С чего начинается процесс правового обоснования обработки пдн тест
Правовое основание обработки персональных данных
Защита персональных данных
с помощью DLP-системы
О ператоры, занимающиеся обработкой персональных данных (ПДн), обязаны руководствоваться правовыми основаниями, позволяющими осуществлять все предусмотренные законодательными нормами действия с личной информацией граждан. Это необходимо, чтобы операторы не выходили за рамки требований, изложенных в Федеральном законе № 152 «О персональных данных».
Законодательство по обработке персональных данных
В марте 2009 года было издано Положение, регулирующее полномочия и правовое основание, которым наделяется Роскомнадзор в вопросах обработки ПДн. Важность разработки и внедрения этого Положения была вызвана необходимостью обеспечения безопасности персональных данных и прав граждан.
В законе № 152 (ст. 23 ч. 5 п. 3) указывается, что уполномоченный орган, выполняющий функцию защиты прав субъектов, обязан вести реестр всех операторов. Он получает правовое основание для обработки ПДн. В этот документ вносится информация непосредственно об операторах на основании поступающих сведений в уведомлениях.
После этого в соответствии с поданным информационным письмом заносятся все необходимые изменения в сведения, имеющиеся в этом реестре по конкретным операторам. В реестре также должна быть зафиксирована информация о прекращении выполнения оператором процесса обработки ПДн. Правовым основанием для выполнения этих действий является поданное заявление, которое также позволяет выдать запрашиваемую выписку из сведений, внесенных в реестр.
Ведение реестра
На официальном портале Роскомнадзора и на портале ПДн размещен исчерпывающий объем сведений по форме работы с реестром. На этих ресурсах также можно ознакомиться:
Основная информация
Операторами могут являться любые органы государственного или муниципального управления, а также физлица, юрлица, обеспечивающие на правовых основаниях обработку ПДн на предприятии. Этим органам и лицам необходимо установить цели и определить содержание такой обработки.
В качестве правового основания выполнения любых действий по обработке ПДн выступают операции, совершаемые с помощью автоматизированных средств или без их применения.
Оператор может выполнять с ПДн следующие операции:
Именно на эти действия уполномочен оператор при заполнении реестра.
Правовые основания
Всем организациям, учреждениям, компаниям, которые являются операторами, занимающимися сбором, обработкой, хранением ПДн, необходимо придерживаться общих требований, установленных законами России, включая требования статьи 86 ТК РФ.
Правовым основанием для обработки ПДн для компаний сельскохозяйственной отрасли, промышленных предприятий, любых других организаций является выполнение норм действующих законов и иных актов, регламентирующих эту деятельность.
В качестве целей этой обработки могут рассматриваться:
Все ПДн после их получения подвергаются обработке, после чего отправляются на хранение независимо от того, какие носители используются для их размещения (в бумажном или электронном вариантах).
Согласие и условия
Чтобы появились правовые основания для начала процесса обработки ПДн, работодателю нужно в обязательном порядке получить согласие от работника в письменном виде на выполнение такого рода действий. Передавать личные сведения субъектов разрешено на различных условиях. Если письменное согласие сотрудника не предоставлено, передавать ПДн третьим сторонам не разрешается. Исключение составляют случаи, когда существует угроза жизни и здоровью и возможны иные, прописанные в законодательных документах причины.
Запрещено использовать личную информацию сотрудника, если при этом преследуются коммерческие цели и не получено согласие от работника на возможность выполнения таких действий. Лица, которые получают личные данные, должны придерживаться полной конфиденциальности в отношении этой информации.
Иметь доступ к ПДн могут только те сотрудники, которые получили правовое основание, позволяющее им собирать, хранить, обрабатывать эту информацию. Сведения о здоровье работника могут быть запрошены только в объемах, необходимых для реализации трудовых отношений и выполнения им своих трудовых обязанностей.
Выполняя любое действие с ПДн, оператор должен придерживаться правил, предусмотренных в ТК РФ.
Обеспечение хранения и защиты персональных данных
Любая компания должна оформлять, формировать, вести и хранить информацию, в которой содержатся персональные данные. Такая работа всегда выполняется теми, кто наделен правовыми основаниями, которые должны быть занесены в должностные инструкции на предприятии. Лицо, ответственное за выполнение этой работы, назначается приказом генерального директора.
Посторонние лица не должны иметь доступа к персональной информации. Руководитель предприятия также должен утвердить список лиц, допущенных к такой деятельности, а генеральный директор должен завизировать этот документ.
Иметь постоянное право доступа к ПДн на предприятии могут лица из числа административных работников, такие как начальник, сотрудники, отвечающие за работу с персоналом, работник кадрового отдела (инспектор), инженерный персонал, ответственный за организацию и нормирование труда по структурным подразделениям.
В некоторых компаниях любые персональные данные могут потребоваться главному бухгалтеру в случае необходимости подготовки определенных документов.
Постоянный доступ к конфиденциальным данным имеет сотрудник, отвечающий за безопасность на предприятии, но только в рамках выделенных ему полномочий.
В список, который составляется на предприятии по лицам, имеющим доступ к ПДн сотрудников и выполняющим с ними определенную работу, могут быть включены другие работники. Он варьируется в соответствии с Правилами внутреннего трудового распорядка.
Возможность передачи данных
Передача ПДн любого сотрудника компании может выполняться, только если есть запрос, поданный государственными органами власти. Такими органами и организациями могут быть:
Но следует учитывать требования законодательства во время предоставления запрашиваемых этими инстанциями документов с ПДн работников. Необходимо получить на выполнение этих действий письменное согласие сотрудников, в отношении которых надо сформировать и передать личные данные. Без наличия такого согласия передавать ПДн субъектов запрещено как по факсу, так и в телефонном режиме, а также по электронной почте и с использованием иных носителей. Исключение составляют случаи, указанные в законодательстве.
Ответы на вопросы в сфере защиты прав субъектов персональных данных
Во исполнение № 152-ФЗ «О персональных данных»
Ответы на вопросы в сфере защиты прав субъектов персональных данных
Вопрос: Что такое Уполномоченный орган по защите прав субъектов персональных данных и на кого возложена реализация этих функций?
Вопрос: Кто может являться оператором персональных данных?
При этом операторами указанные органы и лица являются независимо от включения в реестр операторов, осуществляющих обработку персональных данных, который ведет Роскомнадзор.
Вопрос: Что включает в себя понятие конфиденциальности?
Ответ: В соответствии со ст. 7 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Вопрос: В каких случаях для обработки персональных данных не требуется согласия субъекта персональных данных?
Ответ: Согласно п. 2-11 ч. 1 ст. 6. Федерального закона 27.07.2006 г. № 152-ФЗ «О персональных данных» согласия субъекта персональных данных не требуется в следующих случаях:
2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях», либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
8) обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;
9) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных;
11) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
Вопрос: В каких случаях оператор вправе осуществлять обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных?
Ответ: В соответствии ч. 1 ст. 22 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных.
Исключение составляют случаи, предусмотренные ч. 2 комментируемой статьи, при обработке персональных данных:
1) обрабатываемых в соответствии с трудовым законодательством;
2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
4) сделанных субъектом персональных данных общедоступными;
5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;
9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Уведомление должно быть направлено в письменной форме и подписано должностным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации.
Образец формы уведомления об обработке персональных данных и методические рекомендации по его заполнению размещены на официальном сайте Роскомнадзора https://rkn.gov.ru/ в информационно-телекоммуникационной сети «Интернет».
Кроме того, на портале Персональные данные реализована функция по заполнению уведомлений об обработке персональных данных в электронной форме.
Вопрос: Вправе ли физическое лицо представлять персональные данные своих близких родственников?
Ответ: Предоставление физическим лицом оператору персональных данных близких родственников возможно только при наличии письменного согласия указанных лиц либо в случаях, установленных федеральными законами.
Вопрос: Если при обработке персональных данных организацией нарушаются мои права, куда я могу обратиться за защитой?
Ответ: Вы вправе обратиться в ближайшее территориальное управление Роскомнадзора. Адреса и контактные телефона указаны на официальном сайте Роскомнадзора www.rsoc.ru в информационно-телекоммуникационной сети «Интернет».
Вопрос: Какая ответственность предусмотрена за нарушения оператором требований Федерального закона «О персональных данных»?
Ответ: Ст. 24 Федерального закона «О персональных данных» определяет ответственность за нарушение данного Федерального закона, которая выражается в виде уголовной, административной, дисциплинарной и иной предусмотренной законодательством Российской Федерации ответственности.
Административная ответственность за нарушение настоящего Федерального закона наступает за:
— неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, либо несвоевременное предоставление таких документов и материалов, непредставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст. 5.39 КоАП РФ);
— нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных (ст. 13.11 КоАП РФ);
— разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность) (ст. 13.14 КоАП);
— непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде (ст.19.7. КоАП РФ).
Кроме того, за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, и неправомерный доступ к охраняемой законом компьютерной информации российским законодательством предусмотрена уголовная ответственность, предусмотренная ст. 137, 272 УК РФ.
Вопрос: Возможно ли получение согласия на обработку персональных данных по телефону? Что является доказательством получения согласия на обработку персональных данных при покупке товаров в интернет-магазинах?
Ответ: При заполнении вэб-формы заявки на покупку товара на сайте интернет-магазина в информационно-телекоммуникационной сети «Интернет» критерием, свидетельствующим о получении оператором согласия субъекта персональных данных на обработку его персональных данных является файл электронной цифровой подписи.
Кроме того, предложения оператора о продаже товара в отдельных случаях может рассматриваться как публичная оферта.
Таким образом, субъект персональных данных, акцептируя указанную оферту, тем самым осуществляет конклюдентные действия, выражающие его волю и согласие на обработку его персональных данных, предоставленных при заполнении заявки на покупку товаров.
Получение согласия на обработку персональных данных по телефону, посредством СМС-сообщений действующим законодательством Российской Федерации не установлено.
Вопрос: Вправе ли оператор запрашивать сведения о судимости?
Ответ: В соответствии с ч. 3 ст. 10 Федерального закона «О персональных данных» обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.
Вопрос: Какие иностранные государства обеспечивают адекватную защиту персональных данных?
Ответ: До начала осуществления трансграничной передачи персональных данных оператор, осуществляющий обработку персональных данных (далее – Оператор) на территории Российской Федерации, обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных.
Критериев, определяющих адекватность защиты прав субъектов персональных данных на территории иностранного государства, действующим законодательством Российской Федерации не предусмотрено.
Оператору, осуществляющему трансграничную передачу персональных данных, необходимо руководствоваться законодательством иностранного государства, на территорию которого осуществляется передача персональных данных, законодательством Российской Федерации в области защиты прав субъектов персональных данных, а также международными нормативными актами, в том числе Конвенцией о защите прав физических лиц при автоматизированной обработке персональных данных от 28 января 1981 г. ETS № 108 с учетом перечня стран, подписавших и ратифицировавших данную Конвенцию. Это Австрия, Азербайджан, Албания, Андорра, Армения, Бельгия, Болгария, Босния и Герцеговина, Бывшая Югославская Республика Македония, Великобритания, Венгрия, Германия, Греция, Грузия, Дания, Ирландия, Исландия, Испания, Италия, Кипр, Латвия, Литва, Лихтенштейн, Люксембург, Мальта, Молдова, Монако, Нидерланды, Норвегия, Польша, Португалия, Россия, Румыния, Сан-Марино, Сербия, Словакия, Словения, Турция, Украина, Финляндия, Франция, Хорватия, Черногория, Чешская республика, Швейцария, Швеция, Эстония.
Вторая группа, которые могут претендовать на статус стран, обеспечивающих адекватную защиту персональных данных, это страны, имеющие общенациональные нормативные правовые акты в области защиты персональных данных и уполномоченный надзорный орган по защите прав субъектов персональных данных. Это Австралия, Аргентинская Республика, Государство Израиль, Канада, Королевство Марокко, Малайзия, Мексиканские Соединенные Штаты, Монголия, Новая Зеландия, Республика Ангола, Республика Бенин, Республика Кабо-Верде, Республика Корея, Республика Перу, Республика Сенегал, Тунисская Республика, Республика Чили.»
Вопрос: Распространяются ли требования Федерального закона «О персональных данных» на юридическое лицо иностранного государства?
Ответ: Требования Федерального закона «О персональных данных» распространяются на представительства юридических лиц иностранных государств, осуществляющих деятельность по обработке персональных данных на территории Российской Федерации.
Вопрос: Является ли веб-сайт информационной системой обработки персональных данных?
В случае соответствия веб-сайта указанным требованиям он является информационной системой.
Вопрос: Как документально оформить факт уничтожения персональных данных субъекта?
Ответ: Порядок документальной фиксации уничтожения персональных данных субъекта определяется оператором персональных данных самостоятельно. Уничтожение персональных данных субъекта осуществляется комиссией либо иным должностным лицом, созданной (уполномоченным) на основании приказа Оператора. Наиболее распространенными способами документальной фиксации уничтожения персональных данных субъекта является оформление соответствующего акта о прекращении обработки персональных данных либо регистрация факта уничтожения персональных данных в специальном журнале. Типовая форма акта и журнала утверждаются самим Оператором.
Вопрос: Существуют ли стандарты или рекомендации по исполнению Федерального закона от 27 июля 2006 года №152-ФЗ «О персональных данных» операторами?
Ответ: Да, такие документы, разработанные отдельными представителями операторского сообщества, существуют. Ознакомиться с ними можно в разделе «Стандарты, рекомендации и концепции» Портала «Персональные данные»:
Правовой статус “обработчика” персональных данных в России и его отличие от оператора
Все, кто сталкивался с обработкой персональных данных (ПД) знаком с понятием Оператор. И в целом законодательство, а именно ФЗ «О персональных данных» от 27.07.2006 N 152-ФЗ, дает достаточно емкое понятие термина Оператор.
На практике часто возникает ситуация, когда организация обрабатывает ПД, которые ей передал на обработку Оператор. Это может быть: ЦОД, который осуществляет хранение данных или, например, сервис рассылок email или sms сообщений, который действует по поручению онлайн-ритейлера.
Встает вопрос, кем является организация, получившая данные от Оператора, по отношению к субъекту ПД: тоже Оператор или же просто “Обработчик”, правовой статус которого в N 152-ФЗ не определен?
Пункты 3-5 ст. 6 N 152-ФЗ предусматривают возможность Операторов поручать обработку ПД третьим лицам. Эти третьи лица как раз и являются “Обработчиками”.
Права и обязанности Обработчика сформулированы достаточно кратко: лицо обязано соблюдать принципы и правила обработки персональных данных выполнять требования Оператора.
Также, закон закрепляет, что
“Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных”.
Это ограничивает ответственность Обработчика:
“В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором”.
Европейский GDPR четко выделяет два субъекта обработки ПД: Контроллер и Процессор, аналог российского Оператора и “Обработчика”. GDPR фиксирует правовой статус, права, обязанности и ответственность обоих субъектов обработки ПД.
В России же, изучая административную практику Роскомнадзора и Судебную практику, бросается в глаза, что третьих лиц, занимающихся обработкой, еще ни разу не назвали “Оператором”, но и как-то иначе, чем “третьи лица” они также не именуются.
Бывают ситуации, когда юридическое лицо поручает другому лицу собирать персональные данные и оказывать определенные услуги с использованием таких данных. При этом такое юридическое лицо считает, что оно не является Оператором, а факт того, что оно определяет цели обработки ПД, состав ПД, подлежащих обработке и действия (операции), совершаемые с ПД, его не сильно волнует. И при этом лицо, которому поручили собрать ПД и оказать с ними определенные услуги, также не является Оператором.
Встает вопрос о разграничении ответственности субъектов, обрабатывающих ПД. Также, нередко дискутируется необходимость уведомления РКН и включения в реестр третьих лиц, если они все такие не являются “Операторами”, но обрабатывают ПД по поручению.
Если у организации есть своя база ПД, собранная ей на своем сайте, и база ПД, полученная ей по договору с целью оказания услуг, неужели по отношению к обеим базам ПД она будет выступать Оператором?
Это далеко не единственная неопределенность ФЗ «О персональных данных» от 27.07.2006 N 152-ФЗ, ответ на которую не может дать РКН.