Вступил в силу федеральный закон 152 фз. Соблюдаем закон о персональных данных: что надо учесть
С 1 июля 2017 года вводятся повышенные административные штрафы за несоблюдение требований Федерального закона "О персональных данных" от 27.07.2006 № 152-ФЗ. О том, как избежать штрафов при проверках Роскомнадзора, БУХ.1С рассказал эксперт по налогообложению Игорь Кармазин .
Штрафы за несоблюдение требований Федерального закона "О персональных данных" были повышены в соответствии с Федеральным законом от 07.02.2017 № 13-ФЗ. Новые штрафы по сравнению с действующими выросли в разы . Максимальный порог штрафа для организаций повышен до 75 тысяч рублей, максимальный штраф для предпринимателей увеличили до 20 тысяч рублей. При этом, если раньше в КоАП существовал только один, общий для всех случаев состав правонарушения в области персданных (ст.13.11 КоАП РФ), то теперь в данной статье появилось целых семь составов.
Чтобы избежать штрафов по 152-ФЗ , компаниям и ИП с 1 июля 2017 года следует внимательнее подходить к соблюдению требований закона о персональных данных.
Шпаргалка по статье от редакции БУХ.1С для тех, у кого нет времени
1. С 1 июля 2017 года вводятся повышенные административные штрафы за несоблюдение требований Федерального закона "О персональных данных".
2. Новые штрафы по сравнению с действующими выросли в разы. Максимальный порог штрафа для организаций повышен до 75 тысяч рублей, максимальный штраф для предпринимателей увеличили до 20 тысяч рублей.
3. Штрафы за нелегальную обработку персональных сведений граждан касаются всех компаний и предпринимателей, которые получают паспортные данные россиян. Закон не содержит конкретного перечня таких организаций.
4. Компании, по закону отнесенные к операторам персональных данных, должны быть зарегистрированы в Роскомнадзоре.
5. Обезопасить себя от штрафов можно, соблюдая 6 правил:
- исключить случаи нецелевого сбора и обработки данных;
- получать письменное согласие граждан на обработку их данных;
- знакомить граждан с политикой обработки персональных данных;
- отвечать на вопросы граждан о том, каким образом используются их персональные данные;
- выполнять требования граждан об уточнении персональных данных, их блокировании или уничтожении;
- обеспечивать сохранность носителей с персональными данными, исключая их утечку, порчу, кражу, копирование и т.д.
6. С 01.07.2017 начинает действовать упрощенный порядок привлечения к административной ответственности. Дела будет возбуждать сам Роскомнадзор без участия сотрудников прокуратуры.
Кого коснутся новые штрафы
Штрафы за нелегальную обработку персональных сведений граждан касаются всех компаний и предпринимателей, которые получают паспортные данные россиян. По закону они отнесены к операторам персональных данных и обязаны соблюдать законодательные ограничения.
Закон не содержит конкретного перечня таких организаций. Однако к ним можно отнести банки, страховые компании, операторов мобильной связи и интернета, медицинские организации, транспортные компании, учебные заведения и все те компании, при обращении в которые граждан просят указать личные данные или заполнить анкету.
Но и это еще не все. Закон распространяется на работодателей, получающих сведения от сотрудников как по трудовым договорам, так и по договорам гражданско-правового характера. Работодатели тоже являются операторами персональных данных с небольшой оговоркой. Если работодатель состоит с гражданином в трудовых или гражданско-правовых отношениях, ему не требуется уведомлять Роскомнадзор об обработке личной информации (ч. 2 ст. 22 Федерального закона № 152-ФЗ).
Также к операторам персональных данных относятся компании, имеющие собственные сайты с обратной формой связи и регистрацией пользователей, у которых запрашиваются личные сведения.
Как обезопасить себя от штрафов: 6 правил
1. Исключить случаи нецелевого сбора и обработки данных.
Под данное нарушение попадают и случаи сбора излишней информации о гражданах. Например, когда сайт для новостной рассылки по e-mail требует от посетителей предоставить, скажем, паспортные данные. Это считается обработкой данных не по назначению, поэтому исключите подобные случаи из практики работы своей компании и сайта.
Данные действия образуют состав правонарушения по ч. 1 ст. 13.11 КоАП РФ. Штраф для предпринимателей – от 5 до 10 тысяч рублей, а для организаций – от 30 до 50 тысяч рублей.
2. Получать письменное согласие граждан на обработку их данных.
Согласие граждан на обработку персональных данных, когда это требуется по закону, операторы получают в соответствии с ч. 4 ст. 9 Федерального закона № 152-ФЗ. Исключений из этого правила не так много. Например, не требуется письменного согласия при получении персональных данных в личных, семейных целях (ч. 2 ст. 1 Федерального закона № 152-ФЗ).
В большинстве же случаев дополнительно к основному договору стороны должны подписывать соглашение об обработке персональных данных. Это соглашение может включаться в текст основного договора, или выступать в качестве отдельного документа. Согласие должно поступить лично от гражданина. Без его ведома передавать данные нельзя.
Самый банальный пример злоупотреблений в этой части – когда, например, оператор мобильной связи передает контакты абонентов без их ведома сторонним компаниям, и на телефонные номера граждан начинает поступать всевозможный спам.
Если письменного соглашения на обработку данных у компании нет, на граждан (ИП) наложат штраф в размере от 3 до 5 тысяч рублей, на должностных лиц от 10 до 20 тысяч рублей, а на юрлиц – от 15 до 75 тысяч рублей (ч.2 ст.13.11 КоАП РФ). Судя по судебной практике, ИП первый раз штрафуют как физлиц, а если нарушение повторяется, то уже как должностных лиц - руководителей ИП, так как во втором случае штраф выше.
Последствия неполучения письменного согласия контролерам будут неважны, а важен будет сам факт наличия или отсутствия такого согласия в письменной форме.
3. Знакомить граждан с политикой обработки персональных данных.
Эта информация должна находиться в свободном доступе и с ней должен иметь возможность ознакомиться каждый. Например, сайты вывешивают информацию о порядке работы с персданными на отдельных своих страницах.
В противном случае наступит ответственность по ч. 3 ст. 13.11 КоАП РФ. ИП заплатят штраф в размере от 5 до 10 тысяч рублей, а организации в размере от 15 до 30 тысяч рублей.
4. Отвечать на вопросы граждан о том, каким образом используются их персональные данные .
На практике бывают случаи, когда данные «утекают» третьим лицам, и клиентам компании начинает поступать всевозможная реклама от магазинов, медицинских центров и кредитных организаций. В этом случае клиент может потребовать от оператора персональных данных предоставить информацию о том, как используются и хранятся его личные сведения.
За игнорирование обращений граждан операторы персданных несут ответственность по ч. 4 ст. 13.11 КоАП РФ. Штраф для ИП – от 10 до 15 тысяч рублей, а для юрлиц – от 20 до 40 тысяч рублей.
5. Выполнять требования граждан об уточнении персональных данных, их блокировании или уничтожении .
Это нужно делать в случаях, когда персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
Неисполнение этой обязанности грозит штрафом по ч. 5 ст. 13.11 КоАП РФ. Для ИП штраф составит от 10 до 20 тысяч рублей, для организаций – от 25 до 45 тысяч рублей.
6. Обеспечивать сохранность носителей с персональными данными, исключая их утечку, порчу, кражу, копирование и т.д .
Ответственность за необеспечение сохранности личных сведений установлена ч. 6 ст. 13.11 КоАП РФ. Для предпринимателей – от 10 до 20 тысяч рублей, для компаний – от 25 до 50 тысяч рублей.
Ответственность для государственных и муниципальных органов власти
Штрафная ответственность предусмотрена и для государственных и муниципальных органов власти (ч. 7 ст. 13.11 КоАП РФ).
В своих документах (протоколах, сводках, решениях и т.д.) они должны обезличивать персональные данные граждан, не допуская указания их места жительства и полных ФИО.
В противном случае придется заплатить штраф в размере от 3 до 6 тысяч рублей.
Регистрация операторов персональных данных в Роскомнадзоре
Компании, по закону отнесенные к операторам персональных данных, должны быть зарегистрированы в Роскомнадзоре. Для этого необходимо подать уведомление об обработке (о намерении осуществлять обработку) персональных данных (ч. 3 ст. 22 Федерального закона № 152-ФЗ).
После заполнения формы уведомления об обработке (о намерении осуществлять обработку) персональных данных ее следует отправить в информационную систему Уполномоченного органа по защите прав субъектов персональных данных. Затем заполненную форму нужно распечатать и заверить надлежащим образом, скрепив подписью и печатью организации, после чего направить в соответствующий территориальный орган Роскомнадзора по месту регистрации компании-оператора персональных данных.
Что делать сайтам
Что касается сайтов (а сейчас они есть практически у любой компании), то основная масса нарушений здесь связана именно с нецелевым сбором и использованием персональных данных (ч. 1 ст. 13.11 КоАП РФ).
Например, нередко в форме регистрации на сайте используются такие поля, как «дата рождения» и «телефон», а в форме профиля пользователя - «отчество», «дата рождения», «место жительства» (страна, область/край, город).
Следует понимать, что для регистрации пользователя на большинстве сетевых ресурсов не требуется знать такие данные, как телефон и место жительства/регистрации пользователя. Из формы регистрации эти сведения следует убрать.
А из формы личного профиля лучше убрать такие сведения, как «профессия», «www-страница», Skype (или другой мессенджер) и «дата рождения».
Посторонним лицам (а ваша компания и является таким лицом) знать эту информацию ни к чему. Форма подписки на новости сайта должна собирать информацию только об e-mail пользователей. Форма регистрации может собирать имя, фамилию, e-mail и пол пользователя.
Сбор лишней информации при проверке могут посчитать нарушением.
Выполнение вышеописанных правил и знание закона позволят избежать ответственности за его нарушение. При этом следует учитывать одно немаловажное обстоятельство. Если раньше закон о персональных данных обходил вашу компанию стороной и никакой ответственности за его нарушение вы не несли, то с 1 июля все может измениться кардинальным образом.
Дело в том, что с этой даты начинает действовать упрощенный порядок привлечения к административной ответственности. Раньше дела в этой сфере возбуждала прокуратура (ст. 28.1 КоАП РФ). По новым же правилам (п. 58 ч. 2 ст. 28.3 КоАП РФ) дела будет возбуждать сам Роскомнадзор без участия сотрудников прокуратуры. На практике это означает, что количество штрафов и доведенных до суда дел может значительно увеличиться, и уйти от ответственности станет значительно сложнее.
К статье 13.11 КоАП РФ. Штрафы за незаконную обработку персональных данных существенно выросли, а Роскомнадзор получил полную свободу действий по отношению к нарушителям.
Рассказываем, как сделать все правильно и обезопасить свой бизнес.
В чем суть 152-ФЗ
Любое юридическое лицо, ИП или некоммерческая организация является оператором персональных данных , которые условно делятся на 3 категории:
- информация о сотрудниках,
- информация о клиентах,
- данные о пользователях сайта.
На любого оператора распространяются требования закона к обработке и защите персональных данных:
- получать, хранить и использовать данные можно только с согласия владельцев,
- использовать их можно только в целях, указанных во взаимном соглашении,
- хранить данные необходимо на территории РФ (это касается всех видов носителей — в частности, хостинга сайта),
- требуется удалять или обезличивать данные по окончании использования.
Карать за незаконную обработку персональных данных может Роскомнадзор, Федеральная служба по техническому и экспортному контролю и даже Трудовая инспекция.
Не ответили вовремя на запрос пользователя удалить его из базы рассылки? Штраф 40 тыс. руб. Храните резюме сотрудников в открытом доступе — 50 тыс. руб. Не уведомляете пользователей сайта о сборе их персональных данных — 75 тыс. руб.
Не забывайте о том, что штрафы по разным нарушениям суммируются, сайту грозит блокировка, а особо активные владельцы персональных данных могут пойти в суд и потребовать возмещения морального ущерба.
Как соблюсти требования закона
- Сначала приведите сайт в соответствие с требованиями 152-ФЗ — скорее всего аудит начнут именно с него и в первую очередь придут к тем, у кого на сайте нет ни слова про персональные данные.
- Затем начинайте вносить изменения в документооборот компании — это может занять не один месяц.
- Не используйте данные ваших пользователей для рекламы без их согласия. Это касается и онлайн-пользователей, и покупателей оффлайн-магазинов, которые оставляют свои координаты, получая карты лояльности. Уставшие от назойливых рассылок граждане теперь могут подать на вас жалобу и быть услышанными.
- Если среди ваших сотрудников, клиентов или целевой аудитории есть жители европейских стран, с 26 мая 2018 г. вам также нужно выполнять требования Регламента GDPR.
План действий: сайт
Шаг 1. Разработать и утвердить «Политику конфиденциальности» компании
Владельцам сайтов необходимо разработать и утвердить приказом собственный документ, где будут прописаны права и обязанности оператора в отношении сбора и обработки персональных данных пользователей.
В каких случаях НЕ нужно подавать заявление:
- если вы обрабатываете персональные данные без средств автоматизации (компьютера),
- если вы обрабатываете только внутренние персональные данные (сотрудников, клиентов или партнеров на основании договорных отношений),
- если все данные ваших пользователей находятся в публичном доступе (например, комментарии к записям),
- если вы собираете только ФИО пользователей,
- общественным, религиозным и государственным структурам.
Всем сайтам, где пользователи оставляют адрес электронной почты, телефон или платежные данные, подавать заявление нужно.
План действий: документооборот
Шаг 1. Назначить лиц, ответственных за ПД
Необходимо назначить сотрудника, ответственного за обработку персональных данных в компании — речь идет о данных сотрудников, клиентов и партнеров. Это может быть бухгалтер или кто-то из руководства.
Шаг 2. Составить внутренние правила обращения с ПД
Нужно составить Правила обработки персональных данных в компании и в письменной форме ознакомить с ними сотрудников. В документе, в том числе, нужно отразить уровни доступа к конфиденциальным данным, согласно с должностными инструкциями. Все сотрудники должны подписать Обязательство о неразглашении персональных данных.
Правила обработки персональных данных должны быть прописаны отдельным разделом и в договорах с клиентами и партнерами компании. Также это можно сделать в форме Соглашения, которое подписывается в дополнение к существующему договору.
Не обязательно, но желательно
1. Защитить информационные системы
Если конфиденциальные данные пользователей задействованы в информационных системах (к примеру, в 1С, CRM и т.д.), нужно убедиться в высоком уровне их технической защищенности, составить специальный акт, а при наличии угроз — техническое задание на проект системы защиты с использование продукта, рекомендованного ФСТЭК. Процедура долгая и достаточно дорогая.
В первую очередь, это актуально для корпораций, больших интернет-магазинов, государственных и общественных учреждений. Особенно осторожными нужно быть владельцам компаний, которые собирают и обрабатывают данные более чем 100 000 субъектов, касающиеся политических взглядов, состояния здоровья, интимной жизни, расовой или национальной принадлежности, а также религиозных убеждений.
Риск проверки этого требования ФСТЭК и ФСБ РФ у малого и среднего бизнеса крайне мал. Бюджетный вариант для подстраховки — организовать хранение баз данных в облаке с помощью специального сервиса.
2. Перейти на защищенный протокол HTTPS
Установка протокола HTTPS для шифрования данных и их безопасной передачи не является требованием 152-ФЗ, но очень рекомендуется. Если вы до сих пор этого не сделали, то рекомендуем запланировать переход до конца 2018 года.
Для чего это нужно, если кратко: протокол исключает перехват информации сторонним сервисом и ее использование мошенниками, существенно повышая доверие и пользователей, и поисковых систем.
Для корректного перехода на HTTPS обратитесь к своему SEO подрядчику.
Однако практика показывает, что при проверке контролирующий орган скорее всего будет трактовать закон в свою пользу. Рекомендуем всем реализовать тот минимум, который мы изложили, и спать спокойно.
Для наших клиентов на продвижении мы сами выполняем требования к сайту (пункты 1-4).
1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.
3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:
1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
4) цель обработки персональных данных;
5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
9) подпись субъекта персональных данных.
5. Порядок получения в форме электронного документа согласия субъекта персональных данных на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, устанавливается Правительством Российской Федерации.
6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.
7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
8. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.
"О персональных данных" (ФЗ №152)? Какие основные требования и положения содержатся в этом проекте? На все эти вопросы будут даны ответы в статье.
Общие положения
Какие цели преследует рассматриваемый законопроект? Первое и самое основное - это регулирование отношений, связанных с обработкой информации. Речь идет о средствах автоматизации, информационных и телекоммуникационных сетях, материальных носителях и картотеках. Закон не регулирует защиту данных в конкретной бытовой сфере, семейной или личной. Важнейшим направлением работы представленного законопроекта является защита свобод и прав граждан путем качественного обрабатывания их персональных данных. Нужно это для качественного обеспечения неприкосновенности частной, семейной и личной жизни.
Закон "О персональных данных" направлен на защиту прав граждан. А что подразумевается под персональными данными? Если вкратце, то это абсолютно любая информация, косвенно или напрямую относящаяся к тому или иному лицу. Процесс обработки этих данных представляет собой ряд операций, направленных на хранение, блокирование, удаление или систематизацию информации.
Принципы
№152) содержит в себе ряд основных принципов, на которых и держится весь процесс обработки информации. Что это за принципы? Здесь можно выделить следующее:
- Все действия должны осуществляться на справедливой и законной основе. Существование рассматриваемого законопроекта подтверждает этот принцип.
- Должна быть установлена конкретная, четкая цель. Любое отхождение от этой цели недопустимо (целью является защита прав граждан).
- Должна быть обеспечена точность, достаточность и актуальность заданных целей. Должно быть установлено содержание (его содержит закон о персональных данных).
- Хранение всех необходимых данных должно осуществляться в соответствии со всеми сроками, требованиями и целями.
Таким образом, рассматриваемый нормативный акт содержит в себе все необходимые принципы, на основе которых может строиться деятельность по защите информации.
Условия
Обработка персональных данных должна осуществляться не только в соответствии с определенными принципами, но и в строгом подчинении определенным условиям. Что это за условия и как они группируются? Вот что стоит выделить:
- Обязательное согласие гражданина на обработку его данных - важнейшее условие, которое содержит в себе закон "О персональных данных" (ФЗ №152).
- Вся обработка данных направлена в первую очередь на достижение определенных целей, регулируемых законами и договорами Российской Федерации.
- Обработка персональных данных направлена на осуществление правосудия или исполнение каких-либо правовых актов.
- Если получение согласия со стороны гражданина невозможно, обработка его данных все же должна производиться в случае, когда жизни или здоровью человека угрожает опасность.
Стоит также отметить, что обработка всех необходимых персональных данных должна осуществляться специальными, уполномоченными на то операторами. Обязанности этих специалистов будут приведены далее.
Категории
Положение о защите персональных данных содержит в себе определенные типы и категории тех элементов информации, которые должны подвергаться обработке. О чем именно идет речь? Если вкратце, то охарактеризовать основные категории можно как расовые, национальные, религиозные или любые иные убеждения, предусмотренные соответствующим законопроектом. Их обработка должны осуществляться только с непосредственного согласия гражданина и в соответствии со всеми нормами, стандартами и правилами.
Раскрыть основные категории персональных данных подробнее, надо сказать, весьма затруднительно. Но, как правило, это конфиденциальная информация о разного рода физических лицах, государственных служащих, военных и т.д. Все то, что гражданин не хотел бы оглашать прилюдно, должно находиться под защитой государства. Это личные паспортные данные, номера свидетельств или прав, мировоззренческие убеждения и прочее.
Права субъектов
Закон "О персональных данных" (ФЗ №152) гласит, что любой гражданин, чьи данные подвергаются обработке, имеет право в любой момент получить всю необходимую информацию как о своих данных, так и об уровне их защиты. Каждый человек может сделать специальный запрос, после чего любой освободившийся оператор должен предоставить все необходимые данные.
При этом субъект имеет право:
- на просмотр всех необходимых данных;
- на уничтожение обрабатываемой информации;
- на внесение в информацию определенных изменений.
Для того чтобы получить всю необходимую информацию, субъект должен сделать запрос с предоставлением своего личного номера (удостоверяющего личность). При этом каждый гражданин имеет право делать повторные запросы в необходимые инстанции.
Стоит также отметить, что оператор вправе отказать субъекту в просмотре необходимой информации. Однако отказ этот должен быть мотивирован. Как правило, основными мотивами являются неверно оформленный запрос, неоконченная обработка данных или ограниченное правовое положение самого субъекта.
Обязанности оператора
Кто такие операторы? Речь об этих работниках уже шла выше, однако их основные функции так и не были обозначены. Соответствующее положение о защите персональных данных регламентирует здесь следующее:
- оператор обязан сообщать субъекту свою должность, фамилию и имя, а также адрес;
- работать должен в строгом соответствии с законом, на основе определенных правовых актов;
- обязан сообщать субъекту все необходимые правила пользования персональной информацией;
- обязан качественно обеспечивать запись, хранение, систематизацию, накопление и изменение всех защищаемых и обрабатываемых персональных данных.
Стоит также отметить, что оператор имеет право не предоставлять гражданину персональные сведения, если идет их активная обработка или же если сам субъект не соблюдал все необходимые правила и условия получения персональных данных.
Меры по обеспечению безопасности
Выше были обозначены основные функции и обязанности операторов - работников по обработке персональных данных. Одной из важнейших функций любого оператора остается обеспечение безопасного хранения информации в соответствующих ресурсах. Федеральный Закон РФ от 27 июля 2006 года (№152, ФЗ) регламентирует основные меры и методы, позволяющие обеспечивать качественную безопасность любых персональных данных. Вот что здесь можно выделить:
- эффективное и быстрое выявление угроз безопасности, их скорое устранение;
- четкое применение разного рода технических и организационных мер, позволяющих сохранять безопасность хранения;
- составление оценок для соответствующих процедур, анализ работы хранения и накопления;
- качественное обеспечение машинных носителей, а также разного рода технических элементов;
- быстрое восстановление доступа ко всем персональным данным в случае их утечки или потери.
Помимо того, некоторые изменения в законе касаются и установления определенных уровней защищенности, в соответствии с которыми можно качественно оценивать работу по обработке персональных данных.
Уполномоченный орган
Необходимо, наконец, рассказать об уполномоченном органе, в обязанности которого и входит контроль над персональной обработкой данных тех или иных граждан. Несложно догадаться, что уполномоченной инстанцией является орган исполнительной власти. Именно в его обязанности входит качественный контроль и надзор над эффективной работой по обработке информации. Что вправе делать уполномоченный орган?
Вот что регламентирует закон №152 (ФЗ) "О персональных данных".
Не спешите закрывать статью. Вы наверняка мысленно задались вопросом — «А при чем здесь я?» — отвечаю, данный закон может коснуться и вас в том числе, а вы даже можете этого и не подозревать. Давайте по порядку.
Вступление
7 февраля 2017 года были внесены поправки в статью 13.11 КоАП по поводу нарушений закона о персональных данных. Вступят в силу эти поправки уже скоро — 1 июля 2017 года.
Что такое персональные данные?
Под персональными данными можно понимать любую информацию, прямо или косвенно относящуюся к определенному физическому лицу (субъекту персональных данных) – пункт 1 статьи 3 Федерального закона от 27 июля 2006 № 152-ФЗ. Примерами такой информации может быть фамилия, имя, отчество, дата и место рождения, место проживания и т. д.
Что изменится 1 июля 2017 года?
Новый Федеральный закон от 07.02. 2017 № 13-ФЗ значительно расширил перечень оснований для привлечения лиц к административной ответственности в области защиты персональных данных, а также увеличил размеры административных штрафов.
Что интересно, выписывать протоколы о правонарушении в этой области будет не прокуратура, как раньше, а Роскомнадзор. А это значит, что дела пойдут гораздо быстрее и штрафы будут рассылаться пачками, если не упаковками.
Причем тут мы
Наверное большая часть моих читателей все еще не понимает, как все это относится к ним. Но грань тут очень тонкая, как понять, являетесь ли вы оператором персональных данных?
Если с помощью вашего блога, сайта, портала, интернет-магазина вы получаете какие-либо персональные данные от пользователя (какие именно, смотреть выше) — то вы автоматически попадаете под этот закон. Элементарно, на вашем сайте можно зарегистрироваться, вводя свое имя, эл.почту, адрес? Поздравляю, вы уже попали под закон.
Это вас касается если:
Ваш сайт позволяет производить регистрацию пользователей (даже с минимальным набором данных «имя + e-mail»). Примеры:
- форумы;
- социальные сети;
- многие новостные сайты;
- интернет-магазины;
- блоги;
- сайты с частными объявлениями;
- и так далее.
Ваш сайт позволяет вносить в формы персональные данные пользователей , которые впоследствии публикуются на сайте или отправляются по e-mail. Например, если на сайте есть функция «перезвонить мне», возможность отправить быстрый заказ или подписаться на рассылку и тому подобное.
Ваш сайт просто уже содержит реальные персональные данные граждан.
Ваша компания (юридическое лицо или индивидуальный предприниматель) на постоянной основе занимаются обработкой персональных данных граждан. Это справедливо для:
- большинства юридических фирм;
- абсолютно всех регистраторов (в смысле компаний, занимающиеся регистрацией юрлиц и ИП, изменениями, ликвидацией и так далее);
- реестродержателей;
- бухгалтерских компаний, оказывающих услуги по аутсорсингу бухгалтерии и кадрового делопроизводства;
- банков, МФО и других компаний финансового сектора, работающих с данными граждан;
- медицинских учреждений;
- магазинов, салонов красоты и других подобных организаций с персональными клубными картами (это особенно популярно у сетевых магазинов косметики);
- образовательных организаций и учреждений (в том числе проводящих краткосрочные курсы или разовые тренинги);
- ТСЖ и управляющих компаний в сфере ЖКХ;
- турагентств;
- третейских судов;
- и так далее.
Ваша компания активно работает с внештатными сотрудниками (по гражданско-правовому договору).
Ваша компания использует CRM или аналогичные системы .
Что делать?
Нужно уметь правильно работать с персональными данными.
Как минимум нужно:
- получить письменное согласие с каждого пользователя, клиента или подписчика на обработку, хранение и распространение персональных данных;
- публиковать в открытом доступе информацию обо всём, что касается персональных данных пользователя;
- запрашивать только те данные, которые нужны для конкретной цели. Например, нельзя просить домашний адрес или паспортные данные для подписки на рассылку по электронной почте;
- использовать данные только для тех целей, которые указаны в документах и о которых человека предупредили;
- сообщать по запросу человека, какие у вас есть данные о нем, как и для чего они обрабатываются и кому вы их передавали;
- удалять по первому требованию данные, которые используются для рассылки информации о скидках и акциях;
- хранить базы данных в надежном месте, защищать их от взлома и утечки;
- научить сотрудников работать с персональными данными;
Исключения
Вас это не касается в следующих случаях, так как на них ФЗ «О персональных данных» не распространяется:
- Обработка персональных данных производится физическими лицами исключительно для личных и семейных нужд, но если при этом не нарушаются права субъектов персональных данных;
- Обработка персональных данных производится при работе с документами Архивного фонда Российской Федерации и аналогичных документов;
- Персональные данные, отнесены к сведениям, составляющим государственную тайну;
- Персональные данные относятся к публичной информации о деятельности судов в РФ.
К сожалению, я не юрист в этой области и я не смогу дать вам точных ответов что именно нужно сделать чтобы обезопасить себя на 100%. Что уж там, даже сами профи не могут дать однозначных ответов, так как существует очень много нюансов и неточностей, не говоря уже про то, что закон не вступил в силу. В любом случае, цель моего поста была именно предупредить Вас о том, что такая «хрень» существует. Ну а дальше, как говорится, предупрежден — значит вооружен