Персональные данные: необходимые документы. Разглашение персональных данных физическим лицом Получение персональных данных от третьих лиц

Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 31.12.2017) "О персональных данных"
""Статья 9. Согласие субъекта персональных данных на обработку его персональных данных

""1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

""2. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.

""3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.

""4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);

3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

4) цель обработки персональных данных;

""5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

6) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

""7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

9) подпись субъекта персональных данных.

5. Порядок получения в форме электронного документа согласия субъекта персональных данных на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, устанавливается Правительством Российской Федерации.

""6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.

""7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.

""8. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.

"Практический бухгалтерский учет", 2012, N 3

Практически любая информация, которая помогает идентифицировать человека, является персональными данными (ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", далее - Закон о персональных данных).

К персональным данным относятся:

фамилия, имя, отчество;
пол, возраст;
физиологические особенности человека;
образование, квалификация, профессиональная подготовка и сведения о повышении квалификации;
состояние здоровья;
принадлежность лица к конкретной нации, этнической группе, расе;
место жительства;
привычки, в том числе и вредные;
семейное положение (наличие или отсутствие детей, родственные связи);
биография;
предыдущая трудовая деятельность;
религиозные и политические убеждения;
финансовое положение;
деловые и иные личные качества и т.д.

Однако согласно ТК РФ персональными данными работника является информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника (ст. 85 ТК РФ). То есть из всего вышеперечисленного работодатель вправе потребовать от работника лишь ту информацию, которая характеризует его трудовые качества.

Примечание. Хотя фотография и не относится к персональным данным, но использовать ее без согласия работника (впрочем, как и любого другого человека) нельзя. Это прямо запрещено ст. 152.1 ГК РФ.

Получение персональных данных у третьих лиц: уведомление...

По общему правилу все персональные данные следует получать лично у работника (п. 3 ст. 86 ТК РФ). Однако как быть, например, если работник потерял трудовую книжку и просит содействия в получении информации от предыдущих работодателей? Очевидно, что сотрудник согласен на получение данных от третьих лиц, иначе бы он не просил об этом. Однако работодателю все равно следует письменно уведомить работника о получении персональных данных от третьих лиц.

Примечание. Внимание: персональные данные сотрудника могут запрашиваться у третьего лица исключительно в целях соблюдения требований закона (п. 1 ст. 86 ТК РФ). Например , для содействия в трудоустройстве, обеспечения безопасности, дальнейшего повышения квалификации, сохранности имущества и т.д.

Причем в уведомлении должны быть указаны:

цели получения персональных данных;
предполагаемые источники получения персональных данных;
способы получения персональных данных;
характер подлежащих получению данных;
последствия отказа работника дать согласие на получение.

Приведем образец такого уведомления.

Общество с ограниченной ответственностью ООО "Правильное"

Менеджеру отдела продаж

В.П. Терехову

УВЕДОМЛЕНИЕ о получении персональных данных от третьих лиц

Уважаемый Валентин Петрович!

В соответствии с Вашим заявлением об утрате трудовой книжки и просьбе оказать содействие в сборе сведений о предыдущих местах работы и периодах трудовой деятельности ООО "Правильное" запросит эти персональные данные от третьих лиц.

Цель запроса - подтверждение страхового стажа.

Сведения будут запрашиваться в письменной форме при помощи средств почтовой связи.

Просим Вас дать согласие на получение персональных данных от третьих лиц (п. 3 ст. 86 ТК РФ).

Если персональные данные работника возможно получить только у третьей стороны, то работник должен дать письменное согласие (п. 3 ст. 86 ТК РФ). Оно может выглядеть, например, следующим образом.

Генеральному директору

ООО "Правильное"

Правильному М.А.

от менеджера отдела продаж

Терехова Валентина Петровича,

паспорт 45 06 123456, выд. УВД МО

"Отрадное" г. Москвы 11.11.2003,

зарегистрированного по адресу: 123321,

Москва, ул. Тенистая, д. 3, кв. 10

СОГЛАСИЕ на получение персональных данных от третьих лиц

Я, Терехов Валентин Петрович, в соответствии со ст. 9 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" настоящим даю согласие ООО "Правильное" на получение моих персональных данных о предыдущих местах работы и периодах трудовой деятельности от третьих лиц.

Настоящее Согласие действует со дня его подписания до дня отзыва в письменной форме.

Дата, подпись

Утверждаем список лиц, имеющих доступ

Очевидно, что ряду сотрудников необходимо иметь доступ к персональным данным. К примеру, для оформления стандартных налоговых вычетов бухгалтеру могут потребоваться данные о составе семьи и детях, секретарю - паспортные данные и Ф.И.О. для приобретения билетов и бронирования гостиницы командированному и т.д.

