Timeplus-kazan.ru

Консультации адвоката
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Особенности обработки персональных данных в РФ иностранными компаниями

Персональные данные работников: как работодателю не нарушить закон

У предпринимателя хранится стандартная информация о работниках: имя, контакты, номер паспорта, прошлые места работы. Такая информация — персональные данные людей. Собирать, хранить и удалять её нужно по правилам из закона.

Если персональные данные хранить неправильно, бизнес оштрафует Роскомнадзор. В ещё худшей ситуации личная информация утечёт к банкам, конкурентам и бывшим супругам работников. Тогда к штрафу добавится обязанность компенсировать моральный вред.

Чтобы избежать штрафов и судов, нужно один раз настроить работу с персональными данными сотрудников. Хорошая новость в том, что это несложно сделать самостоятельно. Рассказываем как.

Основная информация о персональных данных:

Глава 14 Трудового кодекса РФ

Закон № 152-ФЗ О персональных данных

Положение об особенностях обработки персональных данных без средств автоматизации

Каких работодателей касаются правила о персональных данных

Каждый человек сам решает, что и кому сообщать о себе. Это его частная жизнь, она конфиденциальна.

Чтобы информация о частной жизни не распространялась, действуют правила работы с персональными данными. Это следует из ст. 2 Закона № 152-ФЗ.

Предприниматели и организации, заключившие хотя бы один трудовой договор, отвечают за утечку сведений о частной жизни работников. Считается, что работодатели — операторы персональных данных. Они собирают информацию, хранят её в кадровых документах, передают в налоговую и пенсионный фонд. Основание — ст. 3 и 7 Закона № 152-ФЗ.

Правила работы с персональными данными не изменятся, если число работников вырастет до десяти или двух тысяч по всей стране.

Бизнесу без наёмного персонала в этом плане меньше хлопот. За свои паспортные данные и номера банковских карт предприниматели отвечают сами. Требований нет, составлять документы не надо.

Что такое персональные данные работника

Персональные данные — это любая информация о человеке, из которой можно понять, о ком речь — ст. 3 Закона № 152-ФЗ.

Более ясного определения нет. Поэтому работодатели обязаны следить за всеми документами, где есть имена, даты рождения, адреса и подобные сведения о работниках.

Вот список для ориентира:

Кадровые документы — трудовые договоры, трудовые книжки, личные карточки, приказы об отпусках и выговорах, заявления на отпуск.

Копии документов от работника — паспорта, СНИЛСа, свидетельства о рождении детей.

Бухгалтерские документы — расчётные листы по зарплате и премиям. Любые сведения о зарплате — это в принципе персональные данные, они секретны. Так сказано в Письме Роскомнадзора от 07.02.2014 № 08КМ-3681.

Фото работника — например, на пропуск.

Отпечатки пальцев — это биометрические персональные данные. Для них те же правила.

Неформальные документы — резюме, анкеты, характеристики, тесты на психологическую совместимость скорпиона и змееносца в активной фазе луны.

Новым ИП — год Эльбы в подарок

Год онлайн-бухгалтерии на тарифе Премиум для ИП младше 3 месяцев

Что будет за нарушение закона о персональных данных

За утечку персональных данных и даже формальные ошибки работодатели отвечают по административной, гражданской и уголовной ответственности.

Административная ответственность: штрафы

Работу с персональными данными контролируют Роскомнадзор и прокуратура. С внеплановой проверкой приходят по жалобе работника, в том числе бывшего.

Штрафуют за избыточный сбор данных, отсутствие в кадровой документации согласия работника, утечку и отказ уточнить сведения по ст. 13.11 КоАП РФ. Размер штрафа — до 75 000 ₽.

Попасть на административную ответственность можно за сам факт нарушения закона. Проверяющие не будут разбираться, была ли реальная опасность, что мошенники оформят микрозайм по копии паспорта.

Компания использовала копии документов людей как черновики. Это незаконное распространение персональных данных. Прокуратура назначила штраф 25 000 ₽ — дело № 44а-1189/2018.

Гражданско-правовая ответственность: моральный вред работнику

Если по вине работодателя стали известны факты из частной жизни, работнику полагается компенсация морального вреда.

Дела о моральном вреде рассматривает суд по иску работника. Сумма компенсации зависит от последствий и бывает ощутимой.

Скриншот трудового договора с размером зарплаты работника попал в интернет. Компания не уследила или не придала этому значения. По всей видимости, был резонансный спор, но правило секретности персональных данных действует и тут. Работник отсудил 25 000 ₽ — дело № 33-4172/13.

Уголовная ответственность

В тяжёлом случае утечки данных о человеке через СМИ, интернет или как-то ещё публично на руководителя заводят уголовное дело по ст. 137 УК РФ.

В уголовном деле смотрят на реальный вред личной и семейной жизни человека. Например, на ютуб слили видео с камер в офисе — так жена менеджера узнала об измене.

Наказание грозит вплоть до лишения свободы на четыре года. Но такие дела, конечно, редкость.

Не уследивших за персональными данными кадровика, бухгалтера и директора можно уволить и переложить на них убытки от штрафов. Посмотрите нашу статью про дисциплинарную и материальную ответственность работников.

Правила работы с персональными данными работника

Правила о персональных данных разбросаны по разным законам. Мы собрали их в один столбик и упростили:

Персональные данные работника обрабатывают только с его письменного согласия.

Персональные данные работника нельзя никому сообщать без его согласия — ст. 7 Закона № 152-ФЗ. Даже коллегам и членам семьи. Но есть исключения, связанные с угрозой жизни и здоровью. Например, врачам скорой помощи можно сказать про аллергию.

Работодатель берёт от работника только нужные для работы сведения — ст. 86 ТК РФ.

О политических взглядах, вероисповедании и сексуальной ориентации расспрашивать нельзя. Про здоровье можно выяснить только то, что нужно для конкретной рабочей функции.

Персональные данные получают у самого работника. Когда нужные сведения есть только у третьей стороны, с работника берут письменное согласие.

Работодатель на свои деньги обеспечивает физическую сохранность документов с персональными данными. Хранить документы в надёжном месте — одна из главных его обязанностей.

Данные о работнике должны быть точными и свежими. Работодатель обязан заменять, обновлять и удалять информацию по просьбе работника — ст. 5 Закона № 152-ФЗ.

Работник в любое время может получить бесплатно копию документов с персональными данными — ст. 89 ТК РФ.

В фирме назначают ответственного за персональные данные. Этого специалиста знакомят с правилами работы из закона.

Как настроить работу с персональными данными: инструкция

Чтобы законно собирать и хранить информацию о персонале, надо составить несколько скучных документов и кому-то поручить постоянную бумажную работу (возможно, самому себе). Это не так сложно, как кажется на первый взгляд.

1. Составьте и утвердите локальный нормативный акт — Положение о защите персональных данных работников.

Обычно положение дублирует закон. Знакомьте с ним письменно каждого работника. Подписи удобно собирать на обратной стороне положения.

2. Назначьте ответственного за персональные данные.

Так нужно в силу ст. 22.1 Закона № 152-ФЗ.

Назначенный человек будет отвечать за сбор согласий с работников и физическую защиту документов. Возьмите с него обязательство о неразглашении данных. Брать трудовые книжки, договоры и копии паспортов сможет только он.

ИП и организации с одним учредителем ответственным назначают себя.

3. Берите с каждого работника письменное согласие на обработку персональных данных.

Отсутствие согласия — популярный повод для штрафа. Отдельно оформлять согласие не надо, если пользуетесь типовой формой трудового договора для микропредприятия. В форме есть строка о согласии на обработку.

Если планируете получать сведения о человеке у третьих лиц, например, рекомендации с прошлых мест работы или справки о судимости, возьмите согласие и на это.

4. Храните документы с персональными данными в надёжном месте.

Критериев надёжности нет. Какие конкретно нужны меры безопасности и как не допустить утечку, решает работодатель. Это его право по ст. 18.1 Закона № 152-ФЗ и п. 15 Положения.

Для хранения подойдёт сейф или ящик на замке. К такому месту не должно быть доступа у других людей, кроме ответственного за персональные данные.

Хранить информацию в электронном виде разрешено только на сервере в России по ст. 18 Закона № 152-ФЗ.

5. Уничтожайте персональные данные полностью.

Отслужившие документы нельзя просто взять и выбросить в мусорное ведро или отправить на черновики. Нельзя даже хранить на всякий случай — это нарушение.

Ненужные резюме, заявления и копии паспортов уничтожают. Сделать это надо так, чтобы никто не смог посмотреть и взять данные из них. Такое требование прописано в п. 10 Положения. Пользуйтесь шредером или мелко порвите бумаги.

Аналогичное требование к удалению данных с сервера: чтобы не осталось копий.

6. Если нужно, уведомляйте Роскомнадзор.

По общему правилу работодатель не обязан сообщать Роскомнадзору о сборе и хранении персональных данных.

Однако при использовании информации о людях не только в кадрах и бухгалтерии, работодатель отправляет уведомление — ст. 22 Закона № 152-ФЗ.

Например, когда сообщает банку о заработке сотрудника или подтверждает визовому центру место работы. В обоих случаях это передача персональных данных. Надо уведомлять Роскомнадзор.

А при работе через сайт с именами и контактами клиентов, вам совершенно точно нужен важный документ — Политика конфиденциальности.

Сделали все документы? Пройдите самопроверку на сайте Роструда. Это бесплатно и штрафов за найденные нарушения не будет.

7. Исполняйте требования закона не только формально.

Работодатель в курсе личной жизни подчинённых. Он давал справку о доходах для кредита, видел больничный лист на ребёнка и знает о недавнем разводе администратора.

Постарайтесь никому не рассказывать о жизни работников. Так вы не нарушите закон.

Статья актуальна на 09.02.2021

Получайте новости и обновления Эльбы

Подписываясь на рассылку, вы соглашаетесь на обработку персональных данных и получение информационных сообщений от компании СКБ Контур

Актуальные проблемы персональных данных

Юрист компании «Проспектаси» Илья Дурницын подготовил аналитический материал о ситуации с персональными данными в России. Каковы основные проблемы и потенциальные способы их решения?

Идентификация субъекта персональных данных при удаленном сборе

Тут важно понимать и различать идентификацию и аутентификацию, а также понимать, что такое авторизация.
Идентификация – процесс распознавания профиля ресурсом, сервером и т.п. Через определенные идентификаторы, маячки. Чаще всего роли маячков выполняют логин, адрес электронной почты, личный номер и так далее. Но могут быть и паспортные данные, ФИО, адрес, семейное положение и т.д.
Аутентификация – это проверка того, что данное лицо является подлинным, тем, за кого себя выдает (письмо на электронную почту, смс на номер телефона, кодовое слово, биометрика).
Авторизация – это предоставление прав по завершению проверки ресурсом аутентификации и идентификации.

Читать еще:  Обязательство о неразглашении персональных данных работников 2021 и 2021
Грубо говоря, идентификация это предоставление паспорта сотруднику таможни, а аутентификация – взгляд сотрудника на этот самый паспорт и на лицо его предоставившего, а авторизация это выражение «спасибо, проходите».

На практике основные проблемы вытекают из корреляции перечисленных элементов обработки персональных данных.
Утечка персональных данных – главная и самая распространенная проблема на данный момент. Намеренно или случайно персональные данные попадают в руки третьим лицам которые недобросовестно их используют, как правило, в корыстных целях, а также в целях таргетной рекламы.

Судебная практика пестрит делами, по которым на лица оформляются кредиты, подделываются подписи, используются паспортные данные для оформления посылок и так далее. И суды выносят смешанные решения в таких ситуациях.
Однозначного решения этой проблемы нет ни у юристов, ни у технических специалистов, ведь эксцессы могут случиться даже в крупных компаниях (Facebook не даст соврать).

Возможность перехвата данных ведет к следующей проблеме – ужесточение мер идентификации и аутентификации.

Для исключения возможности доступа к ключевым ресурсам, например к порталу госуслуги, вводятся различные механизмы недопущения сторонних лиц к порталу. Это ведет к увеличению объема персональных данных, имеющихся в интернете, а значит и к объему данных, которыми могут воспользоваться недобросовестные лица. Тем не менее, варианты решений поставленных проблем имеются.

Закрепление процедуры обезличивания персональных данных на законодательном уровне

Например, с 2013 года идут попытки по закреплению на законодательном уровне процедуры обезличивания. Начиная с методических рекомендаций от 5 сентября 2013 года № 996 «Об утверждении требований и методов по обезличиванию персональных данных», заканчивая уже не первой попыткой редактирования N 152-ФЗ «О персональных данных».

Такой долгий процесс вызван определенными трудностями. Например, Роскомнадзору будет предложено самому решать порядок обезличивания персональных данных. То есть Роскомнадзор будет решать не только в каких случаях, но и принимать саму процедуру.

Это, на наш взгляд, спорное решение, так как вопрос затрагивает сущность обработки персональных данных напрямую, и требует прямого и твердого закрепление в самом ФЗ «О персональных данных».

Проблема определения правового статуса провайдера облачного хранилища

Облачное хранилище обладает рядом преимуществ как для рядовых граждан, так и для предпринимателей. Это, своего рода склад для разного рода информации, в том числе и персональных данных. Вопрос безопасности – в выборе провайдера такого вот хранилища.

Естественно, если есть свой бизнес, ни в коем случае не стоит использовать масштабные облачные хранилища – заключайте прямой договор с надежным провайдером, благо сейчас такие имеются. Стоит понимать и проблематику этого вопроса. Провайдер облачного хранилища является оператором персональных данных и отвечает в рамках законодательства, но он также имеет пользовательское соглашение на использование облачного хранилища и может не иметь вообще никакого шифрования. В 2018-м более 70 случаев потери информации произошло именно в облаках. Утечки были терабайтами данных, поэтому важно заключать персональный договор обслуживания с провайдером и прописать в договоре все ситуации, в том числе утечку персональных данных из облака.

Проблема соблюдения требований о локализации

Требование локализации персональных данных действует уже почти год на территории России и пока привела к росту IT-сферы, в частности, стали появляться сервисы-провайдеры со своим штатом программистов, работающих на территории РФ. А также это привело к росту проблем ведения бизнеса для многих, кто уже использовал иностранные хранилища персональных данных, по большей части у зарубежных компаний.

С точки зрения права критичных проблем в данном вопросе нет. Практику локализации данных уже успешно используют ряд стран, таких как Сингапур, Китай, Австралия, Индонезия и другие.

Минэкономики предложило вывести обработку персональных данных в рамках экспериментальных правовых режимов из-под действующего регулирования

Сопутствующие предложения Минэкономразвития о возможности добровольно соблюдать требования законодательства в рамках обработки персональных данных. Данное предложение тяжело описать даже как «спорное». Его реализация приведет к однозначному разрушению защиты персональных данных.

Если рассматривать это предложение в рамках эксперимента и толчка IT-сферы к ускоренному развитию, данная инициатива подтолкнет бизнес совершенно не в то направление, которое, как мне кажется, ждет Минэкономразвития. Рынок персональных данных – это большие деньги с большим спросом. В 2018 году было подсчитано, что если суммировать оценки разных экспертов по обороту пользовательских данных в рекламе, скоринге и маркетинге, то речь идет о сумме не менее чем в 3,3 млрд в год. В эту сумму не включены незаконные обороты данных, такие как мошенничество и т.п. Такое ослабление контроля за обработкой персональных данных неминуемо приведет к нарушению неприкосновенности частной жизни и угрозе защиты персональных данных.

Объявляю вас оператором персональных данных

Если компания собирает персональные данные клиентов через сайт или отправляет данные сотрудников в банк для зарплатного проекта, она должна подать уведомление в Роскомнадзор и зарегистрироваться как оператор персональных данных. Но иногда компании думают, что лучше не привлекать внимание ведомства и не подавать уведомление. Они ведь и раньше собирали данные, а уведомление подают только сейчас. Точно придет проверка, и придется платить штраф.

Отсиживаться рискованнее, чем подать уведомление. Об этом рассказывает эксперт по персональным данным Максим Лагутин.

Кто относится к операторам персональных данных

Оператор персональных данных — компании и физлица, которые собирают, хранят и обрабатывают персональные данные. Например, собирают электронные адреса для рассылки или просят покупателей оставить имя и телефон для заказа в интернет-магазине. Дословно в законе так:

Збагойно: 152-ФЗ — в «Деле»

Персональные данные — это любые данные о человеке, по которым его можно определить. Например:

  • электронная почта;
  • телефон,
  • имя и фамилия;
  • дата рождения;
  • адрес;
  • ссылка на сайт.

Ник без других данных не считается персональными данными, по нему нельзя определить человека.

С геопозицией и куками ситуация спорная. Формально сами по себе они не считаются персональными данными. Например, только по геопозиции трудно определить, кто находится в этой точке. В реальности Роскомнадзор в 2016—2017 годах разработал рекомендации по обработке этих данных и начал проводить проверки.

«МГТС» продавала данные своих клиентов другим компаниям:

  • временные метки;
  • деперсонализированный идентификатор useid;
  • адреса страниц, к которым было обращение;
  • адреса, с которых был переход;
  • информацию о браузере и устройстве, с которого был запрос;
  • IP-адрес.

По сути это были куки — данные о том, какие страницы посещают клиенты. По этим данным компании показывали клиентам нужную рекламу. Согласия от клиентов у «МГТС» на обработку данных не было. Компания думала, что куки не считаются персональными данными, поэтому согласие на них не нужно.

Суд с компанией не согласился и назначил штраф 30 000 рублей.

Мы рекомендуем перестраховываться и считать куки и геопозицию персональными данными. Особенно если компания вместе с этими данными получает другую личную информацию о клиентах, например имя, телефон, электронную почту.

Роскомнадзор считает, что компания становится оператором персональных данных в тот момент, когда начинает обрабатывать данные. Подала компания уведомление об этом или нет — роли не играет. Как только один человек заполнил форму обратной связи на сайте — компания стала оператором персональных данных. Такой же позиции придерживаются суды.

Данные из социальных сетей

По закону компания не должна подавать уведомление в Роскомнадзор, если использует общедоступные данные. Например, если берет телефон и имя человека из телефонного справочника. Справочник уже получил согласие от человека разместить данные о нем, поэтому второй раз спрашивать не надо.

Номинально информацию с открытых страниц в социальных сетях можно считать общедоступной. Казалось бы, человек зарегистрировался в соцсети, сам открыл доступ к своим имени и телефону. Значит, данные можно брать. В оферте с пользователями Вконтакте есть пункт о том, что данные могут быть доступны другим пользователям интернета:

В реальности мало кто читает оферту. Поэтому Роскомнадзор говорит, что данные из соцсетей можно обрабатывать, если человек дал на это согласие.

В 2017 году ВКонтакте подал в суд на компанию «Double Data» и «Национальное бюро кредитных историй». Они брали информацию из открытых профилей пользователей, оценивали их кредитную историю и продавали информацию банкам.

Социальная сеть просила взыскать с компаний по одному рублю. «Вконтакте» выиграл суд.

Получается, данные в соцсетях не считаются общедоступными. Нельзя просто взять телефоны пользователей и начать им продавать пылесосы-роботы. В этом деле соцсеть хотела обратить внимание на проблему, поэтому иск был на рубль. Но в другом деле пользователь может подать в суд на компанию на миллион или два.

Наш совет — получать от клиентов разрешение, чтобы использовать открытые данные из социальных сетей. Например, при регистрации в интернет-магазине с данными Вконтакте можно показывать такое сообщение:

«Для регистрации мы будем использовать открытые данные с вашей страницы Вконтакте: имя, электронную почту, телефон. Если согласны с этим, нажмите на кнопку „Далее“».

Если пользователь согласится, то претензий к компании не будет.

Когда уведомление не нужно

По закону есть исключения, когда компания обрабатывает данные, но не становится оператором персональных данных:

    обрабатывает только данные сотрудников, которые нужны по закону и не передает их кому-то еще без согласия сотрудника. Например, заполняет приказ о приеме на работу и карточку сотрудника и хранит их в сейфе.

Если бухгалтер хочет передать данные сотрудника в банк для зарплатного проекта, компания становится оператором персональных данных и должна получить согласие сотрудника;

  • обрабатывает персональные данные на бумаге. Чтобы выдать скидочную карту, продавец записывает имя и телефон клиента в тетрадке, но не заносит данные в компьютер;
  • использует общедоступные сведения — те, которые человек сообщил о себе сам. Например, берет данные из телефонного справочника жителей Тулы.
  • Получается, обрабатывают персональные данные практически все компании, поэтому им нужно подать уведомление в Роскомнадзор. Исключение — парикмахерские в поселке или продавцы мяса на рынке.

