется. При этом оператор данных должен соблюдать требования Постановления Правительства РФ от 15.09.2008 № 687 «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации». Если компания использует компьютеры, это не значит, что обработка данных осуществляется с использованием средств автоматизации. Неавтоматизированной обработкой персданных считается использование, уточнение, распространение, уничтожение персональных данных, которые осуществляются при непосредственном участии человека.
При сборе личных сведений сотрудников в рамках трудовых отношений. Это касается только тех данных, которые необходимо предоставить работодателю при оформлении трудового и коллективного договора. О сборе и обработке сведений, которые не касаются трудовых отношений нужно уведомлять Роскомнадзор. Также уведомлять нужно, если работодатель собирается обрабатывать данные уволенных сотрудников (п. 1 ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ).
При оформлении компанией договора с физическим лицом. В этом случае уведомлять Роскомнадзор не нужно, если исполнитель/продавец/поставщик не собирается передавать персональные данные третьим лицам (п. 2 ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ). Персональные данные должны использоваться исключительно для исполнения договора, в связи с заключением которого они получены.
При сборе сведений общественным объединением или религиозной организацией. Обработка сведений членов таких организаций осуществляется без уведомления, если персональные данные не распространяются или не раскрываются третьим лицам без письменного согласия субъектов персональных данных (п. 3 ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ).
При сборе и обработке сведений, которые само физическое лицо сделало общедоступными (п. 4 ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ).
При сборе персональных данных, которые включают только имя, отчество и фамилию физического лица (п. 5 ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ).
При получении сведений для однократного пропуска физического лица на территорию оператора данных (п. 6 ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ).
При обработке данных, включенных в информационные системы персональных данных, имеющих статус государственных автоматизированных информационных систем (п. 7 ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ).
При сборе сведений транспортными компаниями для обеспечения безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса.

Во всех других случаях уведомлять об обработке данных нужно обязательно. Чтобы уточнить, обязана ли ваша организация подавать уведомление, можно обратиться в Роскомнадзор. До вступления закона в действие, соответственно, не нужно подавать сведения. Удачи.

Эксперт:

Сергей, По общему правилу принятый закон регулирует только те правоотношения, которые возникли после его принятия. Таким образом нормы закона не должны распространяться на обработку тех персональных данных, которые Вы получили до принятия закона. Однако на практике я бы советовал Вам согласовать с владельцами персональных данных их согласие на обработку. В соответствии со с. 9 Федерального закона «О персональных данных» согласие может быть дано в любой форме, позволяющей подтвердить факт его получения. Я считаю, что это обезопасит Вас от каких-то возможных негативных послелствий, если вдруг они возникнут. Если остались вопросы, то обращайтесь с удовольствием постараюсь их разрешить.

Эксперт:

Коллеги в целом уже ответили на Ваш вопрос, я бы хотел дополнительно от себя еще раз обратить внимание на полный перечень требований законодательства по персональным данным.
Действующее законодательство, и в первую очередь 152-ФЗ устанавливает ряд требований, касающихся обработки персональных данных. 
Основные требования:
1. На своем сайте Вы должны разместить Политику конфиденциальности. При этом нужно обратить внимание, что подойдет не каждая политика, то есть вариант «взять у конкурента» (который, как правило, сам откуда-то «взял») или просто «с интернета» не самый лучший, поскольку многие политики сделаны некачественно и основное — Вам нужна Политика, которая конкретно будет подходить под Вас.

К Политике есть ряд требований. Если говорить о самых общих моментах (перечень не исчерпывающий), то Политика должна содержать:

1.1. Перечень персональных данных, которые Вы обрабатываете.
1.2. Сведения о способах обработки персональных данных.
1.3. Должно быть прописано, что, проставляя галочку о согласии с политикой конфиденциальности Пользователь тем самым Пользователь дает свое согласие на обработку его персональных данных, указанных в Политике конфиденциальности.
1.4. Цели использования персональных данных.
1.5. Принципы обработки персональных данных, которыми Вы руководствуетесь.
1.6. Меры, применяемые для защиты персональных данных.
1.7. Очень важный момент, про который многие забывают – если в процессе использования персональных данных, эти данные становятся доступны третьим лицам, в том числе в автоматическом режиме, например, лицам, которые просто помогают Вам в управлении сайтом, маркетинговому партнеру и т.д., то об этом обязательно (!) должно быть указано в политике. Это частая ошибка, которая приводит к тому, что Вам могут вменить незаконное разглашение персональных данных, несмотря на то, что Вы даже не думали ничего не нарушать. С этим мне неоднократно приходилось сталкиваться лично, Роскомнадзор за это активно штрафует.
1.8. Также в политику конфиденциальности нужно обязательно включить положение о том, что Вы вправе в любой момент изменить условия политики конфиденциальности в одностороннем порядке. Про это тоже часто забывают.
1.9. Еще нужен ряд положений, которые касаются того, что мол проставлением отметки Пользователь подтверждает, что он согласен со всеми условиями Политики конфиденциальности, что положения ему ясны и т.д.
1.10. Также в Политике отдельное внимание должно быть уделено файлам cookie, про это тоже часто забывают, хотя это тоже важный момент.
Это самый общий ряд требований, при этом стоит отметить, что каждый пункт должен быть сформулирован грамотно и должен учитывать конкретно Ваши нюансы. 

