Обработка персональных данных без согласия субъекта

Содержание

Если не получить согласие на обработку и использование персональных данных

Согласие на обработку персональных данных

В соответствии со ст. 9 закона «О персональных. » от 27.07.2006 № 152-ФЗ субъект персональных данных самостоятельно принимает решение о предоставлении права на обработку и использование этой информации третьими лицами. Согласие оформляется в письменном виде (а если данные передаются через интернет, в электронном).

Необходимость в предоставлении личной информации возникает постоянно: при медицинском осмотре в поликлинике, трудоустройстве на работу и даже оформлении заказа в интернет-магазине.

Сторона, получающая личные сведения, обязана:

  • заручиться согласием их владельца на обработку и использование;
  • обеспечивать конфиденциальность;
  • хранить документ, подтверждающий, что владелец разрешил работать с ними.

Нарушение этих требований влечет за собой применение к оператору персональных данных мер ответственности.

Ответственность за нарушение законодательства

Согласно ч. 1 ст. 6 закона № 152 для обработки личных сведений необходимо получить согласие лица, которому они принадлежат. Использование персональных данных без согласия по общему правилу является нарушением закона и влечет за собой привлечение ответственного за их обработку к дисциплинарной, административной и даже уголовной ответственности (ч. 1 ст. 24 закона № 152).

Так, работодатель может объявить должностному лицу — работнику организации выговор за ненадлежащее исполнение им своих должностных обязанностей или уменьшить размер стимулирующей выплаты (премии), при условии что такой вид наказания предусмотрен действующим на предприятии коллективным договором или иным локальным документом.

Административная ответственность за обработку данных без согласия лица, которому они принадлежат, предусматривает наложение на нарушителя штрафа в размере (ч. 2 ст. 13.11 КоАП РФ):

  • 3–5 тыс. руб. — на граждан;
  • 10–20 тыс. руб. — на должностных лиц;
  • 15–75 тыс. руб. — на юридических лиц.

Уголовная ответственность наступает за незаконный сбор сведений о частной жизни человека (в том числе о личной или семейной тайне), а также за неправомерный доступ к компьютерной информации, содержащей такие сведения (ст. 137, 272 УК РФ).

Кроме того, субъект персональных данных может потребовать от нарушителя возмещения причиненного ему морального вреда (ч. 2 ст. 24 закона № 152).

За соблюдением законодательных требований в области личной информации следит Роскомнадзор.

Когда согласие на обработку персональных данных не требуется

В соответствии с ч. 1 ст. 6 закона № 152 не требуется согласие на обработку персональных данных в следующих случаях:

  • если лицо является участником судебного разбирательства;
  • если данные необходимы для исполнения госорганами своих полномочий в области предоставления государственных и муниципальных услуг, в том числе для регистрации гражданина на портале «Госуслуги»;
  • для исполнения договора, выгодоприобретателем или поручителем по которому выступает лицо (или для заключения такого договора от его имени);
  • если ситуация требует немедленных действий, необходимых для сохранения жизни и здоровья гражданина, а получить его согласие невозможно (например, человек находится без сознания);
  • собранные личные данные будут использованы в целях проведения статистического или иного исследования, при условии что они будут обезличены;
  • лицо ранее самостоятельно сделало свои данные доступными для неограниченного количества пользователей;
  • данные должны быть раскрыты в соответствии с действующими законодательными требованиями;
  • информация используется для журналистской, творческой или научной деятельности, а также для работы СМИ, при условии что это не нарушает права и законные интересы гражданина.

Итоги

Итак, обработка и распространение персональных данных без согласия их обладателя является нарушением законодательства, которое влечет за собой привлечение нарушителя к ответственности. Однако возможны ситуации, когда законодатель освобождает лицо, уполномоченное на работу с личными данными, от обязанности по получению согласия на их обработку. Например, если человек по состоянию здоровья попросту не может его представить.

Последствия обработки персональных данных без согласия субъекта

Важность согласия на обработку персональных данных

Для защиты личных данных физлиц в РФ положениями закона «О персональных данных» от 27.07.2006 № 152-ФЗ (далее — закон № 152-ФЗ) предусмотрено важное правило — обязательное получение согласия такого лица на обработку его персональных данных (далее — ПД).

Разрешение необходимо для обработки персональных данных как без использования средств автоматизации, так и с их использованием.

Подтвердить свое согласие можно (п. 4 ст. 9 закона № 152-ФЗ, ст. 5 закона «Об электронной подписи» от 06.04.2011 № 63-ФЗ):

  • поставив подпись на бумаге;
  • при помощи электронной цифровой подписи.

Причем физлицо в любой момент вправе запретить обрабатывать свои ПД без объяснения причины такого решения или выполнения каких-либо условий, уведомив об этом оператора.

Обратите внимание! Законодатель отдельно выделяет случаи, когда согласие на обработку персональных данных не требуется (подп. 2–11 п. 1 ст. 6, п. 2 ст. 10 и п. 2 ст. 11 закона № 152).

Последствия обработки персональных данных без согласия субъекта

Использование персональных данных без согласия субъекта ПД обычно считается нарушением закона. В ст. 24 закона № 152 для нарушителей предусмотрены следующие виды ответственности:

Важно! К виновному могут применяться одновременно различные виды взысканий. Так, привлечение оператора к административной ответственности не препятствует пострадавшему требовать в судебном порядке компенсации материального и (или) морального вреда. Должностные лица оператора могут быть подвергнуты и дисциплинарному, и административному наказанию.

Кроме перечисленных существуют и иные негативные последствия. Например, оператор и интернет-ресурс, на котором осуществляется незаконная обработка ПД, могут быть включены в реестр нарушителей законодательства о ПД с прекращением доступа к ресурсу на территории РФ (ст. 15.5 закона «Об информации …» от 27.07.2006 № 149-ФЗ).

Административная ответственность

Деяниям и санкциям за нарушения требований о безопасности ПД посвящен ряд норм КоАП РФ (ст. 13.11, 13.12, 13.13, 13.14 КоАП РФ). Ответственность за обработку ПД без согласия физлица предумотрена в ч. 2 ст. 13.11 КоАП РФ:

Обратите внимание! За нарушение требований законодательства о ПД ответственность будут нести непосредственный виновник и организация в целом.

В настоящее время правом привлекать оператора к административной ответственности за совершение данного правонарушения обладают должностные лица Роскомнадзора (п. 58 ч. 2 ст. 28.3 КоАП). Рассматривают дела о правонарушениях по ст. 13.11 КоАП РФ мировые судьи (абз. 6 п. 3 ст. 23.1 КоАП РФ).

Гражданская ответственность

Если оператор, совершая действия по обработке персональных данных без согласия субъекта ПД, нанес вред интересам субъекта ПД, последний вправе требовать в судебном порядке возмещения:

  • Убытков (ст. 15 ГК РФ).
  • Морального вреда (ст. 151 ГК РФ). Причем компенсация нравственных страданий не зависит от возмещения имущественного вреда (ст. 24 закона № 152).

Рекомендуем! Зачастую причиненный вред не имеет явно выраженной имущественной оценки и (или) сложно доказать причинную связь между деяниями оператора и причиненным вредом. По этой причине более эффективным представляется использование такой формы гражданско-правовой защиты, как компенсация морального вреда.

Ответственность в трудовых правоотношениях

Трудовое законодательство предусматривает наказание для лиц, виновных в нарушении положений законодательства РФ по обработке ПД работников.

Виновные привлекаются к дисциплинарной ответственности. Работник может получить замечание, выговор или быть уволен. Увольнение по инициативе работодателя возможно за разглашение любой охраняемой законом тайны, в том числе ПД другого работника (подп. «в» п. 6 ч. 1 ст. 81 ТК РФ).

Материальная ответственность, как и дисциплинарная, существует в рамках трудовых правоотношений. Работник должен компенсировать работодателю прямой реальный ущерб — затраты на возмещение вреда, причиненного работником третьим лицам (субъектам ПД, ст. 238 ТК РФ).

Также работник, чьи права были нарушены, вправе требовать в судебном порядке возмещения причиненного ему имущественного и морального вреда.

Рекомендуем! Исковые требования в этом случае обращаются к организации-работодателю, которая в порядке регресса вправе обратить их к непосредственному правонарушителю.

Уголовная ответственность

За неправомерное собирание или распространение информации о частной жизни лица, являющейся его личной или семейной тайной, в РФ предусмотрена уголовная ответственность (ст. 137, 138, 272 УК РФ).

Следует помнить, что уголовная ответственность наступает не просто за распространение персональных данных без согласия субъекта ПД. Такая ответственность возникает в случае несоблюдения правил обработки личных данных, приводящего к противоправному вмешательству в частную жизнь субъекта ПД или содержащего признаки иных преступлений, предусмотренных указанными выше статьями УК РФ.

Таким образом, любому, кто работает с персональной информацией физических лиц, не стоит пренебрегать обязанностями, установленными для них в сфере обработки и защиты ПД. Причем это касается как информации о сотрудниках организации, так и об иных лицах (клиентах, посетителях и т. д.). Какие еще условия необходимо соблюдать, обрабатывая персональные данные – здесь.

Персональные данные – 2018: как избежать штрафов

Письмо-предупреждение Роскомнадзора о нарушении положений Федерального закона от 27.07.2006 № 152-ФЗ к вам не придет, если вы берете согласие на обработку персональных данных, правильно составили Политику обработки персональных данных и предусмотрели другие важные детали.

Что изменилось с 1 июля 2017 года

1 июля 2017 года вступил в силу Федеральный закон от 07.02.2017 № 13-ФЗ, который внес поправки в ст. 13.11 КоАП. В частности, он расширил перечень оснований для привлечения к административной ответственности за незаконную обработку персональных данных (ПДн) и увеличил штрафы.

Персональные данные: штрафы

ОснованиеРазмер штрафа
ФизлицаДолжностные лицаЮрлицаИП
Обработка ПДн в случаях, не предусмотренных законодательством РФ; обработка ПДн, несовместимая с целями сбора ПДнпредупреждение или штраф — от 1000 до 3000 руб.предупреждение или штраф — от 5000 до
10 000 руб.
предупреждение или штраф — от 30 000 до 50 000 руб.
Обработка ПДн без письменного согласия на то их субъектаот 3000 до 5000 руб.от 10 000 до 20 000 руб.от 15 000 до 75 000 руб.
Невыполнение обязанности по опубликованию или обеспечению доступа к документу, определяющему политику по обработке ПДн, или сведениям по защите ПДнот 700 до 1500 руб.от 3000 до 6000 руб.от 15 000 до 30 000 руб.от 5000 до 10 000 руб.
Непредоставление субъекту ПДн информации по их обработкепредупреждение или штраф — от 1000 до 2000 руб.предупреждение или штраф — от 4000 до 6000 руб.предупреждение или штраф — от 20 000 до 40 000 руб.предупреждение или штраф — от 10 000 до 15 000 руб.
Невыполнение оператором требования субъекта ПДн или его представителя об уточнении, блокировке, уничтожении (если ПДн неполные, устаревшие, неточные, незаконно получены, не являются необходимыми для заявленной цели обработки)предупреждение или наложение штрафа в размере от 1000 до 2000 руб.предупреждение или штраф — от 4000 до
10 000 руб.
предупреждение или штраф — от 25 000 до 45 000 руб.предупреждение или штраф — от 10 000 до 20 000 руб.
Необеспечение оператором при обработке ПДн без средств автоматизации обязанности по сохранности ПДн, что привело к неправомерному или случайному доступу к ПДн и стало причиной их уничтожения, изменения, блокирования, копированияот 700 до 2000 руб.от 4000 до
10 000 руб.
от 25 000 до 50 000 руб.от 10 000 до 20 000 руб.
Невыполнение оператором (гос. или муниципальным органом) обязанности по обезличиванию ПДн; несоблюдение требований по обезличиванию ПДнпредупреждение или наложение административного штрафа — от 3000 до 6000 руб.

Обратите внимание: именно такое основание, как обработка ПДн без получения согласия их субъекта, предусматривает самые крупные штрафы для всех категорий нарушителей — до 75 000 руб.

В связи с этим возникает много вопросов, наиболее часто задаваемые:

  • Являюсь ли я оператором персональных данных?
  • Распространяется ли на меня закон о персональных данных?
  • Как уведомить Роскомнадзор об обработке персональных данных?
  • Что делать владельцу сайта, чтобы избежать штрафов?

Давайте разбираться со всеми вопросами по порядку.

Как понять, являетесь ли вы оператором персональных данных?

В Федеральном законе № 152-ФЗ дается определение трем ключевым понятиям, вокруг которых часто и возникают различные вопросы: персональные данные, оператор и обработка персональных данных.

Персональные данныелюбая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Обработка персональных данныхлюбое действие или совокупность действий, совершаемых с использованием средств автоматизации или без них с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

В законе прямо не уточняется, какие именно данные являются персональными, но, если исходить из формулировки, что это «любая информация», относящаяся к физлицу, то к ПДн относятся:

  • ФИО (вместе и даже по отдельности)
  • дата рождения
  • адрес
  • телефон
  • email
  • фотография
  • ссылка на персональный сайт
  • ссылка на профиль в социальных сетях

Одним словом, речь идет о любых данных, по которым можно идентифицировать человека. Следовательно, если вы каким-то образом получаете такие данные в любом сочетании, то являетесь оператором персональных данных. Фактически любой владелец сайта — оператор персональных данных, так как он размещает на своем ресурсе форму обратной связи, форму регистрации и др.

Федеральный закон № 152-ФЗ делит операторов на несколько категорий: физлица, ИП, юрлица, муниципальные органы, государственные органы. В зависимости от категории за одно и то же нарушение применяются разные по размеру штрафы. Так, например, для физлиц они заметно ниже, чем для юрлиц.

Каждая категория операторов так или иначе сталкивается с обработкой ПДн. Физлица используют ПДн клиентов. ИП запрашивают эти данные, нанимая работников, или собирают ПДн на сайте, в интернет-магазине. К юрлицам применяется расширенный список требований по оформлению необходимых документов и требование о назначении ответственного за организацию обработки ПДн. Самые жесткие требования предъявляются к государственным и муниципальным органам, которые работают с огромным массивом ПДн граждан.

Что делать владельцу сайта, чтобы избежать штрафов Роскомнадзора

Шаг 1. Если у вас на сайте есть какие-либо формы сбора ПДн, то под каждую из них нужно поставить предложение «Даю согласие на обработку своих персональных данных» и окошко для галочки.

Шаг 2. Сопроводите предложение «Даю согласие на обработку своих персональных данных» гиперссылкой на документ, в котором прописываются условия обработки ПДн. Это может быть как пользовательское соглашение, согласие на обработку ПДн, так и договор, политика конфиденциальности, так и часть оферты — название не столь принципиально. На сайте Microsoft этот документ называется заявление о конфиденциальности. Обратите в этом заявлении внимание на пункт «Файлы cookie и аналогичные технологии»: если вы их используете, то об этом тоже нужно предупреждать. А вот на сайте Adidas текст согласия на обработку ПДн располагается прямо с формой регистрации, при этом ссылка ведет на Политику конфиденциальности компании.

Шаг 3. Подготовьте текст документа с условиями обработки ПДн. Укажите следующую информацию (согласно ст. 9 Федерального закона № 152-ФЗ):

  • ФИО, адрес субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
  • наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта ПДн;
  • цель обработки ПДн;
  • перечень ПДн, на обработку которых субъект дает согласие;
  • наименование или ФИО и адрес лица, осуществляющего обработку ПДн по поручению оператора, если обработка будет поручена такому лицу;
  • перечень действий с ПДн, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПДн;
  • срок, в течение которого действует согласие субъекта ПДн, а также способ его отзыва (если иное не установлено законом);
  • подпись субъекта ПДн.

Обратите внимание! Если вы составляете пользовательское соглашение на основе чьего-то готового документа, то корректируйте цели обработки данных и перечень данных под себя, свой бизнес.

Шаг 4. Подготовьте документ под названием Политика в отношении обработки персональных данных (об этом обязательстве оператора прямо говорится в п. 2 ст. 18.1 Федерального закона № 152-ФЗ) и разместите его на сайте в свободном доступе. Посмотрите, как это сделал тот же Microsoft. Подробнее о шести важных компонентах, которые необходимо включить в этот документ, читайте в статье «Политика обработки персональных данных: как составить документ»

Шаг 5. Подайте уведомление об обработке ПДн в Роскомнадзор. Вообще, в соответствии с ч. 1 ст. 22 Федерального закона № 152-ФЗ, оператор должен это сделать еще до начала обработки ПДн. Но лучше поздно, чем никогда. За задержку с уведомлением вас не оштрафуют, санкции последуют только в том случае, если вами заинтересуется Роскомнадзор. Но даже если вы высылаете уведомление с опозданием, указывайте дату государственной регистрации как дату начала обработки ПДн.

Случаи, когда уведомление Роскомнадзора не требуется

При обработке ПДн, если они:

  • относятся к субъектам, которых связывают с оператором трудовые отношения;
  • получены оператором при заключении договора, но не распространяются, не предоставляются третьим лицам без согласия на то их субъекта, то есть используются оператором исключительно для исполнения договора;
  • являются общедоступными ПДн;
  • включают только ФИО субъектов ПДн;
  • нужны для однократного пропуска субъекта ПДн на территорию, на которой находится оператор, или в иных аналогичных целях;
  • включены в федеральные автоматизированные информационные системы ПДн, государственные информационные системы ПДн, созданные в целях защиты безопасности государства и общественного порядка;
  • обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами.

Все вышеперечисленные меры имеют отношение как к физлицам, так и к юрлицам. Однако юрлицам следует предпринять ряд дополнительных мероприятий — организационных, правовых и технических.

В каких случаях операторы не должны обеспечивать конфиденциальность персональных данных?

В соответствии с ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ обеспечение конфиденциальности персональных данных не требуется:

  • в случае обезличивания персональных данных;
  • в отношении общедоступных персональных данных;
  • если данные включают только фамилии, имена и отчества субъектов персональных данных;
  • для однократного пропуска субъекта персональных данных на территорию, на которой находится оператор (или в иных аналогичных целях);
  • если данные получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
  • если данные относятся к членам общественного объединения или религиозной организации и обрабатываются для достижения законных целей.

Когда для обработки персональных данных не нужно согласие субъекта персональных данных?

Согласно п. 2-11 ч. 1 ст. 6. Федерального закона 27.07.2006 № 152-ФЗ согласие субъекта персональных данных не требуется в случаях, когда обработка персональных данных:

1) осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;

1.1) необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;

2) осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;

3) осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;

4) необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

5) необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;

6) осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

7) осуществляется в отношении данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Портал персональных данных — что это такое?

В проекте программы «Цифровая экономика» говорится о планах по созданию специального портала персональных данных к 2019 году. Эта мера необходима для решения проблемы неконтролируемого сбора ПДн . Ответственность за ресурс будет возложена на Роскомнадзор.

Минимизируйте риски: убедитесь в том, что персональные данные защищены в соответствии с ФЗ-152

Предполагается, что портал персональных данных позволит пользователям узнавать, кому они давали разрешение на обработку ПДн, и запрещать их дальнейшее использование. Чтобы получить доступ к такой информации, им нужно будет просто авторизоваться на сайте.

Чтобы узнавать о самых важных изменениях, касающихся бизнеса, присоединяйтесь к нашему каналу в Telegram!

Более детальная информация об обработке персональных данных — в материалах наших экспертов:

Ответственность за нарушение закона о персональных данных

Лицам, нарушившим требования закона о персональных данных, в зависимости от конкретных обстоятельств и серьезности деяния может грозить не только административная и уголовная ответственность, но также гражданско-правовая и даже дисциплинарная (таблица 1). При этом административная ответственность с 1 июля 2017 года ужесточилась – вместо одного состава правонарушения ст. 13.11 КоАП РФ теперь предусматривает семь, а максимальный штраф составляет 75 тыс. руб.

Таблица 1. “Виды ответственности за нарушение закона о персональных данных”

Вид ответственности

Нарушение

Санкция

Норма

Неправомерный отказ в предоставлении гражданину и (или) организации информации, предоставление которой предусмотрено законом, несвоевременное ее предоставление либо предоставление заведомо недостоверной информации

Административный штраф на должностных лиц в размере от 5 тыс. до 10 тыс. руб.

Обработка персональных данных в случаях, не предусмотренных законом, либо обработка, несовместимая с целями сбора персональных данных

Предупреждение или административный штраф:

  • на граждан – от 1 тыс. до 3 тыс. руб.;
  • на должностных лиц – от 5 тыс. до 10 тыс. руб.;
  • на юридических лиц – от 30 тыс. до 50 тыс. руб.

Обработка персональных данных без письменного согласия субъекта, когда это необходимо, либо обработка данных с нарушением требований к составу сведений, включаемых в такое согласие

  • на граждан – от 3 тыс. до 5 тыс. руб.;
  • на должностных лиц – от 10 тыс. до 20 тыс. руб.;
  • на юридических лиц – от 15 тыс. до 75 тыс. руб.

Невыполнение оператором обязанности по опубликованию или обеспечению иным образом неограниченного доступа к политике обработки персональных данных

Предупреждение или административный штраф:

  • на граждан – от 700 до 1 тыс. руб.;
  • на должностных лиц – от 3 тыс. до 6 тыс. руб.;
  • на индивидуальных предпринимателей – от 5 тыс. до 10 тыс. руб.;
  • на юридических лиц – от 15 тыс. до 30 тыс. руб.

Невыполнение оператором обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных

Предупреждение или административный штраф:

  • на граждан – от 1 тыс. до 2 тыс. руб.;
  • на должностных лиц – от 4 тыс. до 6 тыс. руб.;
  • на индивидуальных предпринимателей – от 10 тыс. до 15 тыс. руб.;
  • на юридических лиц – от 20 тыс. до 40 тыс. руб.

Невыполнение оператором в установленные сроки требования субъекта персональных данных или его представителя либо Роскомнадзора об уточнении персональных данных, их блокировании или уничтожении (если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки)

Предупреждение или административный штраф:

  • на граждан – от 1 тыс. до 2 тыс. руб.;
  • на должностных лиц – от 4 тыс. до 10 тыс. руб.;
  • на индивидуальных предпринимателей – от 10 тыс. до 20 тыс. руб.;
  • на юридических лиц – от 25 тыс. до 45 тыс. руб.

Невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих их сохранность и исключающих несанкционированный к ним доступ, если это повлекло неправомерный или случайный доступ к данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении них

  • на граждан – от 700 до 2 тыс. руб.;
  • на должностных лиц – от 4 тыс. до 10 тыс. руб.;
  • на индивидуальных предпринимателей – от 10 тыс. до 20 тыс. руб.;
  • на юридических лиц – от 25 тыс. до 50 тыс. руб.

Невыполнение оператором, являющимся государственным или муниципальным органом, обязанности по обезличиванию персональных данных либо несоблюдение установленных для этого требований или методов

Предупреждение или наложение административного штрафа на должностных лиц в размере от 3 тыс. до 6 тыс. руб.

Непредставление или несвоевременное представление в государственный или иной уполномоченный орган сведений, представление которых предусмотрено законом либо предоставление таких сведений в неполном объеме или в искаженном виде

  • на граждан – от 100 до 300 руб.;
  • на должностных лиц – от 300 до 500 руб.;
  • на юридических лиц – от 3 тыс. до 5 тыс. руб.

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или СМИ

Ш траф до 200 тыс. руб., либо обязательные работы на срок до 360 ч асов , либо исправительны е работы на срок до одного года, либо принудительные работы на срок до двух лет ( с лишением права занимать определенные должности на срок до трех лет или без такового ) , либо арест на срок до четырех месяцев, либо лишение свободы на срок до двух лет ( с лишением права занимать определенные должности на срок до трех лет )

То же деяние, совершенное с использованием служебного положения

Ш траф от 100 тыс. до 300 тыс. руб. , либо лишение права занимать определенные должности на срок от двух до пяти лет, либо принудительные работы на срок до четырех лет ( с лишением права занимать определенные должности на срок до пяти лет или без такового ) , либо арест на срок до шести месяцев, либо лишение свободы на срок до четырех лет ( с лишением права занимать определенные должности на срок до пяти лет )

Незаконное публичное распространение информации, указывающей на личность лица, не достигшего 16 лет, по уголовному делу, либо информации, содержащей описание полученных им в связи с преступлением физических или нравственных страданий

Ш траф от 100 тыс. до 300 тыс. руб., либо лишение права занимать определенные должности на срок от трех до пяти лет, либо принудительны е работ ы на срок до пяти лет ( с лишением права занимать определенные должности на срок до шести лет или без такового ), либо арест на срок до шести месяцев, либо лишение свободы на срок до пяти лет ( с лишением права занимать определенные должности на срок до шести лет )

Неправомерный отказ должностного лица в предоставлении документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление ему неполной или заведомо ложной информации, если это причинило вред правам и законным интересам граждан

Ш траф до 200 тыс. руб., либо лишение права занимать определенные должности на срок от двух до пяти лет

Неправомерный доступ к охраняемой законом компьютерной информации, если это повлекло ее уничтожение, блокирование, модификацию либо копирование

Ш траф до 200 тыс. руб. , либо исправительные работы на срок до одного года, либо ограничение свободы на срок до двух лет, либо принудительны е работ ы на срок до двух лет, либо лишение свободы на тот же срок

Причинение лицу убытков в результате нарушения правил обработки его персональных данных.

Под убытками при этом понимаются:

  • расходы, которые лицо произвело или должно будет произвести для восстановления нарушенного права;
  • утрата или повреждение его имущества;
  • неполученные доходы, которые лицо получило бы, не будь его право нарушено.

Причинение гражданину морального вреда (нравственных страданий) вследствие нарушения правил обработки персональных данных

Компенсация морального вреда (независимо от возмещения имущественного вреда и понесенных субъектом убытков)

Разглашение одним работником персональных данных другого, если они стали известны ему в связи с исполнением трудовых обязанностей

Иные нарушения в области персональных данных при их обработке

Обработка персональных данных без согласия субъекта

Пункт 1 части 1 статьи 6 Закона о персональных данных устанавливает, что обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных. Случаи, при которых обработка персональных данных допускается без согласия субъекта персональных данных, предусмотрены пунктами 2-11 части 1 статьи 6 Закона о персональных данных.

К таким случаям, в частности, относится:

2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;

3.1) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее – исполнение судебного акта);

4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;

5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях», либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

8) обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;

9) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных;

10) осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее – персональные данные, сделанные общедоступными субъектом персональных данных);

11) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

Обработка персональных данных без согласия субъекта

Защита персональных данных
с помощью DLP-системы

М ожно ли использовать личные данные человека без его согласия? Без законного на то основания обработка личной информации запрещена и влечет за собой ответственность – уголовную, административную или гражданскую. Но существуют установленные законодательством случаи, когда передача третьим лицам персональных данных (ПДн) разрешена.

Когда разрешается обработка ПДн без согласия субъекта

Законодательство предусматривает следующие случаи передачи данных без необходимости получения на это согласия субъекта:

  • Если требуемые данные заносятся в базы государственных реестров Российской Федерации.
  • Если сведения будут использованы третьими лицами для семейных нужд (но только в случае, если это не нарушает права субъекта этих сведений).
  • Засекречивание данных о субъекте (государственная тайна).
  • Если ПДн требуются государству для соблюдения условий законов либо договоров международного уровня.
  • Если субъект вовлечен в судебный процесс, при необходимости данных для исполнения актов суда.
  • В случае получения субъектом государственных услуг.
  • Требуется заключение или исполнение договора, к которому причастен субъект, либо он получает выгоду от этого.
  • Присутствует угроза жизни или здоровью субъекта, и невозможно получить согласие.
  • Если информация нужна для совершения общественно важных дел.
  • Персональные данные лица необходимы для журналистских расследований либо средствам массовой информации в случае, если при этом не нарушаются права субъекта.
  • Использование для статистических, демографических целей (только если данные обезличены).
  • В случае законодательного требования в обязательном порядке раскрыть эти данные.
  • Организации почтовой связи, мобильной связи также могут использовать персональную информацию о человеке без его разрешения (для совершения расчетов за пользование почтовыми или коммуникационными услугами). Также, если гражданин признает свои данные общедоступными, их можно использовать без его разрешения.

В случаях, которые не подпадают под условия, описанные выше, обработка данных возможна только при подписании согласия этим человеком.

Сколько стоит информация?

Необходимо знать о штрафных санкциях, которые будут применены государством к объекту, использовавшему информацию о другом лице без его согласия. Так, согласно Статьям 13.11 и 13.14 Кодекса Российской Федерации об административных правонарушениях, должностное лицо заплатит штраф от 3 000 до 20 000 рублей. Частный предприниматель будет оштрафован на сумму от 5 000 до 20 000 рублей, а фирма или организация – до 75 000 рублей.

Как происходит обработка персональных данных без ведома их владельца?

Существует установленный законодательством порядок, согласно которому такая информация может быть получена и использована. Выглядит процесс следующим образом:

  1. При наличии веских законных оснований человек (организация, уполномоченное лицо) получает необходимую информацию о субъекте. При этом сообщать субъекту об использовании его сведений не нужно.
  2. С полученными данными осуществляются необходимые операции, но важное условие – проводятся они только в рамках заявленной цели их использования.
  3. Когда сведения обработаны и больше не нужны, они должны быть удалены либо обезличены.

Если до владельца ПДн доходит информация об использовании его данных, он может оспорить это в судебном порядке. При таком обстоятельстве конфликт можно разрешить, предоставив доказательства необходимости получения ПДн, и даже вопреки несогласию субъекта, если законом предусмотрено данное действие, конфликт будет решен в пользу получения нужных ПДн.

Как получить согласие на обработку персональных данных

В первую очередь составляется текст, описывающий политику обработки личной информации, и само согласие. Если вы являетесь ИП или владеете фирмой – тогда в обязательном порядке заверяете политику обработки специальным актом. В этом документе указывается человек (работник), который назначается ответственным за работу с ПДн на вашем предприятии.

Если у вашего предприятия есть сайт или аккаунт, данная политика обязательно должна быть там опубликована и в открытом доступе. Также, если предусмотрено заполнение анкет (форм) пользователями, куда они будут вписывать свои данные, под каждым таким элементом должен стоять чекбокс, куда пользователь ставит галочку по типу «Даю разрешение на использование информации обо мне».

Важно не забыть предоставить пользователю активную ссылку на страницу или документ, содержащий политику обработки ПДн, чтобы он без затруднения мог прочесть ее.

Работа с персональными данными: как не нарушать федеральный закон о ПДн?

Ниже приведено несколько обязательных правил, соблюдение которых позволит избежать проблем с законом и при этом без препятствий собирать нужные вам сведения.

  1. В первую очередь нужно пройти регистрацию в Роскомнадзоре.
  2. Вся информация (политика использования конфиденциальной информации, пользовательское соглашение) должна быть предоставлена в открытом доступе посетителям сайта, если он есть у вашей организации.
  3. Собирать нужные данные требуется в рамках конкретной цели. Не нужно просить лишнюю информацию (например, адрес прописки гражданина для рассылки видеоматериалов по e-mail).
  4. Если собранная информация предназначена для публикации в общедоступных ресурсах, обязательно требуется запрашивать письменное согласие владельца на использование этих сведений. Если же информация нужна всего лишь для внутренней работы организации, предоставлять пользователям возможность ограничить передаваемые данные.
  5. Сведения о пользователях надо применять только для осуществления тех задач, которые указаны в политике конфиденциальности.
  6. По требованию субъекта всегда нужно предоставлять ему в полном объеме сведения об имеющихся данных о нем: какие они, где и как хранятся, как обеспечивается их защита, кому предоставлен доступ к этим ПДн.
  7. По просьбе субъекта оператор обязан удалять из базы личную информацию о нем.
  8. Все персональные данные клиентов, пользователей и работников должны храниться в базе данных надежно – оператор должен обеспечить максимальную степень защиты БД (это правило указано в федеральном законе).
  9. Работодатель должен выбрать человека на должность ответственного за обеспечение сохранности ПД.
  10. Провести инструктаж со всеми работниками о том, как работать с конфиденциальными данными.

В первом пункте сказано про регистрацию в системе Роскомнадзора. Эту процедуру необходимо проходить всем операторам (оператор в данном контексте – это лицо, осуществляющее сбор и обработку ПДн). Сведения об операторе вносятся Роскомнадзором в специальный Реестр операторов.

Можно не регистрироваться в Роскомнадзоре в случае, если на предприятии:

  • обрабатываются только ПДн сотрудников;
  • необходимы для обработки лишь фамилия и инициалы субъекта ПДн;
  • конфиденциальные сведения открыты и опубликованы по просьбе их владельца.

Несоблюдение закона о защите ПДн – это не только огромная административная и гражданская ответственность со всеми вытекающими большими суммами штрафов и ограничений. Это еще и вторжение в личную жизнь людей.

Спам, надоедающие рассылки, рекламные сообщения с неизвестных номеров – все это происходит из-за недобросовестного использования операторами персональных сведений о людях.

Действуя в рамках законодательства и соблюдая все вышеописанные правила, компания обезопасит себя от привлечения к ответственности за некорректное использование ПДн.

Ссылка на основную публикацию