ООО “Нижегородский межотраслевой
С июля 2017 года была изменена ответственность за нарушение законодательства о персональных данных. Один из новых составов правонарушений – невыполнение оператором персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки таких данных (далее – Политика). Причем названная обязанность существует еще с 2011 года, но специальная ответственность за ее невыполнение установлена только сейчас. Расскажем, что это за документ, как его составлять, все ли работодатели должны его иметь и где он должен быть опубликован.
Что это за документ?
В соответствии со ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) к обязанностям оператора персональных данных относится в том числе издание документа, определяющего политику оператора в отношении обработки персональных данных, что позволяет обеспечить реализацию принципов законности, конфиденциальности и безопасности информации. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к указанному документу и к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей сети.
Контроль исполнения этой обязанности осуществляют органы Роскомнадзора. И по их требованию оператор обязан представить перечисленные документы и локальные акты и (или) иным образом подтвердить выполнение обязанностей, установленных ст. 18.1 Закона № 152-ФЗ.
Что же это за документ? Не стоит путать его с положением о персональных данных. У оператора персональных данных в силу той же ст. 18.1 помимо Политики должны быть отдельные локальные акты по вопросам обработки таких данных и локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий нарушений.
К сведению: к обозначенным локальным актам относятся различные положения (об обработке персональных данных, об обеспечении безопасности персональных данных и т. п.), перечни (должностей и лиц, допущенных к обработке персональных данных, применяемых средств защиты и др.), инструкции и регламенты.
Многие организации этот документ так и называют – «Политика в отношении обработки персональных данных». До недавнего времени он составлялся в произвольной форме, но в августе 2017 года Роскомнадзор разработал Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Законом № 152-ФЗ (далее – Рекомендации).
О том, какие положения рекомендовано включать в документ, определяющий эту политику, мы расскажем далее. Но прежде следует разобраться, все ли работодатели являются операторами персональных данных и соответственно все ли должны утверждать и опубликовывать его для неограниченного доступа.
МИНИСТЕРСТВО ЦИФРОВОГО РАЗВИТИЯ, СВЯЗИ И МАССОВЫХ КОММУНИКАЦИЙ РОССИЙСКОЙ ФЕДЕРАЦИИ
ФЕДЕРАЛЬНАЯ СЛУЖБА ПО НАДЗОРУ В СФЕРЕ СВЯЗИ, ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ И МАССОВЫХ КОММУНИКАЦИЙ
ПИСЬМО от 19 октября 2021 г. N 08-71063
О РАЗЪЯСНЕНИИ ЗАКОНОДАТЕЛЬСТВА
Роскомнадзор по результатам рассмотрения обращения от сообщает следующее.
В соответствии с ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ “О персональных данных” (далее – Федеральный закон N 152-ФЗ) оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей предусмотренных Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, в частности издание оператором, являющимся юридическим лицом документов, определяющих политику оператора в отношении обработки персональных данных (далее – Политика в отношении обработки персональных данных), локальных актов по вопросам обработки персональных данных (далее – Положение об обработке персональных данных работников), а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
Также, согласно ч. 2 ст. 18.1 Федерального закона N 152-ФЗ, оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.
При этом, в случае сбора персональных данных с использованием информационно-телекоммуникационных сетей, оператор обязан опубликовать указанный документ в соответствующей информационно-телекоммуникационной сети, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети (далее – ИТС).
На основании изложенного сообщаем, что требование о наличии документа, определяющего политику в отношении обработки персональных данных, и обеспечения неограниченного доступа к нему предъявляется ко всем операторам вне зависимости от способа сбора персональных данных.
При этом обязательное требование о предоставлении возможности доступа к указанному документу с использованием средств соответствующей ИТС касается только операторов, осуществляющих сбор персональных данных с использованием ИТС.
Дополнительно сообщаем, что определение структурного и содержательного наполнения Политики в отношении обработки персональных данных отнесено к компетенции оператора.
Начальник Управления по защите прав субъектов персональных данных Ю.Е.КОНТЕМИРОВ
При запуске сайта с информацией об услугах / товаре или интернет-магазина помимо создания гайдлайна и брендбука, красивого оформления сайта, подбора картинок и написания текстов, необходимо не забывать о юридически важной составляющей сайта. Разберем, какие 4 важных документа должны присутствовать на сайте.
Зачем вообще нужно размещать юридические документы на сайте?
Корректно составленные и размещенные документы помогут избежать административных штрафов и гражданских исков, а также, помогут владельцу сайта отстоять свои права в суде в случае их нарушения.
Какие это документы и где они должны размещаться?
Пп. 2 ст. 18.1. ФЗ-152 от 27.07.2006 г.:
Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПД, к сведениям о реализуемых требованиях к защите ПД.
Этот документ также можно назвать “политикой конфиденциальности” или “пользовательским соглашением”.
Политика в отношении обработки ПД – это документ, который содержит в себе наименование Оператора обработки ПД, цели обработки, действия с ПД, срок обработки, контакты ответственного лица и иное (см. 152-ФЗ и рекомендации РКН).
Политика обязательно должна быть размещена на сайте, если на сайте есть хоть одна форма сбора контактов, форма регистрации в личном кабинете или форма обратной связи.
При сборе файлов cookie необходимо указывать эту информацию в Политике, либо можно сделать отдельную политику – Cookie Policy.
При использовании на сайте сервисов Google Analytics и/или Яндекс.Метрика необходимо также указывать их в Политике, указать объем использования сервиса и дать ссылку на Политику соответствующего сервиса.
Как правило, Политику размещают в футере сайта, но можно и в любом ином месте, главное, чтобы у пользователей был свободный доступ к документу.
Отсутствие Политики: п. 3 ст. 13.11. КоАП – штраф для юридических лиц от 15 000 до 30 000 руб.
Неотъемлемо связано с Политикой. Согласие можно интерпретировать и как действие, и как документ.
П. 1 ст. 9 ФЗ-152:
Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме.
Ключевое в этом то, что оператор обязан суметь подтвердить тот факт, что пользователь выразил согласие: это может быть “галочка”, кнопка, ссылка, или еще что-то.
Важно помнить, что проставляя “галочку” на сайте рядом с текстом “согласен на обработку ПД” пользователь акцептует оферту (п. 435 ГК РФ). Поэтому очень важно, чтобы галочка не была проставлена заранее, иначе получается, что оферта уже кем-то акцептована и вы не сможете доказать согласие пользователя на обработку его ПД.
Согласие может быть сформулировано как отдельный от Политики документ, так быть единым документом.
Формулировка рядом с галочкой “Ознакомлен с политикой” не подходит, т.к. необходим именно факт выражения согласия.
Отсутствие согласия: п. 1 ст. 13.11. КоАП – штраф для юридических лиц от 30 000 до 50 000 руб.*
*за каждое лицо, согласие которого не было подтверждено.
Согласие должно быть расположено около каждой формы сбора ПД.
2.1. Согласие на сбор файлов cookie
2.2. Согласие на сбор данных через сервисы Google Analytics и Яндекс.Метрика
Чем такое Согласие в корне отличает от простого согласия на обработку ПД?
Собирать файлы cookie, а также данные через сервисы ЯМ и ГА сайт начинает, как правило, сразу после того как пользователь заходит на сайт. Т.е. поведение пользователя и данные о нем начинают обрабатываться еще до того как он сам их ввел в форму обратной связи и выразил согласие на их обработку, что в результате толкуется как “обработка ПД без согласия пользователя” и является нарушением, как указано в п.2.
Соответственно, выходом в данном случае является информирование пользователя внизу экрана, в середине или где-либо еще в заметном месте на сайте. Необходимо, чтобы пользователь совершил активное действие для выражения согласия.
Очень многие считают, что согласие на обработку ПД тоже самое, что и согласие на рассылку. Нет, это не так.
Вопросы рекламы в РФ контролирует ФАС, согласие на рекламу предусмотрено п.1. ст. 18 ФЗ-38 от 13.03.2006.
Необходимо иметь в виду, что в случае с распространением рекламы добросовестность лица, оставляющего свои контакты, например имейл, для получения рекламы не презюмируется. Поэтому необходимо проверять, действительно ли номер телефона или электронный адрес, на который вы планируете рассылать рекламу, принадлежит тому лицу, которое его оставило.
Проверить можно, например, через DOI письмо или код-смс.
Рассылка рекламных сообщений без согласия: п. 1 ст. 14.3. КоАП – штраф для юридических лиц от 100 000 до 500 000 руб.
Указанные в настоящем пункте документы – это документы, создающие правила и уменьшающие риски. Это может быть единый документ или совокупность документов, которые регулируют дистанционную розничную куплю-продажу товаров/ услуг, оплату, возврат денежных средств, доставку, формирование и изменение цены, а также иные важные условия.
Название документа должно так или иначе отражать содержание, но по большей части оно не имеет значение.
4.1. Правила Программы лояльности (ПЛ) / Конкурсов / Акций
Грамотно прописанные правила ПЛ или акции помогают избежать претензий со стороны участников. В таких правилах обязательно должны быть сроки действия различных скидок, условия их получения, условия и порядок обмена онлайн-бонусов или получение каких-либо подарков.
Если документ сформулирован как Оферта, необходимо грамотно сформулировать момент акцепта оферты, как правило, это момент оплаты, может быть момент проставления галочки (как с согласием). В случае возникновения спора необходимо суметь доказать факт акцепта оферты, поэтому это никак это не может быть “момент ознакомления с Офертой”, т.к. факт ознакомления нереально доказать, а вот момент проставления галочки и момент оплаты – однозначный факт, который не сложно подтвердить.
Зачем нужны эти документы, если по закону они не обязательны и можно аппелировать к ГК РФ?
Да, подобные моменты регулируются ГК РФ, Законом о защите прав потребителей и иными нормативно правовыми актами, но если они урегулированы продавцом и размещены в интернет-магазине, то в первую очередь при разрешении спора будут руководствоваться документами, размещенными на сайте, которые были доступны пользователю при совершении определенных действий, например таких как оформление покупки. Если документы на сайте не соответствуют закону, то будут руководствоваться законом, а здесь следует помнить старое правило “Покупатель всегда прав”.
В таких документах можно предусмотреть различные риски, которые могут возникнуть на сайте, например если слетит цена у какого-то товара и вместо 50 000, он вдруг станет доступен за 5 000 и вы захотите отказать покупателю в покупке по указанной цене.
Согласно ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) оператор персональных данных – это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку таких данных, а также определяющие цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с данными.
оператора персональных данных для всех организаций является обработка персональных данных работников. Организации, оказывающие услуги населению, обрабатывают еще и персональные данные клиентов. То есть, по сути, операторами персональных данных являются все без исключения организации.
Зачастую многие операторы персональных данных так или иначе сталкиваются с необходимостью подготовки пакета документов в сфере защиты персональных данных. Это может происходить в разных случаях. Некоторые операторы готовят документы при открытии или расширении собственного бизнеса. Кто-то – из-за надвигающейся проверки Роскомнадзора. В любом случае каждому оператору необходимо знать о существовании примерного перечня документов для надлежащей обработки персональных данных.
1. Документ, определяющий политику оператора в отношении обработки персональных данных, и подтверждение ознакомления с ним работников оператора
Получить консультацию по персональным данным
Спасибо! Ваше сообщение получено
В соответствии со ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) к обязанностям оператора персональных данных относится, в том числе издание документа, определяющего политику оператора в отношении обработки персональных данных, что позволяет обеспечить реализацию принципов законности, конфиденциальности и безопасности информации.
Многие организации этот документ так и называют – «Политика в отношении обработки персональных данных». Ранее он составлялся в произвольной форме, но в августе 2017 года Роскомнадзор разработал Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Законом № 152-ФЗ. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к указанному документу и к сведениям о реализуемых требованиях к защите персональных данных.
Согласно ч.1 ст.18.1 Закона № 152-ФЗ, оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами. К таким мерам, в частности, может относиться ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.
2. Отдельные локальные акты по вопросам обработки таких данных, документы об ознакомлении с ними работников оператора.
Помимо Политики у оператора должны быть отдельные локальные акты по вопросам обработки таких данных и локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий нарушений: например,
Согласно ч.4 ст.22.1 Закона № 152-ФЗ, лицо, ответственное за организацию обработки персональных данных, в частности, обязано доводить до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных.
3. Уведомление об обработке персональных данных (изменения в уведомление об обработке персональных данных).
В соответствии со ст.22 Закона № 152-ФЗ, оператор до начала обработки персональных данных обязан подготовить уведомление об обработке персональных данных (и при необходимости, изменения в уведомление об обработке персональных данных) и направить данное уведомление о своем намерении осуществлять обработку персональных данных в уполномоченный орган по защите прав субъектов персональных данных.
(когда оператор имеет право обрабатывать персональные данные без уведомления уполномоченного органа), в частности, установлены в отношении персональных данных:
• обрабатываемых в соответствии с трудовым законодательством;
• полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если они не распространяются, не предоставляются третьим лицам без согласия субъекта данных, используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
• относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими объединением или организацией, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
• сделанных субъектом персональных данных общедоступными;
• включающих в себя только фамилии, имена и отчества субъектов персональных данных;
• необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
• включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
• обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;
• обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
4. Приказ (распоряжение) о назначении ответственного за организацию обработки персональных данных у оператора.
В соответствии со ст.22.1 Закона № 152-ФЗ, оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных, то есть у оператора должен быть издан приказ (распоряжение) о назначении ответственного за организацию обработки персональных данных у оператора.
5. Согласие субъекта персональных данных на обработку его персональных данных.
В соответствии со ст.9 Закона № 152-ФЗ, субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных возлагается на оператора. То есть у оператора также должен быть такой документ, как согласие субъекта персональных данных на обработку его персональных данных.
6. Документы, подтверждающие предоставление субъекту персональных данных информации, в случае если персональные данные получены не от субъекта персональных данных.
Согласно ст.18 Закона № 152-ФЗ, если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных частью 4 настоящей статьи, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя;
2) цель обработки персональных данных и ее правовое основание;
3) предполагаемые пользователи персональных данных;
4) установленные настоящим Федеральным законом права субъекта персональных данных;
5) источник получения персональных данных.
7. Документы, содержащие положения о принятии оператором ПД правовых, организационных и технических мер для защиты персональных данных.
Согласно ч.1 ст.19 Закона № 152-ФЗ, оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
8. Документы по организации приема и обработке обращений и запросов субъектов персональных данных.
Согласно ч.4 ст.22.1 Закона № 152-ФЗ, лицо, ответственное за организацию обработки персональных данных, в частности, обязано организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
В соответствии со ст.ст. 86-88 Трудового кодекса РФ от 30 декабря 2001 года № 197-ФЗ работодатель обязан иметь документ, устанавливающий порядок обработки персональных данных работников, с которым работники и их представители должны быть ознакомлены под роспись.
Действие Закона № 152-ФЗ распространят свое действие как на случаи обработки персональных данных с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, так и, в большинстве случаев, без использования таких средств. Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным постановлением Правительства РФ от 15.09.2008 г. № 687 (далее – Положение № 687), урегулированы вопросы обработки персональных данных (использование, уточнение, распространение, уничтожение) без использования средств автоматизации.
Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков).
При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.
Оператором персональных данных при обработке персональных данных, осуществляемой без использования средств автоматизации, должны быть оформлены также следующие документы.
• Документы, определяющие категории обрабатываемых персональных данных, особенности и правила их обработки без использования средств автоматизации.
Согласно п.6 Положения № 687, лица, осуществляющие обработку персональных данных без использования средств автоматизации (в том числе сотрудники организации-оператора или лица, осуществляющие такую обработку по договору с оператором), должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами организации (при их наличии).
• Типовые формы документов.
Согласно п. 7 Положения № 687, при использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных, должны соблюдаться определенные условия:
– типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;
– типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, – при необходимости получения письменного согласия на обработку персональных данных;
– типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;
– типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
• Документ, устанавливающий требования к хранению материальных носителей, содержащих персональные данные
Согласно п.15 Положения № 687, при хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором.
Требования к защите персональных данных при их обработке в информационных системах персональных данных и уровни защищенности таких данных установлены Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Кто является оператором персональных данных?
Согласно ст. 3 Закона № 152-ФЗ оператор персональных данных – это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку таких данных, а также определяющие цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с данными.
Общим признаком оператора персональных данных для всех организаций является обработка персональных данных работников. Организации, оказывающие услуги населению, обрабатывают еще и персональные данные клиентов. То есть, по сути, операторами персональных данных являются все без исключения организации.
Однако не все операторы должны исполнять требования Закона № 152-ФЗ в полном объеме. Так, не все операторы должны исполнять обязанность по уведомлению уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных согласно ст. 22 Закона № 152-ФЗ. Исключения, в частности, установлены для организаций, осуществляющих обработку персональных данных:
Все остальные операторы такие уведомления направляют, после чего включаются в реестр операторов.
Обратите внимание: сведения об операторе, содержащиеся в реестре, являются общедоступными. Они размещаются для ознакомления на официальном сайте и портале персональных данных Роскомнадзора.
Соответственно, организации, не подающие уведомления, в реестр операторов не включаются.
Что же касается обязанности по составлению Политики и других локальных документов, здесь исключений никаких не установлено. Соответственно документ, определяющий политику в отношении обработки персональных данных, должен быть в каждой организации.
Причем если организация осуществляет сбор персональных данных граждан с использованием Интернета (регистрация на сайте, форма обратной связи, куда необходимо внести персональные данные), этот документ должен быть размещен на сайте организации. К таким организациям, в первую очередь, относятся интернет-магазины, социальные сети и другие сайты, государственные и муниципальные органы, а также медицинские учреждения, образовательные организации, налоговые и другие регистрирующие органы, организации в сфере социальных услуг, банки, турагентства. Это могут быть и просто организации, которые проводят конкурсы на занятие определенных должностей и на своих сайтах выставляют имеющиеся вакансии и предлагают кандидатам заполнить анкету.
Если органы контроля установят, что оператор не опубликовал или не обеспечил иным образом неограниченный доступ к своей Политике или сведениям о реализуемых требованиях к защите персональных данных, организация будет оштрафована в соответствии с ч. 3 ст. 13.11 КоАП РФ, предусматривающей штраф для должностных лиц от 3 000 до 6 000 руб., а для юридических – от 15 000 до 30 000 руб.
К сведению: в целях ограничения доступа к информации в сети «Интернет», обрабатываемой с нарушением законодательства РФ в области персональных данных, создается автоматизированная информационная система «Реестр нарушителей прав субъектов персональных данных». Формирует данный реестр Роскомнадзор (ст. 15.5 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»).
Рекомендации по составлению Политики
Итак, поскольку обязанность по созданию Политики существует давно, в большинстве организаций она разработана, правда, не факт, что опубликована. Иногда Политику публикуют так, что ее сложно найти. Поэтому организациям следует рассмотреть этот документ с учетом Рекомендаций и при необходимости внести изменения путем утверждения нового документа, разместив его в соответствии с требованиями законодательства. А работодателям, у которых этого документа нет, следует его срочно составить, руководствуясь Рекомендациями.
Обратите внимание: рекомендации изданы в целях выработки унифицированного подхода к структуре и форме документа, определяющего политику оператора в отношении обработки персональных данных.
Итак, исходя из Рекомендаций, в Политику надо включить такие разделы:
Общие положения.
Здесь нужно описать назначение Политики, привести основные понятия, используемые в ней (обработка персональных данных, оператор, субъект персональных данных, конфиденциальность персональных данных и т. д.), перечислить основные права и обязанности оператора и субъекта(ов) данных.
Цели сбора персональных данных.
Следует помнить, что обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка, несовместимая с целями сбора персональных данных.
Цели обработки персональных данных, перечисляемые в этом разделе, могут происходить в том числе из:
Правовое основание обработки персональных данных.
Таковым является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных. В качестве правового основания обработки этих данных могут быть указаны:
Обратите внимание: Закон № 152-ФЗ не может служить правовым основанием обработки персональных данных оператором, поскольку регулирует отношения, связанные с обработкой этих данных, и закрепляет требования, предъявляемые к операторам при обработке этих данных.
Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных.
Содержание и объем обрабатываемых данных должны соответствовать заявленным целям обработки. Обрабатываемые данные не должны быть избыточными по отношению к заявленным целям их обработки.
К категориям субъектов персональных данных могут быть отнесены в том числе:
В рамках каждой из категорий субъектов и применительно к конкретным целям рекомендуется перечислить все обрабатываемые оператором персональные данные, а также, если применимо, отдельно описать все случаи обработки специальных категорий персональных данных и биометрических персональных данных.
Порядок и условия обработки персональных данных.
В этом разделе Роскомнадзор рекомендует указывать перечень действий, совершаемых оператором с персональными данными субъектов, а также используемые оператором способы и сроки обработки данных.
В случае необходимости взаимодействия с третьими лицами в рамках достижения целей обработки персональных данных рекомендуется указывать условия передачи данных в адрес третьих лиц – например, наличие договора поручения на обработку персональных данных, в том числе находящихся за пределами Российской Федерации (трансграничная передача). При этом рекомендуется указать конкретное наименование и местонахождение соответствующих третьих лиц, цели осуществляемой (трансграничной) передачи, объем передаваемых данных, перечень действий по их обработке, способы и иные условия обработки, включая требования к защите обрабатываемых персональных данных.
Кроме того, оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством РФ.
Рекомендуется указывать сведения о соблюдении требований конфиденциальности персональных данных, установленных ст. 7 Закона № 152-ФЗ, а также о принятии оператором мер, предусмотренных ч. 2 ст. 18.1, ч. 1 ст. 19 Закона № 152-ФЗ.
Условием прекращения обработки персональных данных может являться достижение целей обработки, истечение срока действия согласия или отзыв согласия субъекта данных на их обработку, выявление неправомерной обработки персональных данных.
Хранение персональных данных рекомендуется осуществлять в форме, позволяющей определить субъекта данных, и не дольше, чем требуют цели обработки персональных данных, кроме случаев, когда срок хранения данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
Рекомендуется указывать сроки хранения (конкретная дата (число, месяц, год)) персональных данных и основание, наступление которого повлечет прекращение обработки данных.
К сведению: при осуществлении хранения персональных данных оператор обязан использовать базы данных, находящиеся на территории РФ, в соответствии с ч. 5 ст. 18 Закона № 152-ФЗ.
Также рекомендуется указывать иные условия хранения персональных данных, в том числе при их обработке без использования средств автоматизации.
Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным.
В случае подтверждения факта неточности данных или неправомерности их обработки персональные данные подлежат их актуализации оператором, а обработка должна быть прекращена (ст. 21 Закона № 152-ФЗ).
При достижении целей обработки персональных данных, а также в случае отзыва субъектом данных согласия на их обработку они подлежат уничтожению, если:
Оператор обязан сообщить субъекту персональных данных или его представителю информацию об осуществляемой им обработке персональных данных такого субъекта по запросу последнего (ст. 20 Закона № 152-ФЗ).
Кроме этих разделов, в Политику рекомендуется включать регламент(ы) реагирования на запросы, обращения субъектов персональных данных и их представителей, уполномоченных органов по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим данным, а также соответствующие формы запросов, обращений.
Политика утверждается приказом работодателя. Если принимается новая Политика, приказом следует отменить предыдущую и утвердить новую редакцию Политики.
С Политикой необходимо ознакомить всех работников организации под подпись.
В связи с постоянным развитием компьютерных технологий защите персональных данных уделяется все больше внимания. Сейчас практически каждая организация имеет свой сайт и не просто размещает на нем те или иные сведения, но и осуществляет через него обмен информацией, в том числе персональными данными. При этом на сегодняшний момент Политика мало кем из организаций опубликована.
Еще раз обращаем внимание, что Политика – это отдельный документ, который должен быть у каждого оператора персональных данных, не считая других обязательных локальных актов в сфере обработки и защиты персональных данных. Если у вас еще его нет, его следует разработать, а если есть – привести в соответствие с Рекомендациями. И не стоит относиться к этому формально, ограничиваясь общими нормами Закона № 152-ФЗ, поскольку при проверке будет учитываться не только сам факт наличия Политики, но и то, насколько она соответствует реальному положению дел в области обработки персональных данных в конкретной организации.