2. На сайте должно быть Пользовательское соглашение (либо договор-оферта, либо лицензионное соглашение – в принципе это все одно и тоже).
Стоит отметить, что с одной стороны ничто не мешает «запихать» положения о персональных данных (политику конфиденциальности) в пользовательское соглашение. Однако лично я рекомендую эти документы разделять, поскольку мне лично уже приходилось сталкиваться с тем, что Роскомнадзор при проверке сайта нескольких моих клиентов просто не разглядел положения про персональные данные в пользовательском соглашении и повесил штраф. И хотя все это дело мы успешно оспорили, но лишний раз «давать повод» я не рекомендую, лучше перестраховаться.  

В ситуации же когда Политика сделана отдельно, то ее пропустить уже невозможно и соответственно риск того, что кто-то просто не разглядит эти пункты в пользовательском соглашении, отпадают. Плюс ко всему если делать нормальную качественную политику конфиденциальности, то она получается не на 1 и не на 2 страницы, не говоря уже о пользовательском соглашении и если все совмещать, то Пользовательское соглашение вполне вероятно получится чрезмерно раздутым, что не очень удобно и при этом не стоит также забывать, что на Вас лежит обязанность по доведению до клиентов всей необходимой информации о реализуемых товарах/услугах и для целей выполнения этой обязанности делать плохо читаемые раздутые и неструктурированные документы не самая лучшая идея (например, по банкам есть судебная практика когда суды не признают написанное в документах мелким шрифтом, что мол нельзя в таком виде доводить информацию до клиентов, здесь может быть применена та же логика).
Что касается требований к Пользовательскому соглашению (договору-оферте, лицензионному соглашению), то это предмет отдельного разговора, требований очень много и здесь они уже полностью зависят конкретно от Вашей ситуации и как следствие их нужно каждый раз обсуждать отдельно. Общая цель Пользовательского соглашения – расписать условия предоставления доступа к сервису и/или условия продажи товаров/услуг, описать предмет договора, права и обязанности сторон, порядок расчетов, порядок разрешения споров, ограничить Вашу ответственность (настолько, насколько это позволяет закон, частая ошибка – вопросам ответственности в Пользовательском соглашении изначально уделяют очень мало внимания и возвращаются к ним только после того как столкнутся с конкретной претензией от клиента или еще хуже с судебным иском, я всегда рекомендую все риски (настолько насколько это позволяет закон) закрывать изначально при подготовке документации).
Также в Пользовательском соглашении можно прописать условие о договорной подсудности по месту Вашего нахождения (кстати в способе описания условия о договорной подсудности очень часто допускаются ошибки, и суды потом признают пункт о договорной подсудности не согласованным, если хотите, чтобы в случае чего судебные споры были по месту Вашего нахождения (не во всех случаях применимо), то нужно к описанию этого пункта подойти максимально ответственно и с учетом судебной практики).

3. Помимо непосредственно наличия самих документов, есть требования к самому сайту, а именно: 

