Timeplus-kazan.ru

Консультации адвоката
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Как собирать и обрабатывать персональные данные не нарушая закон?

Как собирать и обрабатывать персональные данные не нарушая закон?

Закон о персональных данных в текущей редакции существует уже почти десять лет, а два года назад существенно ужесточились штрафы за его нарушение. Но статистика показывает, что многие заказчики и разработчики не торопятся его соблюдать.

В этой статье разбираемся с тем, когда возникает риск нарушить закон и как этот риск минимизировать.

Ещё раз о нормах закона

Персональные данные (ПДн) — любая информация, которая позволяет идентифицировать конкретного человека. ФИО, паспортные данные, ИНН, СНИЛС, номер страхового полиса, номер мобильного, электронная почта, почтовый адрес, биометрические данные, информация о здоровье, национальная и религиозная принадлежность — всё это попадает под определение персональных данных.

Однако большинство этих данных могут указывать на конкретное лицо только в сочетании именем или фамилией человека. И если насчет e-mail мнения расходятся (ivanovvv@mail.com уже, например, содержит фамилию и инициалы), то номер мобильного телефона сам по себе не позволит определить конкретного человека.

В законе нет конкретного списка таких данных, поэтому мы исходим из соображений здравого смысла.

Тем не менее, как только организация или физлицо формирует список необходимых ей данных пользователей и утверждает перечень действий с ними, она автоматически становится оператором персональных данных. Напомним, речь идет о коммерческом использовании, а не о хранении номеров телефонов в записной книжке.

Когда мы рискуем?

Теоретически, владелец приложения или разработчик, уполномоченный обрабатывать данные, нарушает закон в следующих случаях:

Если собирает и обрабатывает персональные данные без согласия пользователя

Необоснованно запрашивает данные

Использует данные для целей, не перечисленных в соглашении (например, передает третьим лицам)

Не защищает должным образом приложение от взлома и утечек

Хранит персональные данные не на территории России

И о штрафах

За нарушение закона о персональных данных предусмотрена дисциплинарная, гражданская, административная, и уголовная ответственность.

Если Роскомнадзор в ходе проверки обнаружит несоответствие закону, дело передается в следственный комитет, затем начинается проверка прокуратуры и другие неприятности, вплоть до приостановки деятельности компании.

С 2017 года повысились штрафы за нарушение

Так, если на сайте отсутствует политика конфиденциальности, компания заплатит 30 тысяч рублей, а если данных обрабатываются без согласия клиента, штраф для юрлица составит до 18 млн рублей. Нарушений может быть несколько, за каждое — свой штраф.

В своей практике мы используем несколько подходов, которые позволяют нам делать крутые мобильные приложения, работающие с персональными данными. При соблюдении всех норм закона.

Для тех, кто собирает, хранит и обрабатывает

Если мы разрабатываем мобильное приложение, которое будет собирать персональные данные, важно не забывать получать от пользователя согласие — на обработку, хранение, использование в определенных целях конкретного перечня данных.

В согласии должны быть указаны:

Оператор персональных данных, его представитель, а также тот, кому будет поручена обработка ПДн — компания или физлицо, которые будут хранить, использовать и обрабатывать собранные данные

Цель обработки персональных данных и её правовое основание

Кто предположительно будет использовать эти данные

Права субъекта персональных данных

Источник получения персональных данных

Перечень действий с персональными данными, на которые соглашается пользователь, и совершение которых дается согласие, общее описание способов обработки ПДн

Срок действия согласия и способы его отзыва

Примеры хорошо составленных соглашений можно найти в интернете, например, у крупных компаний: банков, телеком-операторов, интернет-магазинов.

Например, Сбербанк включает согласие на обработку персональных данных в Политику конфиденциальности.

Если приложение регулярно дорабатывается и обновляется, важно контролировать, затрагивают ли нововведения состав собираемых данных и операции над ними. Например, мы добавили в приложение опрос, в котором помимо прочего узнаем, где живут наши пользователи. А ранее мы не обрабатывали данные об их адресах. Теперь у нас изменился состав данных и добавились новые действия с ними. Если мы при этом не обновили соглашение, то нарушим закон, собирая новые данные без согласия пользователя.

Что делать: обновить текст соглашения, добавив в перечень собираемых данных адрес пользователя, а в список действий — действия с ним. После установки обновлений заново запросить у пользователя согласие на обработку ПДн, предоставив ему обновленное соглашение.

Пример: мы разрабатывали приложение для страховой компании, личный кабинет владельца полиса ДМС. Мы ещё будем активно дополнять приложение новыми возможностями, а значит, вполне вероятно, что нам понадобятся новые данные или мы будем как-то иначе их использовать. В бэкенде мы оставили возможность обновлять текст соглашения автоматически. И, разумеется, если обновления коснутся состава или использования персональных данных, мы это соглашение обязательно у пользователя запросим.

Как не собирать персональные данные

В ряде случаев собирать, хранить и обрабатывать у себя персональные данные не обязательно.

Что делать: сделайте мобильное приложение без бэкенда. Все данные, введенные пользователем, будут храниться на его мобильном устройстве и на нем же обрабатываться. Ответственность за их хранение будет лежать только на пользователе. Даже если приложение будет синхронизироваться с облачным сервисом, чтобы сделать бэкап данных, этот момент уже не касается ни разработчика, ни заказчика приложения. В этот момент формально всё, что имеет отношение к обработке персональных данных, перекладывается на облачный сервис.

Пример: мы создавали приложение, в котором можно контролировать определенные параметры развития ребенка, сравнивая их с общепринятыми нормами. Большая часть используемой информации представляла собой персональные данные, в том числе данные о состоянии здоровья. Соответствие закону в данном кейсе представлялось избыточной, длинной и сложной историей. Можно было обойтись вообще без обязательств, которые диктовал Мы не стали делать бэкенд и собирать и обрабатывать эти данные на своих серверах. Приложение работает только на смартфоне пользователя, там же хранит эти данные и обрабатывает их исключительно в семейных и личных нуждах. Приложение работает, закон соблюден.

Обрабатываешь — отвечай

Многие разработчики полагают, что если они хранят собранные данные в зашифрованном виде, то не являются операторами ПДн. Мы считаем, что это грубая ошибка: любое действие с данными обязывает вас подчиняться закону. Любая операция с персональными данными, совершаемая в интересах владельца приложения, попадает под действие Даже сбор данных — это уже обработка. При этом, под действие закона не попадают случаи, когда пользователь обрабатывает собственные данные с помощью приложения (например, калькулятора веса), которое никуда их не передает. Даже если приложение шифрует данные и отправляет на хранение в облако зашифрованную последовательность символов — это обработка персональных данных. И не важно при этом, где хранится ключ шифрования. Согласно закону, обработка персональных данных — это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Читать еще:  Проводим зачет с учетом последних разъяснений Пленума ВС

В этом случае владелец приложения, либо тот, кому он поручает обработку данных, становится оператором ПДн, обязан получать согласие на сбор и обработку данных и обеспечивать их хранение в соответствии с законом.

Выбирайте проверенного разработчика для мобильного приложения, ведь от этого может зависеть не только конверсия приложения, но и соблюдение вами законов РФ.

Ищете исполнителя для реализации проекта?

Проведите конкурс среди участников CMS Magazine

Разглашение персональных данных: закон и ответственность, запрет на распространение и сбор без согласия

Защита конфиденциальности информации является обязанностью государства. Именно поэтому принимаются правовые нормы в сфере неразглашения третьим лицам личной информации. Наказание в данной ситуации может быть в виде штрафов и иного рода лишений. Разберёмся подробнее с этим вопросом.

Что такое персональные данные и конфиденциальность

Для того чтобы разобраться с этими понятиями, необходимо обратиться к федеральному закону РФ «О персональных данных». Так, под персональными понимается данныме любого рода, относящаяся к личным сведениям о том или ином гражданине.

Статья 7 вышеупомянутого ФЗ раскрывает понятие конфиденциальности персональных данных. Под ней понимается такая защита личных сведений о человеке, при которой лица, получившие к ним доступ, не имеют право разглашать их кому-либо без согласия правообладателя.

Особое внимание стоит уделить самому федеральному закону. Он был принят 27.07.2006 года. Состоит нормативный правовой акт из преамбулы, глав и статей. Всего в законе 6 глав, последняя из которых посвящена заключительным и переходным положениям.

Какие персональные данные нельзя разглашать

Необходимо определить, распространение и раскрытие каких данных находится под запретом. К персональным данным гражданина можно отнести:

  1. Фамилия.
  2. Дата рождения.
  3. Отчество.
  4. Имя.
  5. Семейное положение.
  6. Имущественное положение.
  7. Паспортные данные.
  8. Доходы.
  9. Статус работника или безработного и др.

