1. Общие положения
1.1. Настоящая Политика Администрации сайта в отношении обработки персональных данных пользователей сайта «Юрсовет.ру» (далее также – сайт), разработана Администрацией сайта (далее также — Администрация) и определяет порядок и условия обработки Администрацией персональных данных пользователей сайта (далее также пользователи, посетители, читатели).
1.2. Политика является соглашением между любым пользователем и Администрацией, предметом которого является регулирование порядка и условий обработки Администрацией персональных данных пользователя.
1.3. К настоящей Политике применяются положения и термины, установленные законодательством в области персональных данных, об информации, информационных технологиях и о защите информации.
1.4. Пользователи обязан полностью ознакомиться с настоящей Политикой до момента совершения любых регистрационных и иных действий, влекущих передачу (размещение) любых своих данных на сайте. Регистрация пользователей на сайте, а также сообщение Администрации любых своих персональных данных означает полное и безоговорочное принятие пользователями настоящей Политики в соответствии со ст. 438 Гражданского кодекса Российской Федерации.
1.5. Политика может быть изменена Администрацией сайта в одностороннем порядке с сохранением предыдущих редакций соглашения и/или размещения сведений об истории производимых изменений. Приоритетную юридическую силу имеет соглашение, имеющее последнюю редакцию. Соглашение имеет обратную силу и распространяется на отношения, которые возникли ранее, в том числе по условиям в предыдущих редакциях. Сведения об изменениях публикуются по тексту Соглашения (в заключительных разделах) и являются надлежащим уведомлением, адресованным неопределенному кругу лиц.
1.6. Политика является открытым и общедоступным документом для неопределенного круга лиц. Действующая редакция Политики размещена в сети «Интернет» на странице сайта (адрес: ).
Администрация Сайта рекомендует пользователям регулярно проверять условия настоящей Политики на предмет её изменения. Продолжение использования сайта пользователями после внесения изменений в Политику означает принятие и согласие пользователей с такими изменениями.
2. Основания и условия обработки персональных данных пользователей
2.1. Основание обработки персональных данных.
2.1.1. Обработка персональных данных пользователей осуществляется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
2.1.2. Пользователь, сообщая свои данные, выражает собственное волеизъявление, основанное на своем интересе и разумении. Под сообщением данных подразумеваются любые законные манипуляции пользователя, направленные на достижение своих выгод и удовлетворение потребностей, исходя из организационных, информационных и технических возможностей сайта, в том числе, но, не ограничиваясь, заключение соглашений об оказании услуг, запрос информации.
2.2. Цель обработки персональных данных.
2.2.1. Обработка персональных данных, в том числе сбор, хранение, передача и распространение производится исключительно для удовлетворения потребительских запросов пользователей в сфере правовых услуг, а также осуществления исследовательско-просветительной деятельности в области права.
2.3. Случаи предоставления персональных данных пользователями:
2.4. Состав персональных данных, которые подлежат обработке.
2.4.1. Администрация сайта по желанию пользователей оказывает услуги в правовой сфере, в том числе консультирование, подготовка/помощь в составлении документов правового значения.
Услуги оказываются на безвозмездной основе.
Консультация оказывается на основании устного договора по оказанию юридических услуг.
Услуги по подготовке/содействию в подготовке документов правого значения предоставляются на основании письменного договора на оказание безвозмездных услуг.
При этом в распоряжение Администрации могут поступать сведения в любом виде и формате (в том числе электронные копии документов), необходимые для выполнения задания пользователей. Полученные персональные данные пользователей собираются и хранятся Администрацией в объеме необходимом для надлежащего оказания услуг и в период непосредственного оказания услуг. Персональная информация, не имеющая отношения к оказанию услуг, не обрабатывается Администрацией и в случае поступления подлежит возврату пользователям и/или уничтожению/удалению. После оказания услуг персональные данные пользователей удаляются/уничтожаются. Персональные данные, обрабатываемые в порядке оказания услуг, не распространяются неопределенному кругу лиц.
