Сбор персональных данных и подготовка документации для их обработки: как избежать типовых нарушений Закона № 152-ФЗ?
Руководитель группы консалтинга Центра информационной безопасности компании «Инфосистемы Джет»
специально для ГАРАНТ.РУ
Последние несколько лет по всему миру наблюдается тенденция к увеличению штрафных санкций за несоответствие требованиям законодательства в области обработки и защиты персональных данных. Например, с 2 декабря 2019 года в России был введен один из самых крупных штрафов в этой сфере – за нарушение требований к локализации баз данных при первичном сборе персональных данных (ч. 8-9 ст. 13.11 КоАП). Его размеры для компаний варьируются от 1 млн до 6 млн руб. за первое нарушение и от 6 млн до 18 млн руб. при повторном. Существенно возросли штрафы и в Евросоюзе, где последние два года действует Общий регламент по защите данных (General Data Protection Regulation, GDPR), который пришел на смену ранее принятой директиве о защите данных. Так, согласно статистике, опубликованной на сайте www.itpro.co.uk, общая сумма штрафов для компаний, работающих на территории ЕС, за несоответствия требованиям GDPR с начала года составила 68 млн евро. Более 66% этой суммы пришлось на компании из Италии, где было зафиксировано 13 случаев нарушения регламента.
Неудивительно, что вопросы выполнения требований в части обработки и защиты персональных данных неизменно остаются одними из самых важных для компаний. В колонке я выделю ключевые нарушения, которые допускаются при обработке персональных данных в России, и поделюсь рекомендациями, как их избежать.
Что нужно знать о сборе персональных данных, чтобы не нарушить закон?
Как правило, основанием для обработки персональных данных служит либо требование законодательства РФ, либо согласие на обработку персональных данных. Как показывают результаты последних проверок Роскомнадзора – основного регулятора в области защиты персональных данных в России, одной из распространенных ошибок компаний является неправильная организация сбора данных. Обычно проверяющие в этой области чаще всего фиксируют следующие типовые нарушения:
компании не всегда собирают все необходимые согласия на обработку персональных данных у субъектов персональных данных;
объем обрабатываемых персональных данных не соответствует заявленной цели обработки;
форма согласия не соответствует требованиям Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ).
До начала сбора персональных данных в организации важно определиться с целью их обработки: именно от этого будет зависеть весь процесс обработки персональных данных. Далее для выбранной цели определяется объем собираемых данных и срок их обработки. С решением последнего вопроса поможет Приказ Росархива от 20 декабря 2019 г. № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения». Если же в нем не удастся найти необходимые документы, организация может определить срок обработки самостоятельно.
Самое важное мероприятие в организации сбора данных – это основание их обработки. Если объем персональных данных соответствует требованиям законодательства, в большинстве случаев получать дополнительное согласие не придется. Исключение составляют передача данных сторонним организациям, сбор дополнительных контактных данных для проведения маркетинговых мероприятий и другие случаи, оговоренные в нормативных актах. Если же объем персональных данных не соответствует требованиям законодательства РФ, необходимо получить согласие на обработку данных.
Существует несколько форм согласий: конклюдентное, письменное и иные (в форме галочки, по телефону и т. д.). Самый строгий тип согласия – в письменной форме, в законодательстве даже прописаны все случаи, когда их нужно получать. Среди них, например, обработка биометрических данных (подп. 1 п. 2 ст. 10 Закона № 152-ФЗ), специальных категорий персональных данных (п. 1 ст. 11 Закона № 152-ФЗ) и т. п. Если же задача организации не попадает в список особых случаев, можно использовать согласие в другой форме.
По моему опыту сопровождения проверок, у каждой формы согласия есть свои плюсы и минусы:
Конклюдентное согласие
Согласие в письменной форме
Иные формы согласия
+
Легко получить (за исключением случаев, когда нужно согласие в письменной форме)
При разработке и получении формы согласия по требованиям законодательства РФ регулятору не требуются дополнительные доказательства
Как правило, допускается Роскомнадзором, что подтверждается проверками ведомства (за исключением случаев, когда необходимо согласие в письменной форме)
–
Не предусматривает каких-либо подтверждений получения. Ввиду отсутствия подтверждений может рассматриваться Роскомнадзором как нарушение требований Закона № 152-ФЗ
Форма согласия должна соответствовать требованиям ч. 4 ст. 9 Закона № 152-ФЗ
Для каждой цели нужно получать отдельное согласие, т.к. в ч. 4 ст. 9 Закона № 152-ФЗ «цель» указана в единственном числе
Требуется сохранять подтверждение получения (например, лог-файл на сайте или запись телефонного звонка в случае обработки персональных данных) и доказывать факт наличия согласия при возникновении инцидента. Данные подтверждения могут храниться в течение длительного периода
Представители Роскомнадзора, как правило, рекомендуют учитывать требования ч. 4 ст. 9 Закона № 152-ФЗ
На что еще важно обратить внимание до сбора персональных данных?
В случаях, не установленных законодательством РФ, необходимо получать согласие на передачу данных сторонним организациям. Оно может быть как отдельным, так и встроенным в общее (за исключением случаев, когда требуется согласие в письменной форме).
Когда организация получает данные не напрямую от самого субъекта, нужно либо направить ему уведомление об этом (оно должно соответствовать п. 3 ст. 18 Закона № 152-ФЗ), либо запросить у него согласие на обработку персональных данных. Способ уведомления при этом определяется организацией-оператором обработки данных. Например, это может быть письмо по электронной почте или SMS-сообщение.
При сборе данных нужно использовать базу данных, размещенную на территории РФ.
Подготовка к сбору персональных данных – один из важнейших этапов выстраивания процесса их обработки, а его правильная организация поможет избежать достаточно большого количества ошибок и, как следствие, штрафных санкций со стороны регулятора.
О чем всегда забывают при подготовке документации?
Еще один широко распространенный и не менее важный вид нарушений связан с документацией в области обработки персональных данных. Дело в том, что для полного соответствия требованиям Закона № 152-ФЗ и подзаконных актов организациям нужно иметь огромное количество документов, в иерархии которых не просто разобраться. Как показывают результаты проверок Роскомнадзора, компании допускают три основных нарушения в этой области:
отсутствует большая часть необходимой документации;
документация не актуализируется на постоянной основе (например, при изменениях процессов обработки персональных данных);
не заполняются типовые формы документов (перечни, журналы и др.) в соответствии с внутренней документацией организации.
Как же сформировать полный комплект документов, чтобы пройти проверку без нареканий со стороны представителей регулятора? Работа с персональными данными в любой организации начинается с верхнеуровневого документа, определяющего общие требования, то есть политики. При ее разработке полезно изучить рекомендации Рекомендации Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 31 июля 2017 г.
Среди документов второго уровня в иерархии можно выделить следующие:
Положение об обработке персональных данных. Его можно разработать как отдельно для работников и остальных субъектов данных, так и в виде единого документа. Я рекомендую выбирать второй вариант и не забывать, что с документом нужно ознакомить каждого работника под подпись;
Регламент обработки обращений от субъектов персональных данных / Роскомнадзора;
Регламент проведения внутренних проверок в части соблюдения требований Закона № 152-ФЗ и подзаконных актов в области обработки персональных данных;
Методика оценки вреда субъектам персональных данных. По моей практике, компании крайне редко разрабатывают этот документ, хотя он необходим для успешного прохождения проверки Роскомнадзора;
Иные документы.
Для наглядности иерархическая структура необходимых документов представлена на схеме:
Рис. Иерархическая верхнеуровневая схема документов оператора персональных данных
Список внушительный, не говоря о том, что в этой колонке я не рассматриваю документы по защите персональных данных по требованиям ФСТЭК и ФСБ России. Но и это еще не все: организациям, в которых планируется проверка Роскомнадзора, также следует обратить внимание на подготовку справок по различным вопросам. Например, это может быть информация по обработке данных уволенных работников, справка об обработке биометрических данных и не только. Например, в моей практике был случай, когда компании пришлось подготовить суммарно порядка 200 справок по разным вопросам обработки персональных данных. Так что этот вопрос лучше продумать заранее.
***
При сборе персональных данных важно правильно организовать процесс с самого начала, чтобы в ходе проверок избежать предписаний от Роскомнадзора за такие распространенные нарушения, как отсутствие согласия на форме обратной связи или отсутствие всплывающего баннера в случаях, когда компания использует cookie-файлы посетителей сайта. В настоящий момент планируются изменения в Закон № 152-ФЗ, которые прояснят многие неоднозначные моменты в нормативных требованиях к защите персональных данных. Например, сейчас на рассмотрении в Госдуме находится законопроект 1 , разрешающий получать одно согласие в письменной форме сразу для нескольких целей обработки персональных данных, что не предусмотрено положениями действующего закона. Кроме того, Роскомнадзор планирует разработать методические рекомендации по обезличиванию данных для коммерческих компаний. Сегодня подобный документ действует только для государственных организаций, что вызывает большое количество вопросов со стороны бизнеса. Тем не менее важно понимать, что даже в случае принятия этих поправок к положениям Закона № 152-ФЗ останется немало открытых вопросов, что требует уделять повышенное внимание к выстраиванию процессов обработки Пдн.
1 С текстом законопроекта № 992331-7 «О внесении изменений в Федеральный закон «О персональных данных»» и материалами к нему можно ознакомиться на официальном сайте Госдумы.
Источник
Особенности защиты персональных данных
Защита персональных данных с помощью DLP-системы
З акон «О персональных данных» № 152-ФЗ от 27.07.2006 года регулирует отношения государства, физических и юридических лиц в области сбора, хранения, обработки и защиты персональных данных (ПД) с помощью средств автоматизации или без них. Цель закона состоит в защите прав граждан по сохранению тайны их личной жизни. Любая организация, собирающая и обрабатывающая ПД, является оператором ПД.
Работа оператора с ПД сотрудников и других физических лиц
Для эффективной работы каждой организации-оператора всегда требуется определять набор персональных данных граждан, работников, клиентов, посетителей. Эти сведения постоянно собираются у субъектов персональных данных или выбираются из иных законных источников. При этом оператор должен уведомить субъекта о целях сбора информации о нем и получить его письменное согласие на сбор.
Обработка персональной информации граждан является законной в следующих случаях:
если получено письменное разрешение лица на обрабатывание его личных данных;
если это необходимо для надлежащего исполнения оператором своих функций;
для осуществления правосудия;
для получения государственной услуги;
с целью оформления и исполнения договора;
для защиты жизни и здоровья физлица;
с целью реализации легитимных требований операторов или их клиентов, в случае ненарушения прав субъектов ПД;
профессиональной работы журналистов, СМИ при соблюдении законных прав субъекта этой информации;
статистических и других исследований, с обязательным соблюдением условия по обезличиванию собранной информации;
если ПД стали общедоступными благодаря самому субъекту;
когда ПД подлежат публикации или непременному открытию ввиду требований закона.
Долгом оператора является обеспечение конфиденциальности личной информации, если другое не предусмотрено законом.
Принципы и условия обрабатывания оператором личных данных
Обрабатывание ПД реализовывается на законной основе.
Должны быть определены точные цели обрабатывания личных данных и перечисление необходимых данных для реализации этих целей.
Для каждой цели или совместимой группы целей нужно создавать отдельную базу данных (БД). Объединять базы данных, если их цели несовместимы, недопустимо.
ПД должны быть точными, полными и актуальными для данных целей.
Когда эти данные больше не нужны, они уничтожаются операторами в течение пяти лет или отдаются в архив, если это предусмотрено законом.
Обязанности оператора
Зарегистрироваться в Реестре операторов персональных данных Роскомнадзора, заявив о целях собирания и обрабатывания ПД.
Получить письменное разрешение субъекта на обрабатывание его персональной информации, если другое не предусмотрено законом.
Обеспечить должную защиту обрабатываемых и хранимых ПД.
Давать ответ на запрос субъекта о составе его персональных данных в предусмотренный законом срок.
Уничтожать ПД или передавать в архив в течение пяти лет, если надобность в них исчезла.
Информировать субъекта о причине отказа от предоставления персональных данных.
Особенности работы с ПД при оформлении личных дел работников предприятия
Порядок оформления личных дел сотрудников действующим законодательством не нормирован. Работодатель имеет право на хранение в личном деле сотрудников копии его документов, если соблюдены такие условия:
службой кадров принято согласие от сотрудника на хранение и обработку его персональных данных;
персональные данные обрабатываются в целях лучшей организации производства, соблюдения требований нормативных актов, помощи работникам при трудоустройстве, определения уровня их специальных знаний, повышения квалификации, обеспечения надлежащей сохранности персональных данных;
объем ПД не избыточен для должной работы данного учреждения.
Обработка ПД, которые не предусмотрены законодательством, сбор нецелевых личных данных, работа с персональными данными без письменного согласия гражданина влекут за собой предупреждение проверяющих органов или штраф.
Применение фотографий зачислено в категорию обрабатывания биометрических ПД, поэтому на такие действия нужно письменное согласие субъекта персональных данных.
Порядок оформления личного дела и возможный состав персональных данных:
содержание личного дела;
заявление о приеме на работу;
приказ о приеме на работу;
анкета;
автобиография и резюме;
копии дипломов;
трудовой договор;
представления к переводам на другую должность;
приказы о переводах;
внесение изменений персональных данных;
документация об аттестации сотрудника;
заявления персонала;
документы о здоровье;
фото;
приказ о поощрении и взыскании;
копии паспортных данных;
копии карточек ПФР;
индивидуальные налоговые номера;
копии военных билетов;
документы о заключении брака;
документы о рождении детей;
списки научных работ, изобретений;
характеристики и отзывы.
Контроль деятельности операторов ПД
Проверку законных оснований для обработки ПД проводит Роскомнадзор. Плановая проверка проводится один раз в три года и в точные сроки, подготовленные Роскомнадзором и утвержденные прокуратурой. Плановая проверка оператора осуществляется в начале его деятельности и далее через каждые три года.
Основаниями для внеплановой проверки являются:
контроль исполнения предписания о ликвидации нарушения, выявленного в ходе предыдущей проверки;
требование прокуратуры из-за поступивших обращений и жалоб на действия оператора;
бездействие операторов, из-за которых были нарушены интересы субъектов РФ;
приказ Роскомнадзора, изданный на выполнение поручений Президента или Правительства РФ.
Проверка проводится не больше 20 рабочих дней, но при надобности может быть продолжена еще на такой же срок.
выезд на место обработки персональных данных;
проверка предоставленной по запросу документации;
систематическое наблюдение инспекторами-специалистами, на основе которого вырабатываются выводы о соблюдении норм законов по работе с персональными данными.
Ответственность за незаконную обработку персональных данных
Оператору нельзя собирать, хранить, использовать и распространять информацию о личной жизни, переписке, телефонных разговорах и т. п., если нет судебного постановления или других законных оснований для этой деятельности.
Оператор не вправе причинять материальный и моральный урон людям, ущемлять их права и свободы, используя персональные данные. Нарушение закона «О персональных данных» может повлечь за собой дисциплинарную, административную и уголовную ответственность.
Требования к защите персональных данных
Нормы законодательства о защите личной информации являются необходимыми для исполнения. Оператору вменяется в обязанность принимать нужные меры для защиты ПД от незаконного или просто случайного доступа к ним, удаления, фальсификации, блокировки, несогласованного копирования, размножения ПД, а также от других незаконных шагов в отношении личных сведений.
Для надлежащей защиты ПД необходимо:
установить актуальные угрозы безопасности при обрабатывании информации в информационных системах персональных данных (ИСПДн);
принять адекватные меры организационного и технического характера;
применять сертифицированные средства информационной защиты;
перед вводом в эксплуатацию провести аттестацию ИСПДн на соответствие защитных систем правовым нормам;
вести учет машинных носителей ПД;
обнаруживать факты незаконного доступа к этой информации и выполнять соответствующие действия по улучшению их защиты;
восстанавливать поврежденную информацию;
установить режим доступа к ПД только строго установленных лиц;
регистрировать все действия, совершаемые при работе с ПД.
Защита от несанкционированного доступа
Разрешительная система допусков к информсистеме.
Ограничение возможности входа в помещения с техническими средствами обработки персональных данных.
Регистрация действий при работе с ПД.
Строгий учет и хранение съемных носителей данных.
Создание резервных копий и дублирование баз данных и носителей информации.
Использование сертифицированных средств защиты информации.
Защищенные каналы связи.
Нахождение технических средств обработки персональных данных в пределах охраняемой территории.
Борьба с вредоносными программами и вирусами с помощью сертифицированных антивирусных программ и других методов защиты.
Межсетевое экранирование.
Анализ защищенности информационных систем сканерами безопасности.
Ограждение каналов связи от считывания данных.
Использование смарт-карт, электронных замков для правильной идентификации пользователей.
Аутентификация дружественных информсистем и обеспечение целостности пересылаемых данных.
Особенности защиты персональных данных в ЕС
25 мая 2018 года вступил в силу Регламент о защите персональных данных. Его действие распространяется на все компании, которые обрабатывают персональные сведения о лицах, находящихся в ЕС.
На что стоит обратить внимание:
расширился список персональных данных (добавлены данные о местонахождении, IP-адреса, cookies);
увеличились правовые возможности субъектов ПД (право на перемещение данных из одной компании в другую, право на ликвидацию всех сведений о себе из БД компании);
появились новые обязательства для операторов (доказательство законности обрабатывания данных, защита ПД по умолчанию, назначение для компаний-нерезидентов представителя в ЕС, определение ответственного лица по защите данных);
детально прописано согласие субъекта на обрабатывание ПД (согласие выражается активным действием: письменным сообщением, в том числе, и через электронные средства, или же устно);
описано, какие должны быть приняты меры, если утеряны ПД либо к ним произошел несанкционированный доступ (компания должна послать уведомление контролирующему органу на протяжении 72 часов после произошедшего инцидента, а если утечка данных является существенной, то проинформировать об этом и субъекта ПД для предупреждения о возможной опасности);
расширена территория действия Регламента за границы ЕС.
Таким образом, европейскими законодателями ставится важная цель по созданию единой действующей правовой базы, которая будет распространяться на все государства, являющиеся членами ЕС, и даже за его пределы.
.jpg)
Рис. Иерархическая верхнеуровневая схема документов оператора персональных данных
