Как защитить персональные данные краткий обзор закона 152-фз

Экспертное мнение на тему: "Как защитить персональные данные краткий обзор закона 152-фз" от профессионалов своего дела. Здесь собрана полная информация по теме. Если возникнут вопросы, то задавайте их дежурному юристу.

Как защитить персональные данные: краткий обзор закона 152-ФЗ

Заплатить налоги необходимо до 2 декабря. Если у вас есть вопросы о порядке уплаты или расчете налогов, присылайте их на [email protected] Ответы на самые популярные из них мы опубликуем на портале ГАРАНТ.РУ.

Об актуальных изменениях в КС узнаете, став участником программы, разработанной совместно с ЗАО «Сбербанк-АСТ». Слушателям, успешно освоившим программу выдаются удостоверения установленного образца.

Программа, разработана совместно с ЗАО «Сбербанк-АСТ». Слушателям, успешно освоившим программу, выдаются удостоверения установленного образца.

В соответствии с частью 1 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
В п. 2 части 2 ст. 22 установлено, что оператор вправе осуществлять обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных, полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных.
Сторонами договора являются два юридических лица (заказчик и исполнитель), а не физическое лицо (субъект персональных данных), но согласно условиям договора заказчик передает персональные данные о своих работниках исполнителю для исполнения договора. Помимо данных о фамилиях, именах и отчествах сотрудников заказчика, исполнителю передаются их паспортные данные.
Обязан ли в таком случае исполнитель уведомлять уполномоченный орган об осуществлении обработки персональных данных, полученных от заказчика, так как он будет передавать их третьим лицам?

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Ложечникова Елена

Ответ прошел контроль качества

2 августа 2017 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.

————————————————————————-
*(1) Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере связи и массовых коммуникаций (Роскомнадзор), в соответствии с Положением о Федеральной службе по надзору в сфере связи и массовых коммуникаций, утвержденным постановлением Правительства Российской Федерации от 16.03.2009 N 228.
*(2) Более подробно об этом смотрите Вопрос: Между юридическими лицами заключен договор оказания услуг по техническому обслуживанию оборудования. Заказчик в рамках своего внутреннего регламента запросил информацию по конечным бенефициарам (персональные данные). Может ли исполнитель с письменного согласия субъектов персональных данных передать информацию на бумажном носителе без уведомления уполномоченного органа по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных? Может ли в данном конкретном случае применяться исключение, предусмотренное п. 8 части 2 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»? (ответ службы Правового консалтинга ГАРАНТ, январь 2017 г.)

Закон «О персональных данных»

Федеральный закон от 27 июля 2006 г. N 152-ФЗ
«О персональных данных»

С изменениями и дополнениями от:

25 ноября, 27 декабря 2009 г., 28 июня, 27 июля, 29 ноября, 23 декабря 2010 г., 4 июня, 25 июля 2011 г., 5 апреля, 23 июля, 21 декабря 2013 г., 4 июня, 21 июля 2014 г., 3 июля 2016 г., 22 февраля, 1, 29 июля, 31 декабря 2017 г.

Принят Государственной Думой 8 июля 2006 года

Одобрен Советом Федерации 14 июля 2006 года

См. комментарии к настоящему Федеральному закону

Президент Российской Федерации

Закон создает правовую основу обращения с персональными данными физических лиц в целях реализации конституционных прав человека, в том числе права на неприкосновенность частной жизни, личную и семейную тайну.

Персональными данными признаются любые сведения о физическом лице, в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Определены принципы и условия обработки персональных данных. Устанавливая общий запрет на обработку персональных данных без согласия субъекта персональных данных, закон предусматривает случаи, когда такое согласие не требуется. Отдельно регулируются отношения по обработке специальных категорий персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни). Обработка указанных категорий сведений не допускается без предварительного согласия субъекта персональных данных, за исключением случаев, когда персональные данные являются общедоступными, обработка данных необходима для обеспечения жизни и здоровья лица; обработка производится в связи с осуществлением правосудия, а также иных обстоятельств.

Важнейшей гарантией прав субъекта персональных данных является обязанность операторов и третьих лиц, получивших доступ к персональным данным, обеспечивать их конфиденциальность (кроме случаев их обезличивания и общедоступных персональных данных), а также право субъекта персональных данных на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Контроль и надзор за обработкой персональных данных возложен на федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи, который наделяется соответствующими правами и обязанностями. В частности, уполномоченный орган вправе осуществлять проверку информационной системы обработки персональных данных, предъявлять требования по блокированию, удалению недостоверных или полученных незаконным путем персональных данных, устанавливать постоянный или временный запрет на обработку персональных данных, проводить расследования в порядке административного производства о нарушениях закона.

Устанавливаются принципы трансграничной передачи данных, при которой должна обеспечиваться адекватная защита прав субъектов персональных данных.

Операторы, осуществляющие обработку персональных данных до вступления в силу закона, обязаны направить в уполномоченный орган по защите прав субъектов персональных данных соответствующее уведомление не позднее 1 января 2008 года.

Информационные системы персональных данных, созданные до дня вступления в силу закона, должны быть приведены в соответствие с его требованиями не позднее 1 января 2010 года.

Закон вступает в силу по истечении ста восьмидесяти дней после официального опубликования.

Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных»

Настоящий Федеральный закон вступает в силу по истечении ста восьмидесяти дней после дня его официального опубликования

Текст Федерального закона опубликован в «Российской газете» от 29 июля 2006 г. N 165, в «Парламентской газете» от 3 августа 2006 г. N 126-127, в Собрании законодательства Российской Федерации от 31 июля 2006 г. N 31 (часть I) ст. 3451

В настоящий документ внесены изменения следующими документами:

Федеральный закон от 31 декабря 2017 г. N 498-ФЗ

Изменения вступают в силу с 30 июня 2018 г.

Федеральный закон от 29 июля 2017 г. N 223-ФЗ

Изменения вступают в силу с 10 августа 2017 г.

Федеральный закон от 1 июля 2017 г. N 148-ФЗ

[3]

Изменения вступают в силу со дня официального опубликования названного Федерального закона

Читайте так же:  Кому положены алименты после 18 лет

Федеральный закон от 22 февраля 2017 г. N 16-ФЗ

Изменения вступают в силу с 1 марта 2017 г.

Федеральный закон от 3 июля 2016 г. N 231-ФЗ

Изменения вступают в силу с 1 января 2017 г.

Федеральный закон от 21 июля 2014 г. N 242-ФЗ

Изменения вступают в силу с 1 сентября 2015 г.

Федеральный закон от 21 июля 2014 г. N 216-ФЗ

Изменения вступают в силу с 1 января 2015 г.

Федеральный закон от 4 июня 2014 г. N 142-ФЗ

Изменения вступают в силу по истечении шестидесяти дней после дня официального опубликования названного Федерального закона

Федеральный закон от 21 декабря 2013 г. N 363-ФЗ

Изменения вступают в силу с 1 июля 2014 г.

Федеральный закон от 23 июля 2013 г. N 205-ФЗ

Изменения вступают в силу по истечении 10 дней после дня официального опубликования названного Федерального закона

Федеральный закон от 5 апреля 2013 г. N 43-ФЗ

Изменения вступают в силу по истечении 10 дней после дня официального опубликования названного Федерального закона

Федеральный закон от 25 июля 2011 г. N 261-ФЗ

Изменения вступают в силу со дня официального опубликования названного Федерального закона и распространяются на правоотношения, возникшие с 1 июля 2011 г.

Федеральный закон от 4 июня 2011 г. N 123-ФЗ

Изменения вступают в силу по истечении десяти дней после дня официального опубликования названного Федерального закона

Федеральный закон от 23 декабря 2010 г. N 359-ФЗ

Изменения вступают в силу с 1 января 2011 г.

Федеральный закон от 29 ноября 2010 г. N 313-ФЗ

Изменения вступают в силу с 1 января 2011 г.

Федеральный закон от 27 июля 2010 г. N 227-ФЗ

Изменения вступают в силу с 1 января 2011 г.

Федеральный закон от 27 июля 2010 г. N 204-ФЗ

Изменения вступает в силу со дня официального опубликования названного Федерального закона

Федеральный закон от 28 июня 2010 г. N 123-ФЗ

Изменения вступают в силу с 1 июля 2010 г.

Федеральный закон от 27 декабря 2009 г. N 363-ФЗ

Изменения вступают в силу со дня официального опубликования названного Федерального закона

Федеральный закон от 25 ноября 2009 г. N 266-ФЗ

Изменения вступают в силу по истечении 10 дней после дня официального опубликования названного Федерального закона

© ООО «НПП «ГАРАНТ-СЕРВИС», 2019. Система ГАРАНТ выпускается с 1990 года. Компания «Гарант» и ее партнеры являются участниками Российской ассоциации правовой информации ГАРАНТ.

Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных»

Федеральный закон от 27 июля 2006 г. N 152-ФЗ
«О персональных данных»

С изменениями и дополнениями от:

25 ноября, 27 декабря 2009 г., 28 июня, 27 июля, 29 ноября, 23 декабря 2010 г.

[1]

Принят Государственной Думой 8 июля 2006 года

Одобрен Советом Федерации 14 июля 2006 года

См. комментарии к настоящему Федеральному закону

Президент Российской Федерации

Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных»

Настоящий Федеральный закон вступает в силу по истечении ста восьмидесяти дней после дня его официального опубликования

Текст Федерального закона опубликован в «Российской газете» от 29 июля 2006 г. N 165, в «Парламентской газете» от 3 августа 2006 г. N 126-127, в Собрании законодательства Российской Федерации от 31 июля 2006 г. N 31 (часть I) ст. 3451

В настоящий документ внесены изменения следующими документами:

Федеральный закон от 31 декабря 2017 г. N 498-ФЗ

Изменения вступают в силу с 30 июня 2018 г.

Федеральный закон от 29 июля 2017 г. N 223-ФЗ

Изменения вступают в силу с 10 августа 2017 г.

Федеральный закон от 1 июля 2017 г. N 148-ФЗ

Изменения вступают в силу со дня официального опубликования названного Федерального закона

Федеральный закон от 22 февраля 2017 г. N 16-ФЗ

Изменения вступают в силу с 1 марта 2017 г.

Федеральный закон от 3 июля 2016 г. N 231-ФЗ

Изменения вступают в силу с 1 января 2017 г.

Федеральный закон от 21 июля 2014 г. N 242-ФЗ

Изменения вступают в силу с 1 сентября 2015 г.

Федеральный закон от 21 июля 2014 г. N 216-ФЗ

Изменения вступают в силу с 1 января 2015 г.

Федеральный закон от 4 июня 2014 г. N 142-ФЗ

Изменения вступают в силу по истечении шестидесяти дней после дня официального опубликования названного Федерального закона

Федеральный закон от 21 декабря 2013 г. N 363-ФЗ

Изменения вступают в силу с 1 июля 2014 г.

Федеральный закон от 23 июля 2013 г. N 205-ФЗ

Изменения вступают в силу по истечении 10 дней после дня официального опубликования названного Федерального закона

Федеральный закон от 5 апреля 2013 г. N 43-ФЗ

Изменения вступают в силу по истечении 10 дней после дня официального опубликования названного Федерального закона

Федеральный закон от 25 июля 2011 г. N 261-ФЗ

Изменения вступают в силу со дня официального опубликования названного Федерального закона и распространяются на правоотношения, возникшие с 1 июля 2011 г.

Федеральный закон от 4 июня 2011 г. N 123-ФЗ

Изменения вступают в силу по истечении десяти дней после дня официального опубликования названного Федерального закона

Федеральный закон от 23 декабря 2010 г. N 359-ФЗ

Изменения вступают в силу с 1 января 2011 г.

Федеральный закон от 29 ноября 2010 г. N 313-ФЗ

Изменения вступают в силу с 1 января 2011 г.

Федеральный закон от 27 июля 2010 г. N 227-ФЗ

Изменения вступают в силу с 1 января 2011 г.

Федеральный закон от 27 июля 2010 г. N 204-ФЗ

Изменения вступает в силу со дня официального опубликования названного Федерального закона

Федеральный закон от 28 июня 2010 г. N 123-ФЗ

Изменения вступают в силу с 1 июля 2010 г.

Федеральный закон от 27 декабря 2009 г. N 363-ФЗ

Изменения вступают в силу со дня официального опубликования названного Федерального закона

Федеральный закон от 25 ноября 2009 г. N 266-ФЗ

Изменения вступают в силу по истечении 10 дней после дня официального опубликования названного Федерального закона

© ООО «НПП «ГАРАНТ-СЕРВИС», 2019. Система ГАРАНТ выпускается с 1990 года. Компания «Гарант» и ее партнеры являются участниками Российской ассоциации правовой информации ГАРАНТ.

Как адаптировать сайт под требования закона ФЗ-152 «О защите персональных данных»

В связи с изменениями в ст.13.11 КоАП с 1 июля 2017 г.

Алексей Кондратов
Сооснователь и руководитель юридического отдела сервиса 152ФЗ.РФ, специалист в области защиты персоальных данных, юридического сопровождения стартапов и судебной защиты бизнеса.

Образование: юридический факультет Поморского государственного университета. Ранее работал на позиции CEO в компании «Иски Онлайн».

С 1 июля 2017 года вступили в силу изменения в российском Кодексе Административных правонарушений. Увеличились размеры взысканий за нарушения по закону №152-ФЗ «О защите персональных данных», изменились некоторые формулировки. Новые правила заставили многих владельцев сайтов забеспокоиться о том, насколько их ресурсы соответствуют нормам закона. Пробуем разобраться.

Начнем с небольшой вводной информации. 152-ФЗ – первый в России современный закон о персональных данных. Он начал разрабатываться в 2000 году и вступил в силу 27 июля 2006 года. Основным положением закона стало обязательное согласие человека на обработку информации о нем в любых целях. Во время разработки 152-ФЗ были введены два новых термина, которыми закон оперирует до сих пор – субъект персональных данных и оператор персональных данных. Легко догадаться, что субъект – человек, личность которого можно установить, используя определенную информацию. Оператором же может стать как физическое, так и юридическое лицо, которое имеет доступ к личным данным субъекта. Последнее определение крайне важно для нас, поэтому остановимся на нем подробнее.

Читайте так же:  Кому достанется неприватизированная квартира после смерти

Кто по закону 152-ФЗ считается оператором персональных данных?

Видео удалено.
Видео (кликните для воспроизведения).

Органы государственной власти и муниципального управления, суды, образовательные и медицинские учреждения, работодатели, любые компании и организации, предоставляющие персональные услуги: банки, юридические фирмы, операторы мобильной связи, строительные компании, интернет-ресурсы – всё это операторы персональных данных, поскольку они в разной мере имеют доступ к личной информации людей.

Какие персональные данные пользователей могут быть на вашем сайте?

Чаще всего под персональными данными (ПДн) понимаются:

  • имя,
  • фамилия,
  • возраст,
  • место рождения,
  • фото,
  • адрес проживания,
  • номер телефона.

Также к персональным данным относятся сведения:

  • о семейном положении,
  • религиозных, философских и политических взглядах,
  • интимной жизни,
  • состоянии здоровья.

Обезличенные персональные данные и автоматически собираемая информация:

Какие есть формы сбора персональных данных на сайте?

  • Форма регистрации.
  • Форма заказа.
  • Форма обратной связи.
  • Кнопка «Заказать обратный звонок».
  • Форма подписки на e-mail рассылку.

Размеры штрафов после изменений 1 июля 2017 года

Номер статьи

Возможные нарушения

Размер штрафа

  • Запрос сканов документов у посетителей сайта.
  • SMS- и e-mail рассылка без согласия клиента.
  • Любая дезинформация пользователей относительно цели ввода данных в форму на сайте.

Для физ. лиц – до 3 т.р.

Для юр. лиц – до 50 т.р.

  • Обработка, сбор и хранение любых ПДн, в том числе IP-адресов и cookie, без электронной подписи пользователей.
  • Отсутствие на сайте документов «Политика конфиденциальности» и «Пользовательское соглашение».
  • Несоответствие документов требованиям закона, которое может возникнуть из-за ошибок при составлении.
  • Отсутствие дисклеймера при первом посещении сайта пользователем.

Для физ. лиц – до 5 т.р.

Для юр. лиц – до 75 т.р.

ч. 3 ст.13.11 КоАП

  • Отсутствие свободного доступа к Политике конфиденциальности для каждого посетителя сайта.

Для физ. лиц – до 1.5 т.р.

Для ИП – до 10 т.р.

Для юр. лиц – до 30 т.р.

ч. 4 ст.13.11 КоАП

  • Отказ, игнорирование или ложь в ответ на требование пользователя предоставить полную информацию о том, как хранят и обрабатывают его персональные данные.

Для физ. лиц – до 2 т.р.

Для ИП – до 15 т.р.

Для юр. лиц – до 40 т.р.

ч. 5 ст.13.11 КоАП

  • Отказ удалить ПДн из публичного доступа по желанию пользователя.
  • Другие действия, нарушающие право субъекта отозвать согласие на обработку ПДн.

Для физ. лиц – до 2 т.р.

Для ИП – до 20 т.р.

Для юр. лиц – до 45 т.р.

ч. 6 ст.13.11 КоАП

  • Хакерская атака, взлом базы данных третьими лицами, распространение ПДн пользователей.

Для физ. лиц – до 2 т.р.

Для ИП – до 20 т.р.

Для юр. лиц – до 50 т.р.

! При совершении уголовного преступления к штрафу прибавляются дополнительные меры взыскания, в том числе блокировка ресурса и арест нарушителя.

Как это работает?

Чтобы выявить нарушения, Роскомнадзор проводит плановые, внеплановые (по заявлениям граждан) и документарные (с запросом документов) проверки сайтов. Например, в ходе проверки в 2016 году «Тамбовскую городскую юридическую компанию» оштрафовали за размещение формы обратной связи без сопроводительных документов, а зимой 2017 года за подобные нарушения были оштрафованы несколько астраханских сайтов.

Как избежать штрафа и блокировки сайта: 5 шагов

  1. Перенесите базы данных на российские сервера. Это требование закона N149-ФЗ «Об информации, информационных технологиях и о защите информации». Нарушение закона может привести к блокировке ресурса – так, например, прекратила свою деятельность на территории России деловая социальная сеть LinkedIn.
  2. Составьте два документа – «Политику обработки персональных данных» и «Пользовательское соглашение». Обратите внимание, что публичная оферта заменяет документ о политике конфиденциальности. Крайне важно, чтобы документы не содержали в себе фактических и юридических ошибок. Лучше всего доверить эту работу профессиональному юристу. В 9 статье закона указано, что виртуальный документ равнозначен документу на бумажном носителе, поэтому никаких физических документов не потребуется.
  3. Подключите форму с согласием на обработку ПДн и обязательным чекбоксом ко всем полям сбора персональных данных на сайте.
  4. Убедитесь, что страница с «Политикой обработки персональных данных» доступна для прочтения каждому пользователю сайта.
  5. Отправьте бумажное и электронное уведомление в Роскомнадзор по установленной форме – ее можно найти на сайте Роскомнадзора. В соответствии со 22 статьей закона этот пункт является обязательным.

Если вы сомневаетесь в своей юридической компетенции или просто не хотите тратить много времени на формальности, есть более простое и практичное решение проблемы – сервис 152фз.рф. Это простое, дешевое и быстрое решение для Вашего сайта и бизнеса.

Среди наших предложений, Вы, наверняка, сможете подобрать удобное Вам. Если Вы не хотите затягивать с решением проблемы, то можете перейти к выбору тарифного плана уже сейчас. Возникающие юридические вопросы можно задать по телефону нашей службы поддержки 8 800 100 43 45 или ниже в форме комментариев.

Подпишитесь на нашу email рассылку

Мы будем присылать Вам письма не чаще 1 — 2 раз в месяц.

Департамент ИТ

Закону о защите персональных данных уже 13 лет и закон этот распространяется на все без исключения компании. Однако, несмотря на это, для многих руководителей компаний и ИТ-директоров тема защиты персональных данных до сих пор овеяна ореолом тайны. В данной статье я постараюсь кратко и без воды донести какие обязанности накладывает ФЗ-152 на рядовой бизнес, чем грозит неисполнение закона и как «можно», а также как «нужно» исполнять требования данного федерального закона.

Для совсем ленивых нужно знать следующее: ФЗ-152 обязателен для всех компаний. Максимальное наказание — штрафы до 290К рублей. Соответствовать закону можно формально (потратив порядка 20-30К рублей), а можно реально (требует изменений в ИТ-инфраструктуре). Если хотите совета голосом, то наш телефон +7 495 649-60-96 и почта [email protected]depit.ru.

Ниже научу вас плохому… да и хорошему тоже научу:

Что грозит за нарушение ФЗ-152 и как «можно» исполнять закон обычному бизнесу

Традиционно в России уровень того как «можно» вести дела определяется исходя не из буквы закона, а исходя из предусмотренного за его нарушение наказания. Наказания за нарушение ФЗ-152 определены в КОАП 13.11 и, если вы разозлите Роскомнадзор на полную, оштрафовать вас могут на сумму до 290 тысяч рублей по совокупности статей.

Несмотря на суровость предусмотренных наказаний, налагаются они исключительно за нарушение общих процедур обработки персональных данных, а также на нарушения правил НЕавтоматической обработки. То есть, с точки зрения карательной системы, всем плевать, что вы храните чьи-то персональные данные в открытом доступе в сети Интернет. Главное – это то, что вы берете согласие на обработку персональных данных, у вас прописаны регламенты и процедуры обработки, а также что персональные данные на бумажных носителях (трудовые книжки, личные дела и подобное) лежат в закрытом сейфе.

Читайте так же:  Нюансы страхования покупки квартиры — сделка купли-продажи и стоимость страховки

Таким образом, для «формального» соответствия требованиям ФЗ-152, вам достаточно обложиться типовым набором приказов и распоряжений, выполнять ряд общих требований и спать спокойно. Все эти документы уже давно пишутся под копирку, и вы можете как самостоятельно найти нужные шаблоны в Интернете, так и заказать разработку полного комплекта документов на рынке за 20-30 тысяч рублей. Компаний, оказывающих такие услуги, полно, а цены и результат везде практически одинаковые.

Существует еще один сценарий «выполнения» требований ФЗ-152 для экстремалов – игнорировать его. Если вы храните и обрабатываете персональные данные только своих собственных сотрудников, то по закону вы не обязаны регистрироваться в качестве обработчика персональных данных и проверка к вам придет только в случае, если кто-то на вас пожалуется. Однако, даже если у вас в компании круговая порука между сотрудниками, я все-равно рекомендовал бы вам хотя бы прочитать ФЗ-152 и, как минимум, собирать согласия на обработку персональных данных с ваших работников.

Однако если обозначенный выше подход вам претит и персональные данные клиентов и сотрудников вы хотите защищать не для галочки, а со всей ответственностью, то к формальным требованиям по защите информации добавятся еще и вполне конкретные технические мероприятия:

Технические требования по защите персональных данных в соответствии с ФЗ-152 для обычного бизнеса

Для полноценной защиты персональных данных в соответствии с ФЗ-152, помимо обозначенной в предыдущем разделе формальной стороны вопроса, необходимо применять еще и вполне конкретные технические решения. Какие это технические решения – расписано в Постановлении РФ №1119 и приказе ФСТЭК №21.

Если ваша компания – это обычный бизнес, который не собирает сторонних персональных данных, а хранят и обрабатывают персональные данные только своих собственных сотрудников, то защищать персональные данные ваша компания должна по третьему и четвертому уровню защиты в соответствии с ФСТЭК №21. Эти уровни не требуют применения специализированных средств криптозащиты и сертифицированных ФСТЭК устройств, а также привлечения сертифицированных ФСТЭК специалистов. Все требования третьего и четвертого уровня защиты сводятся к базовому набору требований по защите информации, как то:

Еще раз повторюсь, что в перечисленных выше требованиях нет ничего сверхъестественного – все требования являются базовыми для защиты любой мало-мальски ценной информации и профессиональные системные администраторы эти требования выполняют даже без знания ФЗ-152 и ФСТЭК №21.

Собственно, последние 7 лет все наши проекты по ИТ-инфраструктуре соответствуют третьему и четвертому уровню защиты в соответствии с ФСТЭК №21, а компании, заказавшие у нас услуги по построению (а также обслуживанию) ИТ-инфраструктуры защищают персональные данные своих клиентов и сотрудников не только на словах, но и на деле.

Закон 152-ФЗ о персональных данных: как обезопасить бизнес от новых штрафов с 1 июля 2017

Штрафы за несоблюдение требований Федерального закона «О персональных данных» были повышены в соответствии с Федеральным законом от 07.02.2017 № 13-ФЗ. Новые штрафы по сравнению с действующими выросли в разы. Максимальный порог штрафа для организаций повышен до 75 тысяч рублей, максимальный штраф для предпринимателей увеличили до 20 тысяч рублей. При этом, если раньше в КоАП существовал только один, общий для всех случаев состав правонарушения в области персданных (ст.13.11 КоАП РФ), то теперь в данной статье появилось целых семь составов.

Чтобы избежать штрафов по 152-ФЗ, компаниям и ИП с 1 июля 2017 года следует внимательнее подходить к соблюдению требований закона о персональных данных.

Шпаргалка по статье от редакции БУХ.1С для тех, у кого нет времени

1. С 1 июля 2017 года вводятся повышенные административные штрафы за несоблюдение требований Федерального закона «О персональных данных».

2. Новые штрафы по сравнению с действующими выросли в разы. Максимальный порог штрафа для организаций повышен до 75 тысяч рублей, максимальный штраф для предпринимателей увеличили до 20 тысяч рублей.

3. Штрафы за нелегальную обработку персональных сведений граждан касаются всех компаний и предпринимателей, которые получают паспортные данные россиян. Закон не содержит конкретного перечня таких организаций.

4. Компании, по закону отнесенные к операторам персональных данных, должны быть зарегистрированы в Роскомнадзоре.

5. Обезопасить себя от штрафов можно, соблюдая 6 правил:

  • исключить случаи нецелевого сбора и обработки данных;
  • получать письменное согласие граждан на обработку их данных;
  • знакомить граждан с политикой обработки персональных данных;
  • отвечать на вопросы граждан о том, каким образом используются их персональные данные;
  • выполнять требования граждан об уточнении персональных данных, их блокировании или уничтожении;
  • обеспечивать сохранность носителей с персональными данными, исключая их утечку, порчу, кражу, копирование и т.д.

6. С 01.07.2017 начинает действовать упрощенный порядок привлечения к административной ответственности. Дела будет возбуждать сам Роскомнадзор без участия сотрудников прокуратуры.

Кого коснутся новые штрафы

Штрафы за нелегальную обработку персональных сведений граждан касаются всех компаний и предпринимателей, которые получают паспортные данные россиян. По закону они отнесены к операторам персональных данных и обязаны соблюдать законодательные ограничения.

Закон не содержит конкретного перечня таких организаций. Однако к ним можно отнести банки, страховые компании, операторов мобильной связи и интернета, медицинские организации, транспортные компании, учебные заведения и все те компании, при обращении в которые граждан просят указать личные данные или заполнить анкету.

Но и это еще не все. Закон распространяется на работодателей, получающих сведения от сотрудников как по трудовым договорам, так и по договорам гражданско-правового характера. Работодатели тоже являются операторами персональных данных с небольшой оговоркой. Если работодатель состоит с гражданином в трудовых или гражданско-правовых отношениях, ему не требуется уведомлять Роскомнадзор об обработке личной информации (ч. 2 ст. 22 Федерального закона № 152-ФЗ).

[2]

Также к операторам персональных данных относятся компании, имеющие собственные сайты с обратной формой связи и регистрацией пользователей, у которых запрашиваются личные сведения.

Подробнее о том, кто может не подавать уведомление в Роскомнадзор, читайте в статье «Кому не нужно уведомлять Роскомнадзор об обработке персональных данных».

Как обезопасить себя от штрафов: 6 правил

1. Исключить случаи нецелевого сбора и обработки данных.

Под данное нарушение попадают и случаи сбора излишней информации о гражданах. Например, когда сайт для новостной рассылки по e-mail требует от посетителей предоставить, скажем, паспортные данные. Это считается обработкой данных не по назначению, поэтому исключите подобные случаи из практики работы своей компании и сайта.

Данные действия образуют состав правонарушения по ч. 1 ст. 13.11 КоАП РФ. Штраф для предпринимателей – от 5 до 10 тысяч рублей, а для организаций – от 30 до 50 тысяч рублей.

2. Получать письменное согласие граждан на обработку их данных.

Согласие граждан на обработку персональных данных, когда это требуется по закону, операторы получают в соответствии с ч. 4 ст. 9 Федерального закона № 152-ФЗ. Исключений из этого правила не так много. Например, не требуется письменного согласия при получении персональных данных в личных, семейных целях (ч. 2 ст. 1 Федерального закона № 152-ФЗ).

В большинстве же случаев дополнительно к основному договору стороны должны подписывать соглашение об обработке персональных данных. Это соглашение может включаться в текст основного договора, или выступать в качестве отдельного документа. Согласие должно поступить лично от гражданина. Без его ведома передавать данные нельзя.

Читайте так же:  Наследование выморочного имущества

Самый банальный пример злоупотреблений в этой части – когда, например, оператор мобильной связи передает контакты абонентов без их ведома сторонним компаниям, и на телефонные номера граждан начинает поступать всевозможный спам.

Если письменного соглашения на обработку данных у компании нет, на граждан (ИП) наложат штраф в размере от 3 до 5 тысяч рублей, на должностных лиц от 10 до 20 тысяч рублей, а на юрлиц – от 15 до 75 тысяч рублей (ч.2 ст.13.11 КоАП РФ). Судя по судебной практике, ИП первый раз штрафуют как физлиц, а если нарушение повторяется, то уже как должностных лиц — руководителей ИП, так как во втором случае штраф выше.

Последствия неполучения письменного согласия контролерам будут неважны, а важен будет сам факт наличия или отсутствия такого согласия в письменной форме.

3. Знакомить граждан с политикой обработки персональных данных.

Эта информация должна находиться в свободном доступе и с ней должен иметь возможность ознакомиться каждый. Например, сайты вывешивают информацию о порядке работы с персданными на отдельных своих страницах.

В противном случае наступит ответственность по ч. 3 ст. 13.11 КоАП РФ. ИП заплатят штраф в размере от 5 до 10 тысяч рублей, а организации в размере от 15 до 30 тысяч рублей.

4. Отвечать на вопросы граждан о том, каким образом используются их персональные данные.

На практике бывают случаи, когда данные «утекают» третьим лицам, и клиентам компании начинает поступать всевозможная реклама от магазинов, медицинских центров и кредитных организаций. В этом случае клиент может потребовать от оператора персональных данных предоставить информацию о том, как используются и хранятся его личные сведения.

За игнорирование обращений граждан операторы персданных несут ответственность по ч. 4 ст. 13.11 КоАП РФ. Штраф для ИП – от 10 до 15 тысяч рублей, а для юрлиц – от 20 до 40 тысяч рублей.

5. Выполнять требования граждан об уточнении персональных данных, их блокировании или уничтожении.

Это нужно делать в случаях, когда персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

Неисполнение этой обязанности грозит штрафом по ч. 5 ст. 13.11 КоАП РФ. Для ИП штраф составит от 10 до 20 тысяч рублей, для организаций – от 25 до 45 тысяч рублей.

6. Обеспечивать сохранность носителей с персональными данными, исключая их утечку, порчу, кражу, копирование и т.д.

Ответственность за необеспечение сохранности личных сведений установлена ч. 6 ст. 13.11 КоАП РФ. Для предпринимателей – от 10 до 20 тысяч рублей, для компаний – от 25 до 50 тысяч рублей.

Ответственность для государственных и муниципальных органов власти

Штрафная ответственность предусмотрена и для государственных и муниципальных органов власти (ч. 7 ст. 13.11 КоАП РФ).

В своих документах (протоколах, сводках, решениях и т.д.) они должны обезличивать персональные данные граждан, не допуская указания их места жительства и полных ФИО.

В противном случае придется заплатить штраф в размере от 3 до 6 тысяч рублей.

Регистрация операторов персональных данных в Роскомнадзоре

Компании, по закону отнесенные к операторам персональных данных, должны быть зарегистрированы в Роскомнадзоре. Для этого необходимо подать уведомление об обработке (о намерении осуществлять обработку) персональных данных (ч. 3 ст. 22 Федерального закона № 152-ФЗ).

Для подачи уведомления об обработке персональных данных необходимо заполнить электронную форму на Портале персональных данных Роскомнадзора. Электронная форма уведомления об обработке персональных данных и порядок его заполнения также размещены на Едином портале государственных и муниципальных услуг (функций).

После заполнения формы уведомления об обработке (о намерении осуществлять обработку) персональных данных ее следует отправить в информационную систему Уполномоченного органа по защите прав субъектов персональных данных. Затем заполненную форму нужно распечатать и заверить надлежащим образом, скрепив подписью и печатью организации, после чего направить в соответствующий территориальный орган Роскомнадзора по месту регистрации компании-оператора персональных данных.

Что делать сайтам

Что касается сайтов (а сейчас они есть практически у любой компании), то основная масса нарушений здесь связана именно с нецелевым сбором и использованием персональных данных (ч. 1 ст. 13.11 КоАП РФ).

Например, нередко в форме регистрации на сайте используются такие поля, как «дата рождения» и «телефон», а в форме профиля пользователя — «отчество», «дата рождения», «место жительства» (страна, область/край, город).

Следует понимать, что для регистрации пользователя на большинстве сетевых ресурсов не требуется знать такие данные, как телефон и место жительства/регистрации пользователя. Из формы регистрации эти сведения следует убрать.

А из формы личного профиля лучше убрать такие сведения, как «профессия», «www-страница», Skype (или другой мессенджер) и «дата рождения».

Посторонним лицам (а ваша компания и является таким лицом) знать эту информацию ни к чему. Форма подписки на новости сайта должна собирать информацию только об e-mail пользователей. Форма регистрации может собирать имя, фамилию, e-mail и пол пользователя.

Сбор лишней информации при проверке могут посчитать нарушением.

Выполнение вышеописанных правил и знание закона позволят избежать ответственности за его нарушение. При этом следует учитывать одно немаловажное обстоятельство. Если раньше закон о персональных данных обходил вашу компанию стороной и никакой ответственности за его нарушение вы не несли, то с 1 июля все может измениться кардинальным образом.

Дело в том, что с этой даты начинает действовать упрощенный порядок привлечения к административной ответственности. Раньше дела в этой сфере возбуждала прокуратура (ст. 28.1 КоАП РФ). По новым же правилам (п. 58 ч. 2 ст. 28.3 КоАП РФ) дела будет возбуждать сам Роскомнадзор без участия сотрудников прокуратуры. На практике это означает, что количество штрафов и доведенных до суда дел может значительно увеличиться, и уйти от ответственности станет значительно сложнее.

Федеральный закон «О персональных данных»: основные положения простыми словами

Законодательство РФ содержит нормативные акты, гарантирующие защиту личных данных граждан. Основным источником права соответствующего типа является Федеральный закон № 152-ФЗ. В нем содержатся положения, в достаточной мере детально регламентирующие осуществление оборота персональных данных россиян. Какие из них можно назвать ключевыми? В чем заключается смысл ФЗ № 152?

Сфера действия нормативного акта

Закон «О персональных данных» № 152-ФЗ распространяется на правоотношения, которые связаны с обработкой информации главным образом личного характера. К ней можно отнести Ф.И.О., адрес, телефон, паспортные данные человека. Персональные данные, которые защищает рассматриваемый закон, могут обрабатываться как юридическими, так и физическими лицами. ПД могут быть и биометрическими, то есть представлять собой отпечатки пальцев гражданина или снимок сетчатки его глаз.

В чем смысл регулирования оборота ПД?

Основная идея ФЗ № 152 «О персональных данных» в том, что гражданин, являющийся владельцем ПД, сам может определять то, кому он разрешает пользоваться соответствующими данными и каким образом. То есть, если соответствующего разрешения не получено, другое лицо не вправе каким-либо образом обрабатывать ПД, принадлежащие другому субъекту. Закон устанавливает ряд исключений из этого правила. Далее в статье мы рассмотрим данный аспект и иные особенности применения положений закона № 152-ФЗ подробнее.

Чаще всего оборот ПД осуществляют компании-работодатели, органы власти на различных уровнях, сервисные службы. Поэтому они должны наиболее внимательно изучать закон «О персональных данных» и обеспечивать соответствие своей работы его положениям. Рассмотрим то, на какие нормы, что содержатся в указанном нормативном акте, следует обращать внимание в первую очередь.

Читайте так же:  Какие документы необходимы иностранным гражданам и гражданам без гражданства для получения гражданст

Основные нормы ФЗ № 152

Изучая закон «О персональных данных» (152-ФЗ), следует в первую очередь разобраться в терминологии, которая в нем отражена. Так, ключевыми понятиями, которые содержит соответствующий источник права, можно считать:

  • собственно «персональные данные» — определяемые как любая информация, касающаяся физического лица;
  • «оператор персональных данных» — организация или физлицо, осуществляющие обработку ПД;
  • «информационная система» — ресурс, на котором размещаются ПД.

Можно отметить, что в законе приведена в достаточной мере широкая трактовка понятия ПД — нет каких-либо четких критериев их определения. Это, как считают многие юристы, значительно способствует повышению уровня защищенности личной информации граждан, поскольку, в силу положений закона, практически все ее виды могут быть классифицированы как персональные данные.

Операции с ПД

Законодательство о ПД регламентирует операции, которые могут быть, в принципе, осуществлены с соответствующими данными:

  • распространение;
  • предоставление;
  • блокирование;
  • обезличивание;
  • трансграничная передача;
  • уничтожение.

Закон «О персональных данных» требует от операторов ПД осуществления указанных действий при условии соблюдения:

— конфиденциальности ПД (если иное не установлено законом);

То есть персональные данные должны быть защищены, во-первых, от несанкционированного просмотра, а во-вторых — от уничтожения или неправомерной корректировки. Изучим то, каким образом должна осуществляться собственно защита ПД в соответствии с нормами закона № 152-ФЗ.

Защита персональных данных по закону № 152-ФЗ

Выполнение главного обязательства, которое предусмотрено законом, оператор ПД должен осуществлять с помощью:

  • внедрения передовых технологических решений, позволяющих защитить данные от несанкционированного прочтения и изменения;
  • применения правовых методов защиты информации.

Решая указанные задачи, оператор ПД, как это предписывает закон «О защите персональных данных», должен:

  • классифицировать информацию, обработку которой он осуществляет, по уровням защищенности;
  • установить требования к качеству носителей персональных данных;
  • определить особые критерии защищенности биометрических данных.

Прежде чем начать обработку ПД, их оператор должен получить соответствующую информацию в распоряжение. Как он может сделать это законным способом?

Как владельцу ПД разрешить их использование?

Основной и во многих случаях единственный способ, с помощью которого владелец ПД может передать в распоряжение оператора свои персональные данные — в письменном виде дать согласие на их обработку. Как правило, оно представляет собой заявление, в котором человек перечисляет ПД, которые готов дать на обработку, указывает способы обработки ПД, которые он одобряет.

Закон «О персональных данных» в некоторых случаях не требует оформления соответствующего согласия — например, если речь идет об оформлении сотрудника на работу. Однако на практике многие компании, нанимающие работников, все же просят их предоставить согласие на обработку ПД. Это во многом связано с тем, что формально не все типы операций с кадровыми документами попадают под исключения, которые содержит закон «О защите персональных данных». Полезно будет рассмотреть их перечень отдельно.

В каких случаях ПД могут быть обработаны без согласия владельца?

Федеральный Закон 152 «О персональных данных» устанавливает, что оператору ПД не нужно запрашивать согласие у их владельца на обработку соответствующей информации, если она осуществляется:

  • в силу положений какого-либо федерального закона;
  • для исполнения договора, заключаемого между оператором ПД и их владельцем;
  • в целях сбора статистических данных или при проведении научного исследования — но при условии, что ПД будут обезличены;
  • в экстренной ситуации, когда это необходимо для оказания помощи владельцу ПД;
  • в целях отправки почты;
  • для осуществления расчетов между провайдерами и их клиентами, являющимися владельцами ПД;
  • в рамках журналистской деятельности;
  • в соответствии с законами, регулирующими деятельность государственных и муниципальных служащих.

Исполнение требований ФЗ № 152 операторами ПД может контролироваться компетентными государственными органами. Изучим данный аспект подробнее.

Контроль над исполнением положений ФЗ № 152

Закон «О персональных данных» (152-ФЗ) устанавливает, что контроль над исполнением его положений должен осуществлять компетентный орган власти. Он функционирует на федеральном уровне, и потому, ему подчинены различные региональные ведомства. Данный орган власти имеет право:

  • получать у физлиц и организаций сведения, необходимые в целях реализации установленных для него полномочий;
  • проверять сведения, включаемые в уведомления об обработке ПД;
  • обращаться к другим государственным структурам за содействием в решении поставленных задач;
  • предписывать оператору ПД корректировать, блокировать или же уничтожать данные, которые признаны недостоверными или получены в обработку незаконным путем;
  • обращаться в судебные органы с исками в пользу защиты владельцев ПД, а также представлять их интересы в процессе слушаний;
  • взаимодействовать с органами, выдающими лицензии для операторов ПД, на предмет аннулирования соответствующих разрешительных документов в тех случаях, если лицо, осуществляющее обработку ПД, нарушает требования закона;
  • взаимодействовать с прокуратурой и силовыми структурами по вопросам защиты персональных данных граждан;
  • предлагать правительству РФ меры по совершенствованию законодательства в области ПД;
  • привлекать в административном порядке к ответственности тех лиц, что нарушают нормы ФЗ № 152.

Таким образом, закон «О персональных данных» 152-ФЗ устанавливает детальный перечень правовых норм, защищающих оборот конфиденциальной информации о гражданах. Он определяет сущность ПД, статус их владельцев и операторов. Главная задача, которую решает федеральный закон «О персональных данных» — защита личной информации граждан от использования в интересах третьих лиц.

Положения соответствующего ФЗ предполагают, что человек сам должен давать согласие на обработку своих ПД, а оператор соответствующих данных получает право запрашивать ПД только в определенных законом случаях. Кроме того, рассматриваемый закон требует от лиц, использующих персональные данные граждан, обеспечения должного уровня их защиты.

Видео удалено.
Видео (кликните для воспроизведения).

Касательно первого критерия есть исключения — их тоже содержит закон. ФЗ «О персональных данных» — в достаточной мере прогрессивный нормативно-правовой акт, позволяющий вывести правовые механизмы защиты интересов граждан на новый уровень. Санкции за его нарушения могут быть предусмотрены весьма серьезные, поэтому операторам ПД: работодателям, сервисным службам и любым другим фирмам, работающим с личными данными гражданина — следует внимательно изучать положения соответствующего закона.

Источники


  1. Зайцев, А. И. Постатейный комментарий к Федеральному закону «О судебных приставах» / А.И. Зайцев, М.В. Филимонова. — М.: Ай Пи Эр Медиа, 2014. — 128 c.

  2. Астахов, Павел Земельный участок. Юридическая помощь по оформлению и защите прав на землю с вершины адвокатского профессионализма / Павел Астахов. — М.: Эксмо, 2015. — 256 c.

  3. Зайцев, А. И. Постатейный комментарий к Федеральному закону «О судебных приставах» / А.И. Зайцев, М.В. Филимонова. — М.: Ай Пи Эр Медиа, 2014. — 128 c.
  4. Безуглов, Анатолий Встать! Суд идет: моногр. / Анатолий Безуглов. — М.: Детская литература. Москва, 2014. — 224 c.
  5. Смоленский, М. Б. Теория государства и права для студентов вузов / М.Б. Смоленский. — М.: Феникс, 2014. — 256 c.
Как защитить персональные данные краткий обзор закона 152-фз
Оценка 5 проголосовавших: 1

ОСТАВЬТЕ ОТВЕТ

Please enter your comment!
Please enter your name here