Персональные данные: закон суров..

Содержание
  1. Персональные данные: закон суров..
  2. Федеральный закон «О персональных данных» от 27 июля 2006 года №152-ФЗ в полном объеме вступил в силу с 1 июля 2011 года
  3. 1. Согласие физического лица на обработку персональных данных
  4. 2. Безопасность обработки персональных данных
  5. 3. Ответственность за нарушение требований законодательства о персональных данных
  6. «Утечки неизбежны»: кто ответственен за персональные данные
  7. За рубеж руки не дотянутся
  8. Как выполнить 152-ФЗ о защите персональных данных и что с вами будет, если его не соблюдать
  9. Обеспечить защиту данных
  10. Что будет, если не защитить данные
  11. Публичные документы: их показываем тем, у кого берем персональные данные
  12. Внутренние документы компании: в них описываем корпоративный порядок работы с персональными данными
  13. Что будет, если не разработать документы
  14. Уведомить Роскомнадзор
  15. Что будет, если не отправить уведомление
  16. Получать согласие на хранение и обработку персональных данных
  17. Что будет, если не спрашивать разрешения
  18. Краткая инструкция по выполнению федерального закона о персональных данных 152-ФЗ

Персональные данные: закон суров..

Персональные данные: закон суров..

02 августа 2011

*Данный материал старше трёх лет. Вы можете уточнить у автора степень его актуальности.

Федеральный закон «О персональных данных» от 27 июля 2006 года №152-ФЗ в полном объеме вступил в силу с 1 июля 2011 года

Об изменениях св правовом регулировании обращения информации, являющейся персональными данными, читайте в нашей новой статье «152-ФЗ или Персональные данные на сайте».

Речкин Роман Валерьевич
Старший партнер

Если вы делаете бизнес в России, вы должны постоянно отслеживать изменения законодательства. То, что еще вчера было нормальным и допустимым, сегодня может быть уже за гранью закона. Типичный пример новых жестких требований к бизнесу — нормы законодательства о персональных данных.

Важность этого закона безусловна: он касается каждого предпринимателя. Если в вашей организации есть хотя бы один работник или один клиент — физическое лицо, то законодательство о персональных данных налагает на вас серьезные обязательства.

Персональные данные — это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация [1].

Тишковский Андрей Александрович
Руководитель группы практик

Главное требование закона — соблюдение конфиденциальности при обработке любых персональных данных, позволяющих идентифицировать лицо, которому принадлежат эти данные. Как правило, для идентификации достаточно дополнения сведений о фамилии, имени и отчестве любой иной персональной информацией (дата рождения, адрес, номер телефона и др.).

Например, такие сочетания данных как Ф.И.О. и дата рождения или Ф.И.О. и номер телефона являются персональными данными, позволяющими идентифицировать лицо.

А вот сочетание даты рождения и номера телефона персональными данными являться не могут, поскольку их принадлежность к определенному лицу не установлена, и идентифицировать по этим данным конкретное лицо невозможно.

Если в вашей организации накапливаются, хранятся или каким-то образом используются в работе персональные данные, хотите вы этого или нет, с точки зрения закона вы признаетесь оператором персональных данных.

Оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных [2].

1. Согласие физического лица на обработку персональных данных

Закон о персональных данных ввел новое и очень жесткое правило о том, что обработка персональных данных (фактически, любые операции с ними: получение, хранение, создание баз данных и т.п.) допускается только с согласия субъекта персональных данных (человека, данные которого обрабатываются).

Исключений из этого правила предусмотрено всего семь. Из них только одно применимо к обычной предпринимательской деятельности: обработка персональных данных возможна без получения согласия субъекта персональных данных, если такая обработка осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных (например, договор с потребителем).

Законодатель, казалось бы, преследовал благую цель — повысить уровень защиты данных о частной жизни человека, привести правила делового оборота в соответствие с европейскими стандартами (федеральный закон принят во исполнение Конвенции Совета Европы «О защите личности в связи с автоматической обработкой персональных данных»).

Но к сожалению, введение такого жесткого правила одномоментно, без учета специфики различных сфер бизнеса, сильно усложнило жизнь предпринимателей.

Например, это ощутимо ударило по рекрутинговому бизнесу: кадровые агентства теперь формально не имеют права пользоваться открытыми базами данных в сети Интернет, поскольку потенциальный работник не давал им согласия на обработку персональных данных.

Закон дополнительно ограничил возможность обработки персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи.

Ведение базы номеров телефонов и электронных адресов клиентов с целью проведения рекламных рассылок теперь допускается только при условии предварительного согласия клиентов. Причем предполагается, что такое согласие потребителей отсутствует, если оператор не докажет, что оно было получено.

Законом также предусмотрено, что клиент в любой момент по своему усмотрению может отозвать ранее данное согласие на обработку персональных данных. И оператор обязан по требованию клиента немедленно прекратить обработку его персональных данных [3].

По общему правилу, согласие физического лица на обработку персональных данных не должно быть письменным. (Но есть несколько исключений которые мы рассмотрим ниже). Однако на случай проверки госоргана или судебного спора с субъектом персональных данных предприниматель должен быть готов доказать наличие этого согласия.

Поэтому во избежание претензий со стороны проверяющих органов или физических лиц, информация о которых обрабатывалась, рекомендуется получать такое согласие именно в письменной форме.

Для этих целей можно использовать специальные формы документов, подписываемые субъектами персональных данных, а также включать соответствующие условия в трудовые договоры с работниками и в договоры с клиентами.

Обязательное письменное согласие от физического лица требуется для обработки так называемых специальных персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

Обязательное письменное согласие также требуется для опубликования информации о физическом лице (Ф.И.О., год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные).

Это требование создает дополнительные ограничения для включения персональных данных в общедоступные источники (справочники, адресные книги, деловые базы данных и т.п.).

Но даже при наличии письменного согласия сведения о субъекте персональных данных могут быть удалены из общедоступных источников по решению суда или иных уполномоченных государственных органов, а также по требованию самого субъекта персональных данных.

Еще одно принципиальное правило состоит в том, что оператор обязан использовать персональные данные только в соответствии с теми целями, для которых он их получил, использование информации в иных целях незаконно.

1 июля 2017 года вступают в силу изменения в статью 13.11 Кодекса об административных правонарушениях (КоАП РФ), регулирующую ответственность за соблюдение законодательства о персональных данных. 

2. Безопасность обработки персональных данных

Любой оператор персональных данных теперь должен принимать «необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий» (п.1 ст.19 Федерального закона «О персональных данных»). Это требование является еще более сложным с организационной и финансовой точки зрения, чем рассмотренное выше.

Правительством РФ было принято Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных [4].

Во исполнение этого документа было разработано также Положение о методах и способах защиты информации в информационных системах персональных данных [5], которое устанавливает организационно-технические меры по защите информации в информационных системах.

При этом выбор и реализация конкретных методов и способов защиты информации в информационной системе определенной организации осуществляются на основе выявленных оператором угроз безопасности персональных данных (модели угроз) и в зависимости от класса информационной системы [6].

Указанные нормативные акты предусматривают следующие организационные и технические мероприятия по защите персональных данных:

  • Уведомление уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор [7]) о намерении осуществлять обработку персональных данных. На основании такого уведомления лицо включается в реестр операторов персональных данных, находящемся в общем доступе на сайте Роскомнадзора.
  • Разработка документов, регламентирующих обработку персональных данных в организации: положение по обработке персональных данных, регламенты, положения по защите персональных данных. Эти документы должны быть направлены на создание условий, обеспечивающих реализацию технических мер защиты конфиденциальной информации.
  • Контроль действий персонала в защищенных информационных системах.
  • Определение порядка финансирования деятельности системы обеспечения информационной безопасности.
  • Создание системы защиты персональных данных, в том числе, выполнение требований по инженерно-технической защите помещений.
  • Повышение квалификации сотрудников в области защиты персональных данных.
  • Использование технических, программных, криптографических и аппаратных средств для защиты информации от несанкционированного доступа, копирования, модификации или уничтожения.

Даже на первый взгляд описанная система выглядит громоздкой и чрезмерно усложненной. А отдельные ее положения являются откровенно не нужными ни государству, ни даже самим физическим лицам (субъектам персональных данных).

Например, с учетом того, что обработку персональных данных осуществляет фактически любая организация, неясен смысл «письменного уведомления уполномоченного органа о своем намерении осуществлять обработку персональных данных», а также «включение в реестр операторов персональных данных».

При этом ответственность за неуведомление уполномоченного органа законодательством не установлена.

Еще более абсурдна предусмотренная пп.4, 5 ст.21 Федерального закона «О персональных данных» обязанность оператора «уведомлять субъекта персональных данных о прекращении обработки и об уничтожении персональных данных».

Вряд ли такая громоздкая и излишне бюрократизированная система охраны персональных данных в полном объеме будет работать даже на больших государственных предприятиях. А между тем в дополнение к многочисленным административным барьерам и налоговому бремени на бизнес возложили еще и обязанность по внедрению этой системы.

Для ее реализации явно нужны специальные ресурсы и дополнительные финансовые вложения. Показательно, что рынок «консультантов в области защиты персональных данных» уже полон предложениями «обеспечить защиту персональных данных в соответствии со всеми требованиями закона». Естественно — за соответствующее вознаграждение.

3. Ответственность за нарушение требований законодательства о персональных данных

Установив требования к защите персональных данных, государство предусмотрело и ответственность за их несоблюдение.

Правда, несмотря на оговорку в законе о возможности привлечения к «гражданской, уголовной, административной, дисциплинарной и иной предусмотренной законодательством РФ ответственности» (ст.

24 Федерального закона «О персональных данных»), фактически законодательно установлена только административная ответственность.

За нарушение «установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)» статья 13.

11 Кодекса РФ об административных правонарушениях предусматривает наказание в форме предупреждения или административного штрафа в размере от 500 до 1 000 рублей (для должностных лиц организации), от 5 000 до 10 000 рублей (для юридических лиц).

Столь небольшой размер ответственности, с одной стороны, и организационная сложность системы охраны персональных данных, с другой, позволяют прогнозировать, что ситуация будет развиваться в соответствии со старой отечественной традицией: «Суровость российских законов смягчается необязательностью их исполнения».

Но нельзя забывать о другом негативном для бизнеса аспекте: к длинному списку «уполномоченных государственных органов», которые вправе проверять бизнес, теперь нужно добавить еще один — Роскомнадзор. Именно это ведомство уполномочено осуществлять контроль за соблюдением законодательства о персональных данных.

Поэтому проверок Роскомнадзора не избежать, которые, кстати, должны проводиться с соблюдением требований и ограничений, установленных Федеральным законом «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» от 26 декабря 2008 г.

№294-ФЗ.

Административная ответственность за нарушение требований законодательства о персональных данных (ст.13.11 КоАП РФ)

Правонарушение: нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных).

Наказание: предупреждение или административный штраф от 500 до 1000 рублей (для должностных лиц организаций), от 5 000 до 10 000 рублей (для юридический лиц).

в журнале «ИНТЕЛЛЕКТ-ПРЕСС» (№18/2011)

[1] Статья 3 Федерального закона «О персональных данных» от 27 июля 2006 года №152-ФЗ. [2] Там же. [3] Необходимо отметить, что СМС-рассылки и рекламные объявления с использованием иных средств связи («спам») без согласия абонента были запрещены законом и раньше (ст.18 Федерального закона «О рекламе» от 13 марта 2006 года №38-ФЗ). [4] Утв. Постановлением Правительства РФ от 17 ноября 2007 г. №781. [5] Утв. Приказом Федеральной службы по техническому и экспортному контролю от 5 февраля 2010 г. №58. [6] Класс информационной системы определяется в соответствии с Порядком проведения классификации информационных систем персональных данных, утвержденным Приказом Федеральной службы по техническому и экспортному контролю России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г. №55/86/20. [7] Полное наименование — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций.

интеллектуальная собственность, коммерческое право, медиа, персональные данные

Источник: https://www.intellectpro.ru/press/works/personalnye_dannye_zakon_surov_d/

«Утечки неизбежны»: кто ответственен за персональные данные

Персональные данные: закон суров..

В последние годы проблема защиты персональных данных (ПД) приобрела особенную остроту.

Социальными сетями и медиаплатформами пользуется огромное количество пользователей по всему миру, предоставляя свою личную информацию в обмен на возможность присоединиться и воспользоваться определенными услугами.

При этом в руках крупных IT-компаний оказываются огромные массивы данных, расшифровав которые можно узнать любые подробности жизни человека.

Когда мы отдаем свои персональные данные, порядочные компании обещают их защищать — к этому их обязывает законодательство. По словам технического директора ООО «ТСС», специализирующегося на информационной безопасности, Ильи Шарапова, защитить персональные данные — не такая уж невыполнимая задача.

Это может быть достигнуто с помощью шифровальных (криптографических) средств, средств предотвращения несанкционированного доступа, утечки информации по техническим каналам (DLP-системы), а также с помощью других технических и организационных мер.

По словам Шарапова, в современном обществе проблема утечек встала остро в связи с несколькими факторами.

«Во-первых, это вызвано халатностью или злым умыслом сотрудников, их некомпетентностью, выполнением требований закона «для галочки», а не по факту (мы сами становились свидетелями того, как в некоторых российских ведомствах и министерствах устанавливались средства НСД, но они не использовались сотрудниками). Наконец, проблема коррупции: сами сотрудники часто торгуют базами данных», — пояснил собеседник «Газеты.Ru».

В России использование и защита персональных данных регулируется многими документами, в частности, 152-ФЗ «О персональных данных», 149-ФЗ «Об информации, информационных технологиях и о защите информации», КоАП, УК РФ, ТК РФ и ГК РФ.

В российском законодательстве довольно четко прописана ответственность за нарушение закона о персональных данных. Она включает как административные, гражданско-правовые и дисциплинарные, так и уголовные меры.

Как отмечает специалист по информационной безопасности и генеральный директор «Лаборатории Цифровой Форензики» Александр Мамаев, на бумаге все довольно четко прописано и зафиксировано. Однако даже законодатели зачастую плохо владеют предметом.

«Не так давно председатель Госдумы Вячеслав Володин, например, предложил создать рабочую группу по защите персональных данных. Он заявил: «Это не сворованные хакерами данные, это системы реестра Минфина, Минюста, Минтруда, электронные торговые площадки.

Это говорит об отсутствии защиты этих данных, и, в принципе, большая часть информации — она находится в открытом доступе, ее надо найти, систематизировать и использовать».

Но, как уже было сказано выше, законы есть, и они четко классифицируют требования и правила использования персданных.

Однако, персональные данные россиян действительно часто утекают в открытые источники, или же становятся предметом купли-продажи. Согласно исследованию компании Dentsu Aegis Network, лишь 29% россиян считают, что их персональные данные защищены в достаточной степени.

В ноябре 2018 года «Лаборатория Касперского» объявила, что «цифровая личность» человека в даркнете продается за $50. Здесь имеются в виду реквизиты банковских карт и счетов, аккаунты в социальных сетях, удаленный доступ к серверам и персональным компьютерам, а также сведения из приложений для знакомств и полный список посещаемых порносайтов.

Согласно данным компании Comparitech, скан паспорта россиянина в даркнете продается за $10-11. Этого порой оказывается достаточно, чтобы оформить счет или кредит на имя жертвы в банке.

По словам Александра Мамаева, рассчитывать на то, что жертвам утечек удастся отсудить существенные компенсации у частных компаний или госорганов, не приходится.

«Один подобный процесс, увенчавшийся успехом, может привести к цепной реакции, когда каждый пользователь, сталкивавшийся с утечкой данных, обратится в суд за компенсацией.

Учитывая низкий уровень защиты персданных в России, это может обернуться разорением банков, IT-ритейлеров, сервисов по покупке билетов и т.д.

Следом иски можно вчинить и госорганам, которые, несмотря на требования закона, весьма халатно относятся к защите персональных данных россиян. Подобные иски могут очень больно ударить по бюджету страны», — заключил собеседник «Газеты.Ru».

Действующий закон «О персональных данных» позволяет физическим лицам требовать в суде возмещения имущественного и морального вреда, причиненного вследствие нарушения требований к обработке персональных данных.

Основная проблема на пути самостоятельной защиты гражданами своих прав – трудность доказывания размера убытков, а также неготовность судов к присуждению существенных сумм компенсации морального вреда, рассказывает партнер юридической компании 2b law office Антон Городецкий.

«Именно поэтому в России число судебных дел в данной категории исчисляется десятками, что, очевидно, несопоставимо с количеством нарушений в данной сфере», — пояснил Городецкий.

По мнению Антона Городецкого, первая проблема – относительно небольшой размер штрафов. Штрафы для юридических лиц за нарушение порядка обработки персональных данных находятся в диапазоне от 15 000 до 75 000 рублей.

Это сумма может быть существенной для небольших компаний, но для крупных игроков рынка персональных данных, зарабатывающих огромные деньги на торговле персональными данными, такие штрафы не могут играть сдерживающей функции.

«Сравните, например, размер наших штрафов, со штрафами, предусмотренными Общим регламентом о защите персональных данных (GDPR), где верхняя граница штрафа составляет 20 миллионов евро, или 4% от мирового оборота компании-нарушителя», — заявил эксперт.

Другая проблема, препятствующая эффективной защите прав субъектов персональных данных (самостоятельной и силами органов государственной власти) – отсутствие физического представительства и какого-либо имущества компаний нарушителей на территории России, что делает невозможным фактическое исполнение принятых судебных актов. В таких случаях у остаётся единственный инструмент – блокировка сайтов компаний-нарушителей, что также не всегда способно достичь цели защиты персональных данных.

Есть несколько прецедентов, когда в России штрафовали крупные иностранные компании. Так, и были оштрафованы на 3 тыс. руб.

каждая за непредоставление информации о переносе персональных данных российских пользователей в Россию.

Обязанность хранить данные граждан РФ на российских серверах появилась у интернет-компаний после вступления в силу закона «О персональных данных» в сентябре 2015 года.

При этом официально у , и некоторых других компаний Кремниевой долины нет российских юридических лиц и постоянного представительства в России, то есть у них формально нет обязанности отвечать на запросы Роскомнадзора и подчиняться российским законам.

В апреле 2019 года АНО «Цифровая экономика», занимающаяся реализацией одноименной программы, выступила с предложением запретить таким компаниям иметь доступ к персональным данным россиян.

Одной из причин называются нечестные условия конкуренции зарубежных и российских IT-компаний, так как к последним предъявляются более жесткие требования.

Как следует из документа,

«необходимо избежать ситуации, когда иностранные компании, которые не соблюдают требования законодательства Российской Федерации, устанавливающего ограничения доступа к данным, будут иметь более привилегированное положение по отношению к российским компаниям, которые данные требования соблюдают».

Эта проблема касается и «Яндекса», которым владеет компания, зарегистрированная в Нидерландах.

В том числе поэтому в конце июля в Госдуму был также внесен проект об ограничении в 20% на иностранное владение информационными ресурсами, которые будут признаны «значимыми» для России.

Этот критерий предлагается оценивать по количеству активных российских пользователей сервиса. Автор законопроекта депутат от «Единой России» Антон Горелкин утверждает, что если ресурс является «значимым», то его основной владелец должен быть зарегистрирован в России.

Впрочем, у «Яндекса» есть зарегистрированное юридическое лицо в России, он обязан соблюдать российское законодательство и подчиняться требованиям Роскомнадзора.

За рубеж руки не дотянутся

В Европейском союзе на страже персональных данных пользователей стоит Общий регламент по защите данных (GDPR), принятый в мае 2018 года. Как объяснил руководитель юридического отдела хостинг-провайдера REG.

RU Павел Патрикеев, одна из ключевых особенностей GDPR заключается в том, что действие данных правил применяется к компаниям, обрабатывающим персональные данные резидентов и граждан ЕС и явно нацеленных на такую обработку, независимо от местонахождения такой компании.

Практика привлечения европейских компаний к ответственности за нарушение постепенно формируется: ещё в 2018 году в связи с утечкой данных и нарушением условия о необходимости хранения данных пользователей в зашифрованном виде на 20 тысяч евро была оштрафована немецкая компания Knuddels GmbH & Co KG (компания-владелец немецкого онлайн-чата и сервиса для знакомств Knuddels). За похожее нарушение, связанное с предоставлением недостаточной степени защиты пользовательских данных на случай утечки, на 183 млн фунтов стерлингов была оштрафована и авиакомпания British Airways.

Одним из наиболее крупных примеров привлечения к ответственности не эндемика, иностранной компании по GDPR в настоящий момент является штраф американской компании Google регулятором Франции (CNIL) в размере 50 млн евро за предоставление неполной и непрозрачной информации владельцам ОС Android, а также за ряд иных смежных нарушений в области обработки персональных данных (однако это не единственный случай привлечения к ответственности по GDPR американской компании — так, штрафы по данному Регламенту уже получили Uber и ).

«Как уже было показано выше, факт наличия или отсутствия офиса компании (ее представительства) на территории ЕС не является принципиальным: в GDPR заложен принцип экстерриториальности, а значит предписания могут быть направлены и иностранным организациям, присутствующим в Европе лишь виртуально, но при этом дежурно обрабатывающих данные европейских граждан — примером такого кейса служит предписание британского регулятора по GDPR канадской компании AggregateIQ Data Services», — рассказывает Патрикеев.

Однако, в случае если ни организация-оператор ПД, ни субъект ПД не являются резидентом ЕС, либо не находятся на территории Союза — в таком случае компания не может быть привлечена за нарушение. И уж тем более гражданин не может с ней судиться лично.

В свою очередь, 152-ФЗ имеет ряд существенных отличий от GDPR, одно из которых — требования о локализации баз данных с данными россиян на территории России.

В широком смысле, 152-ФЗ экстерриториального действия не имеет и не распространяется на нерезидентов (лиц, не имеющих официальное присутствие в России), собирающих персональные данные Россиян за границей. Однако, в контексте необходимости локализации данных на территории РФ, значение имеет наличие у иностранной организации целенаправленной деятельности по сбору данных.

Получается, что GDPR является более продвинутой версией 152-ФЗ, позволяя привлекать к ответственности за утечку персональных данных даже те компании, которые не являются резидентами ЕС, но имеют доступ к информации граждан Европейского союза.

«Таким образом, в настоящий момент GDPR представляет собой более совершенный инструмент по привлечению иностранных компаний к ответственности за нарушение национальных требований к обработке персональных данных, так как в нем изначально отсутствует ограничение сферы действия только по национальному принципу (месту инкорпорации компании).

Хотя по ряду оснований по 152-ФЗ иностранная компания также может быть привлечена к ответственности за нарушение правил (например, при неисполнении требований о локализации данных), тем не менее 152-ФЗ не предоставляет такого гибкого инструментария субъектам ПД по привлечению иностранных компаний, обрабатывающих их данные за рубежом, к ответственности на территории Российской Федерации», — заключил собеседник «Газеты.Ru».

Что же касается ситуации в США, то защита персональных данных пользователей регулируется отдельными отраслями. Специального федерального закона о ПД на территории страны не существует — его заменяют локальные нормативные акты, зачастую действующие на территории отдельных штатов, и узкоспециальные законы.

Часть работы по защите ПД берет на себя Федеральная торговая комиссия (FTC) США, которая следит за соблюдением ряда законов и соглашений. Так, например, именно FTC оштрафовала социальную сеть на $5 млрд за скандал с Cambridge Analytica, который привел к утечке личной информации 87 млн пользователей, не дававших согласия на ее использование.

Отсутствие универсального закона по защите ПД в США является существенной проблемой для страны, на чьей территории расположена Кремниевая долина, являющаяся средоточием крупнейших IT-компаний. За принятие в Америке аналога GDPR выступают как законодатели, так и сами резиденты Долины — например, Microsoft и Apple.

В 2018 году Калифорния приняла закон о приватности данных потребителей (California Consumer Privacy Act, или CCPA), который повторяет некоторые принципы GDPR. Этот закон должен вступить в силу уже в 2020 году. Некоторые представители IT-индустрии поддержали инициативу, назвав ее важным шагом на пути к единому федеральному закону по защите персональных данных.

Источник: https://www.gazeta.ru/tech/2019/08/09_a_12567469.shtml

Как выполнить 152-ФЗ о защите персональных данных и что с вами будет, если его не соблюдать

Персональные данные: закон суров..
В России действует закон о защите персональных данных. Его обязаны соблюдать все, кто хранит любые персональные данные, то есть те, у кого есть сотрудники или база клиентов.

Расскажем, как соответствовать 152-ФЗ и какими штрафами грозит несоблюдение закона.

Обеспечить защиту данных

Если вы храните персональные данные, то по статье 3 152-ФЗ являетесь оператором персональных данных и отвечаете за их защиту. Основные требования общие для всех:

  • Обеспечить аутентификацию, чтобы к данным имели доступ только те, у кого есть на это право.
  • Поставить серверы с данными в защищенном месте, чтобы посторонний не мог войти в помещение и подключиться к серверу напрямую.
  • Установить антивирусные программы, межсетевые экраны и другое ПО, которое должно защитить от угроз.
  • Использовать для защиты информации ПО, сертифицированное ФСТЭК — оно считается безопасным. Например, такой сертификат есть у антивируса от «Лаборатории Касперского». Если используете ПО собственной разработки, то можно получить на него сертификат самостоятельно.

Если вы храните не просто ФИО, а важные данные, например фотографии, нужно обеспечить более серьезную защиту — к примеру, настроить систему обнаружения вторжений. Подробнее об этом можно почитать в нашей статье «Защита персональных данных в облаке: как сделать все по закону 152-ФЗ» — там мы рассказываем о типах угроз, уровнях защищенности и технических требованиях по безопасности.

Если вы храните данные в облаке от Mail.ru Cloud Solutions, часть требований выполняем мы. Например, защищаем серверы или собираем информацию о событиях безопасности. Еще мы поможем построить систему защиты данных по требованиям ФСТЭК и аттестовать ваше ПО по требованиям закона.

Что будет, если не защитить данные

Ответственность за нарушение закона о персональных данных зависит от вида нарушения. Если оператор не защитит данные и кто-то случайно или намеренно получит к ним доступ, его оштрафуют:

  • Физлицо — на 700–2000 рублей.
  • Должностное лицо — на 4 000–10 000 рублей.
  • ИП — на 10 000–20 000 рублей.
  • Юрлицо — на 25 000–50 000 рублей.

Может случиться, что из-за неправомерного доступа к персональным данным человек пострадает. Например, кто-то узнает его адрес и проникнет в квартиру. В таком случае компания, которая допустила утечку данных, должна будет компенсировать ущерб по закону о защите персональных данных.

Публичные документы: их показываем тем, у кого берем персональные данные

Согласие на обработку персональных данных. Базовый документ — его нужно давать на подпись тем, чьи персональные данные вы собираете лично, а не через интернет. В документе нужно прописать, какие именно данные и с какими целями вы собираете.

Образец согласия на обработку персональных данных. Источник

Если собираете данные только через интернет, этот документ не нужен. Понадобится опубликованная на сайте политика конфиденциальности, а получать согласие можно будет через форму.

Положение об обработке и защите персональных данных. Этот документ нужно показывать тем, кто лично подписывает с вами согласие на обработку персональных данных. В положении о персональных данных прописывают цель и сроки обработки и хранения данных, порядок их уничтожения.

Политика конфиденциальности. Это документ для тех, кто собирает данные через интернет. Его нужно разместить на сайте, чтобы пользователи могли узнать, как и для чего вы собираете их персональные данные. Он похож на «Положение об обработке и защите персональных данных».

Ссылку на политику нужно добавить в пользовательское соглашение. А в формах, где пользователь оставляет свои данные, нужно добавить галочку с текстом: «Соглашаюсь на обработку персональных данных в соответствии с политикой конфиденциальности».

Политику можно подготовить по шаблону. Такие шаблоны часто есть у конструкторов сайтов, например у Tilda.

Внутренние документы компании: в них описываем корпоративный порядок работы с персональными данными

Модель угроз безопасности. Этот документ показывает, какие опасности угрожают вашей системе хранения и обработки персональных данных. Его нужно составлять обязательно — без него нельзя понять, как именно вы обязаны защитить свою систему. При составлении нужно ориентироваться на базовую модель от ФСТЭК.

Приказ о назначении ответственного за безопасность персональных данных. Если вы ИП, то сами отвечаете за безопасность, и приказ не нужен. Если у вас ООО, в нем должен быть ответственный — должностное лицо, которое следит за персональными данными. Его нужно назначить приказом.

Образец приказа о назначении ответственного за персональные данные. Источник

Приказ о допуске к обработке персональных данных. В этом документе прописаны все сотрудники, которые имеют доступ к персональным данным. Важно, чтобы это было обосновано — нельзя вписать туда людей, которым по работе не нужны персональные данные, например, уборщицу или программиста.

Инструкция пользователя системы персональных данных. В этой инструкции нужно прописать, как правильно общаться с персональными данными. С ней должны ознакомиться все, кто имеет доступ к данным.

Практически все эти документы стандартные, так что можно взять шаблоны и доработать под нужды своей компании. Или заказать пакет у юристов, чтобы все формулировки точно были правильными.

Что будет, если не разработать документы

Можно получить сразу два штрафа:

  • За обработку данных без модели угроз и прописанных целей: 1 000—3 000 для физлиц, 5 000–10 000 для должностных лиц, 30 000–50 000 для юрлиц.
  • За отсутствие положения об обработке персональных данных или политики конфиденциальности: 700–1 000 для физлиц, 3 000—6 000 для должностных лиц, 5 000–10 000 для ИП, 15 000–30 000 для юрлиц.

Если вы не назначите ответственного за обработку ПД или не составите список тех, кому разрешен доступ — это тоже нарушение. Получится, что вы просто так передали данные третьим лицам — а это незаконное распространение, за которое положена уголовная ответственность: штраф до 200 000 рублей, принудительные работы до двух лет, арест до четырех месяцев.

Уведомить Роскомнадзор

Если вы собираете персональные данные сотрудников, уведомлять никого не нужно. А вот если работает с персональными данными клиентов, придется отправить уведомление в Роскомнадзор — зарегистрироваться как оператор персональных данных.

Отправить уведомление можно онлайн, на сайте Роскомнадзора.

Что будет, если не отправить уведомление

Вы совершите административное правонарушение — не уведомите контролирующий орган, хотя обязаны были это сделать. За это положен штраф:

  • 100–500 рублей для физлиц
  • 300–500 рублей для должностных лиц.
  • 3 000—5 000 рублей для юрлиц.

Получать согласие на хранение и обработку персональных данных

Когда вы обеспечили защиту данных, собрали пакет документов и уведомили Роскомнадзор, можно, наконец, начать работать с персональными данными.

Чтобы все было по закону, нужно получать согласие от каждого человека, чьи персональные данные вы собираете.

По закону о защите персональных данных 152-ФЗ каждый ваш клиент или сотрудник будет субъектом персональных данных и должен быть в курсе, что вы собираете и храните информацию о нем.

Получить согласие можно двумя способами:

  • Подписать письменное соглашение. Так обычно делают, если собирают данные в письменном виде — например, при приеме человека на работу или поступлении в ВУЗ.
  • Получить согласие через интернет. Для этого можно снабдить форму сбора данных галочкой, поставив которую пользователь соглашается на обработку персональных данных. На сайте при этом должна быть размещена Политика конфиденциальности, чтобы человек мог с ней ознакомиться.

Что будет, если не спрашивать разрешения

За это нарушение положен большой штраф:

  • 3 000–5 000 рублей для физлиц.
  • 10 000–20 000 рублей для должностных лиц и ИП.
  • 15 000–75 000 рублей для юрлиц.

Краткая инструкция по выполнению федерального закона о персональных данных 152-ФЗ

  • Обеспечить защиту данных: установить антивирус, предотвратить доступ к данным посторонних.
  • Разработать пакет документов: соглашение об обработке, политику конфиденциальности, модель угроз.
  • Назначить ответственного за обработку персональных данных и составить список тех, кто имеет доступ к данным.
  • Уведомить Роскомнадзор о том, что вы обрабатываете персональные данные.
  • Подготовить форму согласия на обработку персональных данных и получать согласие от каждого человека, чьи данные вы собираете.

Елена Шпрингер

Источник: https://mcs.mail.ru/blog/kak-vypolnit-152-fz-o-zashchite-personalnyh-dannyh

Читать по теме:Защита персональных данных в облаке: как сделать все по закону 152-ФЗСоблюдение законов о персональных данныхКибербезопасность в B2B: как бизнесу защититься от хакеров

Источник: https://zen.yandex.ru/media/mcs/kak-vypolnit-152fz-o-zascite-personalnyh-dannyh-i-chto-s-vami-budet-esli-ego-ne-sobliudat-5ec6e5b0cdaa790dc5daa1e1

Pravo-consut
Добавить комментарий