Закон номер 152 фз о персональных данных. Федеральный закон о персональных данных. В чем смысл регулирования оборота ПД

Содержание
  1. Что нужно знать о ФЗ-152
  2. Что регулирует закон «О персональных данных»?
  3. Какие бывают персональные данные?
  4. Кто попадает под действие закона?
  5. Примеры обработки персональных данных
  6. Какие основные требования закона?
  7. Требования закона по подготовке внутренних организационно-распорядительных документов
  8. Требования закона по приведению процессов работы с персональными данными в соответствие
  9. Требования закона по технической защите персональных данных в информационных системах
  10. Требования закона по хранению баз персональных данных на территории Российской Федерации
  11. Кем проверяется выполнение требований закона?
  12. Какие основные риски при невыполнении закона?
  13. Как лучше всего выполнить требования закона?
  14. Как лучше всего выполнить требования закона? Собственными силами
  15. Как лучше всего выполнить требования закона? Привлечь юриста
  16. Как лучше всего выполнить требования закона? Обратиться к системному интегратору
  17. Как лучше всего выполнить требования закона? «Ждать, когда грянет гром»
  18. Как лучше всего выполнить требования закона? Использовать сервисы автоматизированной подготовки документов по персональным данным
  19. Почему стоит решить вопрос с выполнением требований закона «О персональных данных»
  20. Полезно почитать
  21. Персональные данные: в чём суть закона?
  22. О каких данных идёт речь?
  23. Кого касается закон?
  24. Кого этот закон не касается?
  25. Согласие на обработку персональных данных
  26. Уведомление об обработке персональных данных
  27. Кто контролирует исполнение норм?
  28. Общая схема обработки персональных данных
  29. Безопасность персональных данных
  30. Нужны ли лицензии или сертификаты?
  31. Заключение
  32. Закон «О персональных данных» — что нужно знать агентству
  33. Что регулирует закон № 152-ФЗ «О персональных данных»?
  34. Какие бывают персональные данные?
  35. Кто попадает под действие закона?
  36. Примеры обработки персональных данных в диджитал
  37. Основные требования законодательства в области персональных данных
  38. Требования по подготовке внутренних организационно-распорядительных документов
  39. Требования по приведению процессов работы с персональными данными в соответствие с законом
  40. Требования по технической защите персональных данных в информационных системах
  41. Требования по хранению баз персональных данных на территории Российской Федерации
  42. Кем проверяется выполнение требований закона?
  43. Основные риски при невыполнении закона
  44. Как лучше всего выполнить требования закона?
  45. Выполнение закона собственными силами
  46. Выполнение закона с помощью юриста
  47. Выполнение закона с привлечением системного интегратора
  48. «Ждать, когда грянет гром»
  49. Выполнение закона с помощью сервисов автоматизированной подготовки документов по персональным данным
  50. Почему стоит решить вопрос с выполнением требований закона «О персональных данных» именно сейчас
  51. ​​Закон 152 о персональных данных
  52. Описание закона
  53. Главные понятия и важные детали
  54. Кто попадает под его действие
  55. Категории персональных данных
  56. Порядок использования
  57. Основные права субъектов
  58. Существенные стороны закона
  59. Выполнение требований
  60. Персональные данные работника
  61. Ответственность за нарушение законодательства
  62. Последние изменения ФЗ «О защите персональных данных»

Что нужно знать о ФЗ-152

Закон номер 152 фз о персональных данных. Федеральный закон о персональных данных. В чем смысл регулирования оборота ПД

С 1 июля 2017 года штрафы за нарушение ФЗ-152 «О персональных данных» значительно вырастут, поэтому тем, кто работает с российской аудиторией, важно убедиться, что на сайте нет нарушений.

Везде, где посетитель сайта оставляет свои персональные данные, он должен дать согласие на обработку этих данных. Форма обратной связи, заполнение контактов в корзине, онлайн-чаты — всё попадает под действие закона о персональных данных.

Данный материал призван ответить руководителям отделов, руководителям частных компаний и бюджетных предприятий на следующие вопросы:

Что регулирует закон «О персональных данных»?

Закон регулирует все вопросы, связанные с обработкой (получением, хранением, передачей, удалением и тд.) персональных данных физических лиц юридическими лицами, индивидуальными предпринимателями и бюджетными организациями. Организации и предприниматели обязаны правильно обрабатывать и защищать персональные данные физических лиц.

Под персональными данными понимается любая информация, относящаяся физическому лицу. На практике даже связка «ФИО» или «имя» с «адресом электронной почты» уже относится к персональным данным.

В организациях обрабатываются, как минимум, персональные данные следующих физических лиц: сотрудников; близких родственников сотрудников; кандидатов на вакантную должность; клиентов, являющихся физическими лицами.

Какие бывают персональные данные?

Персональные данные бывают разных категорий:

  • специальные персональные данные — персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни — биометрические персональные данные
  • персональные данные, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность
  • общедоступные персональные данные — данные, сделанные физическим лицом общедоступными или содержащиеся в специальных справочниках
  • иные персональные данные — все персональные данные, не попавшие ни в одну из вышеуказанных категорий.

К обработке специальных и биометрических персональных данных предусмотрены особые требования.

Кто попадает под действие закона?

Под действие закона попадают все предприниматели, юридические лица и бюджетные организации, обрабатывающие персональные данные физических лиц. Их называют операторами персональных данных. В первую очередь закон касается компаний, работающих в следующих сферах:

  • финансы и кредитование;
  • медицина и фармакология;
  • телекоммуникации;
  • образование;
  • оффлайн и онлайн ритейл;
  • гостиничное дело;
  • реклама и digital;
  • бюджетные организации и др.

Компании из вышеуказанных сфер деятельности наиболее часто работают с персональными данными, поэтому главный регулятор в этой сфере, Роскомнадзор, внимательно следит за ними.

Примеры обработки персональных данных

В первую очередь отслеживается следующие виды обработки персональных данных:

  1. Персональные данные используются для выдачи карт лояльности
  2. Персональные данные используются для рекламных и новостных рассылок
  3. Персональные данные используются для трудоустройства сотрудника и оформления ему ДМС
  4. Персональные данные используются для оказания услуг
  5. Персональные данные используются для определения кредитоспособности клиента
  6. Персональные данные используются для регистрации на сайтах и информационных системах
  7. Персональные данные данные используются для звонков потенциальным клиентам

Какие основные требования закона?

Для простоты требования закона «О персональных данных» к операторам персональных данных можно разделить на 4 группы:

  • Подготовить пакет организационно-распорядительной документации
  • Привести процессы работы с персональными данными в соответствие с законом
  • Реализовать техническую защиту персональных данных в информационных системах.
  • Хранить базы с персональными данными на территории Российской Федерации

Далее будет разобрана каждая группа требований.

Требования закона по подготовке внутренних организационно-распорядительных документов

Закон в ст.18.1 требует от операторов персональных данных наличие локальных актов и политик, регламентирующих обработку и защиту персональных данных. Точного перечня необходимых документов не предлагается.

При этом главный регулирующий орган в области персональных данных, Роскомнадзор, во время проверок компаний запрашивает перечень необходимых документов и сведений, которые, на практике, ему передают в виде копий внутренних документов.

В связи с тем, что точного перечня документов не существует, каждый оператор составляет их по своему усмотрению на основании текста закона и подзаконных актов.

Как выглядит полный перечень необходимых документов, которых достаточно для соответствия требованиям, смотрите здесь.

Требования закона по приведению процессов работы с персональными данными в соответствие

Персональные данные данные клиентов необходимо правильно собирать, обрабатывать и передавать.

Со всеми физическими лицами, у которых вы собираете персональные данные, должен быть заключен договор или взято согласие на обработку персональных данных.

С каждым третьим лицом, которому вы передаете, предоставляете в доступ или от которого получаете персональные данные, необходимо заключить соглашение о поручении персональных данных на обработку.

Все сотрудники должны под роспись ознакомиться с внутренними документами организации по обработке и защите персональных данных и подписать обязательство о неразглашении.

В Роскомнадзор должно быть подано уведомление об обработке персональных данных.

Требования закона по технической защите персональных данных в информационных системах

Если персональные данные хранятся или как-то иначе обрабатываются в информационных системах (например, в 1С: Бухгалтерии, в базе данных сайта, CRM и других), то их необходимо защищать техническими средствами.

Для этого необходимо определить уровень защищенности персональных данных в информационных системах, составив соответствующий акт, разработать модель угроз и на основании Постановления Правительства № 1119 и Приказа ФСТЭК России № 21 составить техническое задание на систему защиты персональных данных.

После этого происходит разработка проекта системы защиты и непосредственно внедрение средств защиты. Внедрением средств защиты может заняться сама компания или компания, имеющая определенную лицензию ФСТЭК России.

Требования закона по хранению баз персональных данных на территории Российской Федерации

С 01 сентября 2015 года действует обязательное требование закона по необходимости собирать и хранить персональные данные граждан Российской Федерации только на территории России.

Особенно это требование касается иностранных компаний и российских компаний, чьи информационные системы полностью или частично располагаются за пределами Российской Федерации.

Также о месторасположении баз персональных данных необходимо уведомить Роскомнадзор.

При этом Роскомнадзор дал операторам персональных данных срок до конца февраля 2016 года, чтобы выполнить новые требования закона.

Кем проверяется выполнение требований закона?

Выполнение требований закона «О персональных данных» контролируют 3 государственных органа:

  • главный контролирующий орган, Роскомнадзор, который проверяет правильность обработки персональных данных и документы по персональным данным
  • ФСТЭК России, проверяющий выполнение требований по технической защите
  • ФСБ России, проверяющий выполнение требований по применению криптографии при обработке персональных данных

Наиболее активным из них является Роскомнадзор, который проводит более 7000 плановых и внеплановых проверок в год, тогда как ФСТЭК и ФСБ не более сотни проверок гос. сектора.

Какие основные риски при невыполнении закона?

По итогам проверок, мер систематического наблюдения и жалоб физических лиц, Роскомнадзор и другие проверяющие органы, могут накладывать штрафы, аннулировать лицензии, дисквалифицировать должностных лиц и блокировать сайты.

Основные риски:

  • наложение на организацию штрафа до 300.000 рублей
  • наложение на должностных лиц штрафа до 10.000 рублей
  • разрыв трудового договора с должностным лицом
  • запрет руководителю занимать руководящие должности на срок до 3х лет
  • блокировка сайта организации по жалобе физического лица
  • внесение компании в реестр нарушителей прав субъектов персональных данных

С начала 2015 года, по данным Роскомнадзора, было взыскано штрафов в общей сложности на 174.000.000 рублей с организаций и должностных лиц.

С 01 сентября 2015 года Роскомнадзор имеет право без проверки на основании жалобы физического лица заблокировать сайт организации за несоблюдение требований закона «О персональных данных».

Как лучше всего выполнить требования закона?

Есть 5 способов выполнить требования закона:

  1. собственными силами;
  2. привлечь юриста;
  3. обратиться к системному интегратору;
  4. «ждать, пока грянет гром»;
  5. использовать сервисы автоматизированной подготовки документов по персональным данным.

Далее мы рассмотрим каждый из них по отдельности.

Как лучше всего выполнить требования закона? Собственными силами

Один из самых доступных и дешевых способов выполнения закона — делегировать обязанности на определенного сотрудника. Но данный способ только на первый взгляд кажется таким привлекательным.

Чтобы выполнить требования закона, необходимо не только знать сам закон «О персональных данных» и подзаконные акты, но также разбираться в технических аспектах, чтобы описывать информационные системы персональных данных в организационно- распорядительной документации.

На поиск и разработку шаблонов документов по персональным данным, изучение законодательства и практики уйдет достаточно много времени, превышающее 1 и даже 2 месяца. И это время сотрудник должен заимствовать из времени, затрачиваемого на исполнение должностных обязанностей. К тому же сотрудник никогда не даст гарантии на результат и может не захотеть быть ответственным за выполнение закона.

Как лучше всего выполнить требования закона? Привлечь юриста

Привлечение юриста в вопросах касающихся законодательства, это то, что приходит в голову многим руководителям. Это достаточно хороший способ выполнить закон, если вы много лет работаете с юристом или юридической компанией и у них имеются необходимые знания в информационной безопасности.

Закон «О персональных данных» относится к законодательству по информационной безопасности и его преподают соответствующим специалистам в ВУЗах.

Для подготовки документов по персональным данным помимо знания самого закона, необходимо знать также подзаконные акты технического содержания и уметь регламентировать технические моменты.

При выборе такого варианта, уточняйте у юриста, какие именно документы он будет разрабатывать, будет ли он в них отображать технические моменты и имеет ли он опыт взаимодействия с Роскомнадзором.

Как лучше всего выполнить требования закона? Обратиться к системному интегратору

К системным интеграторам, как правило, обращаются большие компании и крупные государственные учреждения.

Из плюсов данного способа можно выделить высокий уровень оказываемых услуг квалифицированными специалистами по информационной безопасности, гарантии на качество услуг и работу под ключ (разработка документации по персональным данным и внедрение технической защиты).

К минусам данного способа можно отнести высокую стоимость (в большинстве случаем переваливающую за 1.000.000 рублей) и долгий срок реализации проекта, связанный с негибкостью бизнес- процессов.

Как лучше всего выполнить требования закона? «Ждать, когда грянет гром»

Это способ выбирается некоторыми российскими организациями, которые не хотят решать вопрос с персональными данными.

Из плюсов данного способа можно отметить отсутствие затрат, как финансовых, так и временных, но только в краткосрочной перспективе.

Из минусов — то, что рано или поздно закон придется выполнить, и Роскомнадзор даже в случае наложения штрафов потребует выполнить требования закона.

И лучше это сделать, пока требования по закону не ужесточились окончательно. Работа по ужесточению штрафных санкций Роскомнадзором ведется — в первом чтении уже принят законопроект о повышении штрафов до минимальных 30.000 рублей и максимальных 300.000 рублей за одно нарушение.

Как лучше всего выполнить требования закона? Использовать сервисы автоматизированной подготовки документов по персональным данным

Один из самых распространенных способов выполнения закона «О персональных данных».

К плюсам данного способа относится его простота и доступность людям, не являющимися специалистами по информационной безопасности, невысокая стоимость, срок подготовки документов и консультации экспертов по безопасности. Некоторые из сервисов также предоставляют финансовые гарантии с возмещением штрафов Роскомнадзора и помощь в прохождениях проверок.

К явным минусам можно отнести то, что он не подойдет крупным государственным компаниям, и не поможет с полноценным внедрением системы защиты персональных данных, проверяемой в гос. секторе ФСТЭК России и ФСБ России.

Почему стоит решить вопрос с выполнением требований закона «О персональных данных»

Выполнять требования закона «О персональных данных» это не только обязанность каждой частной или государственной компании, обрабатывающей персональные данные сотрудников и клиентов.

Многие контрагенты стали запрашивать не только учредительные документы, но и документы по персональным данным, чтобы подтвердить выполнение закона.

Закон стали использовать в качестве рычага давления не только органы исполнительной власти, но и конкуренты.

Какой способ вы бы ни выбрали, важно в итоге выполнить требования закона, снизив риски для компании и должностных лиц.

Полезно почитать

Источник: https://klondike-studio.ru/articles/about-152-fz/

Персональные данные: в чём суть закона?

Закон номер 152 фз о персональных данных. Федеральный закон о персональных данных. В чем смысл регулирования оборота ПД

Мы все в самых разных ситуациях вынуждены делиться сведениями о себе, а практически в каждой компании вынуждены их обрабатывать.

Порядок использования данных о физических лицах определён в федеральном законе № 152 «О персональных данных». Он был принят в июле 2016 года. С тех пор в этот закон было внесено немало поправок и дополнений.

Ознакомиться с его текстом можно в «Российской газете», месте официальной публикации правовых актов. И конечно, он имеется во всех популярных правовых информационных системах.

Многие из наших клиентов, разместивших свои информационные системы в облаке 1cloud, так или иначе обрабатывают чьи-то личные данные: клиентов, работников или кого-то ещё. Однако несмотря на уже продолжительный период действия закона о персональных данных, регулярно возникают вопросы о порядке их обработки по нормам российского законодательства.

Мы решили подготовить краткий обзор нормативных документов по этой теме. В том числе, с учётом особенностей размещения информационных систем в публичном облаке. Этому посвящены три статьи: 1) обзор закона; 2) меры защиты; 3) особенности защиты в публичном облаке.

О каких данных идёт речь?

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.

Общо? — Очень! Но так мыслил законодатель, принимая и изменяя рассматриваемый закон.

Вообще, в полицейско-правовом отношении физическое лицо идентифицируется тремя параметрами: полным именем, датой рождения и местом рождения. Они именуются краткими установочными данными.

Всё остальное — номер паспорта, номер пенсионного страхового свидетельства, индивидуальный номер налогоплательщика, различные документальные удостоверения, отпечатки пальцев, радужная оболочка глаза и прочее — это дополнительные идентификаторы.

Кого касается закон?

Он касается так называемых операторов — государственных и муниципальных учреждений, юридических и физических лиц, которые производят обработку персональных данных.

Под обработкой данных законодатель понимает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Следует обратить внимание на то, что под обработкой понимается не только автоматизированная (компьютерная) обработка, но и любая другая, включая, например, картотеки или журналы на бумажных носителях.

Кого этот закон не касается?

Действие закона о персональных данных не распространяется на ситуации, когда:

  • данные обрабатывает физическое лицо исключительно для личных и семейных нужд (если при этом не нарушаются права других лиц);
  • данные обрабатывают в официальных архивах;
  • данные отнесены к государственной тайне.

Согласие на обработку персональных данных

В ряде случаев согласие на обработку таких данных не требуется, например, если:

  • обработка нужная для журналистской, научной, литературной или иной творческой деятельности при условии, что это не нарушаются права и законные интересы других лиц;
  • обработка производится в судах;
  • обработка необходима для исполнения договора, в котором владелец персональных данных является стороной;
  • обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получить его согласие невозможно.

При необходимости согласия оно должно включать в себя следующие сведения:

  • фамилию, имя, отчество, адрес, номер основного документа, удостоверяющего личность, сведения о дате выдачи указанного документа и выдавшем его органе;
  • наименование и адрес оператора, получающего согласие;
  • цель обработки;
  • перечень данных, на обработку которых даётся согласие;
  • перечень действий с данными, на совершение которых даётся согласие, общее описание используемых оператором способов обработки данных;
  • срок, в течение которого действует согласие, а также способ его отзыва;
  • личную подпись.

Уведомление об обработке персональных данных

Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов этих данных о своем намерении осуществлять такую обработку. О том, что это за орган, будет сказано далее.

Такое уведомление не требуется, когда данные:

  • обрабатываются в соответствии с трудовым законодательством;
  • получены в связи с заключением договора, стороной которого является физическое лицо, если его данные не распространяются и не предоставляются третьим лицам, а используются оператором исключительно для исполнения указанного договора;
  • относятся к членам общественного объединения и обрабатываются соответствующим общественным объединением, действующими в соответствии с законодательством Российской Федерации, при условии, что данные не будут распространяться или раскрываться третьим лицам;
  • сделаны самим владельцем персональных данных общедоступными;
  • включают в себя только фамилию, имя и отчество субъекта;
  • необходимы в целях однократного пропуска субъекта на территорию, на которой находится оператор, или в иных аналогичных целях;
  • включены в государственные автоматизированные информационные системы для защиты безопасности государства и общественного порядка;
  • обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации;
  • обрабатываются в целях транспортной безопасности.

Сняты ли все вопросы? — Нет. Например, является ли интернет-магазин оператором персональных данных? — Изначально, вроде, нет, так как данные клиента используются только «в связи с заключением договора, стороной которого является субъект». Но ведь при отправке заказа почтой или транспортной компанией сведения о клиенте предоставляются третьей стороне.

Кто контролирует исполнение норм?

В настоящее время уполномоченным органом по защите прав субъектов персональных данных назначена Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Непосредственно этим направлением занимается одно из её подразделений — Управление по защите прав субъектов персональных данных.

Деятельность Роскомнадзор направлена на организационно-документальную сторону дела. Технические аспекты защиты персональных данных курирует Федеральная служба по техническому и экспортному контролю (ФСТЭК).

Если в технических средствах защиты информации используется криптография (шифрование), к регулированию подключается Федеральная служба безопасности РФ (ФСБ).

Общая схема обработки персональных данных

Для упрощения восприятия порядка обработки данных, установленного в законе о персональных данных, мы решили представить его в виде схемы.

Безопасность персональных данных

Оператор персональных данных обязан обеспечить их защиту от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении них.

Под мерами по обеспечению безопасности персональных данных при их обработке законодатель понимает следующие действия.

  1. Определение угроз безопасности.
  2. Применение организационных и технических мер по обеспечению безопасности.
  3. Применение средств защиты информации.
  4. Оценка эффективности принимаемых мер по обеспечению безопасности до ввода в эксплуатацию информационной системы.
  5. Учёт съёмных носителей персональных данных.
  6. Обнаружение фактов несанкционированного доступа к данным.
  7. Восстановление данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
  8. Установление правил доступа к обрабатываемым данным, а также обеспечение регистрации и учёта всех действий, совершаемых с ними.
  9. Контроль за принимаемыми мерами по обеспечению безопасности данных и уровня защищенности информационных систем.

Этот список не является исчерпывающим, то есть законом допускаются иные действия, направленные на обеспечение безопасности персональных данных.

Ответственность за регламентацию уровней защиты данных разных категорий и мер защиты законодатель возложил на Правительство Российской Федерации.

Сейчас по этому вопросу действует постановление Правительства № 1119 от 01.11.2012 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

Подробнее организационно-технические аспекты защиты персональных данных при их автоматизированной (компьютерной) обработке мы рассмотрим в нашей следующей статье.

Нужны ли лицензии или сертификаты?

Непосредственно для обработки персональных данных никакие лицензии не нужны. Но при обеспечении их безопасности могут потребоваться сертифицированные технические средства.

Кроме того, по действующему российскому законодательству, обязательно должны быть сертифицированы средства защиты информации, если в них применяется криптография (шифрование).

Оказание услуг по защите информации является лицензируемым видом деятельности. Но если юридическое лицо или индивидуальный предприниматель применяет криптографические средства защиты для собственных нужд, наличие у него лицензии не требуется.

Заключение

Задача обеспечения безопасности и сохранности персональных данных является вполне реальной, весьма актуальной и многогранной. Она касается очень и очень многих. Поэтому нормативные акты, регламентирующие порядок и методики обработки персональных данных на государственном уровне, нужны и полезны. В этой статье мы попытались кратко осветить содержание и общую логику этих актов.

Один из главных посылов закона заключается в том, что лицо, обрабатывающее персональные данные, должно осознавать угрозы этим данным и принимать меры по предотвращению и преодолению их возможных последствий. И это — бесспорно позитивная цель!

Однако в целом этот закон весьма далёк от совершенства. В нём присутствуют неясные формулировки, недостаточно полные нормы. По очень многим важным вопросам имеются отсылки к иным правовым актам, которые, в свою очередь, ясности не добавляют.

О конкретных мерах по обеспечению безопасности данных мы расскажем в нашей следующей статье.

Источник: https://spark.ru/startup/1cloud/blog/42698/personalnie-dannie-v-chyom-sut-zakona

Закон «О персональных данных» — что нужно знать агентству

Закон номер 152 фз о персональных данных. Федеральный закон о персональных данных. В чем смысл регулирования оборота ПД

Работаете с персональными данными клиентов и сотрудников? Стремитесь улучшить позиции в работе с иностранными компаниями и госсектором? Этот материал для вас.

Многие агентства интересуются: что с этим законом делать? На что он влияет? Дело в том, что иностранные заказчики и представители иностранных компаний в России стали чаще спрашивать:

«Обеспечиваете ли вы защиту персональных данных, собираемых во время наших рекламных кампаний и поддержки сайта?».

Закон о локализации баз персональных данных на территории РФ, тесно связанный с законом «О персональных данных» и вступивший в силу 1 сентября 2015 года, сильно их напугал.

Эта статья отвечает на вопросы:

  • Что регулирует закон № 152-ФЗ «О персональных данных»?
  • Кто попадает под действие закона?
  • Какие основные требования закона № 152-ФЗ?
  • Какие существуют основные риски за невыполнение закона для организаций и должностных лиц?
  • Как лучше выполнить требования закона и показать это заказчикам?

Что регулирует закон № 152-ФЗ «О персональных данных»?

Закон регулирует все вопросы, связанные с обработкой (получением, хранением, передачей, удалением и т. д.) персональных данных физических лиц индивидуальными предпринимателями, юридическими лицами и бюджетными организациями. Организации и предприниматели обязаны правильно обрабатывать и защищать эти данные.

Cossa рекомендует: онлайн-курс “Руководитель Digital-проектов”.

Вы научитесь организовывать работу с digital-проектами от таск-менеджмента до управления командой и станете тем специалистом, которого ищут все работодатели.

  • 12 месяцев
  • Онлайн в удобное время
  • Помощь в трудоустройстве
  • Доступ к курсам навсегда
  • Диплом

Записывайтесь прямо сейчас!>>>

Реклама

Персональные данные — это любая информация, относящаяся к физическому лицу. Даже связка имени и адреса электронной почты уже относится к персональным данным.

В агентствах обрабатываются, как минимум, персональные данные:

  • Сотрудников;
  • Близких родственников сотрудников;
  • Кандидатов на вакантную должность;
  • Клиентов.

Какие бывают персональные данные?

Специальные персональные данные: касаются расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

Биометрические персональные данные: характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.

Общедоступные персональные данные: сделанные физическим лицом общедоступными или содержащиеся в специальных справочниках.

Иные персональные данные: все, что не попало ни в одну из вышеуказанных категорий.

К обработке специальных и биометрических персональных данных предусмотрены особые требования.

Кто попадает под действие закона?

Все предприниматели, физические и юридические лица, бюджетные организации, обрабатывающие персональные данные физических лиц. Их называют операторами персональных данных.

В первую очередь закон касается компаний, работающих в следующих сферах:

  • Реклама и диджитал;
  • Финансы и кредитование;
  • Медицина и фармокология;
  • Телекоммуникации;
  • Образование;
  • Офлайн- и онлайн-ритейл;
  • Гостиничное дело;
  • Бюджетные организации.

Эти компании чаще всего работают с персональными данными. Поэтому главный регулятор в этой сфере — Роскомнадзор — внимательно за ними следит.

Примеры обработки персональных данных в диджитал

В первую очередь, следят за видами обработки персональных данных, которые используются:

  • Для трудоустройства сотрудников и оформления им ДМС;
  • Для выдачи карт лояльности;
  • Для рекламных и новостных рассылок;
  • Для оказания услуг;
  • Для регистрации на сайтах и информационных системах;
  • Для звонков потенциальным клиентам.

Основные требования законодательства в области персональных данных

Разделим все требования для простоты на 4 группы. Работая с персональными данными, вы должны:

1. Подготовить пакет организационно-распорядительной документации. 2. Привести процессы работы с персональными данными в соответствие с законом. 3. Реализовать техническую защиту персональных данных в информационных системах.

4. Хранить базы с персональными данными на территории Российской Федерации.

Требования по подготовке внутренних организационно-распорядительных документов

Закон в ст. 18.1 требует от операторов персональных данных иметь локальные акты и политику, регламентирующую обработку и защиту персональных данных. Точного перечня необходимых документов не предлагается.

При этом Роскомнадзор во время проверок компаний запрашивает перечень необходимых документов и сведений, которые на практике ему передают в виде копий внутренних документов.

Поскольку точного перечня документов не существует, каждый оператор персональных данных составляет их по своему усмотрению на основании текста закона и подзаконных актов.

Здесь вы найдете полный перечень необходимых документов, которых достаточно для соответствия требованиям.

Требования по приведению процессов работы с персональными данными в соответствие с законом

Персональные данные необходимо правильно собирать, обрабатывать и передавать.

Со всеми физическими лицами, у которых вы собираете персональные данные (например, через сайт клиента), должен быть заключен договор или взято согласие на их обработку.

С каждым контрагентом, которому вы передаете, предоставляете в доступ (например, другому агентству на субподряд) или от которого получаете персональные данные, необходимо заключить соглашение о поручении на их обработку.

Все сотрудники должны под роспись ознакомиться с внутренними документами организации по обработке и защите персональных данных и подписать обязательство о неразглашении.

В Роскомнадзор должно быть подано уведомление об обработке персональных данных.

Требования по технической защите персональных данных в информационных системах

Если персональные данные хранятся или как-то иначе обрабатываются в информационных системах (например, в «1С: Бухгалтерии», в базе данных сайта, CRM и других), нужно определить уровень их технической защищенности, составив соответствующий акт.

Затем нужно разработать модель угроз и на основании Постановления Правительства № 1119 и Приказа ФСТЭК России № 21 составить техническое задание на систему защиты персональных данных.

После этого разрабатывается и внедряется проект системы защиты. Внедрением может заняться сама компания или подрядчик, имеющий определенную лицензию ФСТЭК России.

Данное требование, по нашим данным, выполнили лишь 1% операторов. Во-первых, антивирус дорого стоит (закон говорит применять не просто антивирус, а сертифицированный ФСТЭК, при этом функционально они не отличаются, а по деньгам в 1.5–3 раза). Во-вторых, данное требование проверяется ФСТЭК и ФСБ России у малого и среднего бизнеса очень, очень, очень редко. Риск проверки крайне мал.

Требования по хранению баз персональных данных на территории Российской Федерации

С 1 сентября 2015 года сбор и хранение персональных данных граждан Российской Федерации может происходить только на территории Российской Федерации.

О месторасположении баз данных необходимо уведомить Роскомнадзор.

Особенно это касается иностранных и российских компаний, чьи информационные системы полностью или частично располагаются за пределами РФ.

Роскомнадзор дал операторам срок до конца февраля 2016 года, чтобы выполнить эти требования.

Кем проверяется выполнение требований закона?

Главный контролирующий орган: Роскомнадзор. Проверяет правильность обработки персональных данных и документы по персональным данным.

ФСТЭК России. Проверяет выполнение требований по технической защите.

ФСБ России. Проверяет выполнение требований по применению криптографии при обработке персональных данных.

Роскомнадзор проводит более 7000 плановых и внеплановых проверок в год, тогда как ФСТЭК и ФСБ — не более сотни проверок госсектора.

Если у Роскомнадзора к вам не будет претензий — можно сказать, что снято 99% рисков, связанных с данным законом.

Проверку локализации баз персональных данных Роскомнадзор проводит просто — запрашивает договор с российским хостинг-провайдером. После февраля проверка будет серьезнее и практичнее.

Кто несёт ответственность в случае, если хостинг-провайдер отечественный, а сервера использует зарубежные (т. е. пользователь может не знать, что его данные хранятся за границей)?

Ответственность лежит на конечном клиенте. Xостинг-провайдер может предоставлять зарубежные сервера, например, не для обработки и хранения данных персональных, а для вычислений.

Основные риски при невыполнении закона

По итогам проверок, мер систематического наблюдения и жалоб физических лиц Роскомнадзор и другие проверяющие органы могут накладывать штрафы, аннулировать лицензии, дисквалифицировать должностных лиц и блокировать сайты.

Основные риски:

  • Наложение на организацию штрафа до 300 000 рублей;
  • Наложение на должностных лиц штрафа до 10 000 рублей;
  • Разрыв трудового договора с должностным лицом;
  • Запрет руководителю занимать руководящие должности на срок до 3-х лет;
  • Блокировка сайта организации по жалобе физического лица;
  • Внесение компании в реестр нарушителей прав субъектов персональных данных.

С начала 2015 года по данным Роскомнадзора с организаций и должностных лиц было взыскано штрафов на 174 000 000 рублей.

С 1 сентября 2015 года Роскомнадзор имеет право без проверки, на основании жалобы физического лица заблокировать сайт организации за несоблюдение требований закона «О персональных данных».

Как лучше всего выполнить требования закона?

  • Собственными силами;
  • Привлечь юриста;
  • Обратиться к системному интегратору;
  • «Ждать, пока грянет гром»;
  • Использовать сервисы автоматизированной подготовки документов по персональным данным.

Рассмотрим каждый по отдельности.

Выполнение закона собственными силами

Чтобы выполнить требования, необходимо не только знать сам закон «О персональных данных» и подзаконные акты, но также разбираться в технических аспектах, чтобы описывать информационные системы персональных данных в организационно-распорядительной документации.

На поиск и разработку шаблонов документов по персональным данным, изучение законодательства и практику у вас или вашего сотрудника уйдет до 2-х месяцев. И это не даст гарантию результата: можно в чем-то ошибиться.

Выполнение закона с помощью юриста

Достаточно хороший способ, если у юриста или юридической компании, которой вы доверяете, есть необходимые знания по информационной безопасности.

Для подготовки документов по персональным данным, помимо знания самого закона, необходимо знать также подзаконные акты технического содержания и уметь регламентировать технические моменты.

При выборе такого варианта уточняйте у юриста — какие именно документы он будет разрабатывать, будет ли отображать в них технические моменты и имеет ли он опыт работы с Роскомнадзором.

Выполнение закона с привлечением системного интегратора

К системным интеграторам, как правило, обращаются большие компании и крупные государственные учреждения.

Плюсы: высокий уровень оказываемых услуг по информационной безопасности, гарантии, работа под ключ (разработка документации по персональным данным и внедрение технической защиты).

Минусы: высокая стоимость (в большинстве случаев — переваливающая за 1 000 000 рублей) и долгий срок реализации проекта, связанный с негибкостью бизнес-процессов.

«Ждать, когда грянет гром»

Единственные плюсы: отсутствие любых затрат в краткосрочной перспективе.

Минусы: рано или поздно закон придется выполнить. И лучше это сделать, пока требования не ужесточились окончательно.

Работа по ужесточению штрафных санкций Роскомнадзором ведется — в первом чтении уже принят законопроект о повышении штрафов до минимальных 30 000 рублей и максимальных 300 000 рублей за одно нарушение.

Выполнение закона с помощью сервисов автоматизированной подготовки документов по персональным данным

Плюсы: простота и доступность людям, не являющимся специалистами по информационной безопасности; невысокая стоимость; оперативная подготовка документов и консультации экспертов по безопасности.

Некоторые из сервисов также предоставляют финансовые гарантии с возмещением штрафов Роскомнадзора и помощь в прохождениях проверок.

Явные минусы: способ не подойдет крупным государственным компаниям и не поможет с полноценным внедрением системы защиты персональных данных, проверяемой в госсекторе ФСТЭК России и ФСБ России.

Почему стоит решить вопрос с выполнением требований закона «О персональных данных» именно сейчас

Это не только обязанность каждой частной или государственной компании, обрабатывающей персональные данные сотрудников и клиентов.

Заказчики (особенно иностранные) стали запрашивать не только учредительные документы, но и документы по персональным данным, чтобы подтвердить выполнение закона.

Закон стали использовать в качестве рычага давления не только органы исполнительной власти, но и конкуренты.

Какой способ вы бы ни выбрали, важно в итоге выполнить требования закона, снизив риски для компании и должностных лиц.

Источник картинки на тизере: Flickr

Источник: https://www.cossa.ru/152/116858/

​​Закон 152 о персональных данных

Закон номер 152 фз о персональных данных. Федеральный закон о персональных данных. В чем смысл регулирования оборота ПД

18.03.2019

​​С законом «О персональных данных» № 152-ФЗ так или иначе, сталкивались все. Ведь персональные данные — это наши Ф. И. О., паспортные данные, адрес проживания и другие сведения, защищены законом.

Например, приходя в поликлинику или любое другое учреждение, при заключении договора об оказании услуг, гражданина просят подписать согласие на обработку персональных данных.

Именно поэтому, так важно понимать, что такое персональные данные, зачем требуется согласие на их обработку, каким образом они обрабатываются и можно ли отозвать ранее данное согласие.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»

Описание закона

Государственным, муниципальным органам, а также частным организациям приходится работать с персональными данными граждан. Организации и государственные органы их хранят, обрабатывают, передают. Так как эта сфера потребовала законодательного урегулирования, возникла необходимость принятия закона.

Такой закон был принят в 2006 году. В нем отражены основные требования к организациям и государственным органам (операторам), которые имеют доступ к личным данным гражданина, имеют право на обработку и хранение такой информации.

Закон «О персональных данных» был принят в 2006 году, 27 июля. Позднее в него вносились поправки, в 2009, 2011 годах. В 2017 увеличена сумма штрафных санкций.

Главные понятия и важные детали

Рассмотрим более подробно.

Кто попадает под его действие

Ознакомиться с текстом данного закона необходимо всем, кто имеет дело с персонифицированной информацией. Это могут быть:

  • государственные органы;
  • муниципальные органы;
  • муниципальные поликлиники;
  • клиники на частной основе;
  • частные организации;
  • банки;
  • ресурсы интернета.

Категории персональных данных

Персональными данными называются сведения личного характера, которые имеют непосредственное отношение к гражданину, позволяющие его идентифицировать. Это могут быть:

  • Ф. И. О.;
  • паспортные данные;
  • адрес и номер телефона;
  • сведения о состоянии здоровья, семейном положении и другие.

Порядок использования

Персонифицированная информация, как правило, предоставляется лично гражданином при обращении им в поликлиники, банки, различные организации. При этом, представитель организации должен предоставить на подпись гражданину согласие об использовании персональных данных, это требование закона.

Равноценным такому документу признается электронный документ с электронной цифровой подписью. Согласие об обработке данных должно включать:

  • паспортные данные;
  • Ф. И. О.;
  • данные оператора (например, медицинское вмешательство при обращении в клинику);
  • цель получения данных;
  • перечень личной информации и список производимых с ней действий.

Личная информация может анализироваться в случаях, если:

  • гражданин добровольно дал согласие;
  • информация понадобилась для государственных органов для выполнения ими своих полномочий, предусмотренных законом;
  • информация требуется судебным органам;
  • существует угроза жизни лица;
  • проводится анализ данных статистики.

Читать так же:  Куда уходят налоги

В последнем случае данные могут быть обезличены.

Основные права субъектов

Субъектом персональных данных является гражданин, добровольно предоставляющий свои персонифицированные данные для обработки оператором.

Он имеет право:

  • потребовать от оператора чтобы тот уничтожил, дополнил или обновил информацию;
  • получать сведения о том, кто, каким образом и с какой целью обрабатывает его персонифицированные данные;
  • получать сведения, касающиеся обработки его личных данных.

Чтобы получить у оператора сведения об обработке личных данных, субъекту нужно направить запрос оператору, с указанием своих паспортных данных, а также подтверждения о передаче своих персональных данных. Запрос может быть направлен как письменно, так и в электронном виде с электронной цифровой подписью.

Существенные стороны закона

Основные требования закона:

  1. Требования к обороту информации на территории Российской Федерации. Подразумевается, что личные сведения, используемые операторами, должны быть получены из источников внутри страны. Не может быть использована информация, полученная из зарубежных источников. Храниться все данные должны только на российских серверах;
  2. Требования к конфиденциальности. Организация, имеющая доступ к личным данным гражданина, обязана обеспечить их сохранность. При этом под личными данными понимаются все сведения, относящиеся непосредственно к личности;
  3. Требования к добровольности. Организация, использующая личные данные, должна иметь согласие лица, чьи данные она использует.

Выполнение требований

Операторы, выполняя требования закона, производят следующие действия:

  1. Производят ознакомление гражданина с целями, условиями обработки личных данных перед их получением, а также получают письменное согласие;
  2. Запрашивают только те данные, которые требуются. Немотивированный запрос лишних сведений может стать основанием для штрафа;
  3. Предпринимают действия для защиты баз данных, регламентируют работу с ними внутри организации, назначают ответственных лиц;
  4. Уведомляют контролирующие органы о процессах обработки информации.

Персональные данные работника

Персональные данные работника включают в себя любую личную информацию, это может быть:

  • Ф. И. О.;
  • паспортные данные;
  • дата рождения;
  • фактическое место проживания и адрес прописки;
  • сведения о зарегистрированных браках и количестве детей;
  • кредиты и займы;
  • другая информация личного характера.

Ответственность за нарушение законодательства

Поправками 2017 года увеличена сумма штрафов за несоблюдение требований закона. Сумма штрафных санкций составит 10000-70000 рублей.

Нарушения в сфере закона «О защите персональных данных» включены в кодекс об административных правонарушениях РФ. Нарушениями признаются:

  1. При работе с сайтами. Если у посетителя сайта будут запрошены сканы документов, либо ему будет предоставлена недостоверная информация о цели запроса личных данных, владельцу сайта будет назначен штраф в размере 3000 руб. для физического лица и 50000 для юридического лица. При отсутствии на сайте пользовательского соглашения сумма штрафа возрастет до 5000 руб. для физического лица и 75000 для юридического лица;
  2. За рассылку оповещений людям, от которых не было получено согласие на получение сообщений рекламного характера посредством электронной почты или смс, наказывается штрафом в размере 3000 руб. для физического лица и 50000 для юридического лица;
  3. Если организация отказывает гражданину в ответ на законное требование предоставить сведения о том, как хранятся, передаются и обрабатываются его личные данные, либо сведения предоставляет, но заведомо искаженные, то такой организации будет назначен штраф. Варианты: организация не удаляет личные данные клиента по его требованию, либо иным образом препятствует его законному праву на отзыв ранее данного согласия. Такие действия наказываются штрафом в размере 2000 руб. для физического лица и 45000 для юридического лица, для предпринимателя 20000 руб.

Читать так же:  ​​Проект межевания территории в 2020 гг

Последние изменения ФЗ «О защите персональных данных»

В 2009 году были уточнены требования к информационным системам обработки, которые необходимо было привести в соответствие с новыми требованиями. В 2011 году были скорректированы понятия и формулировки относительно персональных данных, условия по их обработке.

Источник: https://zakonoved.su/zakon-152-o-personalnyh-dannyh-otvetstvennost.html

О законе
Добавить комментарий

;-) :| :x :twisted: :smile: :shock: :sad: :roll: :razz: :oops: :o :mrgreen: :lol: :idea: :grin: :evil: :cry: :cool: :arrow: :???: :?: :!: