Изменения по защите персональных данных. Закон о защите и использовании персональных данных

С развитием цифровых технологий многие организации сталкиваются с проблемой, связанной с хранением и обработкой персональных данных клиентов. Принятый закон о персональных данных призван обеспечить права и свободы гражданина в тот момент, когда его личная информация хранится или используются в различных государственных и коммерческих структурах.

Краткий обзор федерального закона 152 ФЗ

Закон даёт определение персональным данным, согласно ему это набор информации, которая может поспособствовать идентификации лица.

К таким типам информации относятся:

• Ф.И.О.;
• полная дата рождения;
• адрес ;
• сведения о доходах;
• сведения о социальном положении;
• личные номера телефонов;
• сведения об образовании;
• банковские реквизиты;
• данные для доступа в аккаунты;
• личная переписка;
• биометрические показатели.

В любой из форм должна содержаться следующая информация:

• Ф.И.О;
• полный адрес;
• номер документов удостоверяющих личность;
• дата их выдачи;
• органы, выдавшие удостоверяющие документы;
• полное наименование оператора;
• адрес его регистрации;
• цели обработки персональной информации;
• список персональной информации, которая подлежит обработке;
• список всех действий, которые будут производиться с предоставляемой информацией;
• срок действия соглашения по обработке;
• способы отзывов соглашения;
• подпись и инициалы субъекта.

Ели субъект является недееспособным, тогда предоставить к обработке его персональные данные может законный представитель.

Ответственность за нарушение

Во многих законах присутствует статья за нарушения обработки и распространение персональных данных. Основной мерой воздействия на нарушителей является выплата денежного штрафа. Однако, в каждом из перечисленных законов присутствуют и иные санкции.

КоАП	Как уже писалось выше, нововведения коснутся размеров штрафов за административное нарушение. Минимальная сумма штрафа будет 1 500 р. для физических лиц. Самая большая сумма будет у юридических лиц и составит 75 000 рублей.
Уголовный кодекс	В уголовном кодексе за незаконную обработку сбор или распространение данных, таких как: информация о частной жизни; личная или семейная тайна; личная переписка. Предусмотрена ответственность в виде штрафа до 300 тысяч рублей, принудительных работ или лишения свободы до 4 лет.
Гражданский кодекс	Потерпевший субъект может обратиться в суд с иском о возмещении морального или физического вреда и понесенного убытка в связи с нарушением обработки его персональных данных. Суд определяет размер компенсации самостоятельно, однако эта сумма не имеет ограничений.
Трудовой кодекс	Работники при нарушении могут получить от работодателя выговор или замечание. В зависимости от степени причиненного ущерба работник может быть уволен. Руководитель имеет полное право уволить работника по собственной инициативе, если тот разглашал сведения, касающиеся охраняемых законом тайн или персональной информации другого сотрудника.

Видео: Закон о персональных данных в РФ: забота о пользователях или тотальный контроль?

Здравствуйте, уважаемые читатели! Совсем недавно вступили в силу изменения в ст. 13.11 КоАП РФ, внесенные Федеральным законом от 07.02.2017 № 13-ФЗ. Персональные данные с 1 июля 2017 года стали для кого-то головной болью, а кто-то на эти изменения не обратил внимания. Как выясняется при анализе поправок — зря.

Законодательство о персональных данных весьма сложное и непонятное. Но ориентироваться в нем сейчас совершенно необходимо, чтобы не попасть под крупный штраф.

Если объяснять суть изменений в двух словах, то штрафы выросли на несколько порядков (до 75 тыс. руб. за одно нарушение), а совершить правонарушение без знания закона можно запросто даже не подозревая об этом.

Поэтому давайте по порядку разбираться во внесенных и вступивших в силу изменениях, на которые многие упорно не обращают внимание.

Сперва давайте в целом поговорим о том, что такое персональные данные.

Что относится к персональным данным физического лица

Отношения, возникающие по поводу обработки персональных данных регулируются Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Ключевым понятием, вокруг которого вертится все остальное, является понятие самих персональных данных.

В соответствии с п. 1 ст. 3 указанного закона это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Из этого определения следуют два важных вывода:

1. Субъектом персональных данных может быть только физическое лицо. Сведения о юридическом лице не являются и не могут являться персональными данными.
2. Чтобы сведения о физическом лице признавались персональными данными, они должны позволять идентифицировать его.

С первым выводом все понятно. Со вторым возникает серьезный вопрос: при каких условиях информация, имеющая отношение к человеку, начинает рассматриваться как персональные данные? Что является персональными данными по закону?

При ответе на этот вопрос выделяют два подхода:

1. Это только та информация, из которой можно сделать однозначный вывод о том, что речь идет о конкретном человеке.
2. Это любая информация, которая имеет отношение к физическому лицу и позволяет выделить его из общей массы людей.

Но это теоретические подходы. Правильный выбор затруднен из-за отсутствия в законе перечня примеров возможных видов персональных данных. В определенной степени этот пробел восполняется судебной практикой.

Например, в Определении Верховного Суда РФ от 24.06.2015 № 18-АПГ15-7 указано:

«...К данным сведениям относятся фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация».

Апелляционное определение Санкт-Петербургского городского суда от 13.12.2016 N 33-26115/2016 по делу N 2-3830/2016 повторяет то же самое.

Особого внимания заслуживает информация, которую пользователи оставляют на посещаемых сайтах в сети Интернет. Анализ самой последней судебной практики (в частности, Постановления Девятого арбитражного апелляционного суда № 09-АП-17574/2016 от 23.05.2016 по делу № А40-14902/2016) позволяет сделать вывод, что сведения об IP-адресе пользователя, cookie, сведения о географическом местоположении устройства пользователя и т. п. тоже считаются персональными данными.

В целом суды придерживаются первого подхода — к персональным данным относится только та информация, из которой можно сделать однозначный вывод о том, что речь идет о конкретном человеке.

Обычно это связка «имя» и что-то еще. Например, номер мобильного телефона. Или адрес электронной почты. Или те же cookie и иные метаданные.

Поэтому если на сайте есть какая-либо форма для заполнения пользователями, в которой есть поле «Имя», то вместе с передаваемыми метаданными (IP, cookie) вся эта информация будет относиться к персональным данным, а значит владелец этого интернет-ресурса является оператором их обрабатывающим.

Если совсем по-простому, то при наличии на вашем сайте формы обратной связи, то вы обрабатываете персональные данные. А если есть форма подписки, как у меня, то и подавно.

Роскомнадзор придерживается позиции, что персональные данные — это любая информация, относящаяся к физическому лицу. Такую информацию озвучивает само ведомство. Факт идентификации или неидентификации субъекта персональных данных оператором не влияет на статус данных как персональных.

Отговорка «я не обрабатывают персональные данные, я их только собираю», не сработает.

По поводу нарушений закона о персональных данных. Они вступят в силу 1 июля 2017 года и коснутся всех, кто собирает, обрабатывает и хранит любые персональные данные.

Штрафы разделили по видам нарушений и увеличили в десятки раз. Например, если не разместить на сайте политику конфиденциальности, ИП могут оштрафовать на 10 тысяч рублей, а компанию - на 30 тысяч. А если обрабатывать персональные данные без согласия клиента интернет-магазина или подписчика на информационный курс, то штраф для юрлица составит до 75 тысяч рублей. Директору компании или предпринимателю придется заплатить до 20 тысяч . Если нарушений несколько, то и штрафов будет несколько.

Нужно срочно привести в порядок свои сайты. Проверки уже идут 💻

Сейчас протоколы о нарушениях может выписывать только прокуратура. Штраф не зависит от вида нарушения и составляет для ИП или директора максимум 1000 рублей, а для юрлица - 10 тысяч рублей. Процедура занимает много времени, штрафы маленькие, поэтому проверяют редко и не всех.

Как узнать, являюсь ли я оператором персональных данных?

Персональные данные - это любые данные о человеке, по которым его можно идентифицировать. В законе нет перечня таких данных, поэтому приходится догадываться самим. Например, по имени или логину нельзя понять, что это за человек, а по имени и телефону или имени и электронной почте - можно.

Скорее всего, вы являетесь оператором персональных данных, если каким-то образом получаете от любых людей такую информацию в любом сочетании:

• фамилию,
• отчество,
• какой-то физический адрес,
• электронную почту,
• телефон,
• дату или место рождения,
• фотографию,
• ссылку на персональный сайт или соцсети,
• профессию,
• образование,
• уровень доходов,
• семейное положение.

Это значит, что все владельцы сайтов, на которых есть личные кабинеты, формы обратной связи, подписки или регистрации, где можно что-то купить, разместить объявление, заполнить анкету, - это операторы персональных данных. Даже если на сайте есть только кнопка для заказа звонка или отправки сообщения - это тоже обработка персональных данных.

А если я записываю телефон друга или электронную почту девушки на сайте знакомств, мне нужно соблюдать этот закон?

Нет, не нужно. На данные для личных и семейных нужд закон не распространяется. Но если передать телефон друга коллекторам или опубликовать объявление с почтой девушки на форуме женоненавистников - это уже нарушение.

Как правильно работать с персональными данными, чтобы не нарушить закон?

Как минимум нужно:

• получать письменное согласие у каждого посетителя, клиента или подписчика на обработку, хранение и распространение персональных данных;
• публиковать в открытом доступе информацию обо всём, что касается персональных данных клиентов и посетителей;
• запрашивать только те данные, которые нужны для конкретной цели. Например, нельзя просить домашний адрес или паспортные данные для подписки на рассылку по электронной почте;
• использовать данные только для тех целей, которые указаны в документах и о которых человека предупредили;
• сообщать по запросу человека, какие у вас есть данные о нем, как и для чего они обрабатываются и кому вы их передавали;
• удалять по первому требованию данные, которые используются для рассылки информации о скидках и акциях;
• хранить базы данных в надежном месте, защищать их от взлома и утечки;
• научить сотрудников работать с персональными данными;
• зарегистрироваться в Роскомнадзоре.

Что? Я должен еще где-то зарегистрироваться?

Да, по закону операторы персональных данных должны уведомить Роскомнадзор . Причем сделать это нужно до начала обработки данных или как можно скорее. Роскомнадзор внесет информацию об операторе в общий реестр и будет выдавать по запросу.

Уведомление можно не подавать, если:

• обрабатываются только данные сотрудников;
• персональные данные получены только для исполнения конкретного договора с конкретным человеком и больше никак не будут использоваться и тем более - распространяться;
• человек сам опубликовал эти данные в общем доступе;
• у вас есть только ФИО клиента и больше ничего.

У меня есть сайт, и я получаю персональные данные. Что мне делать?

Если вы до сих пор ничего не сделали, то вы уже нарушаете закон и вас уже сейчас могут оштрафовать. Даже если ваш сайт обслуживает веб-студия или удаленный айтишник, штраф всё равно выпишут на ту компанию или ИП , которые указаны на сайте.

Подготовьте публичные документы и разместите их на сайте так, чтобы они были доступны на всех страницах. Это может быть пользовательское соглашение, как у «Ламоды» , правила продажи, официальное уведомление, как у «М-видео» , политика конфиденциальности, как у «Рестора» , «Адидаса» или «Озона» . Можно прописать условия обработки персональных данных в обычном договоре или оферте, как это делает Сбербанк .

Не используйте чужие документы. Их можно взять для ориентира, но список данных и цели использования нужно прописывать свои. То, что нужно банку для оформления кредита или интернет-магазину для доставки товара, не понадобится для электронной рассылки или доски объявлений. Запрашивать ненужные данные - нарушение закона и повод для штрафа.

Реализуйте решение, которое позволит четко установить, что человек согласился на обработку персональных данных. Это может быть галочка в форме регистрации или предупреждение при оформлении заказа. Для надежности заверьте веб-страницы у нотариуса.

Подготовьте внутренние документы о хранении персональных данных и ответственности сотрудников, которые с ними работают. Приказы, регламенты и должностные инструкции не нужно выкладывать в общий доступ.

Если нужно, отправьте уведомление в Роскомнадзор. Если уверены, что уведомление отправлять не нужно, оформите документы так, чтобы это было понятно при проверке. Например, пропишите в политике, что используете персональные данные только для исполнения конкретного договора. Или укажите, что создаете ресурс, на котором данные размещаются в общем доступе по желанию пользователя.

Это правда, что хранить персональные данные можно только на российских серверах? Если у меня хостинг в Европе, я нарушаю закон?

В законе много непонятного по этому поводу. С одной стороны, собирать, обрабатывать и хранить базы данных нужно на российских серверах. Но при этом есть отдельная статья про трансграничную передачу данных. На сайте Минкомсвязи опубликованы разъяснения по этому поводу, но в них тоже много противоречий.

Сами делайте выводы, где хранить данные. Если не знаете, что делать, отправьте запрос в Роскомнадзор или Минкомсвязи. Еще можно обратиться к своему хостеру: чаще всего у таких компаний есть готовые решения.

Да успокойтесь вы все! Никого не будут штрафовать из-за каких-то форм на сайте и ненужных бумаг.

В Тамбовской области прокуратура оштрафовала юридическую компанию за заполнение формы обратной связи без согласия пользователя на обработку персональных данных. Суды поддержали.

Директора управляющей компании оштрафовали за то, что он передал юристам данные должников, чтобы составить исковые заявления. Согласие на обработку персональных данных у жильцов он не получил. Конституционный суд ему не помог.

В Астрахани прокуроры штрафуют владельцев сайтов за формы обратной связи по алфавиту.

Кроме штрафов в пользу государства за нарушение правил обработки персональных данных могут взыскать компенсацию морального вреда и даже посадить в тюрьму.

В законе про персональные данные много непонятного. Мы разобрались и ответили на

С 1 июля выросли штрафы за нарушение обработки личных данных работников, поэтому стоит навести порядок в документах и проинструктировать персонал. Подробнее о работе с персональными данными с 1 июля 2017 года - в этой статье.

Персональные данные - это любая информация, относящаяся к конкретному сотруднику. Например, Ф. И. О., дата и место рождения, место проживания и др. Работодатель - организация или ИП - в этом случае выступает оператором данных , которые ему становятся известны о сотруднике, и обязан хранить такие сведения в соответствии с установленным порядком.

Личные данные работодателю сообщают только сами работники. После такие сведения, как правило, обобщаются в личных карточках или делах. Если же персональные сведения можно получить от третьих лиц, то об этом следует уведомить работника и получить от него письменное согласие (п. 3 ч. 1 ст. 86 ТК РФ).

Работодатели не вправе получать и обрабатывать персональные данные, которые не относятся к трудовой деятельности, например сведения о личной или семейной жизни. А распространять и раскрывать персональные данные третьим лицам можно только с согласия работника (ст. 7 Федерального закона от 27.07.2006 № 152-ФЗ).

С 1 июля 2017 года введены новые штрафы за нарушения требований обработки и защиты персональных данных. Поэтому следует навести порядок в документах и проинструктировать подчиненных, чтобы компания и лично главбух избежали штрафов.

Обработка персональных данных с 1 июля 2017 года

Основная задача работодателя - защита персональных данных сотрудников. Порядок получения, обработки, передачи и хранения персональных данных должен быть закреплен в локальном акте организации, например в Положении об обработке персональных данных работников (ст. 8, 87 ТК РФ, п. 2 ч. 1 ст. 18.1 закона № 152-ФЗ).

В организации должен быть официально назначен сотрудник, отвечающий за работу с персональными данными (ч. 5 ст. 88 ТК РФ). Это может быть, например, работник отдела кадров.

Организация должна принимать необходимые меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения. Меры безопасности при обработке персональных данных прописаны подробно в статье 19 закона № 152-ФЗ. Напомним о них.

Для обеспечения безопасности персональных необходимо своевременно определять угрозы безопасности при обработке, применять надежные средства защиты и оценивать эффективность защиты, принимать меры для предотвращения незаконного доступа к данным, установить правила доступа к данным, регистрировать и вести учет всех действий при работе с данными.

С 1 июля 2017 года расширен перечень оснований, по которым работодателя привлекут к административной ответственности , если выяснится, что нарушен порядок работы с данными. Изменения внес Федеральный закон от 07.02.2017 № 13-ФЗ. Расскажем о них подробнее.

Вместо одного вида административной ответственности, который был раньше. теперь статья 13.11 КоАП РФ предусматривает семь пунктов. Шесть из них касаются организаций и ИП. То есть за различные нарушения работодателей при работе с персональными данными можно будет применять разные штрафы.

Примеры ошибок обработки персональных данных с 1 июля 2017 года

Оставили документы с личными данными на столе . Штраф за это нарушение - 50 тыс. рублей на компанию, 10 тыс. рублей на главбуха (ч. 6 ст. 13.11 КоАП РФ). Оставлять документы работников на всеобщее обозрение нельзя. Информацией о сотруднике могут воспользоваться посторонние.

Надо разработать порядок работы с персональной информацией. Например, запретить оставлять на столе бумаги с личными данными и выносить их за пределы кабинета. А документы хранить в сейфе или шкафу, где доступ к ним будет ограничен.

Не выдали работнику документы с его данными . Сокрытие от человека его персональных данных - тоже нарушние. Штраф - 50 тыс. рублей на компанию, 5 тыс. рублей на главбуха (ст. 5.27 КоАП РФ).

Выдавайте работникам расчетные листки. Для этого теперь даже не надо тратиться на бумагу. Можно разослать листки на электронную почту либо сообщением на корпоративном сайте вашей организации. Сведения о стаже выдавайте в течение 5 календарных дней с момента, когда за ними обратится работник, а также в день увольнения.

Не обновили старые данные . Штраф составит 45 тыс. рублей на компанию, 10 тыс. рублей - на главбуха (ч. 5 ст. 13.11 КоАП РФ). Данные работника могут меняться, поэтому их надо обновлять по просьбе сотрудника. Например, сотрудница вышла замуж и сменила фамилию, адрес или реквизиты счета. Если компания не обновит информацию, то нарушит правила работы с данными.

Сразу вносите новые сведения в базу, если сотрудник принес документы. Так вам будет проще заполнять отчетность.

Разместили информацию на стенде . Штраф - 75 тыс. рублей на компанию, 20 тыс. рублей на главбуха (ч. 2 ст. 13.11 КоАП РФ). Личные данные можно раскрыть и случайно. Например, главбух разместил на стенде копию заявления сотрудника на имущественный вычет как образец. В документе личные реквизиты, поэтому это нарушение. Сотрудник не давал согласие, чтобы информация о нем стала общедоступной. Размещать информацию нельзя и на доске позора. Для этого необходимо запросить согласие работника.

Не разглашайте сведения о сотрудниках без согласия. Если нужно вывесить образец, используйте вымышленные сведения.

Передали имя, адрес или номер телефона сотрудника . Цена нарушения - 50 тыс. рублей на компанию, 10 тыс. рублей на главбуха (ч. 1 ст. 13.11 КоАП РФ). Информацию о сотрудниках запрещено передавать третьей стороне без согласия, например банкам или коллекторским агентствам. Чтобы передать информацию, запросите согласие работника.

Передавать информацию о сотруднике по просьбе другой организации или «физика» можно, только если работник выдал им доверенность на получение сведений. Согласие работника на обработку данных не требуется только в случаях, которые предусмотрены законом. Например, если работник покупает что-то у компании и хочет получить на почту или телефон электронный чек (письмо Минкомсвязи России от 07.07.2017 № П11-15054-ОГ).