Работодатель вправе разрешить доступ к персональным данным работников только специально уполномоченным лицам (ст. 88 ТК РФ), причем таким уполномоченным будут доступны только те данные, которые необходимы для выполнения конкретных функций.

Перечень работников, имеющих доступ к персональным данным других работников, устанавливается локальным нормативным актом организации, а также приказом по следующей примерной форме.

Общество с ограниченной

ответственностью

ООО "Правильное"

ПРИКАЗ Об установлении списка лиц, имеющих доступ к персональным данным работников ООО "Правильное" В соответствии со ст. 88 ТК РФ ПРИКАЗЫВАЮ:

Установить следующий перечень работников, имеющих доступ к персональным данным работников ООО "Правильное":

генеральный директор и главный бухгалтер Правильный М.А.;
менеджер по кадрам Ефремова Л.И.;
юрисконсульт Валеева А.Н.;
начальник отдела продаж Гаврилов И.П. (доступ к персональным данным сотрудников отдела продаж);
начальник транспортного цеха Сержантов Т.И. (доступ к персональным данным сотрудников транспортного цеха).

Контроль за исполнением приказа оставляю за собой.

С приказом уполномоченные лица должны быть ознакомлены под роспись.

Положение о персональных данных необходимо

Положение о персональных данных работников - это тот локальный акт, который должен быть в любой организации. Объясняется это следующим.

Порядок хранения и использования персональных данных работников устанавливается работодателем с учетом требований Трудового кодекса РФ и иных федеральных законов (ст. 87 ТК РФ). Таким образом, ТК РФ предусматривает, что порядок обработки персональных данных должен быть конкретизирован на локальном уровне. То есть работодатель должен локальным нормативным актом (т.е. положением о персональных данных) определить порядок хранения, обработки и использования персональных данных.

Наконец, как показывает практика, отсутствие такого акта квалифицируется как нарушение трудового законодательства (Постановление ФАС Московского округа от 26.10.2006 N КА-А40/10220-06).

Положение о персональных данных может состоять из следующих частей:

общие положения: цели и задачи принятия положения и вопросы, которые оно регулирует;
состав персональных данных работников;
обработка персональных данных;
передача персональных данных;
доступ к персональным данным;
ответственность за нарушение норм, регулирующих обработку и защиту персональных данных.

Положение может быть составлено с использованием следующего образца.

Общество с ограниченной

ответственностью

ООО "Правильное"

ПОЛОЖЕНИЕ о персональных данных 1. Общие положения

1.1. Настоящим Положением определяется порядок обращения с персональными данными работников ООО "Правильное" (далее - Работодатель).

1.2. Положение утверждено с целью обеспечить соблюдение законных прав и интересов Работодателя и его работников при получении, сборе, систематизации, хранении и передаче сведений, составляющих персональные данные.

1.3. Персональными данными работника является любая информация, относящаяся к работнику и необходимая Работодателю в связи с трудовыми отношениями.

1.4. Сведения о персональных данных работников относятся к категории конфиденциальных. Сведения перестают относиться к категории конфиденциальных:

в случае их обезличивания, т.е. действий, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
по истечении 75 (семидесяти пяти) лет срока их хранения;
в иных случаях, предусмотренных федеральными законами.

2. Основные понятия. Состав персональных данных работников

2.1. Для целей настоящего Положения используются следующие основные понятия:

персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);
обработка персональных данных работника - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
распространение персональных данных - действия, направленные на раскрытие персональных данных работников неопределенному кругу лиц;
предоставление персональных данных - действия, направленные на раскрытие персональных данных работников определенному лицу или определенному кругу лиц;
блокирование персональных данных - временное прекращение обработки персональных данных работников (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных работников и (или) в результате которых уничтожаются материальные носители персональных данных работников;
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному работнику;
информация - сведения (сообщения, данные) независимо от формы их представления;
документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.

2.2. Сведения, представляемые при поступлении на работу, должны иметь документальную форму.

2.3. При оформлении работника отделом кадров заполняется унифицированная форма Т-2 "Личная карточка работника", в которой отражаются следующие анкетные и биографические данные работника:

общие сведения (Ф.И.О., дата рождения, место рождения, гражданство, образование, профессия, стаж работы, семейное положение, паспортные данные);
сведения о воинском учете;
данные о приеме на работу;
сведения об аттестации;
сведения о повышении квалификации;
сведения о профессиональной переподготовке;
сведения о наградах (поощрениях), почетных званиях;
сведения об отпусках;
сведения о социальных гарантиях;
сведения о месте жительства и о контактных телефонах.

