В детстве нас учили не говорить незнакомым людям, как нас зовут и где мы живем. А сейчас мы не задумываясь регистрируемся на непонятных сайтах и пишем данные паспорта в странных бланках. Чтобы вашими персональными данными не завладели те самые незнакомые люди, нужно внимательно отнестись к оператору, которому вы их передаете.
Что такое персональные данные
В законе есть три ключевых понятия: персональные данные, оператор и обработка персональных данных.
Персональные данные — это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
Оператор — тот, кто организует и обрабатывает персональные данные.
Обработка персональных данных — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, обновление, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
Важно еще понять, что относится к самим персональным данным. В законе нет прямой формулировки, но к ним относят:
- ФИО (в любых комбинациях);
- дату рождения;
- адрес;
- телефон;
- e-mail;
- фотографии;
- ссылку на персональный сайт;
- ссылку на профиль в социальных сетях.
Другими словами, персданные — это та информация, по которой можно идентифицировать человека. Если вы каким-то образом получаете такие данные в любом сочетании, то являетесь оператором персональных данных.
Что должен сделать оператор персональных данных
Все просто — нужно зарегистрироваться в Роскомнадзоре. Для этого необходимо подать уведомление об обработке персональных данных.
Оператор заполняет электронную форму на Портале персональных данных Роскомнадзора. После того, как уведомление отправлено в систему, нужно распечатать его бумажную копию. Она заверяется подписью и печатью организации, после чего отправляется в территориальный орган Роскомнадзора по месту регистрации компании-оператора.
К операторам относятся физлица, ИП, юрлица, муниципальные органы, государственные органы. Эти категории влияют на размер штрафов.
Когда уведомление Роскомнадзора не требуется
Список ситуаций, когда не нужно отправлять уведомление, прописан в ст. 22 152-ФЗ. Оператор не должен регистрироваться, если персональные данные:
- относятся к субъектам, которых связывают с оператором трудовые отношения;
- используются оператором исключительно для исполнения договора;
- являются общедоступными данными;
- включают только ФИО субъектов;
- нужны для однократного пропуска субъекта на территорию, на которой находится оператор;
- включены в федеральные автоматизированные информационные системы и государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка;
- обрабатываются без использования средств автоматизации.
Логично, что персональные данные должны быть надежно защищены. Для этого создаются регламенты и настраивается система безопасности. Но не все данные нужно охранять одинаково.
Когда не нужна конфиденциальность персональных данных
В той же статье закона прописаны правила, когда обеспечение конфиденциальности персональных данных не требуется:
- если данные обезличены — по ним невозможно определить принадлежность информации к конкретному лицу;
- если данные общедоступны;
- если данные включают только фамилии, имена и отчества субъектов персональных данных;
- если нужно оформить пропуск на территорию, на которой находится оператор;
- если данные получены оператором в связи с заключением договора;
- если данные относятся к членам общественного объединения или религиозной организации и обрабатываются для достижения законных целей.
Для всех остальных случаев нужно составить политику конфиденциальности.
Что отразить в политике конфиденциальности
Утвержденной законом формы этого документа нет, но есть перечень сведений, которые обязательно должны в нем быть:
- основание и цель сбора персональных данных;
- наименование, контактные данные и адрес;
- информация о том, кто обрабатывает данные. Если этим занимается другая компания, то вписывается информация о третьих лицах, у которых есть доступ к данным;.
- виды данных для обработки и источники их получения;
- сроки обработки и хранения персональных данных;
- способ соблюдения прав субъекта, предусмотренных законом «О персональных данных»;
- информация о передаче данных за пределы России.
Всю эту информацию можно изложить в свободной форме. Требование одно — субъект должен понимать, куда отправляются его персональные данные, как их используют и охраняют.
Как составить согласие на обработку персональных данных
В больницах, школах, визовых центрах, при трудоустройстве приходится заполнять согласие на обработку персональных данных.Это письменное разрешение, которое дает разрешение на получение, сбор, хранение и использование персональных сведений о себе.
Согласие пишется в произвольной форме или по шаблону, который разработан и утвержден внутри организации. В бланке обязательно должны быть следующие данные:
- наименование оператора персональных данных;
- место и дата составления документа;
- фамилия, имя, отчество субъекта, его паспортные данные и сведения о месте жительства.
Далее идет информационная часть согласия. В ней прописывается:
- каких именно персональных данных касается документ;
- в каких целях и что именно допустимо с ними делать;
- срок действия согласия и возможность его отзыва.
Если вам нужен бланк, то скачайте его и измените под ваши нужды.
Когда не нужно согласие
Есть случаи, когда согласие субъекта персональных данных не требуется. Такое возможно, когда обработка персональных данных:
- необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
- осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
- осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
- необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных;
- необходима для доставки почтовых отправлений и расчетов с организациями почтовой связи;
- осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности;
- осуществляется в отношении данных, подлежащих опубликованию — например, данные лиц занимающих государственные должности.
Что будет, если нарушать
Штраф. С 1 июля 2017 года действуют поправки в ст. 13.11 КоАП.
Помимо штрафов, оператор будет внесен в «Реестр нарушителей прав субъектов персональных данных». А еще придется подготовиться к проверке.
***
Отнеситесь к персональным данным с ответственностью, чтобы не стать жертвой мошенников.
