Частые ошибки при работе с персональными данными

Ошибки при работе с персональными данными (ПДн) влекут за собой серьезные последствия: за наиболее критические нарушения штрафы для операторов могут достигать 20 млн, а в некоторых случаях — до 500 млн рублей. Обработка данных без согласия или использование не в заявленных целях, неуведомление Роскомнадзора — все это существенно увеличивает риски для компании.

Одна из ключевых ошибок при работе с персональными данными — отсутствие Политики обработки ПДн. Это основной документ, регулирующий особенности обработки данных в организации. Политика должна быть опубликована на сайте, а если у компании есть офис — размещена на информационном стенде.

Важно! Штраф за необеспечение неограниченного доступа к Политике — до 60 000 рублей (ч.3 ст.13.11 КоАП). 

Готовые шаблоны из интернета не подойдут: Роскомнадзор требует, чтобы политика отражала специфику компании, в которой она применяется (Рекомендации от 27.07.2017). 

При организации работы с персональными данными оператор обязан разграничить доступ к ним: его должны иметь только сотрудники, которым он нужен для выполнения обязанностей. Например, если у вас медицинская клиника, администратор может иметь доступ, а вот уборщица — нет. 

Издайте приказ и укажите либо конкретных сотрудников (ФИО + должность), либо перечень должностей и подразделений, имеющих доступ к ПДн. Пропишите, к каким именно данным разрешен доступ — принцип «минимума необходимой информации» должен соблюдаться.

Подготовка документов для работы с персональными данными для организаций и ИП

Консультация

В каждой компании должен быть ответственный за обработку персональных данных. Им может быть только один человек: например, юрист, HR, бухгалтер или руководитель (ст.18.1, ст.22.1 ФЗ №152-ФЗ). 

Издайте приказ о назначении ответственного, четко прописав его должностные обязанности и уровень полномочий. Важно, чтобы он мог давать указания другим сотрудникам по вопросам защиты персональных данных.

Каждый оператор обязан зарегистрироваться в реестре Роскомнадзора, если не входит в перечень исключений, предусмотренных ст. 22 ФЗ №152-ФЗ. Для этого подается уведомление об обработке ПДн еще до того, как компания начнет их обрабатывать. 

Важно! Если не зарегистрироваться в реестре РКН, когда это обязательно по закону, организацию могут оштрафовать на сумму до 300 000 рублей (ч.10 ст.13.11 КоАП). 

Подайте уведомление в Роскомнадзор на официальном сайте ведомства. При заполнении указывайте только те категории ПДн, с которыми реально собираетесь работать. Даже если вы уже приступили к обработке, все равно зарегистрироваться нужно: от штрафа это может не спасти, но есть шанс свести его к минимуму. 

Еще одна ошибка при работе с персональными данными — нерегулярный аудит документов. Законодательство постоянно меняется, поэтому нужно своевременно все актуализировать: Политику, Положение об обработке ПДн, регламенты, инструкции и т.д. 

Внедрите систему внутреннего контроля, которая будет оценивать соответствие процессов обработки данных законодательным требованиям. Для этого создайте специальную комиссию, уполномоченную проверять документы, анализировать рабочие процессы и вносить предложения по улучшению системы защиты персональных данных. 

Вы можете запрашивать у физлиц (сотрудников, клиентов) только те документы, которые нужны вам для заключения договора и исполнения обязательств. Например, если по договору ваша компания должна построить человеку дом, вы не можете требовать с него ИНН или сведения о трудовой деятельности. 

Проверьте личные дела сотрудников и документы клиентов. Удалите копии ненужных документов после завершения кадровых процедур или исполнения обязательств по договору.

Важно! Простого удаления файла с ПК недостаточно: нужно создать комиссию по уничтожению персональных данных, оформить соответствующий акт и выгрузку из журнала действий в информационной системе (ИС). 

Такое согласие не требуется для работы с персональными данными сотрудников, поскольку обработка осуществляется в рамках исполнения трудового законодательства. Однако если вы запрашиваете ПДн соискателей, которые присылают вам анкеты, согласие должно быть. 

Важно! Обработка ПДн без согласия, когда оно обязательно = штраф до 700 000 рублей (ч.2 ст.13.11 КоАП). 

Еще до начала обработки ПДн разработайте шаблон согласия. В нем должны быть:

• полные данные субъекта: ФИО, адрес, паспортные реквизиты;

• сведения о представителе (при наличии) с указанием полномочий;

• наименование и адрес оператора;

• четкое указание цели обработки;

• конкретный перечень обрабатываемых данных;

• данные третьего лица, если обработка поручена ему;

• перечень операций с данными и способы их обработки;

• срок действия согласия и порядок его отзыва;

• личная подпись субъекта. 

Если вы передаете персональные данные сотрудников или клиентов для обработки в другой организации, нужно взять согласие с каждого. Например, при поручении расчета зарплаты бухгатерской компании по договору аутсорсинга оно обязательно. 

Важно! За неправомерную передачу ПДн без согласия субъекта предусмотрен штраф до 5 млн рублей (ч.12 ст.13.11 КоАП). 

Разработайте шаблон согласия, указав, какие данные и кому передаются, для каких целей. Согласия должны быть подписаны каждым субъектом, чьи данные вы направляете третьему лицу. 

Размещение фотографии сотрудника на сайте или использование ФИО человека в рекламе — это распространение ПДн, на которое нужно согласие. Если вы его не возьмете, Роскомнадзор может оштрафовать на сумму до 5 млн рублей, так как это считается незаконным распространением. 

Разработайте шаблон согласия на распространение ПДн. Укажите в нем, какие данные разрешены для распространения, в каких целях, срок действия согласия. 

Подготовка документов для работы с персональными данными для организаций и ИП

Консультация

Если вы возьмете копию сертификата о повышении квалификации, чтобы оформить трудовой договор с сотрудником, а затем разместите фотографию документа на сайте — так делать нельзя. В первом случае речь идет об обработке с целью заключения договора, а для распространения нужно отдельное согласие. Цели использования ПДн должны соответствовать целям, заявленным в согласии. 

Учитывайте цели, указанные в договоре и Политике обработки персональных данных. Обязательно берите согласие для разных целей. 

Не самая редкая ошибка при работе с персональными данными — сокрытие факта утечки от Роскомнадзора, чтобы избежать штрафа. По закону оператор обязан уведомить РКН в течение 24 часов с момента выявления утечки, а также в течение 72 часов провести расследование и отправить отчет в ведомство.

Важно! Если вы не уведомите РКН об утечке, в дальнейшем вас могут оштрафовать не только за необеспечение защиты ПДн (до 20 млн в зависимости от объема и типа данных), но и за неуведомление ведомства — до 3 млн рублей (ч.11 ст.13.11 КоАП). 

Разработайте инструкцию по работе с персональными данными и регламент действий при обнаружении утечки, чтобы сотрудники знали пошаговый алгоритм. Обеспечьте защиту ПДн не только с технической, но и с юридической точки зрения. 

С 01.07.2025 года введен запрет на первичную обработку ПДн с помощью иностранных сервисов. Например, нельзя использовать Google Analytics и зарубежные мессенджеры: WhatsApp¹, Telegram, Viber, Signal и т.д.

Пользуйтесь сервисами и ПО с серверами на территории РФ. Посмотреть перечень разрешенных программ можно в открытом реестре Минцифры. 

Чтобы избежать штрафов за нарушение работы с персональными данными и не понести репутационные потери в случае утечки, доверьте оформление документов юристам. Эксперты сервиса Роском Онлайн гарантируют индивидуальный подход с учетом специфики вашей деятельности и оформят все в соответствии с ФЗ №152-ФЗ.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Имя^*

E-mail^*

Телефон^*

Отправить

Нажимая кнопку, я соглашаюсь с пользовательским соглашением, обработкой персональных данных и получением информационных и рекламных рассылок

Реклама: АО «КОНСАЛТИНГ ОНЛАЙН», ИНН: 2310203967, erid: 2W5zFJof1Gk