2.4. В отделе кадров Работодателя создаются и хранятся документы, содержащие персональные данные работников:

документы, оформляющие трудовые отношения при приеме на работу, переводе, увольнении;
документы, применяемые при анкетировании, тестировании, проведении собеседований;
подлинники и копии приказов (распоряжений) по кадрам;
личные дела и трудовые книжки;
материалы - основания к приказу по личному составу;
материалы аттестаций работников;
материалы внутренних расследований;
справочно-информационный банк данных по персоналу (картотеки, журналы);
копии отчетов, направляемых в государственные органы статистики, налоговые инспекции, вышестоящие органы управления и другие учреждения.

3. Обработка персональных данных работников

3.1. Источником информации обо всех персональных данных работника является непосредственно работник. Если персональные данные возможно получить только у третьей стороны, то работник должен быть заранее в письменной форме уведомлен об этом, и от него должно быть получено письменное согласие. Работодатель обязан сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о последствиях отказа работника дать письменное согласие на их получение.

3.2. Работодатель не имеет права получать и обрабатывать персональные данные работника о его расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции РФ работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.

3.3. Обработка персональных данных работников работодателем возможна только с их согласия либо без их согласия в следующих случаях:

персональные данные являются общедоступными;
персональные данные относятся к состоянию здоровья работника, и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия работника невозможно;
по требованию полномочных государственных органов в случаях, предусмотренных федеральным законом.

3.4. Работодатель вправе обрабатывать персональные данные работников только с их письменного согласия.

3.5. Согласия работника не требуется, если обработка персональных данных:

осуществляется на основании Трудового кодекса РФ или иного федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определенного полномочия работодателя;
производится в целях исполнения трудового договора;
осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
необходима для защиты жизни, здоровья или иных жизненно важных интересов работника, если получение его согласия невозможно.

3.7. Работник представляет в отдел кадров достоверные сведения о себе. Отдел кадров проверяет достоверность сведений.

3.8. Обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов или иных правовых актов, содействия работникам в трудоустройстве, обучении и профессиональном продвижении, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

3.9. При определении объема и содержания обрабатываемых персональных данных Работодатель должен руководствоваться Конституцией РФ, Трудовым кодексом РФ и иными федеральными законами.

3.10. При принятии решений, затрагивающих интересы работника, Работодатель не имеет права основываться на персональных данных, полученных о нем исключительно в результате их автоматизированной обработки или электронного получения.

3.11. Защита персональных данных работника от неправомерного их использования, утраты обеспечивается Работодателем за счет его средств в порядке, установленном федеральным законом.

3.12. Работники и их представители должны быть ознакомлены под расписку с документами, устанавливающими порядок обработки персональных данных, а также об их правах и обязанностях в этой области.

3.13. Отказ работника от своих прав на сохранение и защиту тайны недействителен.

4. Передача персональных данных

4.1. При передаче персональных данных работника Работодатель обязан:

не сообщать персональные данные работника третьей стороне без письменного согласия работника. Исключение составляют случаи, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных федеральным законом;
не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
предупреждать лиц, получивших персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждение того, что это правило соблюдено;
осуществлять передачу персональных данных работников в соответствии с настоящим Положением;
разрешать доступ к персональным данным работников только специально уполномоченным лицам. Указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретной функции;
не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
передавать персональные данные работника его законным, полномочным представителям в порядке, установленном Трудовым кодексом РФ, и ограничивать эту информацию только теми персональными данными, которые необходимы для выполнения указанными представителями их функции.

4.2. Персональные данные работников обрабатываются и хранятся в отделе кадров.

4.3. Персональные данные работников могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.

4.4. При получении персональных данных не от работника (за исключением случаев, если персональные данные являются общедоступными) работодатель до начала обработки таких персональных данных обязан предоставить работнику следующую информацию:

наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
цель обработки персональных данных и ее правовое основание;
предполагаемые пользователи персональных данных;
установленные федеральными законами права субъекта персональных данных.

5. Доступ к персональным данным работников

5.1. Право доступа к персональным данным работников имеют лица, указанные в перечне, утвержденном приказом Работодателя.

5.2. Работник имеет право:

5.2.1. Получать доступ к своим персональным данным, возможность ознакомиться с ними, в том числе получать безвозмездно копии любой записи, содержащей его персональные данные.

5.2.2. Требовать от Работодателя уточнения, исключения или исправления неполных, неверных, устаревших, недостоверных, незаконно полученных или не являющихся необходимыми для работодателя персональных данных.

5.2.3. Получать от Работодателя сведения:

о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
о перечне обрабатываемых персональных данных и источниках их получения;
о сроках обработки персональных данных и сроках их хранения;
о правовых последствиях обработки его персональных данных.

5.2.4. Требовать извещения Работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях.

5.3. Копирование персональных данных работника возможно исключительно в служебных целях с письменного разрешения начальника отдела кадров.

