О сборе персональных данных. Закон о хранении персональных данных россиян

По поводу нарушений закона о персональных данных. Они вступят в силу 1 июля 2017 года и коснутся всех, кто собирает, обрабатывает и хранит любые персональные данные.

Штрафы разделили по видам нарушений и увеличили в десятки раз. Например, если не разместить на сайте политику конфиденциальности, ИП могут оштрафовать на 10 тысяч рублей, а компанию - на 30 тысяч. А если обрабатывать персональные данные без согласия клиента интернет-магазина или подписчика на информационный курс, то штраф для юрлица составит до 75 тысяч рублей. Директору компании или предпринимателю придется заплатить до 20 тысяч . Если нарушений несколько, то и штрафов будет несколько.

Нужно срочно привести в порядок свои сайты. Проверки уже идут 💻

Сейчас протоколы о нарушениях может выписывать только прокуратура. Штраф не зависит от вида нарушения и составляет для ИП или директора максимум 1000 рублей, а для юрлица - 10 тысяч рублей. Процедура занимает много времени, штрафы маленькие, поэтому проверяют редко и не всех.

Как узнать, являюсь ли я оператором персональных данных?

Персональные данные - это любые данные о человеке, по которым его можно идентифицировать. В законе нет перечня таких данных, поэтому приходится догадываться самим. Например, по имени или логину нельзя понять, что это за человек, а по имени и телефону или имени и электронной почте - можно.

Скорее всего, вы являетесь оператором персональных данных, если каким-то образом получаете от любых людей такую информацию в любом сочетании:

• фамилию,
• отчество,
• какой-то физический адрес,
• электронную почту,
• телефон,
• дату или место рождения,
• фотографию,
• ссылку на персональный сайт или соцсети,
• профессию,
• образование,
• уровень доходов,
• семейное положение.

Это значит, что все владельцы сайтов, на которых есть личные кабинеты, формы обратной связи, подписки или регистрации, где можно что-то купить, разместить объявление, заполнить анкету, - это операторы персональных данных. Даже если на сайте есть только кнопка для заказа звонка или отправки сообщения - это тоже обработка персональных данных.

А если я записываю телефон друга или электронную почту девушки на сайте знакомств, мне нужно соблюдать этот закон?

Нет, не нужно. На данные для личных и семейных нужд закон не распространяется. Но если передать телефон друга коллекторам или опубликовать объявление с почтой девушки на форуме женоненавистников - это уже нарушение.

Как правильно работать с персональными данными, чтобы не нарушить закон?

Как минимум нужно:

• получать письменное согласие у каждого посетителя, клиента или подписчика на обработку, хранение и распространение персональных данных;
• публиковать в открытом доступе информацию обо всём, что касается персональных данных клиентов и посетителей;
• запрашивать только те данные, которые нужны для конкретной цели. Например, нельзя просить домашний адрес или паспортные данные для подписки на рассылку по электронной почте;
• использовать данные только для тех целей, которые указаны в документах и о которых человека предупредили;
• сообщать по запросу человека, какие у вас есть данные о нем, как и для чего они обрабатываются и кому вы их передавали;
• удалять по первому требованию данные, которые используются для рассылки информации о скидках и акциях;
• хранить базы данных в надежном месте, защищать их от взлома и утечки;
• научить сотрудников работать с персональными данными;
• зарегистрироваться в Роскомнадзоре.

Что? Я должен еще где-то зарегистрироваться?

Да, по закону операторы персональных данных должны уведомить Роскомнадзор . Причем сделать это нужно до начала обработки данных или как можно скорее. Роскомнадзор внесет информацию об операторе в общий реестр и будет выдавать по запросу.

Уведомление можно не подавать, если:

• обрабатываются только данные сотрудников;
• персональные данные получены только для исполнения конкретного договора с конкретным человеком и больше никак не будут использоваться и тем более - распространяться;
• человек сам опубликовал эти данные в общем доступе;
• у вас есть только ФИО клиента и больше ничего.

У меня есть сайт, и я получаю персональные данные. Что мне делать?

Если вы до сих пор ничего не сделали, то вы уже нарушаете закон и вас уже сейчас могут оштрафовать. Даже если ваш сайт обслуживает веб-студия или удаленный айтишник, штраф всё равно выпишут на ту компанию или ИП , которые указаны на сайте.

Подготовьте публичные документы и разместите их на сайте так, чтобы они были доступны на всех страницах. Это может быть пользовательское соглашение, как у «Ламоды» , правила продажи, официальное уведомление, как у «М-видео» , политика конфиденциальности, как у «Рестора» , «Адидаса» или «Озона» . Можно прописать условия обработки персональных данных в обычном договоре или оферте, как это делает Сбербанк .

Не используйте чужие документы. Их можно взять для ориентира, но список данных и цели использования нужно прописывать свои. То, что нужно банку для оформления кредита или интернет-магазину для доставки товара, не понадобится для электронной рассылки или доски объявлений. Запрашивать ненужные данные - нарушение закона и повод для штрафа.

Реализуйте решение, которое позволит четко установить, что человек согласился на обработку персональных данных. Это может быть галочка в форме регистрации или предупреждение при оформлении заказа. Для надежности заверьте веб-страницы у нотариуса.

Подготовьте внутренние документы о хранении персональных данных и ответственности сотрудников, которые с ними работают. Приказы, регламенты и должностные инструкции не нужно выкладывать в общий доступ.

Если нужно, отправьте уведомление в Роскомнадзор. Если уверены, что уведомление отправлять не нужно, оформите документы так, чтобы это было понятно при проверке. Например, пропишите в политике, что используете персональные данные только для исполнения конкретного договора. Или укажите, что создаете ресурс, на котором данные размещаются в общем доступе по желанию пользователя.

Это правда, что хранить персональные данные можно только на российских серверах? Если у меня хостинг в Европе, я нарушаю закон?

В законе много непонятного по этому поводу. С одной стороны, собирать, обрабатывать и хранить базы данных нужно на российских серверах. Но при этом есть отдельная статья про трансграничную передачу данных. На сайте Минкомсвязи опубликованы разъяснения по этому поводу, но в них тоже много противоречий.

Сами делайте выводы, где хранить данные. Если не знаете, что делать, отправьте запрос в Роскомнадзор или Минкомсвязи. Еще можно обратиться к своему хостеру: чаще всего у таких компаний есть готовые решения.

Да успокойтесь вы все! Никого не будут штрафовать из-за каких-то форм на сайте и ненужных бумаг.

В Тамбовской области прокуратура оштрафовала юридическую компанию за заполнение формы обратной связи без согласия пользователя на обработку персональных данных. Суды поддержали.

Директора управляющей компании оштрафовали за то, что он передал юристам данные должников, чтобы составить исковые заявления. Согласие на обработку персональных данных у жильцов он не получил. Конституционный суд ему не помог.

В Астрахани прокуроры штрафуют владельцев сайтов за формы обратной связи по алфавиту.

Кроме штрафов в пользу государства за нарушение правил обработки персональных данных могут взыскать компенсацию морального вреда и даже посадить в тюрьму.

В законе про персональные данные много непонятного. Мы разобрались и ответили на

Работу с индивидуальными сведениями сотрудников регулирует закон о защите персональных данных (Полное название Федеральный Закон «О персональных данных») и Гражданский Кодекс Российской Федерации. Обладая конфиденциальными сведениями о наемном работнике, работодатель обязан, помимо всего, обеспечить их сохранность в соответствии с законом. Чтобы более подробно разобраться в данном вопросе, начнем, как говорится, «от печки» — для начала рассмотрим перечень персональных данных, подлежащих защите.

Оформляя трудовые отношения с новым сотрудником, работодатель собирает и обрабатывает его персональные данные. Под персональными подразумеваются индивидуальные сведения о конкретном человеке. В том числе:

• личностная информация: ФИО, возраст, половая принадлежность, фотоизображение;
• сведения о полученном образовании и профессиональных навыках;
• национальность и расовая принадлежность;
• отношение человека к наркотическим, алкогольным, психотропным веществам;
• сведения об этапах прошлой жизни (служба в рядах вооруженных сил, отбывание наказания, предыдущие места работы и т.п.);
• принадлежность к политическим и религиозным течениям;
• материальное положение;
• сведения о месте проживания;
• информация о родственных связях и семейном положении;
• оценивающая характеристика личности;
• данные о физическом и психическом состоянии сотрудника и его сексуальной ориентации;
• наличие хобби, увлечений.

Получив необходимые сведения о своем сотруднике, наниматель обязан, согласно Федеральному Закону о защите персональных данных, обработать и сохранить их. Обрабатывая индивидуальные данные сотрудников, руководитель предприятия должен соблюдать некоторые правила, предусмотренные законом:

1. Собирать и обрабатывать можно только те сведения личного характера, которые влияют на эффективность сотрудничества в рамках трудовых отношений, более качественное выполнение трудовых обязанностей и сохранение жизни и здоровья наемного работника.
2. База данных работника складывается из информации, полученной от самого сотрудника и от сторонних лиц. Запрос сведений у третьих лиц может быть осуществлен только с согласия самого работника, оформленного в письменном виде.
3. Сведения о вероисповедании, принадлежности к каким-либо политическим течениям, личной жизни, не могут быть материалом для обработки по месту трудоустройства.
4. Также не обрабатывается информация о принадлежности к профсоюзным организациям и прочим объединениям.
5. Запрещается принимать решения, ущемляющие личные права наемного рабочего, на основе автоматизированных или электронных данных.
6. Обязанность по организации защиты персональных данных на предприятии лежит на работодателе.
7. Руководитель предприятия обязан издать приказ о защите персональных данных своих сотрудников. Образец данного документа приведен ниже.
8. Сотрудник под роспись знакомится с порядком обработки его индивидуальных сведений.
9. В целях защиты своих персональных данных и на основе трудового права работник может не передавать нежелательную для него информацию.

Организация защиты персональных данных на предприятии

При обработке и использовании персональных данных своих сотрудников, у работодателя появляются обязанности:

• не распространять полученные сведения;
• предоставлять допуск к конфиденциальной информации только уполномоченным на то представителям;
• какую-либо передачу информации осуществлять только с согласия ее владельца, оформленного в письменном виде.

Помимо прочего, работодатель не имеет права собирать и обрабатывать информацию, не относящуюся к выполнению трудовых обязательств сотрудника.

Относительно вопроса об индивидуальных сведениях работников в Трудовом Кодексе РФ есть статья 89 о защите персональных данных.

Согласно закону РФ о защите персональных данных, работник имеет право:

• знать, как обрабатывается и хранится информация о его личности;
• иметь доступ к базе своих персональных сведений;
• вносить изменения в информационную базу, если таковые имеют место быть;
• защищать свое право в судебных заседаниях в случае нарушения работодателем положений о защите персональных данных;
• иметь представителей по защите своих прав.

Защита персональных данных работника - трудовое право

К защите индивидуальных сведений граждан наше законодательство подошло очень серьезно. Нарушение права по защите личных данных, предусмотренное Конституцией РФ, карается законом. В первую очередь, наказаны будут лица, допустившие нарушения прав работника, а также и руководитель данного предприятия.

Уполномоченный сотрудник, который нарушил закон «О персональных данных», воспользовавшись своим служебным положением, подвергается наказанию в виде:

• денежного штрафа в размере 100 000 – 300 000 рублей;
• материального взыскания, составляющего сумму дохода за 12-24 месяца;
• содержания под стражей до 0,5 года;
• запрета занимать определенные должности.

Также, согласно статье 137 УК РФ, лица, виновные в распространении охраняемых законом сведений, несут ответственность в виде:

• денежного штрафа в размере до 200 000 рублей;
• материального взыскания, составляющего доход за 1,5 года;
• от 120 до 180 часов обязательных работ;
• выполнения исправительных работ сроком до 12 месяцев;
• заключения под стражу до 4 месяцев.

Помимо всего, сотруднику, разгласившему охраняемую информацию, будет вынесен выговор, либо произойдет перевод его на другую должность, а возможно и увольнение .

Отстаивать права о защите своих индивидуальных сведений гражданин будет в судебном заседании. Доказав нарушения норм законодательства относительно персональных данных, работник может рассчитывать на возмещение материального и морального ущерба.

ТАСС-ДОСЬЕ. Федеральный закон (ФЗ) РФ номер 242 "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях" был подписан президентом РФ Владимиром Путиным 21 июля 2014 года. Согласно данному закону, с 1 сентября 2015 года хранение и обработка персональных данных россиян в интернете допускаются только с использованием серверов, расположенных на территории России.

Соответствующий законопроект был внесен в Государственную думу 24 июня 2014 года межфракционной группой депутатов: Вадимом Деньгиным, Андреем Луговым (оба - ЛДПР) и Александром Ющенко (КПРФ). Был принят в третьем чтении 4 июля 2014 года. 325-ю голосами "за" и 65-ю голосами "против" - не поддержали закон 60 депутатов КПРФ, из всей фракции "за" голосовал только Ющенко. Законопроект был одобрен Советом Федерации 9 июля 2014 года.

Закон вносит поправки в ФЗ "Об информации, информационных технологиях и о защите информации" от 27 июля 2006 года, ФЗ "О персональных данных" от 27 июля 2006 года. и ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" от 26 декабря 2008 года.

Согласно поправкам, операторы интернет-сайтов "обязаны обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ". Доменные имена и сетевые адреса, которые не будут соблюдать положений закона, будут внесены в специальный реестр нарушителей прав субъектов персональных данных. Вести его должен Роскомнадзор, а основанием для включения в список будет имеющий законную силу судебный акт. Кроме того, нарушение закона повлечет штраф в размере до 10 тыс. рублей или ограничение доступа к данному ресурсу. После устранения нарушений доступ предполагается восстанавливать. Исключение из закона сделано для личной информации, которая передается в рамках международных соглашений: так, при сборе личных данных для выдачи виз российским гражданам иностранные государства могут хранить их на своей территории. Также в августе 2015 г. Минкомсвязи разъяснило, что закон не коснется систем бронирования авиабилетов.

При обсуждении законопроекта в Госдуме член комитета нижней палаты парламента по информационной политике Роман Чуйченко ("Единая Россия") назвал документ вынужденной мерой, которая призвана усилить информационную безопасность страны и граждан. По его словам, "вызвана она усложнением международной ситуации".

В первоначальном тексте закона было указано, что он вступает в действие 1 сентября 2016 г. 31 декабря 2014 г. президент РФ Владимир Путин подписал закон, согласно которому новые положения вступят в силу на год раньше, с 1 сентября 2015 г.

Закон вызвал негативную реакцию крупных интернет-компаний и торговых ассоциаций: в частности, они сомневались в целесообразности и возможности переноса серверов с личными данными в сжатые сроки. Летом 2015 г. о начале переноса личных данных в Россию сообщили компании Aliexpress, Booking.com, Ebay, PayPal, Uber и др. При этом 16 июля 2015 г. глава Роскомнадзора Александр Жаров пообещал отсрочить применение наказаний за нарушение законодательства: по его словам, первые проверки могли пройти через определенный срок после вступления в силу документа.

Персональные данные - это любая информация о физическом лице, в том числе его фамилия, имя, отчество, дата и место рождения, адрес проживания, семейное и социальное положение, данные о доходах, образовании, состоянии здоровья и профессии. В 2014 году в мире произошло 1158 крупных случаев потери, кражи или публикации личной информации. При этом 90% утечек личных данных можно было избежать, если бы заранее были приняты меры организационного и технического плана по их безопасности.

Продолжение

В федеральный закон от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации», обязывающие владельцев сайтов хранить персональные данные россиян на территории России.

Изначально планировалось, что документ, подписанный президентом России Владимиром Путиным в декабре 2014 года, вступит в силу с сентября 2016 года. Однако позже депутаты проголосовали за перенос этого срока на 1 сентября 2015 года.

Роскомнадзор имеет право проводить проверки компаний на соответствие положениям нового закона и, при наличии нарушений, может включить сайт в «реестр нарушителей прав субъектов персональных данных». Попадание в этот реестр означает блокировку сайта на территории России.

«Включение сайта в этот реестр повлечет его блокировку операторами связи по стандартной процедуре. Попасть в реестр можно будет исключительно на основании решения суда по иску конкретного субъекта персональных данных, либо по иску самого Роскомнадзора, и только в случае отсутствия реакции на уведомление со стороны Роскомнадзора», - отмечает юрист фирмы «Толкачёв и партнёры» Ксения Осипова.

Александр Жаров уже заявил , что Роскомнадзор не станет проводить масштабные проверки ИТ-компаний до 2016 года. До конца 2015 года Роскомнадзор планирует проверить только 317 компаний. Это примерно 0,012% всех организаций, работающих с персональными данными в России, отметил Жаров.

В планах на проверку отсутствуют Google и Facebook (представители основанной Марком Цукербергом соцсети уже заявили , что не считают нужным переносить данные пользователей в российские дата-центры). Сервис микроблогов Twitter не хранит достаточно данных, чтобы попасть под закон, заверил Жаров.

Локализовать данные российских пользователей уже готовы AliExpress , Google , eBay и PayPal, Booking.com, Lenovo, Samsung, Uber и другие компании. Российскому рынку дата-центров уже спрогнозировали рост на 15% благодаря росту спроса на технологические мощности из-за закона о хранении персональных данных, а также увеличению затрат на зарубежные хранилища данных для российских компаний из-за падения рубля.

Аналитики Европейского центра по международной политической экономии (ECIPE) подсчитали , что вступление в силу закона о хранении персональных данных повлечет за собой падение ВВП России на 0,27% (около 286 млрд рублей) из-за ухода с рынка мелких и средних компаний. «Для иностранных компаний слишком дорого хранить личную информацию клиентов в каждой стране, где они работают, поэтому новый закон повлечет за собой непредсказуемые последствия для российской экономики, ее способности привлекать инвестиции и создавать новые рабочие места», - говорятся в отчёте центра.

"О персональных данных" (ФЗ №152)? Какие основные требования и положения содержатся в этом проекте? На все эти вопросы будут даны ответы в статье.

Общие положения

Какие цели преследует рассматриваемый законопроект? Первое и самое основное - это регулирование отношений, связанных с обработкой информации. Речь идет о средствах автоматизации, информационных и телекоммуникационных сетях, материальных носителях и картотеках. Закон не регулирует защиту данных в конкретной бытовой сфере, семейной или личной. Важнейшим направлением работы представленного законопроекта является защита свобод и прав граждан путем качественного обрабатывания их персональных данных. Нужно это для качественного обеспечения неприкосновенности частной, семейной и личной жизни.

Закон "О персональных данных" направлен на защиту прав граждан. А что подразумевается под персональными данными? Если вкратце, то это абсолютно любая информация, косвенно или напрямую относящаяся к тому или иному лицу. Процесс обработки этих данных представляет собой ряд операций, направленных на хранение, блокирование, удаление или систематизацию информации.

Принципы

№152) содержит в себе ряд основных принципов, на которых и держится весь процесс обработки информации. Что это за принципы? Здесь можно выделить следующее:

• Все действия должны осуществляться на справедливой и законной основе. Существование рассматриваемого законопроекта подтверждает этот принцип.
• Должна быть установлена конкретная, четкая цель. Любое отхождение от этой цели недопустимо (целью является защита прав граждан).
• Должна быть обеспечена точность, достаточность и актуальность заданных целей. Должно быть установлено содержание (его содержит закон о персональных данных).
• Хранение всех необходимых данных должно осуществляться в соответствии со всеми сроками, требованиями и целями.

Таким образом, рассматриваемый нормативный акт содержит в себе все необходимые принципы, на основе которых может строиться деятельность по защите информации.

Условия

Обработка персональных данных должна осуществляться не только в соответствии с определенными принципами, но и в строгом подчинении определенным условиям. Что это за условия и как они группируются? Вот что стоит выделить:

• Обязательное согласие гражданина на обработку его данных - важнейшее условие, которое содержит в себе закон "О персональных данных" (ФЗ №152).
• Вся обработка данных направлена в первую очередь на достижение определенных целей, регулируемых законами и договорами Российской Федерации.
• Обработка персональных данных направлена на осуществление правосудия или исполнение каких-либо правовых актов.
• Если получение согласия со стороны гражданина невозможно, обработка его данных все же должна производиться в случае, когда жизни или здоровью человека угрожает опасность.

Стоит также отметить, что обработка всех необходимых персональных данных должна осуществляться специальными, уполномоченными на то операторами. Обязанности этих специалистов будут приведены далее.

Категории

Положение о защите персональных данных содержит в себе определенные типы и категории тех элементов информации, которые должны подвергаться обработке. О чем именно идет речь? Если вкратце, то охарактеризовать основные категории можно как расовые, национальные, религиозные или любые иные убеждения, предусмотренные соответствующим законопроектом. Их обработка должны осуществляться только с непосредственного согласия гражданина и в соответствии со всеми нормами, стандартами и правилами.

Раскрыть основные категории персональных данных подробнее, надо сказать, весьма затруднительно. Но, как правило, это конфиденциальная информация о разного рода физических лицах, государственных служащих, военных и т.д. Все то, что гражданин не хотел бы оглашать прилюдно, должно находиться под защитой государства. Это личные паспортные данные, номера свидетельств или прав, мировоззренческие убеждения и прочее.

Права субъектов

Закон "О персональных данных" (ФЗ №152) гласит, что любой гражданин, чьи данные подвергаются обработке, имеет право в любой момент получить всю необходимую информацию как о своих данных, так и об уровне их защиты. Каждый человек может сделать специальный запрос, после чего любой освободившийся оператор должен предоставить все необходимые данные.

При этом субъект имеет право:

• на просмотр всех необходимых данных;
• на уничтожение обрабатываемой информации;
• на внесение в информацию определенных изменений.

Для того чтобы получить всю необходимую информацию, субъект должен сделать запрос с предоставлением своего личного номера (удостоверяющего личность). При этом каждый гражданин имеет право делать повторные запросы в необходимые инстанции.

Стоит также отметить, что оператор вправе отказать субъекту в просмотре необходимой информации. Однако отказ этот должен быть мотивирован. Как правило, основными мотивами являются неверно оформленный запрос, неоконченная обработка данных или ограниченное правовое положение самого субъекта.

Обязанности оператора

Кто такие операторы? Речь об этих работниках уже шла выше, однако их основные функции так и не были обозначены. Соответствующее положение о защите персональных данных регламентирует здесь следующее:

• оператор обязан сообщать субъекту свою должность, фамилию и имя, а также адрес;
• работать должен в строгом соответствии с законом, на основе определенных правовых актов;
• обязан сообщать субъекту все необходимые правила пользования персональной информацией;
• обязан качественно обеспечивать запись, хранение, систематизацию, накопление и изменение всех защищаемых и обрабатываемых персональных данных.

Стоит также отметить, что оператор имеет право не предоставлять гражданину персональные сведения, если идет их активная обработка или же если сам субъект не соблюдал все необходимые правила и условия получения персональных данных.

Меры по обеспечению безопасности

Выше были обозначены основные функции и обязанности операторов - работников по обработке персональных данных. Одной из важнейших функций любого оператора остается обеспечение безопасного хранения информации в соответствующих ресурсах. Федеральный Закон РФ от 27 июля 2006 года (№152, ФЗ) регламентирует основные меры и методы, позволяющие обеспечивать качественную безопасность любых персональных данных. Вот что здесь можно выделить:

• эффективное и быстрое выявление угроз безопасности, их скорое устранение;
• четкое применение разного рода технических и организационных мер, позволяющих сохранять безопасность хранения;
• составление оценок для соответствующих процедур, анализ работы хранения и накопления;
• качественное обеспечение машинных носителей, а также разного рода технических элементов;
• быстрое восстановление доступа ко всем персональным данным в случае их утечки или потери.

Помимо того, некоторые изменения в законе касаются и установления определенных уровней защищенности, в соответствии с которыми можно качественно оценивать работу по обработке персональных данных.

Уполномоченный орган

Необходимо, наконец, рассказать об уполномоченном органе, в обязанности которого и входит контроль над персональной обработкой данных тех или иных граждан. Несложно догадаться, что уполномоченной инстанцией является орган исполнительной власти. Именно в его обязанности входит качественный контроль и надзор над эффективной работой по обработке информации. Что вправе делать уполномоченный орган?

Вот что регламентирует закон №152 (ФЗ) "О персональных данных".