Именно эти сведения разглашению не подлежат. Единственным исключением, когда данные могут использоваться и обрабатываться, является согласие самого их правообладателя. Как правило, такое согласие оформляется в форме письменного документа, в котором излагается запрос от организации на право обрабатывать подобного рода информацию.

За разглашение персональных данных сторонним лицам предусмотрена ответственность в рамках российского законодательства.

Установит, какие сведения можно отнести к персональным и получить ответы на другие важнейшие вопросы в этой сфере можно обратившись к ФЗ «О защите персональных данных». Более конкретно об этом мы пишем ниже.

Субъективные признаки разглашения

Согласно нормам действующего федерального законодательства, разглашением могут считаться следующие действия правонарушителя: разглашение той или иной информации хотя бы одному лицу; опубликование ее в интернете или в средствах массовой информации; опубликование данных в газете; передача их другим лицам для последующего использования и др.

Нужно учитывать, что ответственность может наступить не только за разглашение, но и за другие незаконные действия с личной информацией. Сюда относится и ее сбор. Под сбором понимается получение личных данных гражданина без его согласия и без подписания им соответствующим образом. Незаконно собранная и в последующем использованная информация порождает более тяжкую ответственность, вплоть до привлечения по уголовной статье.

Специфическими персональными сведениями являются тайны. Сюда относится, например, тайна усыновления. Такие личные данные гражданина распространению не подлежат.

В том случае, если такая информация кому-либо стала известна без согласия усыновителя, правонарушители могут быть привлечены к ответственности по уголовной статье.

Куда жаловаться на нарушение закона о персональных данных

Нарушение закона о персональных данных грозит ответственностью как по КОАП РФ (административная), так и по УК Ф (уголовная). Разглашение и использование данных без согласия гражданина должно быть вовремя пресечено. Для этого нужно определить, куда обращаться за защитой?

Первой инстанцией является полиция. Именно туда можно обратиться и сообщить о том, что данные незаконным образом используются и обрабатываются. Сотрудники полиции имеют право в рамках административного законодательства привлечь гражданина к ответственности.

Еще одной инстанцией является суд. В рамках судебного заседания можно не только привлечь нарушителей к уголовной ответственности, но и взыскать моральный и материальный вред, возникший вследствие разглашения.

Материалы в суд могут поступить после производства предварительного следствия от уполномоченных должностных лиц государственных органов. Гражданин и сам может стать инициатором судебного разбирательства. Для этого ему необходимо оформить исковое заявление и подать его по месту жительства ответчика.

Какую закон регламентирует ответственность за распространение персональных данных

Незаконное распространение персональных данных уже рассматривалось выше. Предусмотрено два вида ответственности:

  • административная;
  • уголовная.

Что касается распространения по административному законодательству, то в данной ситуации предусмотрена более мягкая ответственность в виде штрафа или же предупреждения. Уголовная ответственность предполагает наложение более строгих санкций и ограничений.

Помимо административного и уголовного взыскания законом предусмотрена дисциплинарная и гражданская ответственность. Дисциплинарная, в большинстве своем, влечет за собой возникновение таких негативных последствий, как увольнение.

Гражданская ответственность предполагает взыскание и возмещение причинённых убытков. Допускается также и возмещение причиненного морального вреда.

Административная ответственность за обработку персональных данных без согласия, штрафы

Это правонарушение влечет за собой административную ответственность. Это статья 13.11 КОАП РФ. В зависимости от того, кто именно является нарушителем, предусмотрен и различный размер штрафных санкций.

Если закон нарушил гражданин, то он обязан уплатить штраф в казну государства в размере до трех тысяч рублей.
Если это юридические лица – до пятидесяти тысяч рублей.
В случае, если нарушение закона исходило от должностного лица, то возникает обязательство уплаты штрафа в размере до десяти тысяч рублей.
Юридическим же лицам за нарушение закона о неразглашении придется уплатить до семидесяти пяти тысяч рублей.

Конкретного термина «распространение» в кодексе об административных правонарушениях нет, однако есть термины и понятия, косвенно затрагивающие незаконное распространение.

Непосредственное распространение личной информации раскрывается в рамках уголовного законодательства, о чем будет сказано ниже.

Уголовная ответственность за нарушение закона о персональных данных

Одной из основных статей, осуществляющих защиту персональных данных, является статья 137 УК РФ.
Она предусматривает ответственность (наказание) за нарушение неприкосновенности частной (личной) жизни, куда и входит незаконное собирание и распространение частных сведений.

Здесь может применяться ответственность в виде штрафа в размере до 200 тысяч рублей, а также иные меры ответственности, в том числе и исправительные, принудительные работы, арест или лишение свободы.

Еще одной статьей, защищающей персональные, частные сведения, является статья 140 УК.
Она регулирует правоотношения в сфере отказа в предоставлении уже собранных частных данных лица, когда такое предоставление обязательно в соответствие с законодательством. Здесь субъектом ответственности является должностное лицо. На него может быть возложен штраф в размере до двухсот тысяч рублей.

Таким образом, нельзя собирать и обрабатывать персональные данные гражданина без его согласия. Получение и передача таких сведений должна происходить в рамках законодательства РФ о защите персональных данных. Для правонарушителей незаконные действия грозят как административной, так и уголовной ответственностью.

Читать еще:  Субсидии на возмещение части затрат по подключению технологическому присоединению

Кто имеет право собирать наши персональные данные

С 1 марта запрещается распространять без согласия граждан их имена, фамилии, номера телефонов, а также адреса электронной почты

Фото: Игорь Самохвалов / ПГ

Россияне теперь будут сами решать, какие сведения позволительно использовать для своих нужд владельцам сайтов, а какие необходимо оставить приватными. Кроме того, операторы обязаны удалять персональные данные по первому запросу пользователей. Вместе с тем у соотечественников остаётся масса вопросов по поводу того, кто, в принципе, может касаться наших личных данных, а кто такого права не имеет. «Парламентская газета» разбиралась в этом вопросе.

Удалите меня полностью или частично

Помимо закона о персональных данных, принятого в 2006 году, неприкосновенность частной жизни, тайну переписки и телефонных переговоров на самом высоком уровне нам гарантирует Конституция. Тем не менее, хотя обрабатывать или распространять информацию о человеке без его согласия категорически запрещается, мы все вольно или невольно становимся участниками глобального процесса обмена персональными данными, то и дело оставляя их для оформления заказа в интернет-магазине или кредита в банке. Просто так удобно и быстрее. Не нужно стоять в очереди с бумажками для того, чтобы определить ребёнка в школу или получить субсидию от государства.

Однако, оставляя свои данные в различных учреждениях и на торговых площадках, названий которых порой и не вспомнишь, мы уверяем себя, что их не разместят в открытом доступе, а телефон не передадут посторонним лицам. Увы, самообольщение в этом случае — не лучший советник. Каждый из нас многократно убеждался в этом, отбиваясь от назойливых кредитных менеджеров или продавцов заманчивых услуг, которым кто-то «слил» информацию о нас.

Теперь, по идее, всё должно встать на свои места — доступ к приватным сведениям россиян будет серьёзно ограничен. С 1 марта в России вступил в силу запрет сайтам обрабатывать персональные данные без согласия их владельца. Также россияне получают право требовать удаления персональных данных из общего доступа без дополнительных условий.

«У граждан появится возможность указывать, какие именно персональные данные можно обрабатывать и собирать, а какие можно распространять и передавать дальше», — пояснил первый замглавы Комитета Госдумы по информационной политике, информационным технологиям и связи Сергей Боярский. Он добавил, что Роскомнадзор разработал специальную форму согласия на обработку персональных данных, разрешённых гражданином для распространения. По его словам, приказ находится на утверждении в Минюсте.

Депутат отметил, что теперь граждане могут свободно отзывать согласие на обработку персональных данных — как письменно, так и онлайн через специальную систему. «Новый закон закрепляет правило, что молчание или бездействие гражданина ни при каких обстоятельствах не может считаться согласием на обработку его персональных данных, разрешённых им для распространения», — подчеркнул парламентарий.

Плюс День рождения и гражданство

Ранее «Парламентская газета» писала, что в Роскомнадзоре разработали список данных, которые должны фигурировать в форме согласия на обработку. Это помимо телефона и почты имя с фамилией человека. Всё остальное — биометрические данные, адрес и прочее — может быть указано дополнительно. Также в форме согласия должны быть данные об операторе и цель обработки сведений о человеке.

Напомним, в конце 2019 года список данных, которые отражаются в Единой информационной системе персональных данных, дополнили номером мобильного телефона и адресом электронной почты. Теперь же Минцифры предлагает добавить к ним дату рождения и информацию о гражданстве. Проект постановления Правительства размещён на федеральном портале проектов нормативных правовых актов 11 февраля.

Читайте также:

Также Минцифры разработало поправки к принятому 16 февраля Госдумой в первом чтении законопроекту, который вносит изменения в закон о персональных данных. Об этом сообщается на сайте ведомства 3 марта. Поправки предусматривают свободную обработку бизнесом обезличенных данных. А для защиты персональных данных россиян предлагается ввести ряд ограничений для операторов, которые обрабатывают приватную информацию. Например, оператор не сможет использовать информацию, действия и методы, которые помогут определить принадлежность персональных данных конкретному субъекту. Также будет запрещено в дополнение к обезличенным данным передавать третьим лицам информацию, позволяющую идентифицировать конкретного человека.

«Законопроект позволит повысить эффективность системы защиты прав субъектов персональных данных — наших граждан, а также даст возможность бизнесу использовать данные, полученные в результате обезличивания. При этом права россиян на безопасную обработку и сохранение их персональных данных будут соблюдены», — прокомментировал новацию врио директора департамента информбезопасности Минцифры Дмитрий Реуцкий.

Кто может собирать данные

По закону оператор Единой информационной системе персональных данных должен предоставить доступ к информации о человеке по запросу правоохранителей, но мы уже знаем, что некоторым операторам закон не писан и появление баз данных россиян на чёрном рынке всё ещё становится поводом для СМИ порассуждать об информационной безопасности. Так кто же эти люди, владеющие информацией о нас с вами и имеющие право ею распоряжаться?

Увы, их великое множество. Согласно закону, тот, кто обрабатывает чьи-то персональные данные, тот и становится автоматически оператором. То есть им может быть как муниципальный или государственный орган власти, так и обычная компания-работодатель или владелец сайта, где пользователи, проходя регистрацию, оставляют сведения о себе. Эти данные впоследствии систематизируются и используются в том числе для рассылки, приглашений на акции и так далее. Всё это и называется обработкой персональных данных.

В соответствие с законом, операторы персональных данных должны зарегистрироваться в Роскомнадзоре, подав уведомление в электронном виде на официальном сайте ведомства через специальную форму. Либо то же самое сделать через портал Госуслуг или в письменной форме.

При этом список контактов в наших телефонах, которые мы обрабатываем в личных целях, под действие закона о защите данных не попадают. Правда, до тех пор пока не будут нарушены права наших знакомых. А права их могут быть нарушены, если оставить их e-mail или номер телефона в качестве контактных при оформлении кредита и в остальных схожих случаях.

За сохранностью персональных данных сегодня следит Роскомнадзор, который может потребовать у провайдера или хостера предоставить подтверждение места хранения баз данных россиян. Если выяснится, что они хранятся с нарушениями или вовсе за рубежом, то у операторов возникнут проблемы. Законом устанавливается ответственность за нарушение требований о локализации баз персональных данных граждан на территории России. Для граждан штраф составляет от 30 тысяч до 50 тысяч рублей, для должностных лиц — от 100 тысяч до 200 тысяч рублей, для юридических — от 1 млн до 6 млн рублей.

Кроме того, защитой персональных данных занимается Федеральная служба по техническому и экспортному контролю, также к проверкам могут подключиться ФСБ и прокуратура, у которых достаточно полномочий, чтобы разобраться с нарушениями.

Памятка: как действовать, если вас просят подписать согласие на обработку персональных данных

Прежде чем разбирать сам алгоритм действий, хотелось бы оговорить один важный момент. Школа или любое другое учреждение в котором с вас могут попросить подписать согласие на обработку персональных данных (далее — ПД) скорее всего действует не по своей воле. И наверняка не желает вреда нашим детям. Директор школы может вообще не понимать, чем чревато предоставление персональных данных вашего ребёнка широкому кругу «третьих лиц». Надо постараться с самых первых минут наладить сотрудничество с образовательным учреждением и его руководителем с тем, чтобы решить вопрос к обоюдному удовлетворению.

Читать еще:  Выбор жилья для ипотеки — советы по выбору недвижимости

Только если руководство учреждения заняло позицию «так или никак» (позиция учреждения дополнительного образования может ещё быть выражена словами «не нравится — не ешьте»), приходится пререходить на официальный уровень общения и требовать положенного по закону.

В этом случае общение ведётся в форме переписки, причём каждое ваше обращение или заявление должно быть оформлено в двух экземплярах, один из которых вы отдаёте учреждению, а второй, с отметкой о том, когда этот документ был принят учреждением, оставляете себе. Отметка учреждения должна представлять собой штамп или подпись от руки, в котором должно быть написано, когда и кем была принята копия документа (в случае, если на документ ставится официальная печать учреждения, запись о том, кто принял документ, необязательна). Если в организации отказываются ставить отметку о принятии необходимо направить документ почтой заказным письмом (с описью вложения, если документ имеет существенное значение).

Алгоритм действий в этом случае следующий:
1. Необходимо официально запросить ответы на все свои вопросы, в том числе .запросить ссылку на закон, обязывающий вас предоставить персональные данные в запрошенном объёме и обоснование того, что для достижения цели обработки данных нужны именно эти данные.
2. Если вы не согласны с целями обработки данных, набором данных, способами обработки или перечнем лиц, допущенных к обработке данных, требуйте внесения изменений в согласие или напишите свой вариант, который вас устраивает. Чтобы организация, в которую вы обращаетесь за услугами и пр., не отказала в обслуживании, предоставьте согласие на данные, которые реально необходимы (в т.ч. возможно вычёркивание из типовых заявлений лишнего). . сфотографируйте или скоприруйте то заявление, которое вы подписывали или подавали (как правило такие заявления в одном экземпляре дают для заполнения и гражданин не может после объяснить, что подписывал).
3. Если вас не устраивает ответ на ваш запрос, вы видите там какие-то нарушения законодательства, обращайтесь в орган, контролирующий соблюдение законодательства — Роскомнадзор. В обращении в свободной форме изложите, в чём, по вашему мнению состоит нарушение закона и приложите переписку с учреждением. Можно также обратиться в прокуратуру с просьбой проверить соблюдение закона о ПД в конкретном учреждении (не исключено, что в соответствии с п. 3.5. Инструкции о порядке рассмотрения обращений и приема граждан в органах прокуратуры Российской Федерации, утверждённой приказом Генерального прокурора РФ № 45 от 30.01.2013 жалоба будет перенаправлена в специализированный контрольный орган, но может быть рассмотрена прокуратурой и по существу).

(Образцы обращений и запросов будут размещены в конце статьи).

Отмечу, что последний шаг — мера достаточно сильная. Как правило, всё решается на предыдущих этапах.

Теперь немного подробнее о правовых основаниях действий по защите ПД. Действуем мы, опираясь, в основном на закон № 152-ФЗ «О персональных данных», от 27 июля 2006 года.

В статье 5 закона написано:
«п. 1. Обработка персональных данных должна осуществляться на законной и справедливой основе.
п. 2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных».
— то есть, если данные собираются для обеспечения учебного процесса, то, например, сведения о доходе родителей — явно избыточны.

Ст. 5. п. 5: «Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки».
— Например, если в качестве цели заявлено «обеспечение учебного процесса», а требуют, скажем, данные о доходах родителей — налицо вопиющее несоответствие между целями и собираемыми данными.

В статье 9:
«п. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором».
— Именно согласно этой статье закона мы и запрашиваем всю информацию, которая необходима нам для принятия решения. Без полноты сведений наше решение нельзя будет назвать «информированным и сознательным».

Ст. 14:
«п. 7. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
«1) подтверждение факта обработки персональных данных оператором;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые оператором способы обработки персональных данных;
4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;
8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;
9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
10) иные сведения, предусмотренные настоящим Федеральным законом или другими федеральными законами».
— На случай, если Вы уже дали согласие на обработку ПД, а теперь засомневались, как будут использоваться ваши персональные данные, пошлите запрос с вот этим списком вопросов. Можно совместить такой запрос с отзывом согласия. Статья 18 обязывает оператора предоставлять эту информацию:

«1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 настоящего Федерального закона».

Таким образом, действующее законодательство предоставляет немало возможностей для обеспечения собственной информационной безопасности. Осталось только ими воспользоваться.

голоса
Рейтинг статьи
Ссылка на основную публикацию
ВсеИнструменты
Adblock
detector