Персональные данные и их защита

Персональные данные – это любые сведения, которые напрямую или косвенно относятся к тому или иному лицу, выступающему в роли субъекта персональных данных. Чаще всего встречаются такие разновидности информации: фамилия, имя, отчество, паспортные сведения, место рождения, регистрации и постоянного проживания, номер телефона. Физическое или юридическое лицо, занимающееся обработкой персональных данных, называется оператором.

В Российской Федерации деятельность по обработке персональных данных находится в ведении государства. Таким образом, требования, которые предъявляются к защите информации, контролируются Федеральными законами и различными подзаконными актами.

На сегодняшний день операторы персональных данных регулярно получают заявки на установление, соответствует ли их работа требованиям законодательства. Подобные запросы связаны с тем, что в 2017 году в Кодекс об административных правонарушениях были внесены изменения. Согласно им ответственность операторов за пренебрежение правилами обработки персональных сведений значительно увеличивается.

Кодекс РФ об административных нарушениях содержит информацию о видах ответственности, которая наступает, если в области персональных сведений нарушается закон. Так, статья 13.11 настоящего Кодекса включает в себя семь составов нарушений. Наказание за пренебрежение законодательством в этой сфере представляет собой административный штраф размером 15-75 тысяч рублей.

Чтобы избежать административного наказания в рамках рассматриваемой статьи, следует выполнять некоторые правила:

• запрещается публикация персональных сведений субъекта при отсутствии его согласия, выраженного в письменной форме;

• запрещается деятельность с биометрическими персональными сведениями, которые попадают под специальную категорию (религиозные, медицинские сведения и т.п.) при отсутствии согласия субъекта, выраженного в письменной форме;

• запрещается передача персональных сведений субъекта без его согласия зарубежным странам, которые не способны предоставить реальную безопасность прав.

На сайте компании обязательно должна быть опубликована Политика обработки персональных данных.

Неблагоприятный исход в виде административной ответственности может наступить, если оператор не передал сведения по заявке субъекта. Если заявка составлена на основе требований, прописанных в законе, лучше единожды ответить на запрос субъекта, чем платить штраф в размере до 40 тысяч рублей.

Чтобы избежать возникновения претензий от Роскомнадзора, необходимо соблюдать некоторые рекомендации:

• важно регулярно отвечать на заявки и запросы субъектов. Сделать это гораздо проще, чем впоследствии выплачивать штрафы;

• нельзя заниматься обработкой биометрических данных, специального комплекса персональных сведений, а также осуществлять передачу личной информации клиентов и сотрудников иностранным государствам;

• необходимо собрать внутреннюю документацию предприятия, которая требуется со стороны действующего законодательства РФ и Роскомнадзора;

• обязательно размещение Политики, касающейся персональных сведений. В случае, при котором обработка личных данных проводится на базе сайта, Политика обязательно должна быть размещена непосредственно на ресурсе;

• на просторах сайта под разделом, где собираются личные сведения, обязательно наличие подтверждения о согласии субъекта на работу с его персональной информацией. При заключении договора согласие не обязательно, но тогда текст договора должен быть представлен на сайте.

Указанные требования составляют неполный список условий, который может быть выдвинут в конкретной ситуации.

Выбирая методы обеспечения безопасности личных сведений, следует учитывать обстоятельства. К ним может относиться размер предприятия, достоверность внутренних документов, вероятность риска оказаться под наблюдением регулирующего органа.

Наблюдение и контроль проводятся двумя способами: в формате плановой или внеплановой проверки. Проверки планового типа осуществляются в отношении субъектов, данные о которых включены в Реестр операторов. Внеплановые производятся обычно на основании жалоб или запросов клиентов.

Нередко проводится регулярное наблюдение: просматривается сайт и отмечается соблюдение всех норм и законов в сфере обеспечения безопасности личных сведений.

Основываясь на изменениях в законе о персональных данных, необходимо публиковать исключительно актуальные и достоверные формы документации: претензии со стороны Роскомнадзора могут выдвигаться и к оформлению документов.

Работа с персональными сведениями внутри компании должна иметь высокую степень безопасности. При работе с информационными системами важно сформировать модель возможных рисков и угроз, касающихся личной информации. Все риски, которые прослеживаются на ее основе, должны быть устранены или снижены. Для того чтобы доказать Роскомнадзору качество работы и соблюдение закона, нужно правильно собрать пакет технических и локальных документов. Как результат – у надзорного органа не будет причин для предъявления претензий к оператору.