5.4. Передача информации третьей стороне возможна исключительно с согласия работника, выраженного в письменной форме.

6. Ответственность за нарушение норм, регулирующих обработку персональных данных

6.1. Сотрудники Работодателя, виновные в нарушении порядка обращения с персональными данными, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

6.2. Работодатель за нарушение порядка обращения с персональными данными несет административную ответственность согласно ст. ст. 5.27 и 5.39 КоАП РФ. Работодатель также возмещает работнику ущерб, причиненный неправомерным использованием информации, содержащей персональные данные об этом работнике.

Замечание напоследок

Отсутствие такого положения и неознакомление с ним работников могут повлечь за собой ответственность по ст. 5.27 КоАП РФ. Кстати, с положением должны быть ознакомлены не только уже работающие, но и потенциальные сотрудники.

А если мысль оформить такое положение возникла у вас лишь сейчас, а на день приема на работу сотрудника положение отсутствовало физически?

Лучший вариант - оформить это положение и под роспись ознакомить с ним всех сотрудников. Если на дату проведения проверки трудинспектор установит, что положение есть и работники с ним ознакомлены, то оснований для применения штрафных санкций не будет.

М.Дашевская

ООО "Гардарика-XXI"

Настоящая статья посвящена вопросам обработки ПДн третьих лиц, в отношении которых у оператора отсутствует правовое основание обработки, но существует необходимость, диктуемая выстроенными бизнес-процессами. Рассматриваются возможные подходы к решению данной задачи с учетом практики.

Алексей Чирков
Советник по правовым вопросам, Российский микрофинансовый центр

В настоящее время многие операторы ПДн в ходе осуществления своей деятельности сталкиваются с необходимостью обработки персональных данных третьих лиц, с которыми у оператора отсутствуют какие-либо отношения и чьи данные получены без их согласия от третьих лиц. Строго говоря, в большинстве таких случаев ни одно из оснований, указанных в ст. 6 Федерального закона от 27.07.2006 ФЗ № 152 "О персональных данных" (далее – ФЗ № 152), не является применимым, однако практика заставляет рассматривать возможные способы их законной обработки. В качестве примера практической ситуации возникновения такой потребности рассмотрим следующий пример.

Заемщик-гражданин обращается в банк или иную финансовую организацию1 с заявлением о предоставлении потребительского кредита. Наличие в таком заявлении телефонов и иных контактных данных родственников, друзей, родителей заемщика повышает (в случае возникновения просрочки) вероятность успешного взыскания долга, по разным оценкам, на 20–40%. Таким образом, в описанной ситуации возникает необходимость обработки ПДн так называемых "контактных" лиц (далее – ситуация), однако правомерность такой обработки неочевидна. Практика выработала, как минимум, три способа2 юридического оформления обработки в приведенной ситуации, которые будут рассмотрены далее.

Суть проблемы

В описанном выше примере ПДн субъекта получаются без его согласия от третьего лица. При этом в соответствии с ч. 1 ст. 6 ФЗ № 152 перечень случаев, когда ПДн могут законно обрабатываться без согласия лица, которому они принадлежат, исчерпывающе определен. И описанная ситуация в этот перечень не попадает. Во-вторых, в соответствии со ст. 18 ФЗ № 152 в случае, когда ПДн получены не от субъекта, которому они принадлежат, оператор обязан уведомить субъекта о факте обработки его ПДн и сообщить ему определенный перечень информации, что создает еще одну сложность. К тому же вполне очевидно, что реализация такой обязанности оператором в ряде случаев может повлечь законное требование субъекта о прекращении обработки его ПДн. Это создает юридические сложности в описанной выше ситуации. На практике появилось как минимум три варианта соблюдения норм ФЗ № 152 при обработке ПДн "контактных" лиц – без их согласия и уведомления.

Данные не персональные

Смысл первого варианта состоит в том, чтобы доказать, что обрабатываемые данные не являются персональными. Это представляется возможным в следующих случаях. Во-первых, объем собираемой информации должен ограничиваться контактным номером телефона и именем. В случае, если о "контактном" лице запрашивается и степень родства заемщику, и паспортные данные, и другая дополнительная информация, такой вариант вряд ли применим. Во-вторых, требуется корректное оформление анкеты. Например, исходя из правоприменительной практики, строчка в анкете "предпочитаемое обращение или псевдоним" с точки зрения отношения данных к персональным выглядит значительно лучше, нежели классическое "ФИО", поскольку предполагает возможность различного заполнения – от имени до социального статуса. В этом случае вероятность признания имени ПДн крайне низка. В-третьих, необходимо подготовить соответствующую аргументацию по вопросу неотнесения к ПДн номера телефона контактного лица. В теории номер телефон может быть классифицирован как обезличенные персональные данные, так как установить принадлежность совокупности цифр конкретному лицу возможно только при доступе к базе оператора связи. Юридически для финансовых организаций это невозможно. В судебной практике в подобных ситуациях номер телефона, как правило, не признается ПДн, поскольку расценивается не относящимся к конкретному лицу3. Таким образом, одним из вариантов обработки информации о "контактных" лицах должника является сбор данных в объеме, достаточном для взаимодействия с контактным лицом, но недостаточным для признания их персональными.

Данные заемщика, а не контактного лица

Этот вариант может быть реализован путем запроса у заемщика, к примеру, большего числа номеров, чем имеет "обычный" заемщик. К примеру, вместо привычных граф анкеты-заявления о предоставлении потребительского кредита (займа) (далее – заявление) "домашний" и "мобильный телефон" можно использовать четыре или пять обязательных для заполнения граф "номер телефона". Вероятно, 2 или 3 номера в таком заявлении будут принадлежать не самому заемщику, а третьим лицам. Однако юридически при наличии в заявлении фразы вроде "достоверность указанных сведений, а также их принадлежность лично мне подтверждаю" финансовая организация вправе законно обрабатывать все указанные данные, в том числе и номера телефонов. Помимо согласия в самом заявлении это право базируется и на принципе добросовестности, закрепленном в ГК РФ: финансовая организация вправе добросовестно полагаться на достоверность сообщаемых заемщиком сведений.

Финансовая организация как обработчик

В данном случае в подписываемом заявлении содержится поручение заемщика, который в роли оператора4 поручает финансовой организации обрабатывать ПДн субъекта (контактного лица) "в целях доведения информации о просроченной задолженности оператора до субъекта персональных данных" определенными в заявлении способами. Данная схема при корректном юридическом оформлении имеет ряд преимуществ перед двумя предыдущими: о контактном (или любом третьем лице) могут быть сообщены любые ПДн; финансовая организация, выступая применительно к ПДн контактного лица "лицом, осуществляющим обработку персональных данных по поручению оператора", не несет никакой ответственности перед самим контактным лицом, которое может обращаться с жалобами в уполномоченный орган. Ответственность за нарушения при обработке ПДн у финансовой организации в этом случае есть только перед заемщиком-оператором ПДн контактного лица. Перед самим же "контактным" лицом за все нарушения, в том числе возможно допущенные финансовой организацией, будет отвечать заемщик.

Получая таким образом ПДн, финансовая организации освобождается от обязанности предоставления информации, предусмотренной ч. 3 ст. 18 ФЗ № 152 для ситуаций, когда информация получена не от самого субъекта.

Таким образом, данная схема позволяет обрабатывать ПДн третьего лица, не получая непосредственно от него согласия.

Итог

Это основные встречающиеся на практике решения по обработке ПДн "контактных" лиц. Возможно, не все из них полностью соответствуют духу законодательства о защите персональных данных, однако ни одно из них, по имеющимся данным, не повлекло привлечения к ответственности, равно как и не вызывало вопросов прокуратуры и Роскомнадзора при проведении проверок в финансовых организациях.

В случае, если указанные данные не принадлежат заемщику, то для их удаления финансовая организация вправе потребовать личного визита третьего лица, которому принадлежат эти данные, в свой офис для предоставления документов, подтверждающих принадлежность указанных телефонов этому третьему лицу (например, абонентского договора), а не указавшему их заемщику. Данная позиция в настоящее время поддерживается как минимум двумя территориальными управлениями Роскомнадзора. Данный способ (его весьма сложно назвать некой схемой адаптации к требования законодательства) достаточно активно используется на практике; ответственность в такой ситуации может понести лишь сам заемщик, указывающий чужие ПДн.

Однако вне зависимости от того, каким образом были получены данные заемщика, представляется крайне важным проверять их достоверность, причем проверять в момент получения, а не тогда, когда возникает необходимость их использования. Несоблюдение именно этого требования часто становится причиной обращений субъектов ПДн к операторам и уполномоченному органу.

Очевидно, ничто изложенное в настоящей статье не означает одобрения или тем более прямой рекомендации по использованию описанных схем. Однако, как представляется, в определенных случаях подобный анализ практики может быть полезен при выработке собственных юридических решений подобных ситуаций. Решений, основанных на букве закона и соответствующих его духу.