3.1. На сайте на абсолютно всех формах обратной связи, через которые может быть осуществлена передача персональных данных, должно быть окошечко, в котором Пользователи проставляют отметку о согласии с политикой конфиденциальности и пользовательским соглашением. Частая ошибка – делается политика конфиденциальности, а в окошечке Пользователь просто дает согласие с «обработкой персональных данных», а не с условиями Политики конфиденциальности и как следствие в этом случае фактически у Вас не будет подтверждения, что Пользователь согласился соблюдать условия политики конфиденциальности. Надо понимать, что цель политики конфиденциальности – в том числе получение от Пользователя согласия с обработкой его персональных данных, поэтому еще отдельно брать с него согласие на саму обработку уже не нужно, только согласие с политикой конфиденциальности.
3.2. Без проставления отметки о согласии с политикой конфиденциальности и пользовательским соглашением Пользователь не должен иметь возможности отправить Вам свои персональные данные. Это касается в том числе случаев даже если он Вам передает только имя, номер телефона или адрес электронной почты (это все относится к персональным данным – ст. 3 152-ФЗ).
4. Политика конфиденциальности и Пользовательское соглашение касаются урегулирования вопросов обработки персональных данных Ваших клиентов/Пользователей сервиса. Однако если у Вас есть работники, то дополнительно также нужно, чтобы был комплект документов, регулирующих вопросы обработки персональных данных Ваших сотрудников. Основным документом, который выполняет эту задачу является положение об обработке персональных данных, либо часто его называют положением о коммерческой тайне (хотя коммерческая тайна это другое, многие называют его именно так, а в содержании все равно прописывают вопросы обработки персональных данных), название тут не принципиально, строгих требований к нему нет, главное содержание. Я как правило предпочитаю объединять эти документы в один общий и именовать его «Положение о коммерческой тайне и обработке персональных данных» и в нем сразу урегулировать как вопросы коммерческой тайны, так и вопросы обработки персональных данных. Что касается требований к содержанию положения, то оно должно включать в себя:
4.1. Информацию о том, какие данные сотрудников обрабатываются.
4.2. Цели обработки персональных данных.
4.3. Порядок ознакомления сотрудников компании с положением.
4.4. Порядок и сроки уведомления работниками работодателя об изменении своих персональных данных.
4.5. Меры по защите персональных данных.
4.6. Порядок доступа отдельных работников к персональных данным сотрудников компании.
4.7. Порядок хранения персональных данных.
4.8. Условия предоставления третьим лицам персональных данных сотрудников компании.

Стоит отметить, что данное положение представляет собой локальный нормативный акт работодателя (ст. 8 Трудового кодекса РФ) и к нему применяются соответствующие требования, в частности: 1. Данное положение должно быть утверждено приказом единоличного исполнительного органа (директора) компании. 2. Работники должны быть ознакомлены под подпись с содержанием указанного положения (п.6 ч.1 ст. 18.1 152-ФЗ).

5. Помимо приказа об утверждении положения, регулирующего вопросы обработки персональных данных, также у Вас должен быть принят приказ о назначении ответственного за обработку персональных данных (ст. 22.1 ФЗ № 152-ФЗ). Чаще всего им выступает сам директор компании, но это не обязательно. Каких-либо специфичных требований к приказу здесь нет, требования к нему общие – такие, как и к любому другому внутреннему приказу.
6. Помимо указанных документов также, как правило, Вы должны направить уведомление в Роскомнадзор об обработке персональных данных (не путать с регистрацией в Роскомнадзоре).
Уведомление направляется по онлайн форме — https://pd.rkn.gov.ru/operators-registry/notification/form/и плюс должно быть продублировано в письменном виде по обычной почте. 

Здесь частая ошибка – люди считают, что они подпадают под исключение и им не нужно направлять уведомление в Роскомнадзор.
С точки зрения закона действительно далеко не все компании должны направлять уведомление в Роскомнадзор. Например, если Вы обрабатываете персональные данные только своих контрагентов по договорам, то у Вас нет обязанности по направлению уведомления в Роскомнадзор (это лишь один пример, исключений больше).
Однако на сегодняшний день позиция Роскомнадзора такова, что уведомление нужно направлять практически всегда, поскольку практически всегда компании помимо обработки данных, которые подпадают под исключение о необходимости направления уведомления, также осуществляют иные формы обработки персональных данных. Например, если Вы храните персональные данные потенциальных или бывших клиентов (в маркетинговых, рекламных или иных целях) – то это уже не подпадает под исключение, поскольку у Вас с ними нет действующего договора. Поскольку, как правило, все хранят данные о тех клиентах, которые обратились, но еще не заключили договор или с которыми у Вас уже закончились договорные отношения, то в любом случае с точки зрения закона Вы уже не подпадаете под исключение и как следствие должны направить уведомление в Роскомнадзор по указанной выше форме.
Многие к сожалению, ошибочно полагают, что они подпадают под исключение и им не нужно направлять уведомление в Роскомнадзор, за что потом Роскомнадзор их привлекает к ответственности.

7. Необходимо отметить, что приведенные выше требования касаются ситуации, когда Вы обрабатываете данные граждан РФ в соответствии с 152-ФЗ. Однако не стоит забывать, что если Сервис ориентирован также на международный рынок, в частности на европейских клиентов или клиентов из США, то тут возникают дополнительные требования. Особое внимание следует в этом случае обратить на Регламент №2016/679 Европейского парламента и Совета Европейского Союза «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных» General Data Protection Regulation (GDPR), который вступил в силу с 25.05.2018 г. Описывать все его требования в данном случае я думаю не совсем уместно, так как это тема отдельного полноценного разговора, но суть в том, что если Вы ориентированы на европейский рынок, то Ваша политика конфиденциальности должна быть составлена в полном соответствии со всеми требованиями GDPR. В отношении других стран также следует обратить внимание на местное законодательство, в частности, для работы с гражданами США, например, обязательно следует учесть требования Children's Online Privacy Protection Act (COPPA).  

В целом нюансов и требований в части иностранного законодательства много, но их следует прорабатывать уже индивидуально и смотреть на кого ориентирован сервис.

8. Также еще частной ошибкой является хранение персональных данных граждан РФ на зарубежных сервисах, что запрещено законом (ст. 18 152-ФЗ). Хранить персональные данные граждан РФ можно только на российских серверах, про это ни в коем случае нельзя забывать. 

Что касается ответственности, то за любое нарушение установленного законом порядка сбора, хранения или распространения информации о гражданах (персональных данных) влечет за собой ответственность по ст. 13.11 КоАП РФ (там большой перечень видов нарушений, всего 7 частей в данной статье). При этом каждое нарушение рассматривается отдельно и, соответственно наказание за каждое нарушение также назначается отдельно, максимальный размер штрафа на текущий момент – 75000 руб.
Также если речь идет о нарушении обязанностей по хранению и использованию персональных данных работников, то может грозить ответственность по ст. 5.27 КоАП, здесь помимо штрафа уже предусмотрено административное приостановление деятельности на срок до 90 суток. 
Также непредставление в органы Роскомнадзора уведомления об обработке персональных данных влечет ответственность по ст. 19.7 КоАП РФ. 

Помимо прочего стоит отметить, что Роскомнадзор неоднократно обращал внимание, что существует и уголовная ответственность за нарушение неприкосновенности частной жизни – ст. 137 УК РФ.
Стоит отметить, что в целом это основной набор требований по 152-ФЗ, однако не стоит забывать, что в зависимости от ситуации набор требований может расширяться или наоборот сужаться. При этом стоит обратить внимание, что если, например, есть требование о наличии на сайте политики конфиденциальности, то это не значит, что к нему можно подходить формально и использовать любую политику, так как просто наличие формальной бумажки на сайте с названием «политика конфиденциальности» не имеет ничего общего с выполнением требований законодательства об обработке персональных данных.
(!!!) Также обращаю ваше внимание, что, если что-то останется непонятным БОЛЕЕ ПОДРОБНУЮ УСТНУЮ ИЛИ ПИСЬМЕННУЮ КОНСУЛЬТАЦИЮ по ЛЮБЫМ вопросам обработки персональных данных, в том числе по требованиям 152-ФЗ, GDPR, COPPA, Вы всегда можете получить, обратившись ко мне в чат (кнопка «общаться в чате» возле фотографии аккаунта).

(!!!) Также обратившись в чат ЛЮБОЙ может получить ПОМОЩЬ В РАЗРАБОТКЕ НЕОБХОДИМОЙ ДОКУМЕНТАЦИИ, касающейся исполнения требований российского и/или иностранного законодательства в сфере обработки персональных данных, в том числе помощь в разработке Политики конфиденциальности, Пользовательского соглашения (договора-оферты, лицензионного соглашения), положения о коммерческой тайне и обработке персональных данных, заполнении уведомления в Роскомнадзор, проведении аудита сайта/мобильного приложения на предмет соответствия требованиям законодательства о персональных данных. Буду рад помочь.

С Уважением,

Васильев Дмитрий.

Источники

Использованные источники информации.

  • https://tvoi.biz/biznes/personalnye-dannye/chto-takoe-obrabotka-personalnyh-dan.html
  • https://gosuchetnik.ru/shablony-i-formy/instruktsiya-oformlyaem-soglasie-na-obrabotku-personalnykh-dannykh
0 из 5. Оценок: 0.

Комментарии (0)

Поделитесь своим мнением о статье.

Ещё никто не оставил комментария, вы будете первым.


Написать комментарий