Персональные данные с 1 июля года. Как обеспечить защиту персональных данных

С 1 июля 2017 года применяются новые штрафы за нарушение обработки и хранения персональных данных.

Все это влечет за собой пересмотр политики компаний и ИП в отношении защиты данных сотрудников. Давайте рассмотрим внимательно новые требования, что относится к персональным данным, как их хранить с 1 июля 2017 года.

Что относится к персональным данным с 1 июля 2017 года

Прежде чем начать разговор о новых штрафах за неправильную обработку и хранение персональных данных с 1 июля 2017 года, нужно сначала определить, что относится к этим персональным данным.

Персональные данные – это личная информация о сотруднике, имеющая отношения к его частной или рабочей жизни. К ним относятся:

паспортные данные;
адрес, прописка;
данные о семье;
справка о состоянии здоровья;
страховые документы;
военный билет;
дипломы об образовании;
сведения о трудовой биографии.

Важно! Нельзя брать у сотрудника данные, не относящиеся к его работе и не влияющие на его трудовые обязанности, зарплату, выплаты, пособия и т. Д. Имеются в виду: национальность, религиозная принадлежность, политические предпочтения и пр.

Новые штрафы за персональные данные с 1 июля 2017 года

Согласно ст.13.11 Федерального закона №13-ФЗ от 7 февраля 2017 года за нарушение обработки и использования персональных данных с 1 июля 2017 года налагаются новые штрафы, рассмотрим их поближе:

За какое нарушение по использованию, обработке и хранению персональных данных (далее ПД) положен штраф	Размер штрафа для «физиков» (в руб.)	Размер штрафа для ответственных лиц (в руб.)	Размер штрафа для ИП (в руб.)	Размер штрафа для компаний (в руб.)
Противоречащая закону обработка ПД или вы делаете это с целью, идущей в разрез с законодательством (то есть теперь передача данных сторонней компании для распространения рекламы карается очень строго)			30 000 – 50 000
Если вы обрабатываете ПД человека, не взяв предварительно с него согласие на это
Не проинформировали о своей политике по использованию и обработке ПД
Не проинформировали человека о том, как вы собираетесь обрабатывать его ПД или дали ему информации о его ПД
Пропустили срок, оговоренного субъектом, по уточнению, блокировке, либо уничтожению его ПД
Если вы не имеете автоматизированной системы по хранению и защите ПД, и это привело к опубликованию ПД, уничтожению, блокировке, копированию, изменению и пр. незаконным операциям

Внимание! За обработку персональных данных без согласия на то, самого человека, помимо штрафа предусмотрена также уголовная ответственность. Поэтому не забывайте брать с сотрудников заявление, в котором они дают свое разрешение на обработку данных, на предоставление этих данных банку, налоговой и иным заинтересованным организациям, оговаривают срок хранения информации и подтверждают, что ознакомлены с целью сбора данных.

Что изменить в обработке персональных данных с 1 июля 2017 года под новые требования

Для того чтобы вас с 1 июля 2017 года не оштрафовали за то, что вы обрабатываете, распространяете, изменяете и т.д. персональные данные ваших сотрудников, нужно взять с них письменное заявление, что они согласны на эти действия.

Утвержденного образца заявления пока нет, пишется оно в свободной форме. При этом ориентируясь на ч.4 ст.9 ФЗ №152-ФЗ от 27.07.2006, оно должно включать в себя следующие данные:

ФИО, адрес работника;
серию, номер паспорта, где и кем выдан;
перечень персональных данных и причина, по которой дается согласие;
манипуляции, которые работник разрешает производить со своими данными;
срок действия соглашения;
дата, подпись, расшифровка.

Образец заявления-соглашения на использование персональных данных

Хранение и обработка персональных данных, новые изменения с 01.07.2017г.

Федеральный закон от 01.07.2017 года №13-ФЗ ввел новые штрафы за нарушение обработки или уничтожения хранения личных данных сотрудников и клиентов, однако не сделал никаких новых изменений в этой части. Поэтому, чтобы избежать новых больших штрафов при обработке, хранении, изменении и уничтожении персональных данных, руководствуйтесь Законом №152-ФЗ от 27.07.2006 года.

Как хранить персональные данные с 1 июля 2017 года

Итак, что же нужно сделать компании и ИП, чтобы не нарушить закон и не подвергнуться большим штрафам, при пользовании персональными данными.

Пусть за хранение, изменение, обработку, уничтожение персональных данных у вас отвечают, специально назначенные для этого, должностные лица. Это может быть кадровик, бухгалтер, руководитель подразделения, даже генеральный директор, если речь идет о маленьких организациях.
Обязательно разработайте правила обработки, хранения, уничтожения персональных данных в согласии с Федеральным законом. Создайте специальный локальный акт, в котором пропишите все эти правила. Чаще всего компании используют «Положение о защите персональных данных работников» (ст.18.1 ФЗ от 27.07.2006 №153-ФЗ), но можно использовать свое.
Ознакомьте с этим актом всех своих сотрудников, кроме того инструкция должна у вас всегда находится в зоне свободного доступа.
Разработайте соглашение о согласии сотрудника на обработку, изменение, хранение, уничтожение его персональных данных (примерный образец такого соглашения можно скачать по ссылке выше). Проследите, чтобы все ваши сотрудники заполнили это соглашение.
Проинформируйте сотрудников, если у них возникнут вопросы, как вы обрабатываете и используете их персональные данные (ст.14 ФЗ №153-ФЗ от 27.07.2006).
Своевременно вносите изменения в персональные данные сотрудников, например при смене фамилии, имени, места жительства, состоянии здоровья и т.д.
Организуйте грамотную систему хранения и защиты персональных данных. Как это сделать, вы должны определить самостоятельно, руководствуясь ст.19 Закона №153-ФЗ. Оградите персональные данные от несанкционированного или даже случайного доступа. Если личная информация о ваших сотрудниках даже случайно попадет в руки посторонних лиц, санкций компании не избежать.
Своевременно уничтожайте персональные данные ваших сотрудников. Срок хранения документов определяется соглашением с вашими сотрудниками. Если вы не оговорили срок хранения с работником, то данные уничтожаются через 30 дней с момента их получения. Если нет такой возможности, блокируйте личную информацию.

Будьте внимательны! Организацию, обработку, хранение, изменение, удаление личных данных в компании проверяет Трудовая инспекция и сотрудники Роскомнадзора. Если они отметят нарушения, вас оштрафуют.

Уже слышали, что Яндекс ужесточил санкции за кликджекинг – сайты, которые используют технологии, похищающие личные данные посетителей, существенно понижаются в выдаче.

Cайты, которые используют технологии, похищающие личные данные посетителей, существенно понижаются в выдаче. С 01.07.2017 сильнее карать за подобные махинации будет и законодательство: штрафы за несоблюдение закона о персональных данных будут увеличены до 75 000 рублей. Изменения коснутся интернет-ресурсов, собирающих, обрабатывающих и хранящих персональные данные любого рода.

Штрафы теперь не только увеличены во много раз, но и подразделяются по видам нарушений. Если, допустим, на сайте не изложена политика конфиденциальности, то индивидуального предпринимателю могут наложить штраф на 10 000 р., а компании - на 30 000 р. В случае, если подвергаются обработке персональные данные заказчика интернет-магазина или подписчика на информационный ресурс, а своего согласия на это они не давали – сумма штрафа для юридического лица приближается к 75 000 р., для директоров предприятий или предпринимателей – до 20 000. Разумеется, число взысканий будет равняться количеству допущенных нарушений.

Всем владельцам сайтов необходимо в кратчайшие сроки приводить их в порядок. Проверки уже начались!

В настоящее время лишь прокуратура имеет право выписывать протоколы о правонарушениях в указанной сфере, никакого различия для видов нарушений не делается, а сама сумма невелика: для ИП или директора она составит 1 000 р. максимум, для юридического лица - 10 000 р. Кроме того, сама процедура связана с большими временными затратами, а значит проверяют далеко не всех и крайне редко. Однако с 1 июля всё изменится: составлять протоколы уполномочен будет Роскомнадзор, а значит, на судебные проволочки рассчитывать больше не приходится.

Теперь - краткие ответы на самые популярные вопросы, которые могут возникнуть у владельцев сайтов и других интернет-ресурсов.

А кто вообще является оператором персональных данных?

Под такими данными понимаются любые сведения о человеке, которые можно использовать для его идентификации. Законодательством круг этих данных четко не очерчен, так что надо догадываться самостоятельно, исходя из логики. Допустим, по одному имени или никнейму невозможно понять, кто конкретно имеется в виду, а вот по имени и телефонному номеру (или имени и e-mail) - вполне возможно.

Итак, вероятнее всего, вы можете быть признаны оператором персональных данных, если любым способом получаете, подвергаете обработке и храните сведения о людях, сходные с перечисленными ниже (сочетания могут быть любыми):

Любой физический адрес;
E-mail;
Телефонный номер;
Сведения о дате и/ или месте рождения;
Личное фото;
Адрес персонального сайта или ссылку на страницу в любой из соцсетей;
Данные о профессии или роде занятий;
Сведения об образовании, доходах и т.д.

Следовательно, все люди, владеющие интернет-ресурсами, где имеются личные кабинеты, любые формы обратной связи, возможность подписаться или зарегистрироваться, совершить покупку, разместить объявление или заполнить какую-либо анкету - это всё операторы персональных данных. Даже в том случае, когда на ресурсе присутствует одна лишь кнопка, нажатием на которую можно заказать обратный звонок или отправить сообщение - это всё равно будет признано обработкой персональных данных.

В случае если я записал номер приятеля или e-mail девушки на сайте знакомств, я тоже нарушил закон?

Информацию для собственных нужд можно сохранять сколько угодно. Правонарушением будет, если вы вышлете номер приятеля в коллекторскую фирму, а e-meil девушки вместе с её фото опубликуете на сайте по предложению интимных услуг.

Я не хочу нарушать закон! Скажите, как грамотно работать с личными данными пользователей ресурса?

Для этого необходимо:

Получить согласие в письменном виде у всех ваших посетителей в том случае, если ему необходимо передать вам какую-либо информацию о себе;
Вы можете запрашивать только данные, необходимые для определенной цели. К примеру, просить физический адрес или номер паспорта для новостийной рассылки - подозрительно;
Использовать полученные данные строго для целей, перечисленных в документах, и о которых пользователь предупрежден;
по первому требованию пользователя сообщить, какая информация о нем у вас хранится, с какой целью она используется и кому вы её передали (в том случае если такой факт имел место);
В случае поступления требования от пользователя - немедленно удалить данные, использующиеся для рассылок о скидках, акциях и т.д.;
защищать базы данных от взлома, не допускать утечек информации;
пройти регистрацию в Роскомнадзоре.

Что? Какая регистрация? Где?

В соответствии с законодательством операторы персональных данных обязаны поставить в известность Роскомнадзор. Сделать это необходимо до того, как данные начнут обрабатываться, а вообще – чем скорее, тем лучше. Роскомнадзор занесет сведения об операторе в сводный реестр и будет выдавать по запросу.

Уведомление подавать необязательно в следующих случаях:

обработке подвергаются только информация о сотрудниках;
информацию вы получили исключительно для осуществления конкретного договора с указанным лицом и никаким иным образом не будут использованы или переданы;
пользователь сам опубликовал свои данные в общем доступе;
в вашей базе хранится только ФИО заказчика.

