Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Персональные данные и всё, что о них нужно знать». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Персональные данные подпадают под действие многих государственных нормативов, основной из которых – Конституция РФ. Основополагающим законом в этой сфере считается ФЗ № 152, действующий с 27.01.06 г. В этом документе разъясняется термин «персональные данные», а также из чего состоит это понятие. Выполнение требований этого норматива – прямая обязанность юридических и частных лиц.
# Какие предприятия должны защищать персональные данные?
Определение Согласно статье 3 ФЗ-152, вводится термин «оператора», под которым понимается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цель обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с ПДн. Предприятия, попадающие под озвученное определение, согласно статье 18.1 всё того же ФЗ-152, обязаны принимать достаточные и необходимые меры по защите персональных данных, обеспечивая тем самым выполнение обязанностей, предусмотренных настоящим Федеральным законом и принятых в соответствии с ним нормативно-правовых актов.
Лицензия ТЗКИ, выдаваемая ФСТЭК
Обратите внимание, что деятельность по технической защите конфиденциальной информации подлежит лицензированию. Наиболее востребованной для типовой организации, осуществляющей деятельность по защите конфиденциальной информации, является наличие лицензии ТЗКИ, выдаваемой ФСТЭК РФ. Согласно Постановлению Правительства Российской Федерации от 15 августа 2006 г. № 504: ТЗКИ (Техническая защита конфиденциальной информации) — это комплекс мероприятий и/или услуг по защите информации от несанкционированного доступа, включая технические каналы, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа.
# Какова ответственность в случае нарушения требований по защите ПДн?
Вопрос ответственности за невыполнение требований законодательства по защите ПДн является часто задаваемым. Кто-то, отмахиваясь, полностью игнорирует законодательство о ПДн, считая его формальностью, кто-то, наоборот, приводит весомый список наказаний и боится наступления часа «Икс». Какова же реальность? Ответственность, за нарушение требований по защите ПДн Статья 24 закона № 152-ФЗ «О персональных данных» определяет вид ответственности за нарушение требований ФЗ, которая заключается в том, что лица, виновные в нарушении требований закона, несут
- гражданскую ответственность;
- уголовную ответственность;
- административную ответственность;
- дисциплинарную и иную ответственность, предусмотренную законодательством РФ.
Неисполнение требований закона «О персональных данных» приводит организации к следующим рискам:
- гражданские иски со стороны клиентов или работников;
- приостановление или прекращение обработки ПДн в организации;
- привлечение организации и/или ее руководства к административной, уголовной, гражданской, дисциплинарной и иным видам ответственности;
- приостановление действия или аннулирование лицензий на основной вид деятельности организации;
- репутационные риски;
- риски недобросовестной конкуренции.
Персональные данные – использование на предприятии
В главе 14 Трудового кодекса РФ раскрывается понятие ПД работника. Это данные, которые позволяют получить определенные характеристики человека в качестве сотрудника конкретной компании (стаж работы, профессиональная квалификация, заработная плата, данные по ФНС, ПФР и пр.).
Такие ПД должны храниться должным образом и применяться для того, чтобы помочь работнику выполнять его обязанности в соответствии с его должностью и профессией, продвигаться по служебной лестнице, повышать свою квалификацию и получать новые профессиональные знания. Также ПД используются с целью защиты сотрудников и имущества компании.
Личная информация сотрудника может содержать только те данные, которые относятся к его профессиональным качествам, особенностям, позволяющим ему выполнять трудовые обязанности. По Конституции Российской Федерации, личная жизнь считается неприкосновенной и конфиденциальной, ее частью являются ПД.
В Трудовом кодексе узко определено данное понятие. В нем говорится, что ПД работника являются сведениями, необходимыми руководству предприятий для выполнения им своих профессиональных обязанностей, эта информация относится к конкретному работнику.
- Персональные данные — это конфиденциальная информация, которая идентифицирует конкретного человека (субъекта ПД).
- Оператор персональных данных собирает, обрабатывает и обеспечивает защиту информации.
- Перед обработкой персональных данных нужно уведомить Роскомнадзор о своем намерении.
- Правила обработки ПД регламентируются законодательством (ГК, ТК, УК, КоАП). Нарушения влекут правовую ответственность — вплоть до уголовного преследования.
Меры, которые должен принять оператор при обработке сведений
В ходе обработки информации одна из основных задач оператора — обеспечить их безопасность, конфиденциальность и неприкосновенность. Для этого он должен принять следующие меры:
- Разработать политику работы с личными сведениями и довести ее до сведения клиентов.
- Запрашивать согласие на обработку персональной информации.
- В случае использования информационных систем четко определить потенциальные угрозы, исключить возможность распространения личных данных.
- Изучить и соблюдать меры безопасности, установленные приказами ФСТЭК «Об утверждении…» от 18.02.2013 № 21 и ФСБ «Об утверждении…» от 10.07.2014 № 378.
- Фиксировать все случаи несанкционированного доступа к данным. Восстанавливать поврежденные или утраченные в ходе такого доступа сведения.
- Устанавливать правила, по которым люди могут получить доступ к информации.
- Обеспечивать внутренний контроль за соответствием обработки персональных данных требованиям закона.
Правило 5. Грамотно оформлять документы по работе с ПД
В ряде случаев, например при размещении ПД работника на сайте организации, для обработки разных категорий ПД требуется письменное согласие работника, которое должно включать в себя:
- Ф.И.О. работника, адрес, сведения о документе, удостоверяющем его личность;
- наименование (Ф.И.О.) и адрес работодателя, получающего согласие работника на обработку ПД;
- цель обработки ПД;
- перечень ПД, на обработку которых дается согласие работника;
- перечень действий с ПД, на совершение которых дается согласие, общее описание используемых работодателем способов обработки ПД;
- срок, в течение которого действует согласие, а также порядок его отзыва;
- подпись работника.
Понятие персональных данных
Если толковать это понятие согласно первому пункту статье третьей ФЗ №152, личные данные – информация, относящаяся к конкретному человеку и способная идентифицировать его личность. Часто возникают проблемы из-за незнания конкретных данных, которые считаются персональной информацией. К персональным данным относится: • Фамилия Имя Отчество; • конкретный адрес, по которому прописан и проживает человек; • любые паспортные данные; • контакты человека; • сведения о доходе. На самом деле, очень многие данные могут квалифицироваться в качестве персональных. При этом вышеперечисленная информация необходима при трудоустройстве работника. Выходит, что работодатели, принимая человека на работу, нарушают закон. Важно! Во избежание проблем, потенциальный работник должен подписать согласие на обработку предоставляемых персональных данных. Если он отказывается это сделать, работодатель не может заключить с ним трудовой договор. Согласно статье 85 Трудового кодекса Российской Федерации к персональной информации относится та часть данных, которая необходима другому человеку для дальнейших трудовых отношений. За разглашение персональной информации наниматель будет нести дисциплинарную ответственность. Есть отдельные случаи, когда работодатель может нести ответственность за разглашение персональных данных, предназначенную Уголовным кодексом Российской Федерации.
Меры, которые должен принять оператор при обработке сведений
В ходе обработки информации одна из основных задач оператора — обеспечить их безопасность, конфиденциальность и неприкосновенность. Для этого он должен принять следующие меры:
- Разработать политику работы с личными сведениями и довести ее до сведения клиентов.
- Запрашивать согласие на обработку персональной информации.
- В случае использования информационных систем четко определить потенциальные угрозы, исключить возможность распространения личных данных.
- Изучить и соблюдать меры безопасности, установленные приказами ФСТЭК «Об утверждении…» от 18.02.2013 № 21 и ФСБ «Об утверждении…» от 10.07.2014 № 378.
- Фиксировать все случаи несанкционированного доступа к данным. Восстанавливать поврежденные или утраченные в ходе такого доступа сведения.
- Устанавливать правила, по которым люди могут получить доступ к информации.
- Обеспечивать внутренний контроль за соответствием обработки персональных данных требованиям закона.
Какие данные являются персональными: позиция суда
Перечень информации, которая может быть персональной, является открытым. В законе он четко не поименован. Поэтому определять, относятся ли какие-то сведения к персональным данным конкретного лица, необходимо индивидуально. Организации обрабатывают данные не только сотрудников, но и клиентов, партнеров и пр.
Когда фото и видео, номер телефона, сетевые идентификаторы, зарплата и условия работы, профессия и образование будут персональными, зависит от ситуации. Мы проанализировали судебную практику, чтобы разобраться в нюансах.
Ведь полезно знать не только об ответственности работодателя, но и ситуациях, когда нарушается закон в отношении вас как субъекта персданных, а также сотрудников или клиентов вашей организации, если вы размещаете какую-то информацию в открытом доступе.
Что является персональными данными по закону
Персональные данные определены законом как сведения, с помощью которых можно идентифицировать лицо (субъект) прямым или косвенным образом с помощью дополнительных средств.
В последние годы актуальность проблем, связанных с персональными данными, выросла. Системы автоматизированного анализа позволяют организовывать сбор больших объемов данных. В современном мире нередки случаи кражи данных пользователей сети, массовая продажа личной информации без получения согласия.
С помощью персональных данных можно устроить слежку за гражданином, спланировать преступление или незаконно получить чужие деньги. В «мирных» целях персональные данные используются для проведения рекламных рассылок.
Отметим, что персональные данные остаются частью правового поля и не являются техническим понятием.
Правило 5. Грамотно оформлять документы по работе с ПД
В ряде случаев, например при размещении ПД работника на сайте организации, для обработки разных категорий ПД требуется письменное согласие работника, которое должно включать в себя:
- Ф.И.О. работника, адрес, сведения о документе, удостоверяющем его личность;
- наименование (Ф.И.О.) и адрес работодателя, получающего согласие работника на обработку ПД;
- цель обработки ПД;
- перечень ПД, на обработку которых дается согласие работника;
- перечень действий с ПД, на совершение которых дается согласие, общее описание используемых работодателем способов обработки ПД;
- срок, в течение которого действует согласие, а также порядок его отзыва;
- подпись работника.
В организации должно быть утверждено Положение о защите ПД работников.
Оно регламентирует порядок получения, хранения, использования и защиты ПД, закрепляет права и обязанности работодателя и работников, а также определяет ответственность сторон трудового договора.
В УК РФ есть сразу несколько норм относительно ответственности за несоблюдение служебной тайны:
- Раскрытие информации об усыновлении (ст. 155 УК России). Предусматривается штраф до восьмидесяти тысяч рублей либо лишение свободы до четырех месяцев.
- Разглашение данных о мероприятиях, предпринимаемых относительно судей или же участника уголовного дела (ст. 311 УК РФ). Могут применяться штрафные санкции до двухсот тысяч рублей или же лишение свободы до пяти лет.
- Раскрытие информации о мерах безопасности в отношении сотрудников правоохранительных органов (ст. 320 УК России). Санкции такие же, что и в статье 311.
Важным моментом является то, что должность госслужащего или же сотрудника структур правоохранительных органов предполагает невозможность ее занимания человеком, который имеет судимость. А это означает, что лицо, нарушившее служебную тайну, автоматически увольняется по отрицательным основаниям.
Цель использования данных
Нельзя не сказать и еще об одном отличии персональных данных от другой информации – это целевой характер использования персональных данных.
Так, например, исходя из п. 1 ст. 86 ТК РФ обработка данного вида информации может производиться исключительно в целях, «обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества». Данное положение также весьма эффективно способствует отграничить персональные данные от иной информации.
Таким образом, вышеприведённые критерии разграничения дают возможность на практике без труда отграничить персональные данные от иной информации, что исключит ошибки в процессе их использования, а также станет эффективным механизмом в защите прав потребителя.
Наказание за разглашение служебной информации
За разглашение информации, представляющих собой служебную тайну, предусмотрена административная или уголовная ответственность в зависимости от обстоятельств нарушения.
- Административная ответственность
Служебная тайна является информацией, не подлежащей разглашению. За нарушение конфиденциальности данных к административной ответственности привлекаются сотрудники. Согласно статье 15.21 КоАП РФ, в этих случаях назначается штраф. Его размер составляет от 30 000 до 50 000 рублей, а также отстранение от занимаемой должности на срок от года до двух лет.
- Уголовная ответственность
Уголовный кодекс имеет несколько норм по поводу несения ответственности за несоблюдение служебной тайны.
- Раскрытие информации об усыновлении, за которое назначается штраф до 80 000 рублей, либо лишение свободы сроком до 4 месяцев.
- Разглашении сведений о мероприятиях, предпринимаемых относительно судей участников уголовного дела. За это нарушение предусмотрены штрафы до 200000 рублей, либо лишение свободы сроком до 5 лет.
- Раскрытие информации о мерах безопасности в отношении сотрудников правоохранительных органов. Наказание за это нарушение такие же, как и в предыдущем пункте.
ВАЖНО! Сотрудник, нарушивший служебную тайну, сразу же увольняется с занимаемой должности.