Персональные данные раздел

Помощь по теме: "Персональные данные раздел" с полным описанием проблематики и решением. Ели у вас есть вопросы, то обратитесь к дежурному консультанту.

Персональные данные: как соблюсти порядок их обработки

Есть заблуждение, что с персональными данными работают только мобильные операторы и банки. На самом деле это не так. Любая компания обрабатывает персональные данные как минимум своих работников, а еще контрагентов, клиентов, посетителей офисов и т.д. В статье мы рассказали, что такое персональные данные и как их правильно обрабатывать. Читайте и не нарушайте закон – с 1 июля штрафы для компаний вырастут в семь раз.

С персональными данными работает каждая компания, но не каждый юрист знает, что такое персональные данные и как их правильно обрабатывать. Если до 1 июля 2017 года это было еще не так страшно – штрафы за нарушения были невелики, то теперь ситуация изменилась. С этой даты вступают в силу поправки в КоАП РФ, которые увеличивают штрафы для компаний за нарушения при обработке персональных данных и вводят 7 новых составов правонарушений (Федеральный закон от 07.02.17 № 13-ФЗ). Штрафы будут платить не только компании, но и работники, которые нарушили закон – включая юристов. Мы решили помочь вам не нарушать закон и рассказали про азы обработки персональных данных, которые касаются каждой компании.

Какая информация относится к персональным данным

Персональные данные – это любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу (п. 1 ст. 3 Федерального закона от 27.07.06 № 152-ФЗ «О персональных данных»; далее – Закон № 152-ФЗ). Более конкретно перечень такой информации определен в Указе Президента РФ от 06.03.97 № 188 «Об утверждении Перечня сведений конфиденциального характера»: это сведения о фактах, событиях и обстоятельствах частной жизни гражданина, которые позволяют идентифицировать его личность, за исключением сведений, подлежащих распространению в СМИ в случаях, установленных законом.

В работе юридических и кадровых служб компаний обрабатываемые персональные данные обычно включает в себя следующие сведения о лице:

  • фамилия, имя, отчество;
  • год, месяц, дата и место рождения;
  • адрес;
  • семейное, социальное, имущественное положение;
  • образование, профессия, должность, доходы;
  • биометрические персональные данные.

Судебная практика расширяет перечень персональных данных. Например, суды признавали персональными данными:

  • сведения о смерти гражданина (постановление АС Поволжского округа от 25.09.14 по делу № А49-2005/2014);
  • номер мобильного телефона (апелляционное определение Алтайского краевого суда от 01.10.13 по делу №33-9241/2015);
  • фотографии гражданина (апелляционное определение Свердловского областного суда от 09.04.15 по делу № 33-5232/2015).

В последнее время есть явная тенденция – перечень сведений, которые составляют персональные данные, становится все шире. Так, Европейский суд справедливости в Решении от 19.10.16 по делу № 582/14 (Патрик Брейр против Германии) признал, что при определенных условиях даже IP-адрес интернет-пользователя может признаваться персональными данными.

Что такое обработка персональных данных

Обработка персональных данных — это любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение (п. 3 ст. 3 Закона № 152-ФЗ).

Например, компания обрабатывает персональные данные, если собирает анкеты клиентов (в бумажном виде или через сайт), ведет и хранит клиентскую базу, передает контакты клиентов в call-центр, фиксирует паспортные данные посетителей офиса на контрольно-пропускном пункте и т.д. Фактически персональные данные обрабатывает любая компания.

Nota bene!
Дополнительные условия для обработки персональных данных соискателей и работников установлены гл. 14 ТК РФ и разъяснениями Роскомнадзора от 14.12.12 «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве».

Когда нужно уведомлять Роскомнадзор

Если компания обрабатывает персональные данные, она является оператором (п. 2 ст. 3 Закона № 152-ФЗ). Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении (п. 1 ст. 22 Закона № 152-ФЗ).

Направлять уведомление не требуется (п. 2 ст. 22 Закона № 152-ФЗ), если компания-оператор обрабатывает персональные данные, в частности:

  • только своих работников;
  • для целей заключения и исполнения договоров (например, персональные данные контрагентов);
  • для однократного пропуска лица на территорию компании;
  • без использования средств автоматизации (персональные данные используют, уточняют, распространяют и уничтожают при непосредственном участии человека – см. Постановление Правительства РФ от 15.09.08 № 687).

Проверьте, подпадает ли компания под исключения, которые указаны в Законе № 152-ФЗ. Если нет – составьте уведомление по официальной форме (Приложение № 2 к административному регламенту, утв. Приказом Минкомсвязи России от 21.12.11 № 346). Затем направьте его в территориальный орган Роскомнадзора по месту регистрации компании. Отправить уведомление можно как на бумажном носителе, так и в форме электронного документа через портал «Госуслуги» (gosuslugi.ru) или официальный сайт Роскомнадзора (pd.rkn.gov.ru/).

Роскомнадзор внесет сведения о компании в реестр операторов в течение 30 дней с даты поступления уведомления. Проверить, включена ли компания в реестр, можно на официальном сайте ведомства (pd.rkn.gov.ru/).

Как правильно собирать персональные данные

По общему правилу, чтобы собирать персональные данные, нужно получить согласие их владельца – субъекта персональных данных (пп. 1 п. 1 ст. 6 Закона № 152-ФЗ). Согласие должно быть конкретным, информированным и сознательным (п. 1 ст. 9 Закон № 152-ФЗ). Это значит, что перечень оснований для обработки персональных данных должен быть указан как можно более конкретно, а также содержать срок обработки и порядок отзыва согласия (постановление АС Уральского округа от 29.09.14 по делу № А60-31459/2013, постановление Пятого ААС от 13.08.14 по делу № А59-48/2014).

Читайте так же:  Защита персональных данных доклад

Закон не устанавливает форму согласия на обработку персональных данных, за исключением особых сведений. Субъект может дать согласие в любой форме, которая позволит подтвердить факт его получения (п. 1 ст. 9 Закона № 152-ФЗ). В частности, согласие может быть выражено в электронной форме путем заполнения анкеты на сайте (постановление ФАС Северо-Западного округа от 13.12.10 по делу № А56-73636/2009, апелляционное определение Омского областного суда от 07.08.13 по делу № 33-5139/2013).

СНОСКА
Письменное согласие субъекта нужно для обработки специальных категорий персональных данных – например, о национальной принадлежности и состоянии здоровья лица (ст. 10 Закона № 152-ФЗ). Согласие можно получить на бумажном носителе или в электронной форме с усиленной квалифицированной электронной подписью.

Получать согласие на обработку в типовой форме договора рискованно, если пункт о согласии просто включен в текст. Суд может признать такой способ ненадлежащим, если потребитель не может изменить это условие – например, сделать отметку о своем согласии или отказе (постановление АС Северо-Западного округа от 18.07.16 по делу № А44-9647/2015, постановление АС Уральского округа от 22.12.16 по делу № А76-5164/2016).

В случае проверки или судебного спора именно оператор обязан доказать, что получит согласие на обработку персональных данных (п. 3 ст. 9 Закона № 152-ФЗ). Поэтому заранее определите, какой тип персональных данных обрабатывает ваша компания. В зависимости от этого разработайте форму получения согласия на обработку. Важный момент – субъект вправе в любое время отозвать свое согласие (п. 2 ст. 9 Закона № 152-ФЗ). Если в компанию поступило такое обращение – она обязана прекратить обработку персональных данных.

Nota bene!
Согласие на обработку персональных данных не нужно, если субъект сам сделал их общедоступными. Например, при регистрации на форуме или в социальной сети. Если субъект потом отзовет согласие на обработку – его можно не учитывать (пп. 10 п. 1 ст. 6, пп. 2 п. 2 ст. 10 Закона).

Как получить согласие у работников

Работников надо ознакомить под роспись с документами компании, которые устанавливают порядок обработки персональных данных, а также их права и обязанности в этой сфере (п. 8 ст. 86 ТК РФ). Такой порядок можно прописать в самом трудовом договоре, приложениях к нему, правилах внутреннего трудового распорядка или других локальных актах – например, политике компании об обработке персональных данных. Факт ознакомления работников с этими документами нужно отдельно фиксировать – например, в специальном журнале.

СНОСКА
За нарушения при обработке персональных данных работников компанию могут привлечь к ответственности по ст. 5.27 КоАП РФ (до 80 тыс рублей штрафа).

Согласие работника на обработку персональных данных не нужно в следующих случаях (см. разъяснения Роскомнадзора от 14.12.12 «Вопросы, касающиеся обработки персональных данных работников, соискателей…»):

  • обработка персональных данных близких родственников работника в объеме, предусмотренном личной карточкой по форме Т-2;
  • получение мотивированных запросов от прокуратуры, правоохранительных органов, органов безопасности, государственных инспекторов труда;
  • обработка нужна для исполнения заключенного с работником договора или возложенных на работодателя обязанностей;
  • обработка связана с выполнением работником его трудовых обязанностей, в том числе, при отправлении его в командировки.

Как обеспечить безопасность персональных данных

Персональные данные относятся к конфиденциальным сведениям (ст. 7 Закона № 152-ФЗ). Операторы и иные лица, получившие к ним доступ, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта. Оператор обязан обеспечить безопасность персональных данных. Меры зависят от способа обработки данных – с использованием средств автоматизации или вручную.

Если компания ведет автоматизированную обработку персональных данных, на нее распространяются Требования к защите персональных данных при их обработке в информационных системах, утв. постановлением Правительства РФ от 01.11.12 № 1119 и Приказ ФСТЭК России от 18.02.13 № 21. Чтобы выполнить эти требования, нужно привлекать IT-специалистов.

Для защиты персональных данных без автоматизации предусмотрены рекомендательные меры (ст. 19 Закона № 152-ФЗ и п. 13-15 Положения, утв. постановлением Правительства РФ от 15.09.08 № 687). Одна из таких мер – определить во внутренних документах компании перечень лиц, которые обрабатывают персональные данные или имеют к ним доступ. Можно обеспечить безопасность данных, если раздельно хранить носители персональных данных, которые обрабатываются в различных целях (например, раздельно хранить данные работников, посетителей офисов и клиентов).

Что и кому грозит за нарушения в сфере персональных данных

За нарушения при обработке персональных данных компанию могут привлечь к гражданско-правовой и административной ответственности по ст. 13.11 КоАП РФ. До 1 июля 2017 года максимальным наказанием для должностного лица был штраф в 1 тысячу рублей, а для компании – до 10 тысяч рублей.

С 1 июля 2017 года вступают в силу поправки, которые усиливают административную ответственность (Федеральный закон от 07.02.17 № 13-ФЗ). Поправки вводят дополнительные составы правонарушений в ст. 13.11 КоАП РФ и увеличивают штрафы. В частности, закон вводит ответственность юридических лиц за следующие нарушения:

  • обработку персональных данных в случаях, не предусмотренных законом (ч. 1 ст. 13.11 КоАП РФ) – штраф от 30 тыс до 50 тыс рублей;
  • обработку персональных данных без согласия в письменной форме, когда закон требует получить такое согласие (ч. 2 ст. 13.11 КоАП РФ) – штраф от 15 до 70 тыс рублей;
  • неопубликование оператором политики в отношении обработки персональных данных, когда такая обязанность предусмотрена законом (ч. 3 ст. 13.11 КоАП РФ) – штраф от 15 до 30 тысяч рублей.
Читайте так же:  Образец искового заявления снт

Работника могут привлечь к административной ответственности, но не только. Дополнительно он несет материальную (п. 7 ст. 243 ТК РФ) дисциплинарную (пп. «в» п. 6 ч. 1 ст. 81 ТК РФ) и даже уголовную ответственность (ч. 2 ст. 137 УК РФ).

К ответственности привлекут как работника-нарушителя (например, скопировавшего базу клиентов на свою флешку и передавшего ее конкуренту), так и работника, который несет ответственность за обработку персональных данных в компании.

Источник: http://www.lidings.com/ru/articles2?id=129

Раздел 3. Обработка, передача персональных данных. Доступ к персональным данным

Раздел 3. Обработка, передача персональных данных.
Доступ к персональным данным

1. Доступ к персональным данным работников без получения специального разрешения имеют следующие должностные лица администрации города:

— Глава администрации города Тобольска;

— Первый заместитель Главы администрации города;

— Руководитель аппарата Главы администрации города;

— начальник и сотрудники отдела муниципальной службы, кадров и наград (в пределах своей компетенции и должностных полномочий).

2. Ограниченный доступ к персональным данным работников имеют следующие должностные лица администрации города:

— главный бухгалтер и работники бухгалтерии (в пределах своей компетенции и должностных полномочий);

— председатель юридического комитета (в рамках служебной проверки, судебного разбирательства — в пределах и объеме необходимых для подготовки юридического заключения);

— руководитель служебной проверки (в рамках служебной проверки);

— руководитель структурного подразделения (в отношении подчиненных работников, в пределах своей компетенции и прав по должности);

— начальник военно-мобилизационного отдела (в пределах и объеме, необходимых для организации воинского учета и мероприятий по оформлению допуска должностных лиц и граждан Российской Федерации к государственной тайне).

3. Должностные лица контролирующих, надзорных и судебных органов получают доступ к персональным данным работников администрации города в прямо предусмотренных действующим законодательством случаях (на основании письменного запроса) в пределах и объеме необходимых для организации и проведения указанных в запросе проверочных мероприятий.

4. Должностные лица администрации города осуществляют допуск указанных в пункте 3. настоящего раздела должностных лиц при наличии на предъявляемом ими запросе визы Главы администрации города Тобольска или Руководителя аппарата Главы администрации города.

— получение персональных данных;

— проверку достоверности персональных данных;

— накопление персональных данных (ввод, учет, систематизация);

— контроль обеспечения сохранности (разграничение доступа, резервное копирование, ревизия);

— выдача по письменному запросу;

— архивное хранение (описание, экспертиза ценности, передача на постоянное хранение);

6. Все персональные данные работника Работодатель (уполномоченное им должностное лицо) получает у него самого.

7. Должностные лица, в обязанность которых входит работа с персональными данными работников, обязаны обеспечить каждому работнику возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено действующим законодательством.

8. Обработка персональных данных работника работодателем возможна только с его письменного согласия либо без его согласия в следующих случаях:

— персональные данные являются общедоступными;

— персональные данные относятся к состоянию здоровья работника и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия работника при этом невозможно;

— по требованию полномочных государственных органов в случаях предусмотренных действующим законодательством.

9. Письменное согласие работника, выраженное в простой письменной форме (заявление, обращение, жалоба и т.д.) на обработку работодателем своих персональных данных должно включать в себя:

— фамилию, имя, отчество, адрес субъекта персональных данных, номер документа, удостоверяющего его личность с указанием даты выдачи указанного документа и выдавшем его органе;

— наименование и юридический адрес работодателя, получающего согласие субъекта персональных данных;

— цель обработки персональных данных;

— перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

— перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых работодателем способов обработки персональных данных;

— срок, в течение которого действует согласие, а также порядок его отзыва.

10. Письменное согласие работника на обработку персональных данных не требуется в следующих случаях:

— обработка персональных данных осуществляется на основании Трудового кодекса Российской Федерации в пределах полномочий работодателя;

— обработка персональных данных осуществляется в целях исполнения трудового договора;

— обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;

— обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов сотрудника, если получение его согласия невозможно.

11. Обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения действующего законодательства, в том числе содействия работникам в трудоустройстве, обучении, профессиональном продвижении, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

При определении объема и содержания обрабатываемых персональных данных работодатель руководствуется требованиями действующего законодательства.

12. При принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.

13. При передаче персональных данных работника работодатель должен соблюдать (обеспечить исполнение) следующие требования:

— не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, если получение его согласия невозможно, а также в случаях прямо установленных действующим законодательством;

Читайте так же:  Составить исковое заявление в суд на алименты

— предупредить лиц, получивших персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждение того, что это правило соблюдено. Лица, получившие персональные данные работника, обязаны соблюдать режим конфиденциальности (секретности);

— разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица имеют право получать только те персональные данные, которые необходимы для выполнения конкретной функции;

— не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником возложенной трудовой функции;

— передавать персональные данные работника его законным (полномочным) представителям в порядке, установленном действующим законодательством, и ограничивать эту информацию только теми персональными данными, которые необходимы для выполнения указанными представителями их функции;

14. Персональные данные работников могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде (на материальных носителях).

15. При обработке персональных данных на материальном носителе Работодатель обязан:

— обеспечить защиту материальных носителей от несанкционированного доступа, несанкционированной повторной и дополнительной записи информации после ее извлечения из информационной системы персональных данных;

— осуществлять учет количества экземпляров материальных носителей;

— обеспечить недопущение несанкционированного воздействия на технические средства обработки персональных данных;

— осуществлять постоянный контроль за обеспечением надлежащего (соответствующего современным требованиям) уровня защищенности персональных данных на материальных носителях;

— осуществлять обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилами работы с ними;

— вести учет лиц, допущенных к работе с персональными данными в информационной системе и осуществляющих обработку персональных данных на материальных носителях.

16. Работник администрации города имеет право:

— получать доступ к своим персональным данным и ознакомление с ними, включая право на безвозмездное получение копии любой записи, содержащей его персональные данные;

— требовать от работодателя уточнения, исключения или исправления неполных, неверных, устаревших, недостоверных, незаконно полученных или не являющихся необходимыми для работодателя персональных данных;

— получать от работодателя сведения о лицах, которые имеют доступ к его персональным данным или которым может быть предоставлен такой доступ;

Видео (кликните для воспроизведения).

— получать от работодателя перечень обрабатываемых персональных данных и источник их получения, сроки обработки и хранения персональных данных;

— получать от работодателя сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных;

— требовать извещения работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в них исключения, исправлениях, дополнениях;

— обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействие Работодателя при обработке и защите его персональных данных.

17. Копировать и делать выписки персональных данных работника разрешается исключительно в служебных целях с письменного разрешения:

— Главы администрации города Тобольска;

— Руководителя аппарата Главы администрации города.

18. Передача информации третьей стороне возможна только при наличии письменного согласия работника.

19. Персональные данные работников (в отношении которых нанимателем (работодателем) является администрация города) обрабатываются и хранятся в отделе муниципальной службы, кадров и наград администрации города.

>
Ответственность за нарушение норм, регулирующих обработку персональных данных
Содержание
Распоряжение Главы администрации г. Тобольска Тюменской области от 15 января 2009 г. N 4рк «Об утверждении Положения.

Откройте актуальную версию документа прямо сейчас или получите полный доступ к системе ГАРАНТ на 3 дня бесплатно!

Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.

Источник: http://base.garant.ru/18825336/daf75cc17d0d1b8b796480bc59f740b8/

Все о персональных данных

goldyg / Shutterstock.com

СОДЕРЖАНИЕ

Персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому лицу (п. 1 ст. 3 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»; далее – закон о персональных данных). Такое широкое толкование позволяет относить к персональным данным практически любую информацию о человеке: сведения о его ФИО, поле и возрасте, образовании, месте жительства, семейном положении и др. Помимо этого к персональным данным относится и изображение человека, с помощью которого можно установить его личность – например, фотография, видеозапись или портрет (разъяснения Роскомнадзора от 30 августа 2013 г. «Разъяснения по вопросам отнесения фото-, видеоизображений, дактилоскопических данных и иной информации к биометрическим персональным данным и особенностей их обработки»).

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, их состав, а также совершаемые с ними действия (п. 2 ст. 3 закона о персональных данных).

Обработка персональных данных – любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 закона о персональных данных).

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу (п. 11 ст. 3 закона о персональных данных).

С 1 июля 2017 года ужесточилась административная ответственность за нарушения, допущенные при обработке персональных данных. Рассмотрим подробнее, какие правила необходимо соблюдать при работе с ними и какая ответственность теперь грозит нарушителям.

Читайте так же:  Ходатайство об истребовании доказательств коап

Последняя актуализация: 30 августа 2017 г.

Документы по теме:

Читайте также:

Персональные данные: успеть обеспечить защиту!
Предпринимателей могут обязать хранить персональные данные граждан РФ на российских серверах не с 1 сентября 2016 года, как планировалось ранее, а уже с 1 сентября 2015 года.

Кибербезопасность и цифровой суверенитет: стимул или препятствие для развития IT-рынка?
Разберемся, как от киберугроз планируется защищать персональные данные, чего ждать от Доктрины информационной безопасности и каковы перспективы развития законопроекта о критической инфраструктуре.

Источник: http://www.garant.ru/actual/persona/

Приводим сайт в соответствие с законом о персональных данных

С 1 июля вступили в силу поправки в КоАП о нарушениях в работе с персональными данными. Штрафы за нарушения стали на порядок больше, и теперь эти штрафы реально будут накладывать.

Это касается всех владельцев сайтов — юридических и физических лиц. Если вы собираете хоть какие-то персональные данные не в соответствии с законом 152-ФЗ , Роскомнадзор может наказать рублём.

В этой статье мы расскажем, как сделать всё правильно и избежать штрафов. Она будет полезна, если вы раскручиваете сайты клиентов или собственные проекты, продаёте что-то с лендингов или ведёте личный блог.

Немного теории: персональные данные и что о них надо знать

Персональные данные (ПД) — это любая информация, по которой можно прямо или косвенно определить человека:

  • ФИО;
  • дата рождения;
  • телефон;
  • адрес;
  • электронная почта;
  • ИНН;
  • фотографии;
  • сведения о работе;
  • ссылки на аккаунты в соцсетях или личный сайт;
  • метрики сайта (ip-адрес, геотеги, cookies и т.д.);
  • и очень многое другое.

Проблема вот в чём: в самом законе нет точного и исчерпывающего объяснения, что и при каких условиях считать персональными данными.

По отдельности большинство перечисленных данных не считаются персональными. Нельзя определить человека ТОЛЬКО по дате рождения или ТОЛЬКО по email-адресу. И даже по ФИО нельзя — есть же полные тёзки. А вот если от человека обязательно требуется указать на сайте имя и email — это уже персональные данные.

Персональные данные — почти всегда совокупность нескольких разных данных о человеке.

Но есть исключения. Например, номер телефона. Обычно SIM-карты в салонах связи продают по паспорту, а паспортные данные вносят в базу. А значит, если у вас есть доступ к базе оператора — теоретически вы можете установить личность человека по одному только номеру.

Закон не может регламентировать каждую мелочь и каждый частный случай. Приходится руководствоваться здравым смыслом. Если вы абсолютно уверены, что нельзя установить личность человека по данным, которые собираете на сайте — хорошо. Если не уверены — лучше сразу считайте, что всё-таки собираете персональные данные.

Посмотрите на примеры. Здесь посетитель должен ввести только email, чтобы подписаться на рассылку. Email в этом случае — обезличенные данные:

А здесь обязательно нужно указать и имя, и адрес почты. Это уже персональные данные:

Если сайт собирает персональные данные — его владелец считается оператором персональных данных. Операторами могут быть и юридические, и физические лица.

Как понять, оператор вы или нет

Иногда владелец сайта и сам не знает, что он — оператор персональных данных. Вот распространённые «сборники» ПД:

  • формы подписки на рассылку (имя + email, телефон и т.д.);

  • личный кабинет интернет-магазина (имя + адрес, телефон и т.д.);

  • форма заявки или обратной связи (имя + email или телефон);

  • системы онлайн-чат, онлайн-консультант (имя + email, телефон и т.д.);

  • форма размещения комментариев в блоге (имя + email или адрес сайта).

Если что-то из этого есть на сайте и требует от посетителей ввода персональных данных, то владелец автоматически признаётся оператором. И это только частные случаи. Возможно, вы собираете данные каким-то другим образом.

Важно. Если человек сам проявляет инициативу и выкладывает свои ПД на сайте, хотя вы его об этом не просили — вы не становитесь оператором. В комментариях к статье посетитель может выложить хоть скан паспорта и фотографию банковской карты. Вы не несёте за это ответственность.

Как видим, почти все коммерческие сайты попадают под действие закона. Но не обязательно управлять интернет-магазином, чтобы быть оператором — даже сайты с информационными рассылками и блоги собирают персональные данные.

Что делать, если вы собираете персональные данные

Законодатель предъявляет 3 главных требования:

  1. Составить политику конфиденциальности и разместить её на сайте.
  2. Уведомить Роскомнадзор , что вы собираете персональные данные.
  3. При сборе данных брать согласие с посетителей сайта.

Обо всём по порядку.

Как составить политику конфиденциальности

Вот что нужно прописать в политике:

Эти принципы обработки персональных данных устанавливает закон 152-ФЗ в статье 5 .

  • текст политики нужно разместить на отдельной странице;
  • ссылку на политику поставить в футере (нижней части) сайта;
  • активная ссылка на политику должна быть на каждой странице.

Как уведомить о сборе данных Роскомнадзор

Уведомление можно подать на сайте Роскомнадзора в специальной форме . Желательно сделать это до того, как начнёте собирать персональные данные — например, перед запуском сайта.

Подавать уведомление в Роскомнадзор надо, даже если вы живёте не в России. Граждане Украины, Беларуси и любой другой страны обязательно должны обратиться в Роскомнадзор, если они собирают ПД российских граждан.

Как получить согласие посетителей на сбор данных

При сборе ПД нужно брать согласие посетителя на обработку персональных данных. Учтите вот что:

  • согласие на обработку ПД должно быть «конкретным, информированным и сознательным» — выраженным в явном виде;
  • ссылка на политику конфиденциальности — обязательно;
  • чек-бокс с галочкой — обязательно.
Читайте так же:  Судебное разбирательство в сша

Выполнение всех этих условий послужит доказательством, что человек добровольно и осознанно согласился на обработку своих ПД. Это выглядит примерно так:

Имя, фамилия, почта и марка автомобиля — это ПД. Если вы просите у человека эти данные при подписке на рассылку (или в другом случае) — он должен подтвердить согласие галочкой в чекбоксе

Обычно эту строчку помещают рядом с полем для ввода данных: под формой подписки, в настройках аккаунта интернет-магазина.

Обратите внимание на чёткость формулировки. Галочка в чекбоксе не проставляется автоматически — посетитель должен сделать это сам

Можно сделать совсем хардкорный вариант, но это не обязательно:

Такую форму заполнят только самые упорные и заинтересованные

Если вы собираете cookies, геотеги, ip и другие данные для систем аналитики — на сайте желательно вывесить дисклеймер. Это уведомление, которое всплывает при заходе на сайт. В дисклеймере кратко укажите:

  • какие данные вы собираете;
  • зачем они нужны;
  • просьбу покинуть сайт, если эти условия не устраивают посетителя.

Всё честно: можно остаться или уйти

Хранить данные — только на территории РФ

Хранить базы персональных данных можно только на серверах, расположенных на территории РФ. Выбирайте российский хостинг. Если пользуетесь CRM-системой — убедитесь, что её серверы находятся в России.

Передавать данные за границу можно. Но только в случае, если сначала они попали в «материнскую» базу, расположенную в России.

Поэтому будьте осторожнее с рассылками. Не стоит пользоваться теми иностранными сервисами рассылок, которые «подтягивают» данные о подписчиках сразу на свои серверы.

А вот если вы собираете с будущих подписчиков только email — закон о персональных данных вас не коснётся, и иностранными сервисами рассылок пользоваться можно.

В каких случаях всё это не нужно

Вам не нужно размещать политику конфиденциальности и общаться с Роскомнадзором, если вы собираете только обезличенные данные — те, по которым определить человека нельзя. Поэтому иногда проще исправить кое-что на сайте. Например, если у вас блог — измените форму комментирования так, чтобы человеку достаточно было оставить имя без других данных.

Для сообществ в социальных сетях писать политику (и брать согласие на обработку данных) тоже необязательно. У социальных сетей есть своя политика конфиденциальности. К тому же продажа товаров через «ВКонтакте» или Instagram считается публичной офертой.

Какие персональные данные лучше не собирать

Выше мы говорили об общих персональных данных. Но ещё закон выделяет специальные и биометрические ПД. Это те, что касаются:

  • расовой и национальной принадлежности;
  • политических взглядов, религиозных или философских убеждений;
  • состояния здоровья, интимной жизни и других физиологических и биологических особенностей человека.

Сюда же относятся отпечатки пальцев и фотографии. Да, лучше не требовать от довольного клиента прикрепить к отзыву фото. Он может сделать это только по собственному желанию.

Все эти данные требуют при сборе согласия на обработку в письменной форме. Человек должен лично написать согласие и поставить свою подпись. Чекбокс с галочкой уже не подойдёт.

Если продвигаете сайт клиники или другого медучреждения — не делайте ничего без согласования со штатными юристами.

Какова вероятность, что Роскомнадзор придёт с проверкой?

В основном Роскомнадзор будет штрафовать компании. Максимальный совокупный штраф для юридических лиц — 290 000 рублей, а для физических — «всего» 15 500. Понятно, с кого начинать выгоднее. Список плановых проверок уже утверждён. Будут и внеплановые.

Небольшим интернет-магазинам с ИП будет легче. Их много, а сотрудников Роскомнадзора не очень. Но риск всё равно есть — Роскомнадзор обязан провести проверку, если поступит жалоба от субъекта персональных данных. Например, человек заходит на сайт и видит: форма подписки на рассылку есть, а политики конфиденциальности — нет. Если он отправит жалобу в Роскомнадзор — тот придёт с проверкой.

Поэтому требования 152 ФЗ нужно исполнять.

Запомнить

  • персональные данные — это любая информация, по которой можно прямо или косвенно определить человека;
  • если вы собираете персональные данные — нужно разместить на сайте политику конфиденциальности и уведомить Роскомнадзор;
  • у людей надо брать согласие на обработку персональных данных — разместите под формой ввода данных соответствующую строку с чекбоксом и ссылкой на политику;
  • все персональные данные надо хранить только на российских серверах;
  • специальные и биометрические персональные данные можно собирать только по письменному согласию;
  • Роскомнадзор может прийти за каждым.

Если у Вас появились вопросы, можете
задавать их в комментариях ниже.

Источник: http://lead-academy.ru/poleznye-materialy/privodim-sajt-v-sootvetstvie-s-zakonom-o-personalnyx-dannyx/

Персональные данные раздел

Справочно-информационный центр
Портал персональных данных
Горячая линия для СМИ

Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»

Оцените содержание раздела:

Низкое Ниже среднего Среднее Выше среднего Высокое Оценить

Время публикации: 20.08.2009 14:03
Последнее изменение: 16.02.2018 16:26

© 2009-2020, Версия 2.15.18

Официальный сайт Федеральной службы по надзору в сфере связи,

информационных технологий и массовых коммуникаций

Видео (кликните для воспроизведения).

Источник: http://rkn.gov.ru/personal-data/

Персональные данные раздел
Оценка 5 проголосовавших: 1

ОСТАВЬТЕ ОТВЕТ

Please enter your comment!
Please enter your name here