___________________________________________
1 С 01.07.2014 предоставлять займы заемщикам-потребителям (то есть осуществлять профессиональную деятельность по предоставлению потребительских займов) могут исключительно следующие финансовые организации: кредитные (в том числе банки) и микрофинансовые организации, ломбарды,кредитные кооперативы.
2 В настоящей статье не рассматривается вариант, при котором заемщик действует как представитель контактного лица на основании доверенности. Во-первых, такой вариант прямо вытекает из закона, во-вторых, он вряд ли возможен в большинстве типичных сделок профессионального кредитора,поскольку оригинал доверенности с подписью контактного лица большинство заемщиков представить не могут.
3 См., например, Апелляционное определение Московского городского суда от 28.01.2014 по делу № 33-5461.
4 Оператором, в соответствии с ФЗ № 152, признается государственный муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и/или осуществляющие обработку ПДн, а также определяющие цели их обработки, состав и действия (операции), совершаемые с ними. Таким образом, юридических препятствий, вопреки мнению отдельных экспертов, для признания физического лица оператором ПДн не существует.

Принимая на работу нового сотрудника, работодатель должен сообщить ему о целях получения персональных данных, о характере подлежащих получению персональных данных работника, а также предупредить о последствиях отказа сотрудника дать письменное согласие на получение таких сведений. Работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни, а также данные о членстве в общественных объединениях или его профсоюзной деятельности2. В соответствии со ст. 24 Конституции РФ в случаях, непосредственно связанных с вопросами трудовых отношений, работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.

Ответственность за разглашение персональных данных по 137 ук рф

Ч.1 устанавливает способы следующие совершения правонарушений:

размещение информации о частной жизни в СМИ;
разглашение сведений в произведении, которое демонстрируется другим лицам;
любое иная публичная демонстрация персональных данных в ходе выступления.

Любой из указанных способов предполагает распространение сведений среди неограниченного круга лиц в нарушение закона. Фактором, необходимым для инициирования уголовного преследования, является отсутствие согласия гражданина. Нарушителю грозит штраф до 200 тыс. рублей (альтернативой будет изъятие суммы, эквивалентной полуторагодовому доходу преступника).

Другим наказанием служат обязательные работы (максимальный срок составляет 360 часов) или исправительные работы (до года) или принудительные работы (не более 2 лет).

Ответственность за разглашение персональных данных (ст. 137 ук рф)

О., реквизиты удостоверения личности, место и дату рождения, адрес, образование, семейное, имущественное положение, номер страхового свидетельства и другую подобную информацию, относящуюся исключительно к конкретному человеку. Кадровая служба работодателя в силу своих функций занимается сбором документов работников, формированием их личных дел в целях установленного порядка кадрового учета. Личное дело сотрудника содержит сведения о семейной, личной жизни, должности и сумме вознаграждения за труд, удостоверении личности и пр.
Документарный состав личных дел - это персональные данные сотрудников, и наниматель, следуя положениям законодательства, обязан обеспечить их защиту (ст. 18.1 закона № 152-ФЗ). Ст. 7 закона № 152-ФЗ закрепляет статус конфиденциальности персональных данных.

Ответственность за разглашение персональных данных. защита персональных данных

Организации, индивидуальные предприниматели, государственные и муниципальные органы, а также прочие хозяйствующие субъекты в ходе своей деятельности получают и обрабатывают большой объем такой информации в отношении как своих работников, так и других граждан. В частности, ими могут быть получены: Подписывайтесь на нашканал в Яндекс.Дзен! Подписаться на канал

данные о личности человека (паспортные данные, сведения об образовании, трудовой деятельности, военной службе, финансовом и семейном положении, медицинские данные, биографические факты);
данные о родственниках человека;
прочие сведения, с помощью которых можно идентифицировать человека (переписка, сведения о полученных и отправленных сообщениях, телефонных контактах).

Получение ПД должно производиться по общему правилу с согласия субъекта ПД (за исключением некоторых случаев, перечисленных в ст.

Виды ответственности за распространение персональных данных сотрудников

принудительные работы до 6 лет.

Инфо

Умышленное разглашение сведений о человеке наказывается по всей строгости закона. Но как следует хранить и защищать информацию, чтобы никто не смог ее достать и незаконно распространить? Обратимся к нормам ФЗ-152 «О персональных данных». Хранение и защита персональных данных Конфиденциальность персональной информации охраняется операторами.

Это профессиональные работники, обязующиеся не раскрывать третьим лицам имеющуюся информацию без согласия соответствующих субъектов. При этом сведения могут храниться в разном виде. В качестве общедоступных источников могут выступать справочники, адресные книги, электронные системы и прочие носители. С письменного согласия субъектов персональных данных в источник включаются фамилия и имя, дата и место рождения, адрес проживания, сведения о профессии, абонентский номер и прочая информация.

Разглашение персональных данных

обязательные работы сроком до 360 часов или исправительные работы до 1 года.

Отягчающим наказанием считается сбор или распространение информации в связи со своим должностным положением. В качестве примера можно выделить разглашение персональных данных работодателем. Виновное лицо в этом случае будет подвержено воздействию довольно тяжелых санкций:

лишение свободы до 5 лет или арест сроком до 5 месяцев;
штраф до 300 тыс.

рублей;
принудительные работы до 4 лет (обязательные работы не предусмотрены).

Разглашение персональных данных сотрудников и клиентов — это тяжелое преступление. Однако даже за него последуют наказания не столь суровые, как за сбор и распространение информации о несовершеннолетних. За подобные действия установлены следующие типы наказаний:

арест до полугода или лишение свободы до 6 лет;
штраф до 350 тыс.

Ответственность за разглашение персональных данных работника

Внимание

Согласно положениям Конституции Российской Федерации, каждый гражданин страны имеет право на защиту его чести, неприкосновенность частной жизни, личную и семейную тайну. При этом оформление многих документов требует представления сведений личного характера: так, например, устраиваясь на работу, оформляя кредит или банковскую карту, гражданин должен указать свои Ф.И.О., паспортные данные, место регистрации и т.д. При этом организация, являющаяся получателем этих данных, обязуется сохранять их в тайне и не передавать третьим лицам.

Каковы санкции за нарушение конфиденциальности сведений личного характера, и какой орган занимается привлечением к ответственности лиц, допустивших разглашение такой информации? Уважаемые читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Разглашение персональных данных физическим лицом

Наказание наступает в соответствии с нормами в порядке и случаях, предусмотренных в них, а также в тех ситуациях и пределах, в каких реализация способов защиты интересов гражданина вытекает из сути нематериального права, на которое было совершено посягательство, и характера последствий деяния. Следует при этом отметить, что практика применения данной нормы малоизвестна. УК Уголовная ответственность за разглашение персональных данных определена в ст.
137. В соответствии с нормой, наказание вменяется за нарушение неприкосновенности личной жизни гражданина, выраженное в собирании либо распространении сведений, составляющих его семейную либо индивидуальную тайну, без его согласия. Ответственность за разглашение персональных данных по 137 статье наступает и в случае обнародования информации в публичном выступлении, при демонстрации произведения, а также в СМИ.

Применение несертифицированных баз и банков хранения сведений, информационных систем, средств обеспечения защиты, если соответствующие процедуры предусмотрены законодательством. Устанавливается следующий штраф за разглашение персональных данных: для граждан – 500 — 1000 руб., для служащих – 1-2 тыс. руб., для организаций – 10-20 тыс. руб. Дополнительно у физических и юрлиц могут быть конфискованы несертифицированные средства защиты.

Являясь владельцем частного бизнеса, управленцем или просто юридически грамотным гражданином, нужно своевременно отслеживать законодательство РФ и его изменения. В последнее время такими актуальными проблемами стали нормы данных гражданина.

Понятие, объект и субъект

Личными данными считается какая-либо достоверная информация, которая имеет связь с сугубо конкретным человеком . К таким сведениям относятся:

возраст, сведения о дате его рождения;
город его рождения и регистрации;
полученное образование;
уровень заработной платы;
семейное положение.

То есть это те сведения, которые позволяют без сомнения определиться с тем, о ком говорится.

Одно из важнейших требований норм закона – это конфиденциальность и неразглашение сведений 3-м лицам.

Субъект ПД – это то лицо, чьи данные используют. Сегодня нормы законов четко и жестко регламентируют, что можно, а что нельзя делать с ПД человека. Совершать действия можно только тогда, когда он не выступает против. Существует перечень встречающихся фактов , когда такое согласие обязательно должно писаться от руки. Например, использование сведений о национальности, предпочтении в политических взглядах, какие-либо факты о том, насколько здоров субъект и о его закрытой жизни.

Также подобного соглашения никто не уполномочен размещать ПД (персональные данные) в известные всем каналы, например, в интернет.

Что такое объект ПД? Это прежде всего:

данные, характеризующие конкретную личность ;
факты того, женат/замужем ли человек;
факты, по которым можно опознать, а также сведения о предках и биографии;
информация о болезнях и лечении.

Объекты персональной информации можно встретить в таких документах, как:

паспорт гражданина либо какой-то другой ценный носитель удостоверения личности ;
справки, содержащие сведения о полученных суммах с предыдущего предприятия;
документы на ребенка, свидетельство о вступлении в брачные отношения;
анкета, которую работодатели просят заполнить, приходя на собеседование;
аттестат либо какой-то еще документ об образовании;
трудовая книжка;
военный билет;

Нюансы законодательства

Сфера вышеописанных вопросов основывается и регулируется Конституцией РФ , федеральным законодательством нашей страны и международными соглашениями РФ.

Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ регулирует данные отношения наиболее основательно.

Принципы:

Нацеленность на результат может быть самой различной. Среди них:

трудоустройство гражданина на рабочее место;
оказание медицинских услуг;
устройство в детский сад, школу, лагерь;
обеспечение безопасности работника.

Соблюдение законности также регулируется и Трудовым кодексом . Например, ч. 8 ст. 86 ТК РФ гласит, что Регламент о данных должны подписать все работники или их законные представители.

При этом как правило работодатель оформляет нужный журнал для сбора и сохранности подписей.

Оборот сведений

Сфера оборота ПД включается в себя множество операций, основные из которых рассмотрим ниже.

Предоставление информации – действия, согласно которым данные передают каким-либо другим лицам.

В настоящее время список организаций, которые запрашивают их, достаточно внушителен:

школы;
больницы;
банки и другие кредитные учреждения;
организации, в которые подается заявление на трудоустройство и многие другие.

Соблюдать закон должна абсолютно любая компания, в чьи руки попадают индивидуальные сведения о физлицах. Многие фирмы, например, продавая товары или услуги, собирают данные своих клиентов. Они обязаны четко действовать в этом отношении. ООО или ИП должны вносить изменение в бланках договорных документов как со своими работниками, так и с клиентами. Как вариант, разработать и прописать в договоре специальную форму согласия на обработку ПД.

Обработка – это приведение данных в соответствии с системой, процедура сбора, накопления, хранения и передачи, использования в соответствии с целями, удаления и других манипуляций со знаниями о физлице.

Совет! На сайте компании, где происходит оформление заказа, рекомендуется сделать обязательной отметку о персональных сведениях. Что клиент согласен их предоставить. А также то, что работники компании имеют право их передавать в курьерскую службу.

Стоит помнить, что какое-либо использование персональных данных может быть только добровольным, за исключением некоторых случаев, предусмотренных законом.

Регулирует вышеописанные отношения между субъектом и оператором (организация, которая собирает, обрабатывает, использует данные) Спецорган — Роскомнадзор. Периодически им проводятся плановые проверки в тех или иных организациях. Кроме Роскомнадзора отследить соблюдения фз может и Роструд. Грамотный руководитель не будет ждать очередного штрафа, а создаст у себя в организации на основе политику в отношении обработки ПД.

Она будет включать приказы , ознакомления, положения и акты для всех работников организации.

В Регламенте ПД могут, например, содержаться следующие аспекты:

Что именно в том или ином случае есть персональные данные;
Фактические сведения каких документов работодатель будет предоставлять в органы.
Кто из коллег будет иметь права работы с ПД. Соответственно кто будет отвечать за соблюдения всех актов и норм.
Какие применяются меры в вопросе сохранения и неразглашения.
Порядок передачи фактов о физическом лице внутри фирмы и третьим лицам.
Процедура уточнения информации по персональным данным, порядок их блокировки и удаления.

Особенности предоставления личных данных

В части 1 ст. 9 Закона № 152-ФЗ имеется ремарка, что согласиться гражданин может только в полном сознании и понимании того, что делает. Целью данного регламента является обеспечение права и свободы гражданина, в том числе на неприкосновенность частной жизни, а также семейные тайны.

Гражданин вправе отказаться в любое время от ранее данного согласия, если у него нет желания на их разглашение. Тем более, если такие сведения каким-то образом ущемляют его права и интересы. Сделать это можно, написав заявление в определенном формате. Оформить это нужно в двух экземплярах, один остается на руках с отметкой о вручении второго оператору.

Однако во многих организациях, в том числе и при трудоустройстве, использование данных о человеке является обязательным для заключения договорных отношений. При таком условии отказаться от предоставления нельзя.

Кроме соглашения на использование ПД необходимо получить положительное решение на передачу 3-м лицам.

Есть определенные исключения, когда лица могут передавать вышеописанные данные гражданина без его согласия. К таким случаям относится:

При этом кредитное учреждение, банковские работники, сотрудники страховых компаний в этот перечень не входит. Туда информация попадает с согласия от руки личности.

Ответственность за нарушения

За несоблюдение требований предусмотрена административная ответственность. Согласно статье 13.11 Кодекса РФ об административных правонарушениях наказание не такое уж и серьезное – предупреждение либо штраф в размере от 500 до 1 000 рублей (для гражданских лиц), в диапазоне 5 000 — 10 000 рублей (для юр. лиц). Такая относительно легкая ответственность несоизмерима со сложностью и громоздкостью самого документа. В настоящее время на рассмотрении находятся поправки к закону, согласно которым штрафы могут быть увеличены до 300000 рублей.

Наряду с такой легкой формой наказания в законе есть информация о возможности возбуждения уголовного дела в определенных случаях.

Закон принят - значит его нужно соблюдать, своевременно отслеживая поправки и изменения.

Подробнее о передаче персональных данных смотрите ниже на видео.

Возможно, будет полезно почитать: