Обработка персональных данных в организации

 

 

Внимание! 

Текст справки учитывает последние изменения, внесенные в Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных" Федеральным законом от 25 июля 2011 года N 261-ФЗ, действие которых распространяется на правоотношения, возникшие с 1 июля 2011 года.



Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. К такой информации относится в том числе фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация (ст.3 Закона о персональных данных). Существуют также специальные категории персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни человека (ст.10 Закона о персональных данных). Сведения, которые характеризуют физиологические  и биологические особенности человека и на основе которых можно установить его личность, являются биометрическими персональными данными (ст.11 Закона о персональных данных).

           

Персональные данные относятся к сведениям конфиденциального характера в силу указа Президента РФ от 6 марта 1997 года N 188.



Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Понятие каждой операции раскрыто в ст.3 Закона о персональных данных.



           

Обязанности организации как оператора персональных данных  

          

 

N

Обязанность

Содержание

Нормативное основание

1.

Предоставление информации

1. При сборе персональных данных оператор обязан предоставить лицу при обращении или по запросу информацию, касающуюся обработки его персональных данных:



- подтверждение факта обработки персональных данных;



- правовые основания и цели обработки персональных данных;



- цели и применяемые оператором способы обработки персональных данных;



- наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с

оператором или на основании федерального закона;



- обрабатываемые персональные данные, относящиеся к соответствующему лицу, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;



- сроки обработки персональных данных, в том числе сроки их хранения;



- порядок осуществления лицом прав, предусмотренных Законом о персональных данных;



- информацию об осуществленной или о предполагаемой трансграничной передаче данных;



- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;



- иные сведения, предусмотренные федеральными законами.



2. Если персональные данные были получены не от самого лица, то оператор до начала обработки обязан предоставить лицу следующую информацию:



- наименование (фамилия, имя, отчество) и адрес оператора или его представителя;



- цель обработки персональных данных и ее правовое основание;



- предполагаемые пользователи персональных данных;



- установленные Законом о персональных данных права субъекта персональных данных;



- источник получения персональных данных.



3. Оператор обязан сообщить лицу или его законному представителю информацию о наличии персональных данных, относящихся к такому лицу, а также предоставить возможность ознакомления с ними непосредственно при обращении либо в течение десяти рабочих дней с даты получения запроса.



При отказе предоставить указанную информацию оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на основание для такого отказа, в срок, не превышающий семи рабочих дней со дня обращения лица или его законного представителя либо с даты получения запроса лица или его законного представителя.



4. Оператор обязан сообщить в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций по ее запросу необходимую информацию в течение тридцати дней с даты получения такого запроса.



Оператор обязан представить документы, определяющие ее политику в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных и (или) иным образом подтвердить принятие мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных, по запросу Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций.

Часть 1 статьи 18 Закона о персональных данных.





































































Часть 3 статьи 18 Закона о персональных данных.





























Часть 1 статьи 20 Закона о персональных данных.























Часть 4 статьи 20 Закона о персональных данных.







Часть 4 статьи 18_1 Закона о персональных данных.

2.

Соблюдение конфиденциальности персональных данных

Оператор, получивший доступ к персональным данным, обязан не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Статья 7 Закона о персональных данных.

3.

Получение согласия на обработку персональных данных

Оператор обязан получать согласие лица на обработку его персональных данных, за исключением случаев, установленных федеральными законами, когда обработка персональных данных может производиться без его согласия. В установленных федеральным законом случаях согласие должно быть получено в письменной форме.

Статья 6 Закона о персональных данных.

4.

Доказательство получения согласия

Оператор обязан предоставить доказательство получения согласия лица на обработку его персональных данных или доказательство наличия оснований для обработки персональных данных без согласия лица, указанных в пунктах 2-11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона о персональных данных.

     

Часть 3 статьи 9 Закона о персональных данных.

5.

Разъяснение последствий отказа

Если обязанность предоставления персональных данных установлена федеральным законом, оператор обязан разъяснить лицу юридические последствия отказа предоставить свои персональные данные.

 

Часть 2 статьи 18 Закона о персональных данных.

6.

Обеспечение безопасности персональных данных при их обработке

Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. Это в том числе:

     

     - определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;



- применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;



- применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;



- оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;



- учет машинных носителей персональных данных;



- обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;



- восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;



- установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;



- контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

     

Статья 19 Закона о персональных данных.

     

     

     

          

   

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

     

  

7.

Оформление допуска сотрудников

Оператор обязан назначить ответственного за организацию обработки персональных данных. Оператор может назначить структурное подразделение или работника, ответственного за обеспечение безопасности персональных данных.

Статья 18_1 Закона о персональных данных.

     

     

8.

Принятие и опубликование нормативной документации

Оператор обязан издать документы, определяющие его политику в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.

     

Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.

     

Статья 18_1 Закона о персональных данных.

     

     

     

     

     

Часть 2 статьи 18_1 Закона о персональных данных.

9.

Осуществление внутреннего контроля и аудита

Оператор обязан осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных Закону о персональных данных и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике

оператора в отношении обработки персональных данных, локальным актам организации.

     

Статья 18_1 Закона о персональных данных.

10.

Оценка вреда и принимаемых мер по его предотвращению

Оператор обязан проводить оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона о персональных данных, соотношения указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных.

     

Статья 18_1 Закона о персональных данных.

11.

Просвещение и обучение работников

Оператор обязан ознакомить работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) провести обучение указанных работников.

     

Статья 18_1 Закона о персональных данных.

12.

Предоставление доступа к персональным данным

Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю оператором при обращении либо при получении запроса.

     

Оператор обязан безвозмездно предоставить лицу или его законному представителю возможность ознакомления с относящимися к нему персональными данными, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении последним сведений, подтверждающих, что персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

     

О внесенных изменениях и предпринятых мерах оператор обязан уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные были переданы.

 

Часть 3 статьи 14 Закона о персональных данных.

     

     

Часть 3 статьи 20 Закона о персональных данных.

13.

Устранение нарушений

В случае выявления недостоверных персональных данных или неправомерных действий с ними оператор обязан осуществить блокирование персональных данных.

     

В случае подтверждения факта недостоверности персональных данных оператор обязан уточнить персональные данные и снять их блокирование.

     

В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об этих операциях уведомляется субъект персональных данных или его законный представитель, а также Роскомнадзор в случае, если обращение или запрос были направлены этим органом.

 

Статья 21 Закона о персональных данных.

14.

Уведомление контрольного органа

Оператор до начала обработки персональных данных обязан уведомить Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций о своем намерении осуществлять обработку персональных данных.

     

Статья 22 Закона о персональных данных.

15.

Уничтожение персональных данных

Оператор обязан уничтожить персональные данные:

     

     - в течение тридцати рабочих дней с даты достижения цели обработки персональных данных;

     

     - по требованию лица, если эти данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

     

     - в течение тридцати рабочих дней с даты поступления отзыва лицом своего согласия на обработку персональных данных;

     

     - если выявлены нарушения, которые не представляется возможным устранить;

     

     - по требованию Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций.



     

Часть 4 статьи 21 Закона о персональных данных.

          

Часть 1 статьи 14 Закона о персональных данных.

     

     

Часть 5 статьи 21 Закона о персональных данных.

          

Часть 3 статьи 21 Закона о персональных данных.

     

Часть 3 статьи 23 Закона о персональных данных.

     



Ответственность за нарушение прав субъектов персональных данных  

 

Лица, виновные в нарушении требований Закона о персональных данных, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность (ст.24 Закона о персональных данных).



1. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных Законом о персональных данных, а также требований к защите персональных данных, установленных в соответствии с Законом о персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков. Подробнее см. ст.ст.151, 1099-1101 Гражданского кодекса РФ.



2. Статьей 13.11 Кодекса Российской Федерации об административных правонарушениях предусмотрена ответственность за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) в виде предупреждения или наложения административного штрафа.



3. В соответствии со ст.90 ТК РФ лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, привлекаются к дисциплинарной (гл.30 ТК РФ) и материальной (гл.38 ТК РФ) ответственности в порядке, установленном Трудовым кодексом РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.



4. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия признается преступлением в соответствии со ст.137 УК РФ.



Контроль и надзор за соответствием обработки персональных данных требованиям Закона о персональных данных осуществляет Федеральная служба по надзору в сфере связи и массовых коммуникаций (Роскомнадзор).



Порядок организации и проведения мероприятий по надзору в установленной сфере деятельности, в том числе сроки проведения таких мероприятий, регулируются положениями Федерального закона от 26 декабря 2008 года N 294-ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля".



В соответствии с ч.3 ст.23 Закона о персональных данных Роскомнадзор вправе:



- запрашивать у оператора информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию; 



- осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий; 



- требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных; 



- принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований Закона о персональных данных; 



- обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных и представлять интересы субъектов персональных данных в суде;



- направлять в ФСБ РФ и федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, применительно к сфере их деятельности, сведения, указанные в пункте 7 части 3 статьи 22 Закона о персональных данных.



- направлять заявление в Росздравнадзор для рассмотрения вопроса о принятии мер по приостановлению действия или аннулированию соответствующей лицензии в установленном законодательством Российской Федерации порядке, если условием лицензии на осуществление такой деятельности является запрет на передачу персональных данных третьим лицам без согласия в письменной форме субъекта персональных данных; 



- направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью; 



- вносить в Правительство Российской Федерации предложения о совершенствовании нормативного правового регулирования защиты прав субъектов персональных данных; 



- привлекать к административной ответственности лиц, виновных в нарушении Закона о персональных данных. 



Административный регламент исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных утвержден приказом Минкомсвязи России от 14.11.2011 N 312.



Решения Роскомнадзора по защите прав субъектов персональных данных могут быть обжалованы в судебном порядке.