Новые положения об административной ответственности в сфере обработки персональных данных действуют уже более 4 месяцев. Увеличенные размеры штрафов напугали предпринимателей, многие задумались о своих обязанностях, перечень которых, кстати, не изменился.
В статье последовательно разбираем основные обязанности, которые есть у каждого оператора персональных данных, с учетом уже сложившейся правоприменительной практики. В частности, касаемся назначения ответственного лица, разработки специальных ЛНА, внутреннего контроля, обучения работников, оценки вреда, утверждения перечня лиц, которые имеют доступ к персональным данным, и пр.
Для начала напомним основные понятия.
Оператор персональных данных (оператор) – государственный или муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и/или осуществляющее обработку персональных данных, а также определяющее:
– цели обработки;
– состав персональных данных, подлежащих обработке;
– действия (операции), совершаемые с персональными данными 1.
Другими словами, оператор персональных данных – это фактически любое лицо, включая ООО с одним директором и нулевой отчетностью, самозанятого, ИП без работников и т. п.
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) 2. Персональными данными фактически может быть признана любая информация о человеке, включая Ф.И.О., данные паспорта и иных документов, адрес электронной почты, номер телефона, данные о заработной плате, банковские реквизиты, файлы cookie и др.
К принципам обработки персональных данных относятся:
-
законность. Сбор персональных данных, их последующее хранение и иная обработка должны осуществляться в рамках ограничений закона. Вы всегда должны иметь возможность подтвердить, что обработка вами персональных данных основана на законе;
-
целевой характер. Вы определяете для себя необходимый вам перечень законных целей обработки персональных данных и действуете только в их рамках. Если вы получили персданные для определенной цели, вы не можете обрабатывать их для других целей. При достижении цели их обработки работа с ними должна быть прекращена, а персданные подлежат уничтожению или обезличиванию;
-
недопустимость избыточной обработки персональных данных. Вы можете собирать и обрабатывать только те персональные данные, которые необходимы вам для достижения цели их обработки;
-
обеспечение точности, достаточности, актуальности персональных данных. Имеющиеся у вас данные не должны быть неточными или недостоверными. Вы должны иметь возможность идентифицировать лицо, к которому относятся персональные данные. Если данные являются неполными или неточными, вы должны обеспечить их уточнение или уничтожение;
-
недопустимость смешения персональных данных для разных целей. У вас должны быть созданы отдельные базы для персональных данных, обработка которых осуществляется в целях, не совместимых между собой. Например, база данных работников и база данных клиентов, а также база данных для рекламных рассылок должны быть разделены.
Нарушение указанных принципов может повлечь административную ответственность, например, за нецелевую обработку персональных данных. По ч. 1 ст. 13.11 КоАП РФ размер штрафа:
- для работодателя-организации достигает 300 000 руб.;
- ИП или должностного лица – 100 000 руб. 3
Основной общий перечень обязанностей операторов персональных данных отражен в гл. 4 Закона № 152-ФЗ. Но нужно учитывать, что обязанности есть:
- и в других главах закона,
- и в массе подзаконных актов.
Далее выделим 10 базовых обязанностей (мы намеренно не стали рассматривать две основные обязанности операторов по направлению уведомлений в Роскомнадзор и получению согласий на обработку персональных данных, которые были описаны ранее на страницах журнала довольно подробно). При этом перечень обязанностей может дополняться в зависимости:
- от специфики деятельности оператора
- и степени потенциальной угрозы персональным данным, которые оператор обрабатывает.
1. Назначить лицо, ответственное за организацию обработки персданных
Данная обязанность установлена только для юридических лиц 4 (ИП самостоятельно принимают решение о целесообразности реализации данной меры). Назначается такое лицо приказом работодателя. В общем виде его обязанности как ответственного включают 5:
- осуществление внутреннего контроля за соблюдением законодательства о персональных данных, в том числе требований к защите персональных данных;
- доведение до сведения работников положений законодательства о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
- организацию приема и обработки обращений и запросов субъектов персональных данных, осуществление контроля за приемом и обработкой таких обращений и запросов.
Это лицо будет главным должностным лицом организации, ответственным за исполнение требований законодательства о персональных данных. Помимо издания приказа о назначении ответственного лица следует дополнить должностную...