Я являюсь владельцем сайта и получаю указанные данные от пользователей. Каковы мои действия?

А вы всё ещё ничего не предприняли? Значит, вы уже нарушаете действующее законодательство, и вам прямо сейчас могут выписать штраф. Даже в том случае, если ваш интернет-ресурс обслуживается сторонней web-студией, занимающейся продвижением сайтов , взыскание так или иначе будет выписано на организацию, название которой прописано на интернет-ресурсе.

Необходимо подготовить публичные документы, после чего на вашем ресурсе сделать их доступными во всех разделах. Либо изложите условия обработки пользовательских данных в оферте либо обыкновенном договоре.

На сайте обязательно должно присутствовать решение, ясно дающее понять, что пользователь разрешил обработку его данных: галочка в регистрационной форме, информирование о сборе данных при оформлении заказа и т.д. Будет лучше, если вы заверите веб-страницу в нотариальной конторе.

Главное правило: если вы сомневаетесь, надо или нет высылать в Роскомнадзор уведомление - лучше вышлите.

Да ладно, ерунда это! Кому надо штрафовать кого-то из-за отсутствия каких-то там оферт и форм регистрации?

Вынуждены расстроить: прецедентов уже достаточно. Прокуратура Тамбовской области выписала штраф фирмы, оказывающей юридические услуги, за обработку информации о пользователях без их на то согласия. Суд решение поддержал.

А астраханская прокуратура налагает штрафы на владельцев интернет-ресурсов за формы обратной связи по алфавиту.

Ну и стоит добавить, что за подобные нарушения могут не только вдобавок к штрафу взыскать компенсацию морального ущерба, но и дать вполне реальный тюремный срок.

Вывод для всех владельцев сайтов: пишем в Роскомнадзор и живём спокойно.

С 1 июля 2017 года вводятся повышенные административные штрафы за несоблюдение требований Федерального закона "О персональных данных" от 27.07.2006 № 152-ФЗ. О том, как избежать штрафов при проверках Роскомнадзора, БУХ.1С рассказал эксперт по налогообложению Игорь Кармазин .

Штрафы за несоблюдение требований Федерального закона "О персональных данных" были повышены в соответствии с Федеральным законом от 07.02.2017 № 13-ФЗ. Новые штрафы по сравнению с действующими выросли в разы . Максимальный порог штрафа для организаций повышен до 75 тысяч рублей, максимальный штраф для предпринимателей увеличили до 20 тысяч рублей. При этом, если раньше в КоАП существовал только один, общий для всех случаев состав правонарушения в области персданных (ст.13.11 КоАП РФ), то теперь в данной статье появилось целых семь составов.

Чтобы избежать штрафов по 152-ФЗ , компаниям и ИП с 1 июля 2017 года следует внимательнее подходить к соблюдению требований закона о персональных данных.

Шпаргалка по статье от редакции БУХ.1С для тех, у кого нет времени

1. С 1 июля 2017 года вводятся повышенные административные штрафы за несоблюдение требований Федерального закона "О персональных данных".

2. Новые штрафы по сравнению с действующими выросли в разы. Максимальный порог штрафа для организаций повышен до 75 тысяч рублей, максимальный штраф для предпринимателей увеличили до 20 тысяч рублей.

3. Штрафы за нелегальную обработку персональных сведений граждан касаются всех компаний и предпринимателей, которые получают паспортные данные россиян. Закон не содержит конкретного перечня таких организаций.

4. Компании, по закону отнесенные к операторам персональных данных, должны быть зарегистрированы в Роскомнадзоре.

5. Обезопасить себя от штрафов можно, соблюдая 6 правил:

исключить случаи нецелевого сбора и обработки данных;
получать письменное согласие граждан на обработку их данных;
знакомить граждан с политикой обработки персональных данных;
отвечать на вопросы граждан о том, каким образом используются их персональные данные;
выполнять требования граждан об уточнении персональных данных, их блокировании или уничтожении;
обеспечивать сохранность носителей с персональными данными, исключая их утечку, порчу, кражу, копирование и т.д.

6. С 01.07.2017 начинает действовать упрощенный порядок привлечения к административной ответственности. Дела будет возбуждать сам Роскомнадзор без участия сотрудников прокуратуры.

Кого коснутся новые штрафы

Штрафы за нелегальную обработку персональных сведений граждан касаются всех компаний и предпринимателей, которые получают паспортные данные россиян. По закону они отнесены к операторам персональных данных и обязаны соблюдать законодательные ограничения.

Закон не содержит конкретного перечня таких организаций. Однако к ним можно отнести банки, страховые компании, операторов мобильной связи и интернета, медицинские организации, транспортные компании, учебные заведения и все те компании, при обращении в которые граждан просят указать личные данные или заполнить анкету.

Но и это еще не все. Закон распространяется на работодателей, получающих сведения от сотрудников как по трудовым договорам, так и по договорам гражданско-правового характера. Работодатели тоже являются операторами персональных данных с небольшой оговоркой. Если работодатель состоит с гражданином в трудовых или гражданско-правовых отношениях, ему не требуется уведомлять Роскомнадзор об обработке личной информации (ч. 2 ст. 22 Федерального закона № 152-ФЗ).

Также к операторам персональных данных относятся компании, имеющие собственные сайты с обратной формой связи и регистрацией пользователей, у которых запрашиваются личные сведения.

Как обезопасить себя от штрафов: 6 правил

1. Исключить случаи нецелевого сбора и обработки данных.

Под данное нарушение попадают и случаи сбора излишней информации о гражданах. Например, когда сайт для новостной рассылки по e-mail требует от посетителей предоставить, скажем, паспортные данные. Это считается обработкой данных не по назначению, поэтому исключите подобные случаи из практики работы своей компании и сайта.

Данные действия образуют состав правонарушения по ч. 1 ст. 13.11 КоАП РФ. Штраф для предпринимателей – от 5 до 10 тысяч рублей, а для организаций – от 30 до 50 тысяч рублей.

2. Получать письменное согласие граждан на обработку их данных.

Согласие граждан на обработку персональных данных, когда это требуется по закону, операторы получают в соответствии с ч. 4 ст. 9 Федерального закона № 152-ФЗ. Исключений из этого правила не так много. Например, не требуется письменного согласия при получении персональных данных в личных, семейных целях (ч. 2 ст. 1 Федерального закона № 152-ФЗ).

В большинстве же случаев дополнительно к основному договору стороны должны подписывать соглашение об обработке персональных данных. Это соглашение может включаться в текст основного договора, или выступать в качестве отдельного документа. Согласие должно поступить лично от гражданина. Без его ведома передавать данные нельзя.

Самый банальный пример злоупотреблений в этой части – когда, например, оператор мобильной связи передает контакты абонентов без их ведома сторонним компаниям, и на телефонные номера граждан начинает поступать всевозможный спам.

Если письменного соглашения на обработку данных у компании нет, на граждан (ИП) наложат штраф в размере от 3 до 5 тысяч рублей, на должностных лиц от 10 до 20 тысяч рублей, а на юрлиц – от 15 до 75 тысяч рублей (ч.2 ст.13.11 КоАП РФ). Судя по судебной практике, ИП первый раз штрафуют как физлиц, а если нарушение повторяется, то уже как должностных лиц - руководителей ИП, так как во втором случае штраф выше.

Последствия неполучения письменного согласия контролерам будут неважны, а важен будет сам факт наличия или отсутствия такого согласия в письменной форме.

3. Знакомить граждан с политикой обработки персональных данных.

Эта информация должна находиться в свободном доступе и с ней должен иметь возможность ознакомиться каждый. Например, сайты вывешивают информацию о порядке работы с персданными на отдельных своих страницах.

В противном случае наступит ответственность по ч. 3 ст. 13.11 КоАП РФ. ИП заплатят штраф в размере от 5 до 10 тысяч рублей, а организации в размере от 15 до 30 тысяч рублей.

4. Отвечать на вопросы граждан о том, каким образом используются их персональные данные .

На практике бывают случаи, когда данные «утекают» третьим лицам, и клиентам компании начинает поступать всевозможная реклама от магазинов, медицинских центров и кредитных организаций. В этом случае клиент может потребовать от оператора персональных данных предоставить информацию о том, как используются и хранятся его личные сведения.

За игнорирование обращений граждан операторы персданных несут ответственность по ч. 4 ст. 13.11 КоАП РФ. Штраф для ИП – от 10 до 15 тысяч рублей, а для юрлиц – от 20 до 40 тысяч рублей.

5. Выполнять требования граждан об уточнении персональных данных, их блокировании или уничтожении .

Это нужно делать в случаях, когда персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

Неисполнение этой обязанности грозит штрафом по ч. 5 ст. 13.11 КоАП РФ. Для ИП штраф составит от 10 до 20 тысяч рублей, для организаций – от 25 до 45 тысяч рублей.

6. Обеспечивать сохранность носителей с персональными данными, исключая их утечку, порчу, кражу, копирование и т.д .

Ответственность за необеспечение сохранности личных сведений установлена ч. 6 ст. 13.11 КоАП РФ. Для предпринимателей – от 10 до 20 тысяч рублей, для компаний – от 25 до 50 тысяч рублей.

Ответственность для государственных и муниципальных органов власти

Штрафная ответственность предусмотрена и для государственных и муниципальных органов власти (ч. 7 ст. 13.11 КоАП РФ).

В своих документах (протоколах, сводках, решениях и т.д.) они должны обезличивать персональные данные граждан, не допуская указания их места жительства и полных ФИО.

В противном случае придется заплатить штраф в размере от 3 до 6 тысяч рублей.

Регистрация операторов персональных данных в Роскомнадзоре

Компании, по закону отнесенные к операторам персональных данных, должны быть зарегистрированы в Роскомнадзоре. Для этого необходимо подать уведомление об обработке (о намерении осуществлять обработку) персональных данных (ч. 3 ст. 22 Федерального закона № 152-ФЗ).

После заполнения формы уведомления об обработке (о намерении осуществлять обработку) персональных данных ее следует отправить в информационную систему Уполномоченного органа по защите прав субъектов персональных данных. Затем заполненную форму нужно распечатать и заверить надлежащим образом, скрепив подписью и печатью организации, после чего направить в соответствующий территориальный орган Роскомнадзора по месту регистрации компании-оператора персональных данных.

Что делать сайтам

Что касается сайтов (а сейчас они есть практически у любой компании), то основная масса нарушений здесь связана именно с нецелевым сбором и использованием персональных данных (ч. 1 ст. 13.11 КоАП РФ).

Например, нередко в форме регистрации на сайте используются такие поля, как «дата рождения» и «телефон», а в форме профиля пользователя - «отчество», «дата рождения», «место жительства» (страна, область/край, город).

Следует понимать, что для регистрации пользователя на большинстве сетевых ресурсов не требуется знать такие данные, как телефон и место жительства/регистрации пользователя. Из формы регистрации эти сведения следует убрать.

А из формы личного профиля лучше убрать такие сведения, как «профессия», «www-страница», Skype (или другой мессенджер) и «дата рождения».

Посторонним лицам (а ваша компания и является таким лицом) знать эту информацию ни к чему. Форма подписки на новости сайта должна собирать информацию только об e-mail пользователей. Форма регистрации может собирать имя, фамилию, e-mail и пол пользователя.

Сбор лишней информации при проверке могут посчитать нарушением.

Выполнение вышеописанных правил и знание закона позволят избежать ответственности за его нарушение. При этом следует учитывать одно немаловажное обстоятельство. Если раньше закон о персональных данных обходил вашу компанию стороной и никакой ответственности за его нарушение вы не несли, то с 1 июля все может измениться кардинальным образом.

Дело в том, что с этой даты начинает действовать упрощенный порядок привлечения к административной ответственности. Раньше дела в этой сфере возбуждала прокуратура (ст. 28.1 КоАП РФ). По новым же правилам (п. 58 ч. 2 ст. 28.3 КоАП РФ) дела будет возбуждать сам Роскомнадзор без участия сотрудников прокуратуры. На практике это означает, что количество штрафов и доведенных до суда дел может значительно увеличиться, и уйти от ответственности станет значительно сложнее.

По поводу нарушений закона о персональных данных. Они вступят в силу 1 июля 2017 года и коснутся всех, кто собирает, обрабатывает и хранит любые персональные данные.

Штрафы разделили по видам нарушений и увеличили в десятки раз. Например, если не разместить на сайте политику конфиденциальности, ИП могут оштрафовать на 10 тысяч рублей, а компанию - на 30 тысяч. А если обрабатывать персональные данные без согласия клиента интернет-магазина или подписчика на информационный курс, то штраф для юрлица составит до 75 тысяч рублей. Директору компании или предпринимателю придется заплатить до 20 тысяч . Если нарушений несколько, то и штрафов будет несколько.

Нужно срочно привести в порядок свои сайты. Проверки уже идут 💻

Сейчас протоколы о нарушениях может выписывать только прокуратура. Штраф не зависит от вида нарушения и составляет для ИП или директора максимум 1000 рублей, а для юрлица - 10 тысяч рублей. Процедура занимает много времени, штрафы маленькие, поэтому проверяют редко и не всех.

Как узнать, являюсь ли я оператором персональных данных?

Персональные данные - это любые данные о человеке, по которым его можно идентифицировать. В законе нет перечня таких данных, поэтому приходится догадываться самим. Например, по имени или логину нельзя понять, что это за человек, а по имени и телефону или имени и электронной почте - можно.

Скорее всего, вы являетесь оператором персональных данных, если каким-то образом получаете от любых людей такую информацию в любом сочетании:

фамилию,
отчество,
какой-то физический адрес,
электронную почту,
телефон,
дату или место рождения,
фотографию,
ссылку на персональный сайт или соцсети,
профессию,
образование,
уровень доходов,
семейное положение.

Это значит, что все владельцы сайтов, на которых есть личные кабинеты, формы обратной связи, подписки или регистрации, где можно что-то купить, разместить объявление, заполнить анкету, - это операторы персональных данных. Даже если на сайте есть только кнопка для заказа звонка или отправки сообщения - это тоже обработка персональных данных.

А если я записываю телефон друга или электронную почту девушки на сайте знакомств, мне нужно соблюдать этот закон?

Нет, не нужно. На данные для личных и семейных нужд закон не распространяется. Но если передать телефон друга коллекторам или опубликовать объявление с почтой девушки на форуме женоненавистников - это уже нарушение.

Как правильно работать с персональными данными, чтобы не нарушить закон?

Как минимум нужно:

получать письменное согласие у каждого посетителя, клиента или подписчика на обработку, хранение и распространение персональных данных;
публиковать в открытом доступе информацию обо всём, что касается персональных данных клиентов и посетителей;
запрашивать только те данные, которые нужны для конкретной цели. Например, нельзя просить домашний адрес или паспортные данные для подписки на рассылку по электронной почте;
использовать данные только для тех целей, которые указаны в документах и о которых человека предупредили;
сообщать по запросу человека, какие у вас есть данные о нем, как и для чего они обрабатываются и кому вы их передавали;
удалять по первому требованию данные, которые используются для рассылки информации о скидках и акциях;
хранить базы данных в надежном месте, защищать их от взлома и утечки;
научить сотрудников работать с персональными данными;
зарегистрироваться в Роскомнадзоре.

Что? Я должен еще где-то зарегистрироваться?

Да, по закону операторы персональных данных должны уведомить Роскомнадзор . Причем сделать это нужно до начала обработки данных или как можно скорее. Роскомнадзор внесет информацию об операторе в общий реестр и будет выдавать по запросу.

Уведомление можно не подавать, если:

обрабатываются только данные сотрудников;
персональные данные получены только для исполнения конкретного договора с конкретным человеком и больше никак не будут использоваться и тем более - распространяться;
человек сам опубликовал эти данные в общем доступе;
у вас есть только ФИО клиента и больше ничего.

У меня есть сайт, и я получаю персональные данные. Что мне делать?

Если вы до сих пор ничего не сделали, то вы уже нарушаете закон и вас уже сейчас могут оштрафовать. Даже если ваш сайт обслуживает веб-студия или удаленный айтишник, штраф всё равно выпишут на ту компанию или ИП , которые указаны на сайте.

Подготовьте публичные документы и разместите их на сайте так, чтобы они были доступны на всех страницах. Это может быть пользовательское соглашение, как у «Ламоды» , правила продажи, официальное уведомление, как у «М-видео» , политика конфиденциальности, как у «Рестора» , «Адидаса» или «Озона» . Можно прописать условия обработки персональных данных в обычном договоре или оферте, как это делает Сбербанк .

Не используйте чужие документы. Их можно взять для ориентира, но список данных и цели использования нужно прописывать свои. То, что нужно банку для оформления кредита или интернет-магазину для доставки товара, не понадобится для электронной рассылки или доски объявлений. Запрашивать ненужные данные - нарушение закона и повод для штрафа.

Реализуйте решение, которое позволит четко установить, что человек согласился на обработку персональных данных. Это может быть галочка в форме регистрации или предупреждение при оформлении заказа. Для надежности заверьте веб-страницы у нотариуса.

Подготовьте внутренние документы о хранении персональных данных и ответственности сотрудников, которые с ними работают. Приказы, регламенты и должностные инструкции не нужно выкладывать в общий доступ.

Если нужно, отправьте уведомление в Роскомнадзор. Если уверены, что уведомление отправлять не нужно, оформите документы так, чтобы это было понятно при проверке. Например, пропишите в политике, что используете персональные данные только для исполнения конкретного договора. Или укажите, что создаете ресурс, на котором данные размещаются в общем доступе по желанию пользователя.

Это правда, что хранить персональные данные можно только на российских серверах? Если у меня хостинг в Европе, я нарушаю закон?

В законе много непонятного по этому поводу. С одной стороны, собирать, обрабатывать и хранить базы данных нужно на российских серверах. Но при этом есть отдельная статья про трансграничную передачу данных. На сайте Минкомсвязи опубликованы разъяснения по этому поводу, но в них тоже много противоречий.

Сами делайте выводы, где хранить данные. Если не знаете, что делать, отправьте запрос в Роскомнадзор или Минкомсвязи. Еще можно обратиться к своему хостеру: чаще всего у таких компаний есть готовые решения.

Да успокойтесь вы все! Никого не будут штрафовать из-за каких-то форм на сайте и ненужных бумаг.

В Тамбовской области прокуратура оштрафовала юридическую компанию за заполнение формы обратной связи без согласия пользователя на обработку персональных данных. Суды поддержали.

Директора управляющей компании оштрафовали за то, что он передал юристам данные должников, чтобы составить исковые заявления. Согласие на обработку персональных данных у жильцов он не получил. Конституционный суд ему не помог.

В Астрахани прокуроры штрафуют владельцев сайтов за формы обратной связи по алфавиту.

Кроме штрафов в пользу государства за нарушение правил обработки персональных данных могут взыскать компенсацию морального вреда и даже посадить в тюрьму.

В законе про персональные данные много непонятного. Мы разобрались и ответили на

Возможно, будет полезно почитать: