01.04.2020     0
 

152 фз о защите персональных данных изменения


Что регулирует закон «О персональных данных»?

Сфера действия постановления — контроль над личной информацией, которой обладают следующие виды структур:

  • госорганы;
  • власти конкретных субъектов РФ;
  • учреждения местного самоуправления;
  • юридические лица;
  • физлица, совершающие обработку личной информации.

Нормы ФЗ №152 контролируют во всех государственных и коммерческих организациях конфиденциальность ПДн, принадлежащих конкретному физическому лицу. Однако под действие закона не попадают следующие категории:

  • использование информации гражданами для личных целей при отсутствии нарушения прав обладателя;
  • недействительные документы, находящиеся на хранении в Архивном фонде РФ;
  • ПДн, отнесенные под категорию «государственная тайна».

https://www.youtube.com/watch?v=ytcopyright

Таким образом, ФЗ №152 обязует хранителей персональной информации поддерживать неразглашение личных сведений физлица.

Кого коснутся новые штрафы

Штрафы за нелегальную обработку персональных сведений граждан касаются всех компаний и предпринимателей, которые получают паспортные данные россиян. По закону они отнесены к операторам персональных данных и обязаны соблюдать законодательные ограничения.

Закон не содержит конкретного перечня таких организаций. Однако к ним можно отнести банки, страховые компании, операторов мобильной связи и интернета, медицинские организации, транспортные компании, учебные заведения и все те компании, при обращении в которые граждан просят указать личные данные или заполнить анкету.

Но и это еще не все. Закон распространяется на работодателей, получающих сведения от сотрудников как по трудовым договорам, так и по договорам гражданско-правового характера. Работодатели тоже являются операторами персональных данных с небольшой оговоркой. Если работодатель состоит с гражданином в трудовых или гражданско-правовых отношениях, ему не требуется уведомлять Роскомнадзор об обработке личной информации (ч. 2 ст. 22 Федерального закона № 152-ФЗ).

Также к операторам персональных данных относятся компании, имеющие собственные сайты с обратной формой связи и регистрацией пользователей, у которых запрашиваются личные сведения.

Подробнее о том, кто может не подавать уведомление в Роскомнадзор, читайте в статье «Кому не нужно уведомлять Роскомнадзор об обработке персональных данных».

1. Исключить случаи нецелевого сбора и обработки данных.

Под данное нарушение попадают и случаи сбора излишней информации о гражданах. Например, когда сайт для новостной рассылки по e-mail требует от посетителей предоставить, скажем, паспортные данные. Это считается обработкой данных не по назначению, поэтому исключите подобные случаи из практики работы своей компании и сайта.

152 фз о защите персональных данных изменения

Данные действия образуют состав правонарушения по ч. 1 ст. 13.11 КоАП РФ. Штраф для предпринимателей – от 5 до 10 тысяч рублей, а для организаций – от 30 до 50 тысяч рублей.

2. Получать письменное согласие граждан на обработку их данных.

Согласие граждан на обработку персональных данных, когда это требуется по закону, операторы получают в соответствии с ч. 4 ст. 9 Федерального закона № 152-ФЗ. Исключений из этого правила не так много. Например, не требуется письменного согласия при получении персональных данных в личных, семейных целях (ч. 2 ст. 1 Федерального закона № 152-ФЗ).

В большинстве же случаев дополнительно к основному договору стороны должны подписывать соглашение об обработке персональных данных. Это соглашение может включаться в текст основного договора, или выступать в качестве отдельного документа. Согласие должно поступить лично от гражданина. Без его ведома передавать данные нельзя.

Самый банальный пример злоупотреблений в этой части – когда, например, оператор мобильной связи передает контакты абонентов без их ведома сторонним компаниям, и на телефонные номера граждан начинает поступать всевозможный спам.

Если письменного соглашения на обработку данных у компании нет, на граждан (ИП) наложат штраф в размере от 3 до 5 тысяч рублей, на должностных лиц от 10 до 20 тысяч рублей, а на юрлиц – от 15 до 75 тысяч рублей (ч.2 ст.13.11 КоАП РФ). Судя по судебной практике, ИП первый раз штрафуют как физлиц, а если нарушение повторяется, то уже как должностных лиц — руководителей ИП, так как во втором случае штраф выше.

Предлагаем ознакомиться  Неофициальная работа: что грозит работнику и работодателю? Что делать если не выплатили зарплату?

Закон о персональных данных № 152-ФЗ от 27.07.2006

Последствия неполучения письменного согласия контролерам будут неважны, а важен будет сам факт наличия или отсутствия такого согласия в письменной форме.

3. Знакомить граждан с политикой обработки персональных данных.

Эта информация должна находиться в свободном доступе и с ней должен иметь возможность ознакомиться каждый. Например, сайты вывешивают информацию о порядке работы с персданными на отдельных своих страницах. 

В противном случае наступит ответственность по ч. 3 ст. 13.11 КоАП РФ. ИП заплатят штраф в размере от 5 до 10 тысяч рублей, а организации в размере от 15 до 30 тысяч рублей.

4. Отвечать на вопросы граждан о том, каким образом используются их персональные данные.

Суть закона

https://www.youtube.com/watch?v=https:tv.youtube.com

Требования постановления заключаются в следующих аспектах:

  1. Организация обрабатывает персональные данные только при заключении письменного соглашения с владельцем.
  2. Биометрические сведения не разглашаются третьим лицам.
  3. Хранить информацию можно только на территории России. Это условие соблюдается для всех видов носителей, в том числе и хостингов интернет-сайтов.
  4. Оператор использует частные данные исключительно при процессах, оговоренных в соглашении. С ними владелец информации ознакомлен.
  5. При завершении работы организация обязана уничтожить данные.

Контролируют соблюдение всех условий закона государственные организации:

  • Роскомнадзор;
  • Федеральная служба по техническому и экспортному контролю;
  • трудовая инспекция.

У законопроекта три действующие стороны: организация,  использующая ПДн, лицо, которому они принадлежат, и исполнительные органы, следящие за правоотношениями участников.

Государственный контроль и надзор за обработкой персональных данных

В ее функции входит:

  • запросы на предоставление личной информации для выполнения своих полномочий;
  • проверка полученной от источников информации;
  • выставление требований к операторам об уничтожении личных сведений;
  • принятие необходимых действий для прекращения обработки частных данных, если процесс не соответствует закону;
  • подача в суд на организации, нарушающие ФЗ-152.

152 фз о защите персональных данных изменения

Помимо функций, связанных с поддержанием федерального постановления, Роскомнадзор участвует в улучшении, а также уточнении ФЗ-152. Происходит это путем выдвижения на рассмотрение законодательных инициатив. Хотя, по сути, Роскомнадзор все еще остается исключительно исполнительным органом власти.

Исходя из норм ст. 24 закона 152-ФЗ, лица, нарушившие требования данного закона, несут ответственность предусмотренную законодательством РФ.

Административная ответственность установлена статьями 13.11, 13.14 и 19.7 КоАП РФ.

Уголовная ответственность устанавливается при наличии в составе преступления, признаков нарушения неприкосновенности частной жизни. В таком случае применяется статья 137 УК РФ.

Учитывая объемы и состав действий, нарушающих нормы закона 152-ФЗ, могут быть применены и иные статьи КоАП РФ и УК РФ.

Штрафная ответственность предусмотрена и для государственных и муниципальных органов власти (ч. 7 ст. 13.11 КоАП РФ). 

В своих документах (протоколах, сводках, решениях и т.д.) они должны обезличивать персональные данные граждан, не допуская указания их места жительства и полных ФИО. 

В противном случае придется заплатить штраф в размере от 3 до 6 тысяч рублей.

Кто по закону 152-ФЗ считается оператором персональных данных?

Действия, которые попадают под определения обработки персональных данных — это работа с личной информацией клиента в автоматизированном либо ручном режиме. Сюда относятся:

  • сбор;
  • запись;
  • анализ и хранение;
  • актуализация;
  • применение и предоставление доступа;
  • блокировка, удаление.

Все эти действия выполняются оператором исключительно конфиденциально.

Если госорган или юридическое лицо признаны оператором, то они заключают соглашение на обработку с владельцем. В противном случае действия организации окажутся нарушением, что повлечет за собой наказание со стороны контролирующих органов.

Под действие Федерального закона попадают организации, признанные операторами ПД. При этом личная информация делится на следующие типы:

  • сведения о сотрудниках;
  • клиентская база;
  • информация о пользователях интернет-источников.

https://www.youtube.com/watch?v=https:accounts.google.comServiceLogin

Если общество имеет хотя бы одну из перечисленных категорий, то оно попадает под действие закона.

Что делать сайтам

Что касается сайтов (а сейчас они есть практически у любой компании), то основная масса нарушений здесь связана именно с нецелевым сбором и использованием персональных данных (ч. 1 ст. 13.11 КоАП РФ).

Например, нередко в форме регистрации на сайте используются такие поля, как «дата рождения» и «телефон», а в форме профиля пользователя — «отчество», «дата рождения», «место жительства» (страна, область/край, город).

Следует понимать, что для регистрации пользователя на большинстве сетевых ресурсов не требуется знать такие данные, как телефон и место жительства/регистрации пользователя. Из формы регистрации эти сведения следует убрать. 

А из формы личного профиля лучше убрать такие сведения, как «профессия», «www-страница», Skype (или другой мессенджер) и «дата рождения». 

Предлагаем ознакомиться  Как внести изменения в положение о премировании

Посторонним лицам (а ваша компания и является таким лицом) знать эту информацию ни к чему. Форма подписки на новости сайта должна собирать информацию только об e-mail пользователей. Форма регистрации может собирать имя, фамилию, e-mail и пол пользователя. 

Сбор лишней информации при проверке могут посчитать нарушением.

Выполнение вышеописанных правил и знание закона позволят избежать ответственности за его нарушение. При этом следует учитывать одно немаловажное обстоятельство. Если раньше закон о персональных данных обходил вашу компанию стороной и никакой ответственности за его нарушение вы не несли, то с 1 июля все может измениться кардинальным образом.

Дело в том, что с этой даты начинает действовать упрощенный порядок привлечения к административной ответственности. Раньше дела в этой сфере возбуждала прокуратура (ст. 28.1 КоАП РФ). По новым же правилам (п. 58 ч. 2 ст. 28.3 КоАП РФ) дела будет возбуждать сам Роскомнадзор без участия сотрудников прокуратуры.

Согласие субъекта ПДн на обработку

Перед работой с личными сведениями оператор получает согласие субъекта на обработку. Это прописано в 14 параграфе законопроекта. Во избежание бюрократических неурядиц разрешение физического лица на передачу личной информации дается в письменном виде. При этом субъект проинформирован, для каких целей это необходимо.

Согласием является публичная оферта. При совершении покупки в интернет-магазине покупатель автоматически дает разрешение на использование личных сведений продавцу. После согласия вступает в силу 22 пункт закона.

https://www.youtube.com/watch?v=ytabout

Если владелец данных признан недееспособным, то согласие на обработку подписывает законный представитель гражданина.

2 параграф ФЗ 152 2006 г. о персональных данных проводит разъяснение о тех случаях, когда согласие на обработку данных не требуется. Организация может безнаказанно работать с личной информацией в следующих случаях:

  • Если обработка сведений предусмотрена законодательством Российской Федерации без разрешения владельца.
  • Если личная информация используется в судопроизводстве.
  • Если ПДн использует исполнительная ветвь власти РФ.
  • Обработка на портале Госуслуги.
  • При заключении договора о приобретении товара или услуги.
  • Использование частных сведений необходима в жизненно опасных ситуациях, когда владелец не способен дать разрешение.
  • В художественном произведении при условии ненарушения прав субъекта.
  • В журналистских расследованиях и научных работах.
  • Если личные сведения раскрыты в соответствии с Федеральным Законом.

Принципы и условия обработки ПД

Статьи под номерами 5 и 6 в ФЗ-152 гласят о возможных принципах и условиях обработки частных сведений. Постановление предусматривает перечень ситуаций, при которых используют личную информацию, а также регулирует правила обработки.

152 фз о защите персональных данных изменения

Согласно законопроекту о персональных данных оператор в своей работе придерживается следующих принципов:

  • частные сведения используются только для заранее оговоренных двумя сторонами задач;
  • составление базы из личной информации невозможно;
  • на использование сведений должны быть основания;
  • обрабатывать исключительно те сведения, которые требует достижение поставленной цели;
  • обрабатываться должна только действующая информация;
  • объемы сведений не превышают разрешенного соглашением показателя;
  • хранение информации не превышает временной промежуток, необходимый для достижения цели;
  • устаревшие сведения подлежат немедленному уничтожению.

Частная информация используется в конкретных условиях:

  • обязательное согласие физического лица;
  • судопроизводство;
  • приведение приговора в исполнение;
  • ситуации, в которых под угрозой жизнь субъекта.

В случаях, если организация возлагает работу по обработке частных сведений на третье лицо, ответственность полностью переходит на компанию, занимающуюся использованием и хранением информации.

Обеспечение безопасности персональных данных при их обработке

В 18, 18.1, 19 параграфах ФЗ-152 сообщается, что вся ответственность за безопасность и сохранность частной информации полностью ложится на оператора. При использовании личных сведений физического лица организации должны быть уверены, что проводимая ими работа конфиденциальна, а утечки быть не может.

Также органами государственной власти устанавливаются следующие параметры, влияющие на безопасность личных сведений:

  • Уровень защищенности — категория ограничения использования частной информации в тех случаях, когда данные могут оказаться под угрозой.
  • Требования к безопасности информационных сетей — организация должна быть уверена в защищенности базы с личной информацией в сети.
  • Технический уровень носителей информации — категория, которая заставляет операторов пользоваться только максимально безопасными средствами для хранения данных.

Все требования для поддержания безопасности хранения и использования данных должны своевременно выполняться оператором. За этим процессом пристально следят контролирующие органы.

Закон о персональных данных: изменения

https://www.youtube.com/watch?v=ytadvertise

Федеральный закон №242-ФЗ от 21.07.2015 года (далее – закон 242-ФЗ), с момента его принятия в середине 2014 года, в народе он получил название «закон о переносе серверов». Все, кто попадет под определение «оператор» и собирают персональные данные посредством своих сайтов, то есть предлагают совершать какие-либо рассылки, получить фирменную карту, скидки в обмен на имя, фамилию, e-mail, телефон, адрес проживания (для отправки фирменной корреспонденции) граждан РФ и так далее, с момента вступления изменений в силу обязаны будут хранить эти сведения в базах данных, которые находятся на территории России.

Предлагаем ознакомиться  Неучтенное потребление электроэнергии

В противном случае, Роскомнадзор, по результатам проверки, может внести Интернет-ресурс, который не соответствует законодательным требованиям, в так называемый «черный» список, а его владельца привлечь к ответственности, в том числе к административной и уголовной.

Остается совсем мало времени до вступления изменений в силу и такие гиганты как eBay и Google уже вплотную занялись коррективами собственной деятельности под действующее российское законодательство, а Lenovo и Samsung уже завершили все действия по переносу баз данных.

152 фз о защите персональных данных изменения

В данной ситуации, у всех операторов, попадающих под действие этих изменений, еще есть немного времени, что бы совершить перенос баз данных, так как в законе №242-ФЗ нет видимых лазеек для его обхода.

Так как нет ясной картины целей, которые преследует государство, внося данные изменения, скорее всего к концу года будет понятно, зачем так срочно понадобилось переместить все персональные данные о гражданах России на «отечественные» сервера. Также, почти без сомнений, нас ждет обширная судебная практика, касающаяся данного вопроса.

Выполнение требований 152-ФЗ в банковской сфере

Именно изменение закона в 2011 году позволило Российскому Центробанку иметь дело с документами, которые тем или иным образом касаются обработки личных данных. Однако в связи с этим возникло несколько законодательных конфликтов. Дело в том, что условия ФЗ-152 начали конфликтовать с некоторыми положениями «Стандарта Банка России».

Основной конфликт двух государственных документов произошел в связи с методами безопасного хранения конфиденциальной информации. ФЗ-152 приемлет только те виды защиты данных, которые прописаны в его регламенте. В то время как Банк России пользуется совершенно иными средствами. К этому следует добавить также понятийное несоответствие. Так, под определение клиентских сведений попадают все платежные процессы, что делает их совершение более затруднительным.

Поэтому до сих пор выполнение требований закона «О персональных данных» структурами банка не до конца регламентировано и ждет более четких сводов прав и обязанностей.

Закон о персональных данных 152 ФЗ: как не нарушить

Незнание законов не освобождает от ответственности. Поэтому, чтобы организации, признанной оператором, не нарушить законопроект, следует защитить себя всеми возможными способами:

  • Согласие субъекта на обработку должно быть письменное. Так компании легче будет доказать добровольность разрешения на использование частных сведений.
  • Не просить лишние данные. Информация должна соответствовать конкретной цели.
  • При любом вопросе пользователя сообщать, как и зачем используются его личные сведения.
  • Сразу же избавляться от ненужных ПДн.
  • Уделить внимание безопасности базы данных.
  • Быть зарегистрированным в реестре Роскомнадзора.
  • Несовершеннолетний гражданин не может быть самостоятельным субъектом.

Если организация обрабатывает ПДн своих подчиненных, подавать заявление необязательно.

Что грозит за нарушение закона

При несоблюдении аспектов закона, согласно его 21 статье, операторы данных будут наказаны следующими штрафами:

  • 40 000 рублей за несвоевременное удаление личных данных;
  • 50 000 рублей за хранение информации в открытом доступе;
  • 75 000 рублей за сбор персональных данных без уведомления об этом владельца.

Суммы штрафов суммируются при нарушении нескольких пунктов одновременно, притом физическое лицо, которому принадлежала информация, может подать на организацию в суд для возмещения морального ущерба. Помимо наказания рублем, Роскомнадзор вправе заблокировать сайт оператора персональных данных. Уголовное наказание отсутствует.

Судебная практика по 152-ФЗ

Дата

Принятие законопроекта и его глобальная поправка вызвали массу судебных отзывов.

Первая жалоба была отправлена в Конституционный Суд Российской Федерации. Истец заявлял, что ФЗ-152 противоречит основному принципу Конституции РФ, то есть праву на частную жизнь. Суть иска заключалась в том, что исполнительные органы будут иметь доступ к личным сведениям без разрешения их владельца.

https://www.youtube.com/watch?v=upload

Следующее судебное разбирательство было связано с размещением личных данных гражданина в региональной газете. Редакция позволила себе упомянуть на своих страницах частную информацию об истце без его согласия. В ответ на этот текст гражданин отправил иск в Верховный Суд Российской Федерации с требованием закрыть печатное СМИ. В результате слушания суд решил в принудительном порядке закрыть газету.


Adblock detector