+7(499)-938-42-58 Москва
+7(800)-333-37-98 Горячая линия

Когда не требуется согласие на передачу персональных данных

Содержание

Зачем нужно согласие на обработку персональных данных — Право на vc.ru

Когда не требуется согласие на передачу персональных данных

Хотите иметь дело с проверкой Роскомнадзором своего ИТ-продукта или сайта? А потом ещё платить штраф, нести ответственность?

Думаю, что нет. Поэтому, давайте, начнём разбирать что надо делать с персональными данными в Российской Федерации и как не попасть под санкции госорганов.

Немного теории

Согласно положениям статьи 13.11 Кодекса Российской Федерации об административных правонарушениях:

1) нарушение порядка сбора, хранения, использования или распространения информации о гражданах, обработка данных в не установленном законом порядке и использование этих данных не по назначению караются следующими штрафами:

– Физическое лицо: предупреждение или штраф в размере 1 000 – 3 000 рублей;

– Должностное лицо: штраф в размере от 5 000 – 10 000 рублей;

– Юридическое лицо: штраф в размере 30 000 – 50 000 рублей;

2) Обработка персональных данных без согласия гражданина приведет:

– Физическое лицо: штраф в размере 3 000 – 5 000 рублей;

– Должностное лицо: штраф в размере от 10 000 – 20 000 рублей;

– Юридическое лицо: штраф в размере 15 000 – 75 000 рублей;

3) В случае, если оператор персональных данных не опубликовал информацию и не обеспечил доступ к документу, в котором прописаны все условия использования персональных данных или сведения о реализуемых требованиях, ему будет вынесено предупреждение или выписан административный штраф:

– Физическое лицо: штраф в размере 700 – 1 500 рублей;

– Должностное лицо: штраф в размере от 3 000 – 6 000 рублей;

– Индивидуальный предприниматель: штраф в размере от 5 000 – 10 000 рублей

– Юридическое лицо: штраф в размере 15 000 – 30 000 рублей;

Первоначально определимся с основными понятиями и поймём, что же они значат (неформальное объяснение по тексту будет обозначаться “Д”, это от слова description):

Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Д: это любая совокупность информации, через которую можно определить определенного человека. К примеру, абстрактная электронная почта, допустим posledni_kaktus_naokne@bk.

ru – не относится к ПД, однако электронная почта с рабочим адресом допустим, ivan.ivanov@romashka.ru с подписью в письме “Главный инженер” – относятся к персональным данным, т.к.

мы можем однозначно определить, что это Иван Иванов, работающий главным инженером в организации “Ромашка”.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Д: это вы, собирающий персональные данные. Любой контакт с физическим лицом, в том числе в пространстве Интернет, позволяющий однозначно определить человека – и вот вы уже владелец персональных данных в лице оператора.

Обработка персональных данных – любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без них с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Д: это любые действия, которые вы совершаете как оператор.

Самый большой штраф как вы видите – это за сбор ПД гражданина без согласия, поэтому в статье будем говорить в основном об этом.

Определим сразу случаи, когда согласие на обработку ПД не надо собирать в соответствии с законодательством Российской Федерации:

1. Сбор осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора, необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии.

Д: когда законодательством установлено, что физическое лицо должно предоставить персональные данные и иначе никак.

2. Осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных.

Д: когда вы заключили с физическим лицом договор и в рамках этого (только этого) договора вам нужны персональные данные. Сюда подходит и оферты (публичный договор) на сайте и его акцепт, но до покупки товара или услуг, заказа с сайта (к примеру) ещё надо довести пользователя, а значит момент когда собираете ПД – наступает раньше.

3. Осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных.

Д: вы обезличиваете данные физического лица и “размываете” их в море других данных, соответственно определить кому что принадлежит – невозможно даже вам.

4. Необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

Д: данный пункт не относится к интернет-проектам, но для понимания ситуации, пример, когда приезжает частная медицинская бригада и оказывает помощь.

5. Необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи.

Д: если вы организуете почтовую связь, то лицу, которому фактически оказываете услуги – нет необходимости требовать согласия на обработку ПД.

6. Осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

7. Осуществляется в отношении данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Д: не требуется согласие при использовании ПД, если это данные чиновников, предоставленные в соответствии с законодательством Российской Российской Федерации.

Во всех остальных случаях, при контакте и сборе ПД от физического лица – вы должны получать его согласие и иначе никак – закон есть закон!

Что делать

Теперь разберём как собирать ПД и получать согласие.

Вам требуется подготовить текст политики обработки и защиты персональных данных, а также согласие на обработку персональных данных.

Если у вас юридическое лицо или вы – индивидуальный предприниматель – вы должны утвердить политику обработки персональных данных приказом, где также определите ответственное лицо за обработку персональных данных в предприятии.

Хочу обратить внимание, что данная политика как в Российской Федерации, так и в зарубежных странах – относится не только к работе с потребителями, но и с работниками.

Опубликуйте в общий доступ на сайте (и в мобильном приложении) политику обработки и защиты персональных данных.

Самое главное по теме.

Если у вас есть какие-либо формы, где пользователи оставляют свои данные (или в приложении автоматически собираются, используются cookie и иные способы сбора данных), то под каждую форму (или при первом входе в приложение) нужно поставить что-то типа «Даю согласие на обработку своих персональных данных» и чекбокс. Если у вас есть ещё и пользовательское соглашение, то следует сделать чекбокс и с ним.

При этом крайне важно, чтоб донести до пользователя возможность прочитать данные документы и поэтому необходимо сделать гиперссылку или хотя бы текст кликабельным и ведущим на текст самого документа!

Немного юридического обоснования чекбоксов, а как называет Роскомнадзор – “галочек”:

Часть 4 статьи 9 Федерального закона от 27 июля 2006 г. N 152-ФЗ “О персональных данных” устанавливает обязательство собирать персональные данные:

“4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.

Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью…”.

Но это как-то всё слишком сложно и в хозяйственной деятельности оперативно нельзя реализовать, поэтому наш доблестный Роскомнадзор пошёл навстречу людям и дал разъяснения:

“Получение согласия на обработку персональных данных может быть получено посредством проставления «галочки» пользователем в соответствующей веб-форме.

Однако в случае обработки биометрических и специальных категорий персональных данных, а также при передаче на территорию государства, не обеспечивающего адекватную защиту персональных данных, согласие должно быть оформлено в письменной форме”.

Подать уведомление об обработке ПДн в Роскомнадзор.

В соответствии с частью 1 статьи 22 Федерального закона от 27 июля 2006 г. N 152-ФЗ “О персональных данных”, оператор должен это сделать до начала обработки ПД.

За задержку с уведомлением вас не оштрафуют, санкции последуют только в том случае, если вами заинтересуется Роскомнадзор.

Но даже если вы высылаете уведомление с опозданием, указывайте дату государственной регистрации как дату начала обработки ПД.

Выполнение данного шага напрямую зависит от целей сбора персональных данных. Федеральный закон от 27 июля 2006 г. N 152-ФЗ в статье 22 предусматривает ряд исключений, когда подавать уведомление не требуется (обработка ПД в рамках трудового законодательства, заключенного договора и т.д.).

Итого, чтобы минимально привести в порядок работу с персональными данными вам потребуется:

– политика обработки персональных данных;

– приказ об утверждении вышеуказанной политики;

– согласие на обработку персональных данных;

– чекбокс с гиперссылкой на вышеуказанное согласие.

Всё это требуется опубликовать на сайте и / или в приложении.

И зачем всё это вообще?

Для чего же это вообще нужно? Зачем нужно беспокоиться о персональных данных и о получении согласия пользователя на их обработку?

Конечно, это прежде всего административная (штрафы, блокировка) и гражданская (причинение вреда) ответственность – такие вещи могут очень серьёзно повлиять на бизнес. Но есть ещё такая штука как частная жизнь граждан, как злоупотребление правом и недобросовестная реклама продавцов.

Я на 100% уверен, что каждый из нас не любит, когда на телефон приходит спам, реклама, а посередине ночи будит смс или звонок с просьбой “срочно перевести деньги, а то в тюрьму посадят”. А всё это происходит из-за ненадлежащего исполнения лицами, осуществляющими сбор персональных данных, своих обязательств.

И согласие на обработку ПД – всего лишь часть механизма, который должен обеспечивать нашу с вами защиту как граждан и повышать социальную ответственность.

К сожалению, такие полезные институты и механизмы могут превратиться в инструмент для давления… И мы как юристы должны эффективно использовать законы и максимально обезопасить бизнес от этого.

Так что, если вы выполнили все условия и шаги из настоящей статьи, то поздравляем – вы не только уменьшили вероятность быть оштрафованным и привлеченным к ответственности (работа с ПД физических лиц лишь небольшая часть правовой политики ИТ-продукта), но и сделали шаг к социально-ориентированному Интернет-пространству, уважающему личные данные пользователей!

Материал опубликован пользователем.
Нажмите кнопку «Написать», чтобы поделиться мнением или рассказать о своём проекте.

Написать

Источник: https://vc.ru/legal/46868-zachem-nuzhno-soglasie-na-obrabotku-personalnyh-dannyh

Обработка персональных данных без согласия субъекта

Когда не требуется согласие на передачу персональных данных

Можно ли использовать личные данные человека без его согласия? Без законного на то основания обработка личной информации запрещена и влечет за собой ответственность – уголовную, административную или гражданскую. Но существуют установленные законодательством случаи, когда передача третьим лицам персональных данных (ПДн) разрешена.

Когда разрешается обработка ПДн без согласия субъекта

Законодательство предусматривает следующие случаи передачи данных без необходимости получения на это согласия субъекта:

  • Если требуемые данные заносятся в базы государственных реестров Российской Федерации.
  • Если сведения будут использованы третьими лицами для семейных нужд (но только в случае, если это не нарушает права субъекта этих сведений).
  • Засекречивание данных о субъекте (государственная тайна).
  • Если ПДн требуются государству для соблюдения условий законов либо договоров международного уровня.
  • Если субъект вовлечен в судебный процесс, при необходимости данных для исполнения актов суда.
  • В случае получения субъектом государственных услуг.
  • Требуется заключение или исполнение договора, к которому причастен субъект, либо он получает выгоду от этого.
  • Присутствует угроза жизни или здоровью субъекта, и невозможно получить согласие.
  • Если информация нужна для совершения общественно важных дел.
  • Персональные данные лица необходимы для журналистских расследований либо средствам массовой информации в случае, если при этом не нарушаются права субъекта.
  • Использование для статистических, демографических целей (только если данные обезличены).
  • В случае законодательного требования в обязательном порядке раскрыть эти данные.
  • Организации почтовой связи, мобильной связи также могут использовать персональную информацию о человеке без его разрешения (для совершения расчетов за пользование почтовыми или коммуникационными услугами). Также, если гражданин признает свои данные общедоступными, их можно использовать без его разрешения.

В случаях, которые не подпадают под условия, описанные выше, обработка данных возможна только при подписании согласия этим человеком.

Сколько стоит информация?

Необходимо знать о штрафных санкциях, которые будут применены государством к объекту, использовавшему информацию о другом лице без его согласия. Так, согласно Статьям 13.11 и 13.

14 Кодекса Российской Федерации об административных правонарушениях, должностное лицо заплатит штраф от 3 000 до 20 000 рублей.

Частный предприниматель будет оштрафован на сумму от 5 000 до 20 000 рублей, а фирма или организация – до 75 000 рублей.

Как происходит обработка персональных данных без ведома их владельца?

Существует установленный законодательством порядок, согласно которому такая информация может быть получена и использована. Выглядит процесс следующим образом:

  1. При наличии веских законных оснований человек (организация, уполномоченное лицо) получает необходимую информацию о субъекте. При этом сообщать субъекту об использовании его сведений не нужно.
  2. С полученными данными осуществляются необходимые операции, но важное условие – проводятся они только в рамках заявленной цели их использования.
  3. Когда сведения обработаны и больше не нужны, они должны быть удалены либо обезличены.

Если до владельца ПДн доходит информация об использовании его данных, он может оспорить это в судебном порядке. При таком обстоятельстве конфликт можно разрешить, предоставив доказательства необходимости получения ПДн, и даже вопреки несогласию субъекта, если законом предусмотрено данное действие, конфликт будет решен в пользу получения нужных ПДн.

Как получить согласие на обработку персональных данных

В первую очередь составляется текст, описывающий политику обработки личной информации, и само согласие. Если вы являетесь ИП или владеете фирмой – тогда в обязательном порядке заверяете политику обработки специальным актом. В этом документе указывается человек (работник), который назначается ответственным за работу с ПДн на вашем предприятии. 

Если у вашего предприятия есть сайт или аккаунт, данная политика обязательно должна быть там опубликована и в открытом доступе. Также, если предусмотрено заполнение анкет (форм) пользователями, куда они будут вписывать свои данные, под каждым таким элементом должен стоять чекбокс, куда пользователь ставит галочку по типу «Даю разрешение на использование информации обо мне».

Важно не забыть предоставить пользователю активную ссылку на страницу или документ, содержащий политику обработки ПДн, чтобы он без затруднения мог прочесть ее.

Работа с персональными данными: как не нарушать федеральный закон о ПДн?

Ниже приведено несколько обязательных правил, соблюдение которых позволит избежать проблем с законом и при этом без препятствий собирать нужные вам сведения.

  1. В первую очередь нужно пройти регистрацию в Роскомнадзоре.
  2. Вся информация (политика использования конфиденциальной информации, пользовательское соглашение) должна быть предоставлена в открытом доступе посетителям сайта, если он есть у вашей организации.
  3. Собирать нужные данные требуется в рамках конкретной цели. Не нужно просить лишнюю информацию (например, адрес прописки гражданина для рассылки видеоматериалов по e-mail).
  4. Если собранная информация предназначена для публикации в общедоступных ресурсах, обязательно требуется запрашивать письменное согласие владельца на использование этих сведений. Если же информация нужна всего лишь для внутренней работы организации, предоставлять пользователям возможность ограничить передаваемые данные.
  5. Сведения о пользователях надо применять только для осуществления тех задач, которые указаны в политике конфиденциальности.
  6. По требованию субъекта всегда нужно предоставлять ему в полном объеме сведения об имеющихся данных о нем: какие они, где и как хранятся, как обеспечивается их защита, кому предоставлен доступ к этим ПДн.
  7. По просьбе субъекта оператор обязан удалять из базы личную информацию о нем.
  8. Все персональные данные клиентов, пользователей и работников должны храниться в базе данных надежно – оператор должен обеспечить максимальную степень защиты БД (это правило указано в федеральном законе). 
  9. Работодатель должен выбрать человека на должность ответственного за обеспечение сохранности ПД.
  10. Провести инструктаж со всеми работниками о том, как работать с конфиденциальными данными.

В первом пункте сказано про регистрацию в системе Роскомнадзора. Эту процедуру необходимо проходить всем операторам (оператор в данном контексте – это лицо, осуществляющее сбор и обработку ПДн). Сведения об операторе вносятся Роскомнадзором в специальный Реестр операторов. 

Можно не регистрироваться в Роскомнадзоре в случае, если на предприятии:

  • обрабатываются только ПДн сотрудников;
  • необходимы для обработки лишь фамилия и инициалы субъекта ПДн;
  • конфиденциальные сведения открыты и опубликованы по просьбе их владельца.

Несоблюдение закона о защите ПДн – это не только огромная административная и гражданская ответственность со всеми вытекающими большими суммами штрафов и ограничений. Это еще и вторжение в личную жизнь людей. 

Спам, надоедающие рассылки, рекламные сообщения с неизвестных номеров – все это происходит из-за недобросовестного использования операторами персональных сведений о людях. 

Действуя в рамках законодательства и соблюдая все вышеописанные правила, компания обезопасит себя от привлечения к ответственности за некорректное использование ПДн.

Источник: https://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/obrabotka-personalnyh-dannyh/soglasie-na-obrabotku-personalnykh-dannykh/obrabotka-personalnykh-dannykh-bez-soglasiya-subekta/

Персональные данные: обработка, защита, согласие на обработку

Когда не требуется согласие на передачу персональных данных

Под персональными данными, как следует из ст. 3 №152- ФЗ, подразумевается любая информация, имеющая отношение к физлицу: информация, указанная в паспорте (ФИО, дата рождения, адрес регистрации, семейное положение и др.), а также сведения об образовании, занимаемой должности, зарплате и даже росте, весе, цвете глаз и др.

Закон распространяется абсолютно на все организации. Поскольку в каждой организации есть работники, то их данные так или иначе используются при заключении трудового договора, начислении зарплаты и в других случаях. Персональные данные вносятся в личные дела сотрудников, которые хранятся у кадровиков.

Под обработкой персональных данных подразумеваются действия по сбору, систематизации, накоплению, хранению, уточнению, использованию, передаче, обезличиванию, блокированию и уничтожению персональных данных.

Распространение персональных данных — это действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

2. Компании могут использовать данные различных категорий субъектов

С каждой из категорий субъектов персональных данных компанию связывает определенный тип правоотношений. Некоторые компании обрабатывают персональные данные не только работников, но и клиентов, например, производственные компании.

Так, компании из сферы услуг (автошколы, салоны красоты, парикмахерские, туристические агентства и др.) взаимодействуют с клиентами-физлицами, обрабатывая их персональные данные с целью предоставления, например, дисконтных карт.

Интернет-магазины собирают данные физлиц, чтобы осуществлять доставку товаров.

Существует определенная категория лиц, которая не является ни клиентами, ни работниками компании, однако она передает свои данные в организацию, где они хранятся и обрабатываются. К такой категории относятся соискатели, принимающие участие в конкурсе на вакансию и передающие потенциальному работодателю свои персональные данные в виде резюме или анкеты на сайте компании.

Сотрудники могут работать в организации по договору подряда. Оформляя человека по такому договору, компания может не запрашивать у него сведений о семейном положении или ограничений по здоровью. В случае с работником, оформленным по трудовому договору, компания должна это делать.

У товариществ собственников жилья нет ни работников, ни клиентов. Это сообщество, в котором состоят члены. Существуют и другие виды организаций с подобной структурой и без трудовых или гражданских правоотношений: общественные организации, политические партии, религиозные организации и др.

3. Обработке подлежат персональные данные, отвечающие целям их обработки

Важно понимать, какие данные каких субъектов используются, чтобы устанавливать цель обработки персональных данных.

Организациям необходимо иметь представление не только о том, данные каких категорий субъектов они обрабатывают, но и с какой целью они это делают, исходя из специфики деятельности. Например, у интернет-магазина и автошколы цель обработки данных может заключаться в выполнении условий договора с клиентами.

4. Необходимо знать, какие именно данные нужно использовать

Закон требует от компаний понимания, какие именно персональные данные в отношении каждой категории субъектов они обрабатывают.

Очевидно, что если в случае с работником необходимо знать об ограничениях по здоровью для начисления социальных выплат, имеются ли у него дети до 18 лет, чтобы предоставить ему налоговый вычет, то в отношении клиента интернет-магазина, который заказал товар, эти сведения не нужны. В этом случае достаточно знать имя, адрес и телефон покупателя.

Закон запрещает обрабатывать персональные данные, которые не требуются для достижения цели их обработки.

Достигнув цели обработки данных, компания должна прекратить обработку этих данных. Так, если интернет-магазин осуществил доставку товара клиенту, то в дальнейшем ему уже не потребуются его номер мобильного телефона и адрес доставки.

5. Необходимо понимать, когда требуется согласие на обработку данных

Для каждой категории субъектов (работников, клиентов, соискателей и др.) определяется цель обработки данных. Порой эта цель заключается в выполнении требований определенных законов.

В этом случае организация может абсолютно спокойно собирать данные соответствующей категории и обрабатывать их.

Так, в отношении работников организации выполняют трудовое законодательство, многие кредитные и финансовые организации обязаны на своем официальном сайте публиковать сведения об аффилированных лицах, ОАО должно размещать у себя на сайте информацию о структуре акционеров.

Если цель обработки данных какой-то категории субъектов установлена компанией самостоятельно, исходя из специфики деятельности, то она должна взять согласие об обработке персональных данных у субъекта данных (ст. 9 №152- ФЗ).

Например, если компания принимает на работу сотрудника по трудовому договору, то по трудовому законодательству она должна знать, как его зовут, где он прописан, какое у него образование. И эти сведения компания может получать у человека без его согласия.

Если же компания собралась выплачивать сотруднику зарплату на банковскую карту и планирует передавать сведения о нем в банк, то она обязана взять на это согласие, так как прямого требования передавать персональные данные в банк для выплаты заработной платы в законе нет.

Если интернет-магазин после доставки товара планирует рассылать клиентам SMS-сообщения о скидках, то он должен заранее сформулировать эту цель и взять с клиентов согласие на использование данных именно с этой целью. В ч.1 ст.15 №152- ФЗ есть упоминание о том, что рекламные контакты с клиентами совершаются только с их согласия.

Закон отдельно выделяет требования для данных, неправомерные действия с которыми могут нанести вред субъекту персональных данных. Речь идет о специальной категории персональных данных (ст. 10 №152- ФЗ) и биометрических персональных данных (ст. 11 №152-ФЗ).

К биометрическим данным относятся сведения, которые отражают физиологические особенности человека и необходимы для установления его личности (например, если в компании используются системы контроля доступа).

К специальной категории данных относятся сведения о национальной, расовой принадлежности, философских, политических и религиозных убеждениях, состоянии здоровья и интимной жизни.

Эти данные выделяются в отдельную категорию, так как закон прямо запрещает их использовать, за исключением ряда случаев (один из них — если субъект дал на то свое письменное согласие).

Отдельно закон говорит о передаче данных за границу (ст. 12 №152- ФЗ).

С учетом всех базовых принципов, описанных выше, требования к обработке данных можно разделить на три больших блока (ст. 19 №152- ФЗ):

1. Правовые меры

Организация решает, как будет соблюдать законодательство, оформляет решение в виде внутренних документов, например, «Политики в отношении обработки персональных данных», издает приказ, в котором назначает ответственного за организацию процесса обработки персональных данных и т д.

2. Организационные меры

Эти меры связаны с деятельностью компании. Закон требует, чтобы «Политика в отношении обработки персональных данных» была доступна для всех категорий субъектов персональных данных. Ее рекомендуется размещать на информационном стенде, где с ней смогут ознакомиться не только работники, но и клиенты.

По закону любой субъект персональных данных может написать в компанию письмо с требованием уточнить, обрабатывает ли она его данные. Если обрабатывает, то какие данные, с какой целью и на каком основании. Также любой субъект имеет право потребовать прекратить обработку своих персональных данных.

Рассмотрение этого письма и подготовка ответа на него — деятельность, относящаяся к организационным мерам. О том, как отвечать на такие письма, уточняется в ст. 20-21 №152-ФЗ.

3. Технические меры

Связаны с использованием средств защиты информации. Это могут быть как примитивные средства — сургучовые печати, решетки на окнах, так и высокотехнологичные способы — антивирусы, межсетевые экраны, средства защиты от несанкционированного доступа, средства криптографической защиты и др.

При обработке персональных данных организации следует:

  1. Разобраться, с данными каких категорий субъектов она имеет дело, на каком основании и с какой целью она их использует.
  2. Ознакомиться с законом и решить, как будут выполняться требования, отразить это в локальных нормативных актах.
  3. Принять соответствующие организационные меры.

    Например, опубликовать «Политику в отношении обработки персональных данных» и  быть готовой выполнять те организационные требования, которые необходимы в ходе операционной деятельности.

  4. Позаботиться о технических мерах, понять, какие технические меры должны быть приняты, обеспечить принятие этих мер.

Существенное дополнение: в рамках текущего законодательства ни у одного контролирующего органа нет полномочий на то, чтобы контролировать выполнение технических мер у коммерческих частных организаций.

Роскомнадзор может контролировать только выполнение правовых и организационных мер у частных компаний. Поэтому о четвертом шаге можно говорить формально: закон предоставляет возможность коммерческим компаниям большую свободу в выборе технических мер. Что касается государственных организаций, то для них требования по использованию средств защиты информации четко определены и подробно описаны.

Игорь Луканин, руководитель продукта «Контур.Персональные данные»

Источник: https://kontur.ru/articles/1293

Согласие собственников на обработку персональных данных

Когда не требуется согласие на передачу персональных данных

Считается, для того, чтобы работать с персональными данными собственников, необходимо с каждого из них собрать согласие на обработку персональных данных. Это и верно, и нет, – зависит от ситуации.

Сегодня мы расскажем, в каких случаях согласие на обработку персональных данных нужно получить и что делать, если собственник его не даёт.Роскомнадзор об обработке персональных данных

Персональные данные собственников

1 июля 2017 года вступили в силу изменения в Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Теперь есть 7 составов правонарушений, за которые управляющие компании могут привлечь к административной ответственности за нарушение законодательства о персональных данных.

Ужесточилась административная ответственность за нарушение требований ст. 13.11 КоАП РФ – суммарный размер штрафа может составить 275 000 рублей. Многие управляющие компании не знают, как правильно работать с ПД.

Для них 4 октября мы провели вебинар «7 ошибок при работе с персональными данными, за которые УО получит штраф». Мы рассказали об обязанностях оператора ПД, дали рекомендации по выполнению требований статьи 13.11 КоАП РФ и отдельно внимание уделили вопросу получения согласия на обработку ПД.

Когда нужно получить согласие на обработку ПД

Если вы управляющая компания и у вас нет согласия на обработку ПД от собственников, но вы их обрабатываете внутри организации и не отдаёте их в сторонние организации, в таком случае согласие на обработку персональных данных не требуется.

Если вы будете передавать персональные данные собственников третьим лица, согласие на обработку нужно обязательно получить. При этом лицо, которое обрабатывает персональные данные по поручению оператора, не обязано получать отдельное согласие субъекта ПД на обработку его персональных данных. Ответственность в этой ситуации несёт управляющая организация.

В № 152-ФЗ перечислены случаи, когда согласие на обработку ПД для передачи третьим лицам не требуется:

  1. Если это разрешает Федеральный закон. Так, например, для размещения информации в ГИС ЖКХ согласия на обработку ПД не нужно.
  2. Если вы передаёте данные платёжному агенту и расчётным центрам (ч. 16 ст. 155 ЖК РФ).

Когда вы привлекаете представителя для расчётов с собственниками и нанимателями жилых помещений и взимания платы за жилое помещение и коммунальные услуги, согласие субъектов ПД на передачу персональных данных таким представителям не требуется.

Но в договоре между вами и представителем необходимо закрепить положение о конфиденциальности персональных данных (ч. 10 ст. 3, ч. 4 ст. 6, ч. 1 ст. 7 № 152-ФЗ).Правомерность обнародования списка должников ЖКУ

Каким должно быть согласие на обработку ПД

Субъект передаёт управляющей компании согласие на обработку персональных данных в любой форме, позволяющей подтвердить факт получения:

  • в договоре управления,
  • в договоре ресурсоснабжения,
  • в уставе товарищества собственников жилья.

Роскомнадзор советует оформлять его в письменной форме отдельным документом. Единственный минус такой позиции – управляющая компания может физически не собрать со всех субъектов персональных данных такое согласие.

Субъект ПД принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Полные требования согласию описаны в ч. 4 ст. 9 № 152-ФЗ.

Согласие должно быть:

  • конкретным,
  • информированным,
  • осознанным.

Независимо от того, как вы оформите согласие на обработку ПД, в нём обязательно должны быть:

  • ФИО, адрес субъекта персональных данных или его представителя, реквизиты документа, удостоверяющего его личность;
  • наименование или ФИО и адрес оператора, получающего согласие субъекта ПД;
  • цель обработки персональных данных;
  • перечень ПД, на обработку которых дают согласие;
  • наименование или ФИО и адрес лица, обрабатывающего ПД по поручению оператора;
  • перечень действий с ПДн, на совершение которых даётся согласие;
  • общее описание используемых оператором способов обработки ПД;
  • срок действия согласия субъекта ПД;
  • подпись субъекта ПД;
  • условия прекращения работы с персональными данными.

Появятся ли персональные данные собственников помещений в МКД в открытом доступе?

Согласие на обработку ПД в договоре управления МКД

Согласие на обработку персональных данных можно включить в приложение к договору управления МКд. Договор управления МКД собственники заключают с управляющей компанией в письменной форме. Составляется один документ и подписывается сторонами (ст. 162 ЖК РФ).

Решение ОСС в МКД, принятое по вопросам, отнесённым к компетенции такого собрания, обязательно для всех собственников помещений в МКД, в том числе для тех собственников, которые не участвовали в ании (ч. 5 ст. 46 ЖК РФ).

Условия договора управления МКД одинаковы для всех собственников помещений в МКД (ч. 4 ст. 162 ЖК РФ). Согласно пп. «б» п. 4 постановления Правительства РФ от 15.05.2013 № 416, УО собирает, обновляет и хранит информацию о собственниках и нанимателях помещений в МКД.

Эта позиция не единственно правильная, судебной практики по этому вопросу нет.

Согласие обработку ПД в договоре о предоставлении КУ

Согласие на обработку персональных данных можно прописать в договоре о предоставлении коммунальных услуг.

Договор, содержащий положения о предоставлении КУ (договор управления МКД в том числе), можно заключить с исполнителем (п. 6 и пп. «а» п. 9 Правил № 354):

  • в письменной форме;
  • путём совершения потребителем действий, свидетельствующих о его намерении потреблять КУ или о фактическом потреблении таких услуг (конклюдентные действия).

Договор считается заключённым с момента, когда потребитель начал пользоваться коммунальными услугами и оплачивать их. Это значит, что потребитель согласен со всеми условиями договора, в том числе на обработку персональных данных.Я к вам пишу – чего же боле: Минкомсвязи разъяснило вопрос раскрытия информации, содержащей персональные данные

Если собственник не даёт согласия на обработку ПД

Заставить собственника дать согласие на обработку персональных данных нельзя. Но можно пытаться убедить. Здесь всё зависит от красноречия представителей управляющей компании.

Но перед этим советуем прочитать определение Конституционного Суда РФ от 28.01.2016 № 100-О. Конституционный Суд сделал ряд заключений, которые в будущем могут повлиять на работу управляющих компаний в целом.

Например, для исполнения договора управления управляющая организация обязана заручиться согласием собственников на обработку персональных данных. Согласие может быть включено в качестве условия в договор управления.

Но всё равно, бремя доказывания наличия согласия на обработку ПД лежит на операторе персональных данных. Это значит, что если субъект заявляет, что не давал вам согласие, вы должны доказать, что в какой-то форме его получили, например, это условие было было включено в качестве условия в договор управления МКД.

Возможность предоставления оператором персональных данных третьему лицу согласия субъекта ПД, нельзя рассматривать как нарушение конституционного права на получение юридической помощи.

Источник: https://roskvartal.ru/deyatelnost-uk/8236/soglasie-sobstvennikov-na-obrabotku-personalnyh-dannyh

Передача персональных данных третьим лицам в 2019 году

Когда не требуется согласие на передачу персональных данных

В 2019 году работодателю необходимо получить согласие работников на передачу их персональных данных третьему лицу. Поводов для передачи данных может быть много, например, заключение договоров ДМС или получение “зарплатных” карт. Читайте о том, как оформляется процедура, скачайте готовый образец документа

В каких случаях требуется передача персональных данных работника третьим лицам

Законодательство в сфере персональных данных с каждым годом предъявляет все более жесткие требования к их защите. Очевидно, что операторы собирают их не только для того, чтобы хранить и оберегать; обработка подразумевает и их передачу.

Статьей 88 ТК РФ определено, что в общих случаях передача персональных данных третьим лицам осуществляться не может. За исключением двух вариантов:

1. Служащий дал письменное согласие на передачу, при этом его предварительно проинформировали, кому и для чего понадобилась его личная информация.

2. Конфиденциальные данные передаются без согласия их субъекта в особых случаях:

  • в госорганы;
  • при угрозе жизни и здоровью человека;
  • в случаях, определенных федеральным законом.

Если с первым пунктом всё понятно, то второй нуждается в пояснениях.

Что касается госорганов, то работодатель не может не передавать им сведения о сотрудниках. Это:

  • Фонд соцстрахования;
  • Пенсионный фонд;
  • Налоговые органы;
  • Трудовая инспекция;
  • Органы исполнительной власти, расследующие несчастные случаи в компании.

Очевидно, что отказ служащего от посредничества нанимателя во взаимодействии с этими учреждениями невозможен.

Кредитные учреждения, банки, страховые компании в этот перечень не входит. Им информация предоставляется только с письменного согласия служащего.

► Что касается передачи ПДн при угрозе жизни и здоровью – это вопрос приоритетности безопасности человеческой жизни. Например, при внезапном ухудшении здоровья, распространении инфекций, неоднократных отравлениях нанимателю придется по запросу передать в медучреждение имеющуюся у него информацию о здоровье служащего.

Также в некоторых отраслях от сотрудников требуется предварительное медобследование (медкнижка), результаты которого предъявляются контролирующим органами при проверках.

► Что касается случаев, определяемых федеральным законом к ним можно отнести, например, ч. 5 ст. 20 ФЗ № 79-ФЗ от 27.07.2004 г, который обязывает опубликовывать в СМИ по их обращениям информацию о доходах и имуществе госслужащих.

Есть еще несколько ситуаций, в которых у работодателя возникают сомнения: можно передавать ПДн или нет.

► Передача между структурными подразделениями (от кадровика к бухгалтеру или в отдел безопасности). Данная процедура необходима, и она возможна, но должна быть оговорена в Положении о защите ПДН, с которым служащий ознакомлен. Обмен данными происходит между лицами, включенными в приказ о сотрудниках, имеющих допуск к ПДн персонала.

► Передача родственникам служащего. Несмотря на близкие связи, они в данной ситуации являются третьими лицами, и без согласия сотрудника получить его данные не могут.

► Передача сведений в профсоюз – с письменного согласия сотрудника.

Как оформляется передача данных

При заключении трудового договора получить у работника письменное согласие на предоставление его персональных данных третьим лицам во всех необходимых ситуациях до момента увольнения – нельзя.

Алгоритм передачи персональных данных третьим лицам в 2019 такой:

Шаг 1. От инстанции нанимателю пришел письменный запрос. Основной его критерий – мотивированность. Документ должен включать в себя указание цели запроса, ссылку на правовые основания запроса, перечень запрашиваемой информации.

Шаг 2. Проанализировав полученную бумагу, наниматель может сразу отказать в выдаче ПДн, если у него возникнут сомнения, аргументировав отказ тем, что запрашиваемые сведения отнесены законом к информации с ограниченным доступом.

Шаг 3. Если запрос закономерен, руководитель направляет служащему уведомление о необходимости дать согласие с указанием названия учреждения, запросившего данные и целей их использования.

Шаг 4. Сотрудник пишет согласие или отказ в передаче сведений.

Шаг 5. Если согласие получено, наниматель отправляет заявителю необходимую информацию, напоминая ему об ответственности и с просьбой предоставить отчет об использовании данных согласно означенным целям.

Шаг 6. Запросившая информацию инстанция по окончании проведения манипуляций с ней высылает начальнику служащего подтверждение того, что использовала ее в строгом соответствии с целями, указанными в первоначальном запросе.

Все упомянутые бумаги составляются в вольной форме, поскольку унифицированных бланков не существует.

Как составить согласие на передачу персональных данных третьим лицам

Документ прост в составлении, его можно оформить в печатном или рукописном виде. Пишется на имя руководителя от служащего (ФИО, паспорт, прописка).

Суть документа раскрывается в первом предложении: человек дает согласие своему работодателю на предоставление персональных данных третьей стороне (название учреждения) для определенной цели.

Далее следует перечисление тех сведений, которые передаются.

При составлении документа будет целесообразным указать, в течение какого времени настоящее согласие будет действительно. Заканчивается согласие подписью служащего и датой составления.

Скачать образец >>>

Ответственность за нарушения

Несогласованная передача персональных данных третьим лицам в 2019 считается их разглашением и влечет за собой ответственность:

1. Дисциплинарную (замечание, выговор, увольнение).

2. Административную (ст. 13 КоАП) в виде штрафа:

  • 1-3 тыс.руб. для граждан;
  • 5-10 тыс.руб. для должностных лиц;
  • 20-50 тыс.руб. для организаций.

3. Уголовную (ст. 137 УК РФ), если будет доказано, что передача была умышленной, в виде:

  • штрафа 200 тыс.руб.;
  • обязательных работ 120-180 ч.;
  • исполнительных работ до 12 мес.;
  • ареста на срок до 4 мес.

4. Гражданско-правовую. По решению суда нарушителю вменяется в обязанность выплатить пострадавшему компенсацию за моральный ущерб.

Источник: https://www.pro-personal.ru/article/1098072-18-m10-peredacha-personalnyh-dannyh-tretim-litsam-v-2019-godu

Поделиться:
Нет комментариев

    Добавить комментарий

    Ваш e-mail не будет опубликован. Все поля обязательны для заполнения.