    Проверка Роскомнадзора

    Мы знаем компании, которые обрабатывают персональные данные и боятся подавать уведомление. Они думают, что раз раньше обрабатывали данные без уведомления, то нарушали закон и получат штраф. Они и правда нарушали закон, но это не значит, что Роскомнадзор сразу придет с проверкой.

    Читать еще:  Документы регламентирующие внутреннюю деятельность службы охраны труда в организации

    В реестре Роскомнадзора 380 тысяч компаний, и цифра постоянно растет:

    Проверить все компании из списка Роскомнадзор не может. По нашим наблюдениям проверки чаще всего приходят к компаниям, которые пытаются затаиться и не подают уведомление. Это Роскомнадзор подтвердил летом на Дне открытых дверей.

    Проверка приходит не сразу. Сначала Роскомнадзор присылает письмо с просьбой объяснить, почему компания собирает данные и не регистрируетя как оператор. Не ответить на такое письмо — повод для проверки.

    Сотрудники ведомства могут заметить сайт компании в интернете, проверить всех продавцов электроники или выбрать какой-то еще способ. Был случай, когда в Астрахани оштрафовали все компании на букву А. которые обрабатывали персональные данные и не подали уведомление.

    Роскомнадзор чаще всего обращает внимание на компании, которые используют персональные данные для:

    • устройства сотрудников на работу и оформления им страховых полисов или зарплатных проектов;
    • карт лояльности;
    • рекламных рассылок;
    • оказания услуг;
    • регистрации на сайтах;
    • звонков потенциальным клиентам.

    Поэтому мы рекомендуем подать уведомление в Роскомнадзор всем компаниям, у которых есть сайт с формой регистрации или подпиской на рассылку. Штраф за обработку персональных данных без уведомления — 5000 рублей. Дополнительно к этому Роскомнадзор может заблокировать сайт или приостановить деятельность компании, но это редкие меры.

    Если Роскомнадзор придет с проверкой, он может обнаружить, что компания неправильно обрабатывает персональные данные, штраф может быть до 75 000 рублей.

    Счет для ИП и ООО в Модульбанке

    Удобный сервис, недорогие тарифы, защита от блокировок по 115ФЗ

    Распространение персональных данных: новые правила

    В 2021 году в России серьезно ужесточились правила обработки персональных данных. Теперь операторы должны получать отдельное специальное согласие на распространение ПД. Параллельно с этим серьезно выросли штрафы за нарушение законодательства в области персональных данных. Старший юрист Центра защиты прав СМИ Светлана Кузеванова в наших новых рекомендациях объясняет, кого коснутся изменения, каким должно быть согласие и всегда ли нужно его получать.

    1. ЧТО ТАКОЕ ПЕРСОНАЛЬНЫЕ ДАННЫЕ И ИХ ОБРАБОТКА?

    Персональные данные (ПД) − это любая информация, прямо или косвенно относящаяся к физическому лицу, с помощью которой он может быть идентифицирован. Закрытого перечня таких данных не существует – к ним относят любые сведения, по которым можно идентифицировать человека: ФИО, паспортные данные, ИНН, СНИЛС, место работы и должность, сведения об образовании, имуществе и здоровье, cookie в браузере пользователя, семейное и социальное положение, а также изображение человека вкупе с другими данными. Для определения того, могут ли сведения идентифицировать человека, важны скорее не сами данные, а их совокупность.

    Обработка персональных данных — это любое действие или операция, которые совершается с персональными данными. Например, к обработке относят, в том числе, сбор, запись, систематизацию, накопление, хранение, распространение или уничтожение персональных данных.

    2. ЧТО БЫЛО РАНЬШЕ?

    С 2006 года в России действует Федеральный Закон «О персональных данных». Согласно ему сбор, хранение и иная обработка персональных данных могут осуществляться только с согласия человека, которому эти персональные данные принадлежат. Это согласие можно получить в письменной или любой другой форме, позволяющей подтвердить факт его получения. Например, вполне подходит кнопка на сайте «Я даю согласие на обработку своих персональных данных».

    Это — если коротко. Если вы хотите узнать подробнее о том, что такое персональные данные и как законодательство регулируют их обработку, то читайте рекомендации на нашем сайте: «​СМИ vs Роскомнадзор. Как сделать журналистский материал и не нарушить закон о персональных данных?»

    3. ЧТО ИЗМЕНИЛОСЬ?

    В конце 2020 года в Закон «О персональных данных» были внесены изменения — появилась новая статья 10.1 «Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения». Она начала действовать с марта 2021 года.

    Персональные данные, разрешенные субъектом персональных данных для распространения, — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

    Если раньше нужно было брать только одно согласие на обработку (которая включала в себя и распространение) персональных данных, то теперь для их распространения нужно еще одно — специальное (в нем должны быть данные, перечень которых утвержден Роскомнадзором, об этом читайте ниже).

    Получается, что до вступления в силу этих изменений было достаточно, если на сайте, опубликована политика конфиденциальности и есть кнопка, при нажатии которой человек дает согласие на обработку персональных данных, теперь же, в случае, если вы после планируете распространять эти данные, то такой кнопки уже недостаточно и человек должен дать отдельное согласие.

    Подробнее о политики конфиденциальности читайте в наших рекомендациях «Политика конфиденциальности: зачем она нужна на сайте?»

    4. КОГО КОСНУТСЯ НОВЫЕ ПРАВИЛА?

    Дополнительное согласие нужно брать только в том случае, если вы распространяете собранные персональные данные для неопределенного круга лиц. Поэтому изменения коснутся всех, кто это делает. Например:

    • Компании, на сайтах которых есть раздел “Сотрудники”.
    • Сайты, на которых создаются профайлы пользователей, блогеров, экспертов и т.д.
    • Ресурсы для аренды жилья, на которых можно посмотреть информацию о съёмщике или арендаторе, и им подобные.
    • Сервисы, на которых публикуется информация о специалистах в разных областях и отзывы на них, и так далее.

    Во всех этих случаях теперь для распространения персональных данных людей нужно их согласие. Если человек не дал его, то вы не имеете права их распространять.

    Если же вы только собираете персональные данные, или же собираете и распространяйте их в обезличенном виде, например, в форме статистики, то изменения вас не коснутся.

    5. ТАК ЧТО ЗА СОГЛАСИЕ? КАКИМ ОНО ДОЛЖНО БЫТЬ?

    • ФИО субъекта персональных данных.
    • Его контактную информацию (номер телефона, почтовый адрес или адрес электронной почты).
    • Сведения об операторе персональных данных:
      — для организации: наименование, адрес, указанный в ЕГРЮЛ, ИНН, основной государственный регистрационный номер;
      — для гражданина: ФИО, место жительства или место пребывания;
      — для ИП: ФИО, ИНН, основной государственный регистрационный номер.
    • Сведения об информационных ресурсах оператора, где будут распространяться персональные данные.
    • Цель обработки персональных данных.
    • Категории и перечень персональных данных, на обработку которых человек дает согласие.
    • Категории и перечень персональных данных, для обработки которых человек устанавливает запреты и условия, а также перечень этих запретов и условий (заполняется по желанию субъекта ПД)
    • Условия, при которых полученные персональные данные могут передаваться оператором только по его внутренней сети, обеспечивающей доступ к информации только для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных (заполняется по желанию субъекта ПД).
    • Срок действия согласия.

    Это согласие может быть дано непосредственно оператору или через информационную систему Роскомнадзора. Оно обязательно должно быть активным — согласно пункту 8 статьи 10.1

    «молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения»ю

    Важно:получив согласие на обработку персональных данных человека, оператор обязан в течение трех дней опубликовать информацию об «условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения». То есть фактически он должен проинформировать всех, на каких условиях он получил разрешение.

    6. СОГЛАСИЕ МОЖНО ОТОЗВАТЬ?

    Человек можете отозвать свое разрешение на обработку персональных данных и потребовать прекратить их распространение. Для этого человек должен направить требование оператору. В нем должны быть указаны:

    • ФИО субъекта персональных данных;
    • контактная информация;
    • перечень персональных данных, обработка которых подлежит прекращению.

    В этом случае действие согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается в момент получения оператором требования от человека.

    Кроме того, человек может обратиться с требованием прекратить распространение его персональных данных, на которое он ранее дал разрешение, к любому лицу, обрабатывающему его персональные данные с нарушением закона. В этом случае распространение должно быть прекращено в течение трех дней. Также человек, чьи персональные данные, разрешенные ранее для распространения, обрабатываются с нарушениями, может подать иск в суд.

    7. ЕСТЬ СЛУЧАИ-ИСКЛЮЧЕНИЯ, КОГДА МОЖНО РАСПРОСТРАНЯТЬ ПЕРСОНАЛЬНЫЕ ДАННЫЕ БЕЗ СОГЛАСИЯ?

    Да. Все описанное не относится к случаям, когда персональные данные обрабатываются органами власти в целях выполнения возложенных на них законом функций, полномочий и обязанностей. Кроме того, в самой статье 10.1 есть еще одно исключение:

    «Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации».

    Получается, что если субъект персональных данных запретил распространять информацию о нем, вы все равно можете это делать, если есть, например, общественный интерес.

    О том, что такое общественный интерес, читайте здесь: «Как отличить общественный интерес от светского любопытства»

    8. КАК ЭТО ВСЕ КАСАЕТСЯ СМИ?

    С точки зрения распространения информации именно в публикациях СМИ, то будем надеяться, что почти никак: в Законе «О персональных данных» есть общий список исключений, которые позволяют обрабатывать персональные данные без согласия субъекта. Все они прописаны в статье 6. Из них к деятельности СМИ применимы лишь некоторые. Например, обрабатывать (в том числе и распространять) персональные данные человека без его согласия можно, если:

    • обработка персональных данных необходима для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
    • обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;
    • осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
    Читать еще:  Образец резюме на госслужбу Образец резюме на Госслужбу

    Под последним исключением имеются в виду ситуации, когда персональные уже опубликованы по требованию закона. Например, сюда относят декларации госслужащих, данные из открытых реестров, персональные сотрудников на сайте органов власти и т.д. Это все случаи, когда закон требует раскрывать информацию о людях.

    Но помните, что в отдельных случаях редакциям все-таки придется брать дополнительные согласия, ведь не все деятельность редакций укладывается в исключения. Так, дополнительное согласие на распространение персональных данных нужно будет, если, например, редакция публикует списки победителей конкурса или данные о сотрудниках редакции на своем сайте.

    9. А ЕСЛИ ЧЕЛОВЕК САМ ОПУБЛИКОВАЛ СВОИ ПЕРСОНАЛЬНЫЕ ДАННЫЕ?

    До вступления в силу изменений в закон, действительно, обрабатывать персональные данные можно было без согласия человека, если он сам их сделал общедоступными, например, опубликовал в социальных сетях. Однако теперь это исключение действовать перестало. Более того, в статье 10.1 отдельным пунктом прописано, что в случае, если человек сам раскрыл неопределенному количеству лиц свои персональные данные, но не дал согласие оператору на их распространение, то доказать законность использования персональных данных должен каждый, кто их распространит без разрешения.

    Персональные данные в 2021: как компаниям с ними работать и не получать штрафы

    Основатель Ovodov Cybersecurity

    Александр Оводов, основатель Ovodov Cybersecurityh, рассказывает, как будут регулировать использование персональных данных в 2021 году и что компаниям обязательно нужно учесть.

    Переход в цифру увеличивает риски

    С учетом активного перехода компаний в цифру и на удаленную работу, вероятность утечки или хищения персональных данных (ПДн) возрастает, возрастают и репутационные риски и риски внеплановых проверок Роскомнадзора, прокуратуры и ФСБ.

    С момента принятия 152-ФЗ «О персональных данных» правительство и Роскомнадзор не раз задавались вопросом — как повысить ответственность операторов ПДн за утечки?

    Причина тому — ежегодный рост утечек ПДн граждан. Способов использования похищенных данных достаточно много, от банальных рассылок спама до продуманных схем социальной инженерии. Вот наиболее частые:

    • Распространение вирусов и вредоносного ПО через рассылки спама на почту, мессенджеры, соцсети людей, чьи данные были похищены.
    • Кража аккаунтов в социальных сетях в целях шантажа, компрометация публичных личностей.
    • Проникновение в сеть организаций для хищения ценной информации (клиентская база, ноу-хау, заявки от клиентов) или же шифрования серверов и ПК сотрудников в целях вымогательства денег.
    • Предложения о покупке сомнительных лекарств и непроверенных способов лечения на основе полученных медицинских данных.
    • Склонение людей к противоправным действиям, пользуясь их слабостями.
    • Деяния уголовных элементов, сексуальных маньяков, продавцов наркотиков в отношении детей.
    • Социальная инженерия. Мошенники часто представляются сотрудниками банков и манипулируют людьми с целью получения денежных средств или сообщения информации, которая позволит им получить доступ к банковским счетам и картам.

    По данным отчета Центрального банка, за первые шесть месяцев 2020 года было зафиксировано более 300 тысяч несанкционированных операций со средствами граждан, совершенных без их согласия. Их объем составил порядка 4 млрд рублей. Это на 39% больше того же периода 2019 года.

    Ежегодный рост утечек ПДн налицо. Законодатели призывают к ответственности путем повышения штрафов, увеличения числа проверок для того, чтобы компании принимали меры по обеспечению безопасности обрабатываемых ими ПДн.

    Unsplash

    О законодательстве и штрафах

    Основным документом, определяющим порядок ответственности и штрафов за административные нарушения, является КоАП — Кодекс об административных правонарушениях.

    Последнее принятое изменение в КоАП ужесточило ответственность за нарушение требований по локализации ПДн: теперь серверы с данными российских пользователей должны находиться на территории России.

    С декабря 2019 года первичный штраф для организаций, нарушивших это требование, составляет от 1 до 6 млн рублей, за повторный — от 6 до 18 миллионов. Вспомним о назначении штрафа Twitter в размере 4 млн рублей за отказ о переносе серверов в Россию.

    Изменения в российском законодательстве, которые нас ждут

    Сейчас Госдума совместно с Правительством готовит не просто поправки в КоАП, а принятие нового кодекса. В части про персональные данные нас ждут два изменения.

    Изменение №1

    Появляется новое основание, за несоблюдение которого могут оштрафовать (раньше за это не наказывали рублем). Невыполнение обязанности по соблюдению конфиденциальности ПДн влечет наложение штрафа:

    • на граждан — в размере от 10 до 20 тысяч рублей;
    • на должностных лиц — от 40 до 100 тысяч рублей;
    • на индивидуальных предпринимателей — от 100 до 300 тысяч рублей;
    • на юридических лиц — от 300 до 500 тысяч рублей.

    Организация, физическое или юрлицо, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия владельца ПДн, если это не предусмотрено федеральным законом.

    Любая передача ПДн (распространение, предоставление, доступ) является незаконной без согласия владельца ПДн и является нарушением конфиденциальности его ПДн.

    Если ПДн сотрудников были переданы без их письменного согласия, то во-первых, это противозаконно, а во-вторых, за подобные действия будут штрафовать.

    Вот типовые ситуации, которые будут подпадать под данную статью:

    1. Передача ПДн работников третьим лицам:

    • в банк для целей выплаты заработной платы и иных материальных выплат, а также перечисления подотчетных средств;
    • в охранное предприятие в целях взаимодействия и реагирования;
    • в медицинские организации в целях проведения медицинских осмотров;
    • в страховые компании по договорам добровольного медицинского страхования;
    • в образовательные организации в объеме превышающем требования закона об образовании;
    • в целях организации командировок и участия в выставках;
    • в других целях, напрямую не связанных с должностными обязанностями сотрудника.

    2. Передача ПДн клиентов, представителей клиентов, поставщиков, партнеров третьим лицам в целях:

    • организации мероприятий, маркетинговых акций, рекламы;
    • размещения отзывов, рекламных акций на сайте компании и других общедоступных источниках;
    • сбор персональных данных через онлайн-каналы (мессенджеры, социальные сети, формы обратной связи на сайте, онлайн-консультанты) без применения средств защиты, обеспечивающих их конфиденциальность при передаче через интернет.

    3. Получение ПДн без подтверждения наличия согласия от человека или иных законных оснований у передающей стороны.

    4. Предоставление доступа к ПДН внутри организации сотрудникам без должного документального оформления (должностные обязанности и/или локальные нормативные акты).

    Изменение №2

    Ответственность за не обезличивание персональных данных теперь несут не только государственные и муниципальные органы власти, но и все операторы.

    По второму изменению в новом КоАП дело касается обезличивания ПДн. Проще говоря, если персональным данным (паспортным, медицинским, контактным данным и т.п) будет присвоен идентификационный номер, то это обезличивает персональные данные, т.к. по одному номеру нельзя определить человека.

    В новом КоАП предполагается распространить ответственность за не обезличивание персональных данных с государственных и муниципальных органов власти на всех операторов. Все операторы будут обязаны обезличивать ПДн, которые обрабатывают.

    Невыполнение подобных требований влечет предупреждение или наложение административного штрафа для всех операторов ПДн в размере от 3 до 6 тысяч рублей. Штрафы небольшие, но можно предположить, что это только начало.

    Unsplash

    Что делать в 2021 году

    Новый КоАП еще не принят, но вектор внимания уже определен. Для того чтобы нововведения не стали для вас сюрпризом, необходимо в 2021 году провести оценку соответствия процессов обработки и защиты персональных данных требованиям законодательства.

    Проводить ее необходимо не реже, чем раз в три года. Это установлено законом.

    Компания должна выполнить следующее:

    • Изучить все источники поступления ПДн в организацию, цели поступления и состав данных. К примеру, нужно понимать, что источники ПДн клиентов и сотрудников разные, и состав ПДн тоже разный.
    • Проанализировать, где и как организация получает ПДн — наличие договора, соглашения и/или другого юридически значимого документа, подтверждающего правомерность получения персональных данных, их состав и цели обработки. Получение всех ПДн, которые попадают в организацию, без исключения должны подтверждаться подобными документами: корректно составленное соглашение по обработке ПДн на сайте, с которого компания получает ПДн клиентов, Соглашение по обработке ПДн с сотрудниками.
    • Изучить, какие и чьи ПДн в организации обрабатываются (в разрезе категорий физических лиц). Ориентируясь на ПДн клиентов и сотрудников, видно, что процесс их обработки и хранения разный. Доступ к ПДн сотрудников имеют отдел кадров, бухгалтерия, а к клиентским данным — та же бухгалтерия и коммерческий отдел.
    • Проверить наличие утвержденных локальных нормативных актов, определяющих порядок доступа сотрудников к персональным данным. Документы, в которых прописано, кто и за что отвечает.
    • Проанализировать соответствие процесса обработки локальным нормативным актам. Зачастую на практике бывает несоответствие.
    • Изучить ваших получателей персональных данных: кому, для каких целей и в каком составе передаются персональные данные. Опять же, практика показывает, что в некоторых организациях к ПДн допускаются сотрудники, не имеющие к ним отношения.
    • Проанализировать, на каких условиях передаются ПДн третьим лицам — обязательно наличие договора, соглашения и/или другого юридически значимого документа, подтверждающего правомерность передачи персональных данных. Если зачисление зарплаты сотрудникам компании происходит через зарплатный проект банка, то компания обязана с каждым сотрудником, участвующем в зарплатном проекте, подписать соглашение о передаче его ПДн в этот банк.
    • Определить, какие персональные данные стоит обезличивать. К примеру, это данные, чей срок хранения официально вышел, но при этом характеристики клиента имеют ценность без необходимости идентификации физического лица.
    • Определить, какие согласия уже не имеют силы и которые надо скорректировать. Отсутствие отлаженной системы работы с ПДн в прошлом означает, что, возможно, часть документов уже не актуальна.
    • Изучить, как защищаются персональные данные в компании и от кого они реально защищены — только от внешних злоумышленников или от внутренних тоже? Очень часто данные клиентов утекают вместе с увольняющимися сотрудниками коммерческих отделов.
    • Составить годовой план и реализовать его. Необходимо разработать поэтапный план по реализации этих пунктов с учетом объема работы и времени на их выполнения.

    Два пути

    Утечка ПДн может обернуться для компании не только финансовыми убытками, но и потерей репутации на рынке и разрывом отношений с партнерами. Поэтому важно изучить законодательство и вовремя принять меры. И здесь есть два пути:

    • делать все самостоятельно (силами организации);
    • доверить выполнение требований закона компаниям, которые могут провести независимый аудит по обработке ПДн и решить выявленные проблемы.
    голоса
    Рейтинг статьи
    Ссылка на основную публикацию
    ВсеИнструменты
    Adblock
    detector