Обработка персональных данных: инструкция для организаций

Чтобы правильно организовать работу с персональными данными, компаниям необходимо следить за изменениями в законодательстве, разъяснениями Роскомнадзора и соблюдать требования закона от 27.07.2006 № 152-ФЗ «О персональных данных».

В законе № 152-ФЗ обязанностям операторов ПД посвящена глава 4. В ней можно найти информацию:

• как собирать персональные данные (статья 18);

• как организовать процессы внутри компании при работе с ПД — назначение ответственных, разработка политики ПД и локальных актов (статья 18.1);

• какие организационные и технические меры предпринимать для защиты данных (статья 19);

• как работать с запросами владельцев персональных данных и контрольных органов (статья 20);

• как действовать при инцидентах, компьютерных атаках и неправомерных доступах к ПД (статья 21);

• как проинформировать Роскомнадзор о начале работы с персональными данными (статья 22);

• какие функции выполняют ответственные сотрудники за обработку данных (статья 22.1).

Кроме этого, обязанности операторов напрямую связаны с правами субъектов ПД (ст. 9 закона № 152-ФЗ) — обрабатывать данные только с согласия их владельца.

Обработка персональных данных — это не только защита информации о клиентах, покупателях, пациентах, но и о сотрудниках организации. 

Необходимо составить списки сотрудников, определить категории ПД и обеспечить частичный доступ ответственным сотрудникам. Например, дать бухгалтеру доступ к зарплатной ведомости, а юристам — к адресам и паспортным данным сотрудников.

Операторам персональных данных грозит ответственность по ст. 13.11 КоАП за неправильную обработку, использование незарегистрированных в России баз данных, ограничение доступа к политике в отношении ПД.

Для организаций действуют следующие штрафы (ст. 13.11 КоАП):

• обработка данных, которые не соответствуют целям компании — до 100 тыс. руб. при первом нарушении, до 300 тыс. руб. при повторном нарушении (часть 1 и 1.1);

• сбор данных без согласия их владельца — до 700 тыс. руб. при первом нарушении, до 1,5 млн руб. при повторном нарушении (часть 2 и 2.1); 

• неразмещение в открытом доступе или ограничение доступа к политике персональных данных — до 60 тыс. руб. (часть 3);

• обработка персональных данных без уведомления их владельца — до 80 тыс. руб. (часть 4);

• нарушение сроков при ответах на запросы граждан и контрольных органов — до 90 тыс. руб. при первом нарушении, до 500 тыс. руб. при повторном нарушении (часть 5 и 5.1);

• нарушение безопасности персональных данных и несанкционированный к ним доступ без использования автоматизированных средств — до 100 тыс. рублей (часть 6);

• нарушение обязанности по использованию локальных баз данных, состоящих на учете в России — до 6 млн руб. при первом нарушении, до 18 млн руб. при повторном нарушении (часть 8 и 9); 

Когда компания размещает в интернете вакансию и предлагает направить ей резюме, сопроводительные письма и другую информацию о кандидате — она уже берет на себя ответственность за сохранность полученных данных. 

Персональные данные — это любая информация, которая прямо или косвенно позволяет идентифицировать человека (ст. 3 закона № 152-ФЗ). А при неправомерном использовании — нанести вред его личной, частной или семейной жизни.

К персональным данным относятся — фотографии, ИНН, данные военного билета, информация об образовании, биометрические данные, результаты медицинских обследований и т.д. 

Требования Роскомнадзора и нормы закона № 152-ФЗ направлены на выполнение организациями своих обязанностей — соблюдать права граждан, отчитываться о предпринимаемых мерах, выявлять нарушения внутри компании, разрабатывать локальные акты.

Все организации, которые работают с клиентами, покупателями, пациентами, направляют уведомление в Роскомнадзор еще до начала работы с персональными данными (ч. 1 ст. 22 закона № 152-ФЗ). И если вы не имеете отношение к списку исключений (ч. 2 ст. 22), то эта обязанность вас тоже касается.

Уведомление подается по форме из приказа Роскомнадзора от 22.08.2022 № 180, опубликованного на сайте Минюста. 

В уведомлении о намерении осуществлять обработку указываем:

• цели и законные основания для обработки ПД;

• категории персональных данных;

• категории владельцев ПД;

• способы и действия, осуществляемые компанией при работе с ПД;

• ответственные сотрудники;

• дату начала работы с данными;

• сроки или условие прекращения работы с ПД;

• место нахождения используемой локальной базы данных, зарегистрированной в России;

• подписи оператора или должностных лиц.

Подать заявление можно тремя способами:

• Заполнить форму на сайте Роскомнадзора — затем распечатать и направить почтовым письмом в территориальное ведомство РКН.

• Заполнить на сайте Роскомнадзора электронную форму — и подписать усиленной квалифицированной электронной подписью (УКЭП).

• На «Госуслугах» — потребуется подтвержденная учетная запись.

Роскомнадзор проверяет уведомление и вносит информацию об организации в реестр операторов в течение 30 дней.

• Если необходимо внести изменения в уведомление, то сделайте это до 15 числа следующего месяца (ч. 7 ст. 22 закона № 152-ФЗ).

• Если прекращаете работу с персональными данными сообщите в Роскомнадзор в течение 10 рабочих дней (ч. 7 ст. 22). 

В приказе Роскомнадзора № 180 также утверждены формы уведомлений для внесения изменений и прекращения работы с ПД.

Получить бесплатную консультацию по регистрации в Роскомнадзоре и подготовке документов для работы с персональными данными

Консультация

Политика ПД — это один из основных внутренних регламентов компании при работе с данными граждан. Она должна быть размещена на сайте компании для всеобщего доступа (ч. 2 ст. 18.1 закона № 152-ФЗ).

Политика включает в себя следующие пункты:

• цели компании при работе с данными;

• категории ПД (общие, специальные, биометрические или иные);

• категории владельцев данных;

• законные основания для обработки;

• способы обработки (с использованием автоматизированных и (или) неавтоматизированных средств);

• действия, который компания осуществляет при работе с ПД.

Обычно разработку политики поручают ответственному лицу. Все сотрудники должны быть ознакомлены с документом под роспись, так как относятся к субъектам ПД.

За организацию работы с персональными данными отвечает уполномоченный сотрудник, назначенный руководством (ст. 22.1 закона № 152-ФЗ). Он контролирует процесс, ознакамливает сотрудников с внутренними документами, работает с запросами граждан.

Как правило, ответственного назначают из высшего звена — заместителя руководителя, начальника кадрового отдела или начальника службы безопасности.

За автоматизированные системы обычно отвечает начальник отдела IT.

Организации дают частичный доступ к базам данных, исходя из функционала сотрудников. Полномочия ответственных определяются в соответствии со ст. 88 ТК РФ. 

Доступы делятся на уровни в зависимости от должностных обязанностей. Например, секретарь заказывает билеты для отправки сотрудника в командировку. Бухгалтер оформляет больничные листы. А руководители подразделений имеют доступ только к спискам своих подчиненных. 

Такая «разводка» доступов по функциям обеспечивает надежную защиту и исключает использование данных третьими лицами. Необходимо издать приказ со списком сотрудников и их полномочиями (постановление Правительства от 15.09.2008 № 687).

С каждым ответственным лицом подписывается обязательство о неразглашении. Сотрудники обязуются не передавать, не разглашать и не распространять личные данные третьим лицам. 

Организации должны ограждать персональные данные от неправомерного доступа — для этого используются все возможные способы хранения в зависимости от используемых средств.

Например, безопасность информационных систем обеспечивается на основании приказа от 18.02.2013 ФСТЭК № 21:

• доступ к автоматизированным системам открыт только уполномоченным лицам;

• используются двухуровневые пароли для входа в корпоративную сеть и локальную базу;

• ежемесячно меняются пароли;

• ключи доступа выдаются авторизованным сотрудникам.

При обработке ПД без использования автоматизированных систем безопасность обеспечивается так:

• доступ к местам хранения физических носителей есть только у уполномоченных сотрудников, которые включены в специальные списки;

• при необходимости в помещении устанавливаются видеокамеры и системы сигнализации.

За несоблюдение правил хранения организациям грозит штраф по ст. 13.11 КоАП — до 100 тысяч рублей.

Количество и состав локальных документов отличаются в разных компаниях в зависимости от их направления деятельности, целей и специфики. Помимо обязательных документов организации вводят в свои процессы документы дополнительного контроля — результаты проверок, протоколы, результаты инициативного аудита и т.д. 

В ходе проверок контрольные органы могут задать вопросы, на которые эти документы помогают ответить и подтвердить, что компания соблюдает законодательство в сфере персональных данных.

Соблюдение законодательства и требований Роскомнадзора в сфере обработки персональных данных помогает избежать штрафов и ненужных проверок.

Чтобы минимизировать риски, рекомендуем:

1. Следить за обновлениями в законодательстве. Регулярно проверяйте изменения в законах и нормативных актах, чтобы своевременно адаптировать внутренние процедуры. Например, раньше в ст. 22 закона № 152-ФЗ было указано 9 категорий компаний, которые могли работать без уведомления Роскомнадзора, сейчас таких исключений всего три (ч. 2 статьи 22). 

2. Обучать сотрудников. Разработайте систему обучения и ознакомления сотрудников с правилами работы с персональными данными и внутренними регламентами (п. 6 ч. 1 ст. 18.1 закона № 152-ФЗ).

3. Использовать надежные базы данных. Используйте современные средства защиты данных, такие как двухфакторная аутентификация, шифрование и системы мониторинга безопасности. Для обработки и хранения данных пользуйтесь локальными базами, зарегистрированными в России (ч. 5 ст. 18 закона № 152-ФЗ).

4. Проверять и обновлять документы. Убедитесь, что все локальные акты и регламенты актуальны и соответствуют реальным процессам в компании. Обеспечьте неограниченный доступ к политике персональных данных, например, опубликуйте на сайте компании (ч. 2 ст. 18.1 закона № 152-ФЗ).

5. Взаимодействовать с Роскомнадзором. Своевременно уведомляйте контрольный орган о начале или прекращении обработки данных, а также об изменениях, происшествиях и результатах контроля (ст. 22 закона № 152-ФЗ).

На сайте «Роском Онлайн» проверьте регистрацию компании в реестре операторов. В реестре должны находиться все организации, которые собирают и обрабатывают персональные данные клиентов, покупателей, пациентов. А если не знаете, какие документы вам нужны для работы с ПД, то скачайте чек-лист со списком обязательных процедур по закону № 152-ФЗ и ссылками на НПА. 

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Имя^*

E-mail^*

Телефон^*

Отправить

Нажимая кнопку, я соглашаюсь с пользовательским соглашением, обработкой персональных данных и получением информационных и рекламных рассылок

Реклама: АО «КОНСАЛТИНГ ОНЛАЙН», ИНН: 2310203967, erid: 2W5zFGUJVng