Федеральный закон от № 152-ФЗ «О персональных данных» является основным нормативным актом‚ регулирующим отношения по обработке и защите персональных данных в Российской Федерации. С 1 сентября 2022 года вступили в силу значительные изменения‚ затронувшие порядок уведомления Роскомнадзора‚ размеры штрафов и подходы к определению операторов. Ниже представлены ответы на наиболее частые вопросы‚ возникающие у организаций и индивидуальных предпринимателей в процессе обеспечения соответствия требованиям закона.
Кто является оператором персональных данных?
В соответствии с п. 2 ст. 3 152-ФЗ‚ оператором персональных данных является государственный орган‚ муниципальный орган‚ юридическое или физическое лицо‚ самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных‚ а также определяющие цели обработки персональных данных‚ состав подлежащих обработке персональных данных‚ действия (операции)‚ совершаемые с персональными данными.
Что считается персональными данными?
Закон дает широкое определение: персональные данные — это любая информация‚ относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
Важно понимать‚ что идентификация может быть косвенной. Например:
- ФИО могут повториться у разных людей.
- Номер телефона часто переходит к другому пользователю после расторжения договора.
- По одному адресу могут быть зарегистрированы несколько человек.
Однако совокупность этих данных (ФИО + телефон + адрес + должность) позволяет идентифицировать конкретного субъекта‚ поэтому они подпадают под действие закона.
Обязано ли каждый оператор уведомлять Роскомнадзор?
Согласно ст. 22 152-ФЗ‚ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных.
С 1 сентября 2022 года уведомление нужно подавать о начале или осуществлении любой обработки персональных данных‚ за исключением случаев‚ предусмотренных ч. 2 ст. 22 152-ФЗ.
Когда можно НЕ подавать уведомление? (Исключения ч. 2 ст. 22)
Уведомление не требуется‚ если обработка осуществляется исключительно в следующих случаях:
- Персональные данные получены в связи с заключением трудового договора или договора гражданско-правового характера (с работниками/подрядчиками) — при условии‚ что они не распространяются и не предоставляются третьим лицам (кроме случаев‚ предусмотренных законом).
- Обработка осуществляется в соответствии с законодательством о государственной тайне.
- Обработка осуществляется без использования средств автоматизации (бумажный документооборот) при выполнении условий п. 8 ч. 2 ст. 22:
- Документы заполнены вручную.
- Хранятся исключительно на бумажном носителе.
- Не используются компьютеры и учетные системы для отражения и хранения этих данных (договоры‚ акты‚ счета, только на бумаге).
- Обработка персональных данных‚ сделанных общедоступными субъектом персональных данных (с его согласия).
- Обработка осуществляется в целях продвижения товаров/услуг на рынке через прямые контакты с потенциальным потребителем (при соблюдении условий закона о рекламе).
- Обработка осуществляется в рамках деятельности общественных объединений (по своим членам).
Важно: Решение о подаче уведомления принимает оператор самостоятельно‚ так как он несет все риски в случае ошибки. Если есть сомнения (например‚ один из контрагентов — физлицо‚ и данные заносятся в 1С/CRM/Excel)‚ безопаснее подать уведомление.
Как и где подается уведомление?
Уведомление подается в электронном виде через официальный портал Роскомнадзора (раздел «Реестр операторов» / «Электронные формы заявлений»). Подача осуществляется до начала обработки данных. Изменения в сведениях уведомления должны вноситься в течение 3 рабочих дней с момента их возникновения.
Кто осуществляет контроль и надзор?
Контроль и надзор за обработкой персональных данных возложен на Роскомнадзор (Федеральную службу по надзору в сфере связи‚ информационных технологий и массовых коммуникаций).
Уполномоченный орган вправе:
- Осуществлять проверки информации‚ содержащейся в информационных системах персональных данных.
- Требовать устранения нарушений законодательства.
- Применять меры административного воздействия (штрафы‚ предписания).
Каковы последствия нарушений 152-ФЗ?
От тщательности проработки вопросов защиты персональных данных зависят взаимоотношения с Роскомнадзором‚ ФНС и другими регуляторами. При выявлении нарушений компетентные органы имеют право наложить штрафные санкции.
Тенденция: С каждым годом суммы штрафов возрастают. Нарушения могут касаться:
- Отсутствия уведомления или неактуальных сведений в реестре.
- Отсутствия локальных актов (политики конфиденциальности‚ положения о защите ПДн‚ порядка доступа и т.д.).
- Нарушения прав субъектов (отказ в доступе к своим данным‚ неисполнение требования об удалении/блокировке).
- Недостаточной технической и организационной защите данных (утечки‚ хранение в открытом виде).
- Передаче данных третьим лицам без оснований.
Основные обязанности оператора (чек-лист)
Для соблюдения закона оператор должен:
- Законно собирать данные (наличие оснований: согласие‚ договор‚ закон‚ жизненные интересы и т.д.).
- Объяснять цели обработки субъекту персональных данных (прозрачность).
- Защищать сведения (разработать и внедрить модель угроз‚ меры защиты по приказам ФСТЭК/ФСБ‚ назначить ответственного за защиту ПДн).
- Отвечать на запросы граждан (предоставление данных‚ уточнение‚ блокировка‚ удаление) в установленные законом сроки (обычно 30 дней).
- Уведомлять Роскомнадзор в установленных случаях (ведение реестра).
- Проводить внутренний контроль и аудит соответствия процессов требованиям закона.
Особенности обработки особых категорий и биометрических данных
Закон выделяет особые категории персональных данных (раса‚ национальность‚ политические взгляды‚ здоровье‚ интимная жизнь и др.) и биометрические данные. Их обработка допускается только при наличии письменного согласия субъекта (за исключением случаев‚ прямо предусмотренных законом‚ например‚ прокурорский надзор — п. 7.1 ст. 6) и при соблюдении усиленных мер защиты.
Соблюдение 152-ФЗ — это не разовое действие (подача уведомления)‚ а непрерывный процесс управления данными. Ключевые столпы соответствия:
- Актуальное уведомление в реестре Роскомнадзора.
- Разработанные и утвержденные локальные нормативные акты (ЛНА).
- Обеспечение прав субъектов персональных данных.
- Техническая и организационная защита информации.
- Документирование всех процессов обработки (карта обработки ПДн).
Игнорирование требований закона несет растущие финансовые и репутационные риски. Регулярный внутренний аудит и консультации со специалистами в области защиты персональных данных помогут избежать претензий со стороны регулятора.