Федеральный закон № 152-ФЗ устанавливает, что нельзя собирать, обрабатывать и использовать личные данные без согласия их владельца. Цель закона – защита персональных данных (ПД). Защита ПД возлагается на операторов, которыми признаются компания, в которой есть хотя бы один сотрудник, и даже ИП, если они работают с ПД.
Защита персональных данных означает, что оператору от пользователя нужно получить согласие на сбор и обработку информации, уведомить уполномоченный орган о том, что он является оператором, а также обеспечить безопасность персональных данных.
С 2006 года закон все больше ужесточался, увеличивая требования к операторам. Если раньше компании было достаточно разместить всплывающее окно с информацией о cookies в интернете и форму согласия на сбор и обработку данных, то позднее этого уже стало недостаточно. Теперь операторы ПД должны более тщательно подходить к сбору данных. Им необходимо разработать индивидуальную политику использования, в которой отражены все возможные варианты применения личных данных пользователей, защитить сведения пользователей от кражи и взлома, хранить ПД только на российском хостинге. При этом провайдер хостинга тоже должен соблюдать 152-ФЗ.
Что такое персональные данные (ПДн)? Защита по 152-ФЗ и требования Роскомнадзора в 2022
Роскомнадзор сам или по жалобам пользователей, без участия прокуратуры, может проверять интернет-сайты, анализировать соблюдение закона и выносить решение.
Что является персональными данными?
Федеральный закон 152-ФЗ не содержит конкретного перечня, что относится к персональным данным. Это могут быть любые сведения, которые прямо или косвенно относятся к определенному частному лицу:
- Ф.И.О.;
- дата рождения;
- адрес регистрации и адрес проживания;
- паспортные данные, СНИЛС, ИНН;
- номер телефона;
- e-mail;
- адрес страницы в соцсетях;
- контакт в мессенджере.
По сути, к ПД относится любая информация, которая позволяет определить конкретного человека.
Обработка персональных данных в соответствии с ФЗ
Оператор, который занимается обработкой ПД, должен пользоваться услугами провайдера, который прошел все необходимые аттестации и имеет все необходимые требования безопасности. Это могут быть любые российские провайдеры, которые работают в соответствии с 152-ФЗ, зарегистрированы в РФ, состоят в реестре операторов обработки ПД и физически размещают свои серверы в ЦОД на территории России.
Закон о защите персональных данных 2022: какие изменения
Еще до начала обработки ПД оператор должен уведомить Роскомнадзор о своей деятельности, чтобы попасть в Единый реестр. При этом обработчики данных напрямую с субъектами ПД (то есть пользователями) не контактируют и несут ответственность только перед оператором.
С 1 сентября 2022 года действие закона распространяется на обработку ПД российских граждан, осуществляемую иностранными юрлицами или физлицами на основании договора или с согласия гражданина.
Только 48% интернет-магазинов предупреждают о том, что будут использовать персональные данные. 30% размещают на сайте политику конфиденциальности.
Глобальное изменение, которое вступило в силу 1 сентября 2022 года, – это сокращение списка ситуаций, когда не нужно уведомлять Роскомнадзор до начала обработки ПД. Таких ситуаций только три:
- работа с ПД без средств автоматизации;
- включение персональных данных в ГИС, созданных для защиты безопасности государства и общественного порядка;
- обработка в соответствии с законодательством РФ о транспортной безопасности.
С 1 сентября 2022 года любой работодатель должен быть зарегистрирован в Едином реестре ОПД. Работодателю тоже следует получить от сотрудника разрешение на сбор и обработку ПД.
Ранее Роскачество уже рассказывало, какие данные могут собирать мобильные приложения и почему нужно читать их политики конфиденциальности
Ответственность за нарушение закона
За невыполнение требований законодательства в области обработки ПД организации могут получить штраф (в зависимости от конкретного нарушения) от 30 тыс. до 6 млн рублей (ст. 13.11 КоАП РФ).
Кроме того, с 1 сентября 2022 года введена административная ответственность за отказ потребителю в заключении договора, если тот не предоставляет ПД. Штраф за нарушение для организаций составляет от 30 тыс. до 50 тыс. рублей.
Компания имеет право отказать потребителю в заключении договора из-за непредоставления ПД, если персональные данные обязательны по законодательным требованиям или непосредственно нужны для исполнения договора. Отказ предоставлять адрес доставки при использовании курьера относится к таким случаям, поэтому потребителю будет отказано в получении услуги на законных основаниях.
Следите за новостями, подписывайтесь на рассылку.
При цитировании данного материала активная ссылка на источник обязательна.
- цифровая грамотность
- финансовая грамотность
Источник: rskrf.ru
Что является персональными данными: все аспекты
Узнайте, является ли персональными данными ИНН, ФИО и адрес, является ли номер мобильного телефона персональными данными. Советы и мнения экспертов.
Ответ:
Персональные данные граждан России необходимы практически во всех сферах деятельности, например, в финансовой или налоговой, при оформлении страхования, пенсии и пр. Персональные данные любого гражданина не могут покупаться или продаваться. Однако допускается выдача справочных данных по запросу, если гражданин на это добровольно согласился, или это оговорено в законе.
Что является персональными данными? Это различные уровни информации, которые относятся только к одному единственному человеку. Наиболее часто используются общие данные: ФИО, дата рождения, домашний адрес, адрес регистрации, семейное положение, уровень полученного образования. Вы их часто заполняете на почте, при подаче заявления на работу, кредит, оформляя всевозможные анкеты.
Часто в указываемых данных просят указать телефонный номер, а лучше несколько. Является ли телефон персональными данными в этом случае?
Если вы считаете телефон простым набором цифр, то глубоко ошибаетесь, потому что счета за услуги связи приходят персонально на ваш адрес, следовательно, вы занесены в базу данных оператора, поэтому ваш номер привязан к вашим персональным данным и соответственно является их частью. Это же положение относится и к мобильной связи. Поэтому на вопрос является ли номер мобильного телефона персональными данными, ответим утвердительно. Но здесь нужно понимать, что простой набор цифр без указания вашей фамилии или адреса – это не персональные данные, а вот если он указывается как дополнительные сведения, то на использование и обработку такой информации вы должны дать свое согласие.
Источник: www.all-answers.ru
Персональные данные сотрудников
Сотрудники кадровых отделов работают с персональными данными работников организации: получают, обрабатывают, хранят и передают сведения. Работа с этой информацией регламентируется законом (ТК РФ и ФЗ №152- ФЗ «О персональных данных»). Нужно знать правила обращения с персональными сведениями, чтобы избежать нарушений и штрафов.
Что относится к персональным данным
- Ф. И. О.;
- пол;
- дата рождения;
- место рождения;
- фотография или видеозапись, которая позволяет установить личность;
- адрес;
- семейное положение, информация о детях и родственниках;
- образование, квалификация, сведения о повышении квалификации;
- профессия;
- факты биографии и трудовой деятельности;
- доходы,сведения о зарплате;
- деловые и иные личные качества.
Приведенный перечень сведений является открытым, его дополняют необходимыми пунктами. Персональные данные нужны работодателю для оформления и поддержания трудовых отношений (см. ст. 85 ТК РФ). Информация о работнике содержится в таких документах:
- анкета, автобиография заполненная при приеме на работу;
- трудовой договор;
- документ, удостоверяющий личность (паспорт, заграничный паспорт, военный билет, временное удостоверение личности);
- личная карточка № Т-2;
- трудовая книжка и сведения о трудовой деятельности (СТД-Р, СТД-ПФР, СЗВ-ТД);
- свидетельства о браке, о рождении детей;
- СНИЛС;
- военный билет;
- документ об образовании;
- ИНН;
- водительское удостоверение;
- медицинская книжка (если требуется);
- справка о доходах с прошлого места работы.
Важно! Персональные данные работника — конфиденциальная информация. Это значит, что их нельзя разглашать ее без письменного согласия сотрудника (ст. 3 Закона №152-ФЗ).
Обработка персональных данных сотрудника
Обработка персданных — это действия с личной информацией работника, когда работодатель принимает сотрудника в штат или заключает договор ГПХ; работник продвигается по карьерной лестнице и т.д. Во время обработки соблюдайте требования ст. 5 Закона о персональных данных:
- у обработки должны быть конкретные и законные цель и основание;
- нельзя объединять базы данных, которые содержат персональные данные, обрабатываемые в несовместимых целях;
- обрабатывать можно только те данные, которые соответствуют цели обработки;
- форма хранения персональных данных должна позволять определять субъекта этих данных, а хранить их можно только в течение необходимого срока, после чего следует обезличить или уничтожить;
- запрещена передача личных сведений работника третьим лицам без его письменного согласия;
- персональные сведения передает сам гражданин.
Работодатель должен действовать в целях соблюдения законов и других нормативных актов, содействия работникам в трудоустройстве, получении образования, продвижении по службе, обеспечения безопасности, контроля работы, сохранности имущества компании. Работодатель имеет право получать персональные данные только у работника, если же их можно получать от третьих лиц, необходимо уведомить работника и получить его письменное согласие.
Работодатель обязан обеспечить защиту персональных данных, поэтому в локальных актах предприятия нужно прописать Правила защиты личных сведений о работниках. Работники обязаны ознакомится с этими правилами и расписаться о согласии с документом. Для порядка и безопасности организации нужно создать положения и приказы для работы с персданными. Во время проверки у вас должны быть подготовлены: Положение о персональных данных, Заявление работника с согласием на обработку личных данных, Приказ о назначении ответственных за работу с личной информацией работников, Приказ об обеспечении безопасности личных сведений работников.
С 1 сентября 2021 года появились требования к согласию на обработку персональных данных, разрешенных для распространения. Оно должно содержать следующую информацию (Приказ Роскомнадзора от 24.02.2021 № 18):
- Ф.И.О. субъекта;
- контактная информация;
- сведения об операторе (организации, физлице, ИП);
- сведения об информационных ресурсах оператора, на которых будут раскрыты персональные данные субъекта;
- цель обработки персональных данных;
- категории и перечень персональных данных, на обработку которых дано согласие;
- категории и перечень персональных данных, на обработку которых субъект устанавливает условия и запреты;
- условия передачи полученных персональных данных;
- срок действия согласия на обработку.
Это согласие нужно именно работодателю, так как в случае спора он обязан доказать, что имел согласие на обработку. Например, оно точно потребуется при получении данных работника у третьей стороны, при передаче его персональных данных третьим лицам для предупреждения угрозы жизни и здоровью и пр., для обработки специальных категорий данных.
Категории персональных данных
По Методическим рекомендациям Роскомнадзора все категории персональных данных делятся на три:
Персональные данные — любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу. Это Ф.И.О., дата рождения, адрес, номер телефона, семейное положение, прежнее место работы и т.д.
Специальная категория — раса и нация, политические взгляды, религия, состояние здоровья, интимная жизнь.
Биометрические персональные данные — сведения, которые характеризуют физиологические и биологические особенности человека и позволяют установить его личность.
Хранение и использование данных о персонале
Работодатель обязан ввести порядок хранения и использования сведений о работниках (ст. 87 ТК РФ).
Документы по сотрудникам рекомендуется не объединять в личное дело. Так как позиции Роскомнадзора и судов не однозначные — личные дела считают избыточным по отношению к заявленным целям обработки.
Правила передачи персданных налагают на работодателя ряд ограничений. Ограничения устанавливаются согласно статье 88 ТК РФ:
- известите лиц, которые получили доступ к информации о работнике, что ее следует использовать только в тех целях, для которых они были сообщены;
- передача данных внутри одной компании должна проходить согласно правилам локального акта, с которым работник был ознакомлен;
- доступ к данным получают только специально уполномоченные лица;
- запрещено делать запрос о здоровье работника у медицинского учреждения.
Работники имеют право на предоставление полной информации об их личных сведениях и их обработке (кому передавались сведения и для чего). Также нужно обеспечить сотрудникам свободный доступ к своим личным сведениям и медицинским данным. Помните, что работник имеет право обжаловать в суде незаконные действия работодателя и привлечь должностное лицо-нарушителя к уголовной или административной ответственности.
Ответственность за нарушение правил работы с личной информацией
В соответствии с ТК РФ, нарушители норм обработки и защиты личных сведений работника привлекаются к разным видам ответственности.
Работодателя могут привлечь к административной ответственности по ст. 13.11 КоАП РФ. Так, за обработку персональных данных без письменного согласия работника или с нарушением требований к нему будет наложен штраф:
| Гражданин | 6 000 — 10 000 рублей | 10 000 — 20 000 рублей |
| Должностное лицо | 20 000 — 40 000 рублей | 40 000 — 100 000 рублей |
| ИП | 100 000 — 300 000 рублей | |
| Юридическое лицо | 30 000 — 150 000 рублей | 300 000 — 500 000 рублей |
Для работников, имеющих доступ к персональным данным, предусмотрены различные виды ответственности за их разглашение:
- Кдисциплинарной ответственности относятся замечание, выговор, увольнение.
- К административной ответственности относится штраф: для граждан — 500-1000 рублей, для должностных лиц — 4000-5000 рублей,
- К материальной ответственности привлекаются работники, которые непосредственно обрабатывают персональную информацию. В случае незаконного распространения информации сотрудник организации может заявить о моральном вреде и потребовать его возмещения у работодателя.
- Гражданско-правовая ответственность также накладывается за причинение морального вреда гражданину, чьи права были нарушены. На нарушителя может быть наложена обязанность компенсации вреда по ст. 151, 152 ГК РФ.
- Уголовная ответственность по ст. 137 УК РФ за незаконное собирание и распространение сведений о лице без его согласия предусматривает штраф в сумме до 200 000 рублей или в размере зарплаты за период до 18 месяцев, либо обязательные работы на срок до 360 часов, либо исправительные работы на срок до года, либо принудительные работы на срок до двух лет, либо арест до 4 месяцев или лишение свободы на срок до двух лет.
Работа с личными сведениями требует высокого уровня ответственности. Соблюдайте правила и помните о контроле Трудовой инспекции.
Автор статьи: Александра Аверьянова
Ведите простой кадровый учет в веб-сервисе Контур.Бухгалтерия. Начисляйте зарплату, легко считайте пособия, удержания и командировочные, автоматически готовьте отчеты по сотрудникам и отправляйте их через интернет. А еще — ведите учет, платите налоги, сдавайте налоговую и бухгалтерскую отчетность и пользуйтесь поддержкой наших экспертов. Первый месяц работы в сервисе — бесплатно.
Источник: www.b-kontur.ru
