В этом году ужесточилась ответственность за нарушения требований законодательства в области персональных данных. Поэтому этот выпуск юристы Ingate Group решили полностью посвятить персональным данным.
Who is who?
Для начала, давайте зафиксируем определение персональных данных и связанных понятий:
Персональные данные (ПДн) – это любая информация, относящаяся прямо или косвенно к определенному лицу, например, ФИО, паспортные данные, номер телефона, электронная почта и другие данные.
Субъект ПДн – физическое лицо, предоставляющее свои персональные данные.
Оператор ПДн — это лицо, которое обрабатывает ПДн: компания (ООО, АО, ПАО), ИП, самозанятые и физические лица.
Что важно знать
До начала обработки ПДн Оператор обязан уведомить Роскомнадзор (РКН) о своем намерении осуществлять обработку ПДн.
Исключения предусмотрены статьей 22 ФЗ «О персональных данных», обработку можно осуществлять без уведомления:
- Если данные включены в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
- Если оператор осуществляет деятельность по обработке исключительно без использования средств автоматизации;
- Если обработка подразумевает случаи, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Прежде чем, что-то делать с ПДн (сбор, хранение, уточнение) получаем на это согласие у субъекта ПДн.
Согласие на обработку должно быть:
- конкретным;
- соответствовать заявленной цели;
- нельзя собирать ПДн «на всякий случай» (например, если для рассылки нужно только имя и электронная почта, номер телефона не просим).
Форма согласия должна быть такой, чтобы при необходимости вы смогли подтвердить факт его получения (чек-бокс на сайте, письменный документ с «живой» подписью).
Согласие на обработку ПДн — всегда отдельный документ. Зашивать в текст договора, правила конкурса и другие форматы запрещено.
Кроме того
Оператор, с согласия субъекта ПДн, может поручить обработку ПДн другому лицу (назовем такое лицо Обработчик).
Важно: если клиент (для оказания ему услуги) передает вам ПДн субъектов, то у вас с этим клиентом должно быть заключено дополнительно Поручение на обработку ПДн.
Обработчик несет ответственность перед Оператором.
Оператор ПДн несет ответственность перед субъектом ПДн за свои действия и действия Обработчика.
Как собирать ПДн на сайте
Что касается сайта, то на нем должны быть размещены в публичном доступе следующие документы:
- Согласие на обработку ПДн пользователей сайта;
- Политика об обработке ПДн (она же политика конфиденциальности);
- Предупреждение о сборе Cookies о пользователях сайта (с кнопкой «Согласен», «ОК», «Принимаю» и т.п.);
- Согласие на рекламную рассылку, на использование фото гражданина для опубликования отзывов, на распространение ПДн при опубликовании отзывов на сайтах должны идти отдельным документом.
Важно: данные документы должны полностью соответствовать реальным процессам в компании. РКН имеет право проводить профилактическую проверку.
Все формы, в которых собираются персональные данные (например, имя, телефон,
email), должны содержать:
- Чекбокс согласия на обработку данных, без которых нельзя передать данные.
- Гиперссылку на политику конфиденциальности и обработки персональных данных.