Top.Mail.Ru

Персональные данные потребителей – изменения в законе

С 1 сентября 2022 г. вступают в силу изменения, призванные повысить защиту персональных данных, собираемых у потребителей. К чему надо успеть подготовиться организациям, которые собирают такие данные? На какие вопросы потребителя и за сколько дней надо отвечать? Как увеличили штраф за нарушения? Обратите внимание: дополнительную настройку порядка работы с персональными данными сейчас сделали не в законе о персональных данных, а в законе о защите прав потребителей. И уже прорабатывается новая порция изменений.

В условиях глобализации мировой экономики и проникновения Интернета во все сферы жизни особое значение приобретает защита персональных данных. Доверяя государству и бизнесу свою персональную информацию, человек получает более удобный и качественный сервис, а также комфортную коммуникацию. Однако повсеместное и избыточное собирание персональной информации чревато серьезными рисками (незаконная передача персональных данных человека третьему лицу, их обработка в противоречии с заявленными целями или с превышением допустимых пределов, хищение и др.). В связи с этим были приняты изменения, направленные на защиту персональных данных потребителей, в т. ч. от их необоснованного сбора, которые вступят в силу уже в сентябре 2022 года. Рассказываем о нововведениях, ведь многие их них организациям нужно учесть в работе уже сейчас. А потребителям будет интересно узнать, на что они могут рассчитывать по новым правилам в случае нарушения их прав, какие возможности для них несут поправки.

Коммерческая ценность

Люди ежедневно и неосознанно открывают доступ к своим персональным данным широкому кругу лиц (например, заполняя анкеты для получения дисконтных карт, бонусов и скидок). Сбор и обработка большого объема персональной информации, характеризующей целые группы людей и их поведенческие особенности, позволяет предприимчивым коммерсантам монетизировать полученные данные, а также делать свои продукты более востребованными.

Не секрет, что накапливание и анализ больших объемов данных (big data), включая персональную информацию, дает компаниям возможность продавать их на рынке, выстраивать и применять скоринговые модели, анализировать поведение клиентов, их запросы и предпочтения и благодаря этому делать адресные предложения, наращивая выручку. Информация давно превратилась в полноценный товар, пользующийся высоким спросом на рынке со стороны покупателей, работающих в разных сегментах.

Напомним базовые требования к обработке персданных

Порядок получения статуса оператора по обработке персональных данных и его обязанности предусмотрены ст. 1, п. 2 ст. 3, ст. 5–6, 18–22.1 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» 1. Указанный статус должен быть присвоен любым федеральным, региональным и муниципальным органам власти, юридическим и физическим лицам, включая индивидуальных предпринимателей, если они выполняют обработку персональных данных с использованием средств автоматизации, в т.ч. в информационно-телекоммуникационных сетях, либо без такого использования, если по своему характеру это соответствует автоматической обработке.

Оператор обязан направить уведомление в Роскомнадзор о своем намерении осуществлять обработку персданных. Направлять уведомления не требуется, если обработка персданных осуществляется:

  • в соответствии с трудовым законодательством РФ либо на основании договора с субъектом, при этом они не передаются третьим лицам (это самый распространенный случай, сюда подпадает и обработка персданных работников);
  • в иных случаях, предусмотренных п. 2 ст. 22 Закона № 152‑ФЗ (см. фрагмент документа ниже).

О прекращении обработки оператор также сообщает Роскомнадзору, направляя уведомление.

Фрагмент документа

Пункт 2 статьи 22 «Уведомление об обработке персональных данных» Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных»

2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

1) обрабатываемых в соответствии с трудовым законодательством;

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;

4) разрешенных субъектом персональных данных для распространения при условии соблюдения оператором запретов и условий, предусмотренных статьей 10.1 настоящего Федерального закона;

5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;

6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;

7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;

9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

Оператор должен утвердить документы, связанные с обработкой перс­данных, назначить ответственное лицо, которое подчиняется непосредственно исполнительному органу оператора, что позволяет обеспечить независимость такого сотрудника от руководителей иных структурных подразделений компании-оператора.

Оператор должен самостоятельно определить состав и содержание...

Вы видите 20% этой статьи. Выберите свой вариант доступа

Купить эту статью
за 500 руб.
Подписаться на
журнал сейчас
Получать бесплатные
статьи на e-mail

Читайте все накопления сайта по своему профилю, начиная с 2010 г.
Для этого оформите комплексную подписку на выбранный журнал на полугодие или год, тогда:

  • его свежий номер будет ежемесячно приходить к вам по почте в печатном виде;
  • все публикации на сайте этого направления начиная с 2010 г. будут доступны в течение действия комплексной подписки.

А удобный поиск и другая навигация на сайте помогут вам быстро находить ответы на свои рабочие вопросы. Повышайте свой профессионализм, статус и зарплату с нашей помощью!

Внимание!
МАХ скидка - только в августе. Ловите ее!

Рекомендовано для вас

Отметка о поступлении и отметка о вручении документа – разные вещи

Делопроизводственный реквизит «отметка о поступлении документа» в организацию (с входящим номером) кардинально отличается от юридической отметки о получении / вручении документа (с подписью): как по назначению, так и по составу элементов (общая у них только дата). Показываем несколько вариантов их оформления. Обязана ли организация-получатель ставить их на экземпляре отправителя. Как убедить суд в факте вручения документа адресату при его отправке курьером, через «Почту России» или по электронной почте.

Организация работы с персональными данными службой делопроизводства

Изменения Закона о персональных данных – это повод провести аудит и актуализацию работы с персональными данными в организации. Что стоит сделать службе делопроизводства совместно с кадровой службой: какие приказы и ЛНА проверить, какие формы документов утвердить (опубликовали образцы новой разновидности согласия (на распространение персданных) и отзыва согласия). Описана современная лучшая практика работы с личными делами сотрудников с учетом защиты персональных данных: кого стоит знакомить с личными делами, как это организовать и документировать; как хранить часть документов о работнике вне личного дела (чтобы после увольнения не изымать из него лишнее перед сдачей в архив). Сколько и как хранить уведомления и согласия на обработку персданных (с примером отражения в номенклатуре дел и оптимальной систематизацией документов внутри дела).

Работник не сообщил об изменении персональных данных

Можно ли привлечь к дисциплинарной ответственности работника за то, что он не сообщил об изменении своих персональных данных? Если можно, то где и как это прописать (в трудовом договоре, ЛНА)? Или прописывать ничего не нужно, ответственность по умолчанию у работника будет?

Согласие работника на обработку персональных данных: ответы на 7 главных вопросов

Даем ответы на самые распространенные вопросы. Всегда ли необходимо согласие работника на обработку персональных данных? Оказывается, что нет. Что должно содержать в себе письменное согласие на обработку персональных данных? Чем грозит неоформление или неправильное оформление согласия? За каждого ли работника, у которого не взято согласие, работодателя могут оштрафовать на 75 000 рублей? Требуется ли согласие на обработку персональных данных, содержащихся в резюме соискателя? Можно ли включить согласие в текст заключаемого трудового договора? Как работодатель может воспрепятствовать работнику отказаться дать или отозвать согласие на обработку персональных данных?

Сколько дней отводится для ответа на обращение?

Вы поймете, на какие обращения можно ответить в течение 30 дней, и обнаружите, что на большинство обращений физических и юридических лиц коммерческая организация должна отвечать в течение 7 календарных дней (приводим ссылки на законы и судебную практику). Еще объясняем, когда действуют другие варианты сроков: 3 дня, 5 дней, 10 дней, 45 дней и др. Даем примеры расчета даты ответа на календаре – ​для сроков по Закону об обращениях граждан и исчисляемых по Гражданскому кодексу РФ (их методики различаются).

Согласие работника на обработку персональных данных: ответы на 7 главных вопросов

Даем ответы на самые распространенные вопросы. Всегда ли необходимо согласие работника на обработку персональных данных? Оказывается, что нет. Что должно содержать в себе письменное согласие на обработку персональных данных? Чем грозит неоформление или неправильное оформление согласия? За каждого ли работника, у которого не взято согласие, работодателя могут оштрафовать на 75 000 рублей? Требуется ли согласие на обработку персональных данных, содержащихся в резюме соискателя? Можно ли включить согласие в текст заключаемого трудового договора? Как работодатель может воспрепятствовать работнику отказаться дать или отозвать согласие на обработку персональных данных?

Отметка о поступлении и отметка о вручении документа – разные вещи

Делопроизводственный реквизит «отметка о поступлении документа» в организацию (с входящим номером) кардинально отличается от юридической отметки о получении / вручении документа (с подписью): как по назначению, так и по составу элементов (общая у них только дата). Показываем несколько вариантов их оформления. Обязана ли организация-получатель ставить их на экземпляре отправителя. Как убедить суд в факте вручения документа адресату при его отправке курьером, через «Почту России» или по электронной почте.

Организация работы с персональными данными службой делопроизводства

Изменения Закона о персональных данных – это повод провести аудит и актуализацию работы с персональными данными в организации. Что стоит сделать службе делопроизводства совместно с кадровой службой: какие приказы и ЛНА проверить, какие формы документов утвердить (опубликовали образцы новой разновидности согласия (на распространение персданных) и отзыва согласия). Описана современная лучшая практика работы с личными делами сотрудников с учетом защиты персональных данных: кого стоит знакомить с личными делами, как это организовать и документировать; как хранить часть документов о работнике вне личного дела (чтобы после увольнения не изымать из него лишнее перед сдачей в архив). Сколько и как хранить уведомления и согласия на обработку персданных (с примером отражения в номенклатуре дел и оптимальной систематизацией документов внутри дела).