При заключении договора на оказании услуг пользователи дают согласие на обработку персональных данных.
2.4.2. Пользователи могут задавать вопросы, оставлять на сайте свои мнения и комментарии относительно размещенной на нём информации (далее также обращения).
Администрация имеет право реагировать на обращения пользователей, в том числе размещать контекстуальные ответы, разъяснения и т.п.
Содержание вопросов, мнений, комментариев и т.п. пользователей на сайте является информацией, к которой имеется доступ неограниченный круг лиц. В этой связи направление обращений является выражением сознательной воли пользователей о предоставлении доступа неограниченному кругу лиц к содержанию вопросов, мнений, комментариев и, соответственно, к персональным данным пользователей, обращающихся с такими вопросами, комментариями, мнениями и т.п. Обращение пользователей производится путем заполнения соответствующих интерактивных форм на сайте. Заполнение указанных форм и их активация (по правилам заполнения) свидетельствует о просьбе пользователей на предоставление доступа неограниченному кругу лиц к предоставленной информации и даче конкретного, сознательного согласия Администрации сайта на обработку персональных данных.
Администрация сайта при публикации обращений пользователей из числа их персональных данных распространяет на сайте только имя конкретного пользователя. Указанный вид обработки персональных данных осуществляется в целях обеспечение возможности пользователям идентифицировать свои обращения к Администрации сайта и ответы (прочие ответные реакции) на них.
Прочие персональные данные, в числе которых номера телефонов, адреса проживания, адреса электронной почты, иные сведения, использованные при описаниях, удаляются или обезличиваются.
Обращение публикуется на сайте не ранее чем через 1 день. До этого времени пользователи могут отказаться от обращения. Администрация сайта не производит обработку персональных данных пользователей. После размещения обращений пользователей на сайте пользователи могут отозвать свое согласие на обработку персональных данных. Администрация в таком случае незамедлительно производит блокирование персональных данных и их удаление/уничтожение.
2.4.3. Пользователи сайта имеют возможность получения услуг в области права от третьих лиц. Администрация содействует установлению контактов между пользователями и независимыми специалистами в области юриспруденции, то есть оказывает безвозмездную посредническую услугу. В рамках налаживания контактов, в том числе для консультирования, индивидуальной беседы и иных услуг Администрация предоставляет возможность размещать частное обращение пользователя к специалисту. Оформляя обращение с использование интерактивных форм, пользователи подтверждают факт заключения устного договора на оказание посреднической услуги и одновременно дают согласие на обработку их персональных данных, в числе которых могут быть имя пользователя, номер телефона, город проживания пользователя, адрес электронной почты. Указанные персональные данные Администрация обрабатывает исключительно в целях реализация соглашения о предоставлении безвозмездной посреднической услуги. Администрация сайта передает независимому специалисту указанные персональные данные пользователей для заключения между специалистом и пользователем соглашения на правовые услуги.
После выполнения указанных операций Администрация уничтожает/удаляет персональные данные, полученные от пользователей.
Отношения между специалистом и пользователем не регулируются Администрацией сайта, которая не несет ответственность за действия сторон друг перед другом
2.4.4. Администрация обрабатывает персональные данные специалистов в области правоведения, которые регистрируются (размещают свои данные) на сайте с целью оказания независимых услуги пользователям сайта. Отношения между специалистами и Администрацией определяются соглашением о сотрудничестве. Специалисты дают согласие на обработку их персональных данных при заключении соглашения о сотрудничестве. Заключение соглашения допускается путем подписания сторонами соглашения, либо регистрации и авторизации специалистов на сайте Администрации.
2.5. Персональные данные пользователей, не касающихся случаев, указанных в п.п. 2.3.- 2.4. настоящего соглашения уничтожаются без обработки.
3. Изменение пользователем персональной информации
3.1. Пользователь может в любой момент изменить (обновить, дополнить) предоставленную им персональную информацию или её часть. Для этих целей в пользователей может обратиться в частном порядке в любой доступной форме к Администрации сайта. Администрация принимает незамедлительные меры к актуализации персональных данных в соответствие с требованием такого пользователя.
3.2. Пользователь также может требовать удалить любую персональную информацию касающуюся его. При этом пользователь осознает и согласен с тем, что такое удаление не касается отношений, действовавших в прошлом. В связи с чем пользователь не может требовать компенсаций или принятиях каких-либо действий для восстановления положения, существовавшего до дачи согласия на обработку персональных данных.
4. Меры, применяемые для защиты персональных данных пользователей
4.1. Администрация сайта принимает необходимые и достаточные организационные и технические меры для защиты персональных данных пользователей от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ней третьих лиц.
4.2. Принимаемые меры защиты должны соответствовать требованиям законодательства, информационным и кибернетическим тенденциям.
4.3. Администрация обеспечивает регулярные технические мероприятия (в том числе с привлечением соответствующих специалистов в области программного обеспечения и функционирования телекоммуникационных систем) по поддержанию сайта в состоянии устойчивости к хакерским атакам, воздействию вредоносных программ и пр.
5. Заключительные положения
5.1. Настоящая Политика регулируется и толкуется в соответствии с законодательством Российской Федерации. Вопросы, не урегулированные Правилами, подлежат разрешению в соответствии с законодательством Российской Федерации.
5.2. В случае возникновения любых споров или разногласий, связанных с исполнением настоящей Политики, пользователи и Администрация сайта приложат все усилия для их разрешения путем проведения переговоров между ними. В случае, если споры не будут разрешены путем переговоров, споры подлежат разрешению в порядке, установленном действующим законодательством Российской Федерации.
5.3. Настоящая Политика вступает в силу для пользователей с момента совершения соответствующих действий на сайте в порядке п. 2.3-2.4 и действуют в течение неопределенного срока.
5.4. Если по тем или иным причинам одно или несколько положений настоящей Политики будут признаны недействительными или не имеющими юридической силы, это не оказывает влияния на действительность или применимость остальных положений.
5.5. Администрация вправе использовать предоставленную пользователями информацию, в том числе персональные данные, в целях обеспечения соблюдения требований действующего законодательства Российской Федерации (в том числе в целях предупреждения и/или пресечения незаконных и/или противоправных действий пользователей). Раскрытие предоставленной пользователями информации может быть произведено лишь в соответствии с действующим законодательством Российской Федерации по требованию суда, правоохранительных органов, а равно в иных предусмотренных законодательством Российской Федерации случаях.
5.6. Администрация, являясь оператором обработке персональных данных, в соответствии со ст. 22 ФЗ «О персональных данных» не несет обязанности по предоставлению уполномоченному органу по защите прав субъектов персональных данных уведомления о намерении осуществлять обработку персональных данных.
С июля 2017 года была изменена ответственность за нарушение законодательства о персональных данных. Один из новых составов правонарушений – невыполнение оператором персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки таких данных (далее – Политика). Причем названная обязанность существует еще с 2011 года, но специальная ответственность за ее невыполнение установлена только сейчас. Расскажем, что это за документ, как его составлять, все ли работодатели должны его иметь и где он должен быть опубликован.
В соответствии со ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) к обязанностям оператора персональных данных относится в том числе издание документа, определяющего политику оператора в отношении обработки персональных данных, что позволяет обеспечить реализацию принципов законности, конфиденциальности и безопасности информации. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к указанному документу и к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей сети.
Контроль исполнения этой обязанности осуществляют органы Роскомнадзора. И по их требованию оператор обязан представить перечисленные документы и локальные акты и (или) иным образом подтвердить выполнение обязанностей, установленных ст. 18.1 Закона № 152-ФЗ.
Что же это за документ? Не стоит путать его с положением о персональных данных. У оператора персональных данных в силу той же ст. 18.1 помимо Политики должны быть отдельные локальные акты по вопросам обработки таких данных и локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий нарушений.
К сведению: к обозначенным локальным актам относятся различные положения (об обработке персональных данных, об обеспечении безопасности персональных данных и т. п.), перечни (должностей и лиц, допущенных к обработке персональных данных, применяемых средств защиты и др.), инструкции и регламенты.
Многие организации этот документ так и называют – «Политика в отношении обработки персональных данных». До недавнего времени он составлялся в произвольной форме, но в августе 2017 года Роскомнадзор разработал Рекомендации по составлению документа,определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Законом № 152-ФЗ (далее – Рекомендации).
О том, какие положения рекомендовано включать в документ, определяющий эту политику, мы расскажем далее. Но прежде следует разобраться, все ли работодатели являются операторами персональных данных и соответственно все ли должны утверждать и опубликовывать его для неограниченного доступа.
Согласно ст. 3 Закона № 152-ФЗ оператор персональных данных – это государственный орган, муниципальный орган, юридическое или , самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку таких данных, а также определяющие цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с данными.
Общим признаком оператора персональных данных для всех организаций является обработка персональных данных работников. Организации, оказывающие услуги населению, обрабатывают еще и персональные данные клиентов. То есть, по сути, операторами персональных данных являются все без исключения организации.
Однако не все операторы должны исполнять требования Закона № 152-ФЗ в полном объеме. Так, не все операторы должны исполнять обязанность по уведомлению уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных согласно ст. 22 Закона № 152-ФЗ. Исключения, в частности, установлены для организаций, осуществляющих обработку персональных данных:
обрабатываемых в соответствии с трудовым законодательством;
полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если они не распространяются, не предоставляются третьим лицам без согласия субъекта данных используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими объединением или организацией, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
сделанных субъектом персональных данных общедоступными;
включающих в себя только фамилии, имена и отчества субъектов персональных данных;
необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;
обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Все остальные операторы такие уведомления направляют, после чего включаются в реестр операторов.
Обратите внимание: сведения об операторе, содержащиеся в реестре, являются общедоступными. Они размещаются для ознакомления на официальном сайте и портале персональных данных Роскомнадзора.
Соответственно, организации, не подающие уведомления, в реестр операторов не включаются.
Что же касается обязанности по составлению Политики и других локальных документов, здесь исключений никаких не установлено. Соответственно документ, определяющий политику в отношении обработки персональных данных, должен быть в каждой организации.
Причем если организация осуществляет сбор персональных данных граждан с использованием Интернета (регистрация на сайте, форма обратной связи, куда необходимо внести персональные данные), этот документ должен быть размещен на сайте организации. К таким организациям, в первую очередь, относятся интернет-магазины, социальные сети и другие сайты, государственные и муниципальные органы, а также медицинские учреждения, образовательные организации, налоговые и другие регистрирующие органы, организации в сфере социальных услуг, банки, турагентства. Это могут быть и просто организации, которые проводят конкурсы на занятие определенных должностей и на своих сайтах выставляют имеющиеся вакансии и предлагают кандидатам заполнить анкету.
Если органы контроля установят, что оператор не опубликовал или не обеспечил иным образом неограниченный доступ к своей Политике или сведениям о реализуемых требованиях к защите персональных данных, организация будет оштрафована в соответствии с ч. 3 ст. 13.11 КоАП РФ, предусматривающей штраф для должностных лиц от 3 000 до 6 000 руб., а для юридических – от 15 000 до 30 000 руб.
К сведению: в целях ограничения доступа к информации в сети «Интернет», обрабатываемой с нарушением законодательства РФ в области персональных данных, создается автоматизированная информационная система «Реестр нарушителей прав субъектов персональных данных». Формирует данный реестр Роскомнадзор (ст. 15.5 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»).
Итак, поскольку обязанность по созданию Политики существует давно, в большинстве организаций она разработана, правда, не факт, что опубликована. Иногда Политику публикуют так, что ее сложно найти. Поэтому организациям следует рассмотреть этот документ с учетом Рекомендаций и при необходимости внести изменения путем утверждения нового документа, разместив его в соответствии с требованиями законодательства. А работодателям, у которых этого документа нет, следует его срочно составить, руководствуясь Рекомендациями.
Здесь нужно описать назначение Политики, привести основные понятия, используемые в ней (обработка персональных данных, оператор, субъект персональных данных, конфиденциальность персональных данных и т. д.), перечислить основные права и обязанности оператора и субъекта(ов) данных.
Следует помнить, что обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка, несовместимая с целями сбора персональных данных.
Цели обработки персональных данных, перечисляемые в этом разделе, могут происходить в том числе из:
анализа правовых актов, регламентирующих деятельность оператора;
целей фактически осуществляемой оператором деятельности;
деятельности, которая предусмотрена учредительными документами оператора;
конкретных бизнес-процессов оператора в конкретных информационных системах персональных данных (по структурным подразделениям оператора и их процедурам в отношении определенных категорий субъектов персональных данных).
Таковым является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных. В качестве правового основания обработки этих данных могут быть указаны:
федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора;
уставные документы оператора;
договоры, заключаемые между оператором и субъектом персональных данных;
согласие на обработку персональных данных (в случаях, прямо не предусмотренных законодательством РФ, но соответствующих полномочиям оператора).
Обратите внимание: Закон № 152-ФЗ не может служить правовым основанием обработки персональных данных оператором, поскольку регулирует отношения, связанные с обработкой этих данных, и закрепляет требования, предъявляемые к операторам при обработке этих данных.
работники оператора, бывшие работники, кандидаты на замещение вакантных должностей, родственники работников;
клиенты и контрагенты оператора (физические лица);
представители и работники клиентов и контрагентов оператора (юридических лиц).
В рамках каждой из категорий субъектов и применительно к конкретным целям рекомендуется перечислить все обрабатываемые оператором персональные данные, а также, если применимо, отдельно описать все случаи обработки специальных категорий персональных данных и биометрических персональных данных.
В случае необходимости взаимодействия с третьими лицами в рамках достижения целей обработки персональных данных рекомендуется указывать условия передачи данных в адрес третьих лиц – например, наличие договора поручения на обработку персональных данных, в том числе находящихся за пределами Российской Федерации (трансграничная передача). При этом рекомендуется указать конкретное наименование и местонахождение соответствующих третьих лиц, цели осуществляемой (трансграничной) передачи, объем передаваемых данных, перечень действий по их обработке, способы и иные условия обработки, включая требования к защите обрабатываемых персональных данных.
Кроме того, оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством РФ.
Рекомендуется указывать сведения о соблюдении требований конфиденциальности персональных данных, установленных ст. 7 Закона № 152-ФЗ, а также о принятии оператором мер, предусмотренных ч. 2 ст. 18.1, ч. 1 ст. 19 Закона № 152-ФЗ.
Условием прекращения обработки персональных данных может являться достижение целей обработки, истечение срока действия согласия или отзыв согласия субъекта данных на их обработку, выявление неправомерной обработки персональных данных.
Хранение персональных данных рекомендуется осуществлять в форме, позволяющей определить субъекта данных, и не дольше, чем требуют цели обработки персональных данных, кроме случаев, когда срок хранения данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
К сведению: при осуществлении хранения персональных данных оператор обязан использовать базы данных, находящиеся на территории РФ, в соответствии с ч. 5 ст. 18 Закона № 152-ФЗ.
В случае подтверждения факта неточности данных или неправомерности их обработки персональные данные подлежат их актуализации оператором, а обработка должна быть прекращена (ст. 21 Закона № 152-ФЗ).
При достижении целей обработки персональных данных, а также в случае отзыва субъектом данных согласия на их обработку они подлежат уничтожению, если:
иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом № 152-ФЗ или иными федеральными законами;
иное не предусмотрено другим соглашением между оператором и субъектом персональных данных.
Оператор обязан сообщить субъекту персональных данных или его представителю информацию об осуществляемой им обработке персональных данных такого субъекта по запросу последнего (ст. 20 Закона № 152-ФЗ).
Кроме этих разделов, в Политику рекомендуется включать регламент(ы) реагирования на запросы, обращения субъектов персональных данных и их представителей, уполномоченных органов по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим данным, а также соответствующие формы запросов, обращений.
Политика утверждается приказом работодателя. Если принимается новая Политика, приказом следует отменить предыдущую и утвердить новую редакцию Политики.
С Политикой необходимо ознакомить всех работников организации под подпись.
В связи с постоянным развитием компьютерных технологий защите персональных данных уделяется все больше внимания. Сейчас практически каждая организация имеет свой сайт и не просто размещает на нем те или иные сведения, но и осуществляет через него обмен информацией, в том числе персональными данными. При этом на сегодняшний момент Политика мало кем из организаций опубликована.
Еще раз обращаем внимание, что Политика – это отдельный документ, который должен быть у каждого оператора персональных данных, не считая других обязательных локальных актов в сфере обработки и защиты персональных данных. Если у вас еще его нет, его следует разработать, а если есть – привести в соответствие с Рекомендациями. И не стоит относиться к этому формально, ограничиваясь общими нормами Закона № 152-ФЗ, поскольку при проверке будет учитываться не только сам факт наличия Политики, но и то, насколько она соответствует реальному положению дел в области обработки персональных данных в конкретной организации.
Государственные органы и работодатели обращают особое внимание на работу с персональными данными граждан и работников. Забота о безопасности информации и обеспечение конфиденциальности личных сведений – важный аспект для функционирования любого предприятия или учреждения.
Дорогие читатели! Статья рассказывает о типовых способах решения юридических вопросов, но каждый случай индивидуален. Если вы хотите узнать, как решить именно Вашу проблему - обращайтесь к консультанту:
ЗАЯВКИ И ЗВОНКИ ПРИНИМАЮТСЯ КРУГЛОСУТОЧНО и БЕЗ ВЫХОДНЫХ ДНЕЙ .
Это быстро и БЕСПЛАТНО !
ФЗ №152 устанавливает понятие персональных данных (ПД). Это любая информация, относящаяся к субъекту, а также позволяющая идентифицировать его личность прямо или косвенно. Законодательство не устанавливает конкретный перечень сведений, которые можно отнести к персональным данным.
В сфере трудовых взаимоотношений к ПД можно отнести:
К ПД также можно отнести:
Все это должно храниться в личном деле сотрудника и не может быть использовано против него. Информация также не может быть передана третьим лицам без согласия этого работника.
Любой работодатель является оператором по обработке ПД, то есть работодатель отвечает за сбор, хранение и накопление любых данных по отношению к сотруднику.
Обработка данных может проводиться руководителем или сотрудником отдела кадров вручную или с применением автоматизированных технологий. Конфиденциальность должна сохраняться как на время фактической работы физлица на предприятии, так и по завершению трудовой деятельности.
ФЗ №125 обязует предприятия хранить личные дела сотрудников в архиве в течение 75 лет. В течение этого периода никакая информация не может быть передана третьим лицам или использована в корыстных целях. Комплекс соответствующих мер должен быть направлен на конфиденциальность.
Необходимость создания конфиденциальности и порядок работы с персональными данными должен быть отражен в Политике обработки ПД.
На 2019 год положение о защите ПД имеет следующую структуру:
Введение политики обработки ПД в действие проходит в несколько этапов:
На практике руководитель и любой сотрудник предприятия должен иметь возможность обратиться к тексту положения при необходимости. Для удобства использования многие крупные предприятия выкладывают нормативные документы в ресурс общего корпоративного доступа.
В случае, если в данный момент положение о конфиденциальности персональных данных отсутствует, необходимо незамедлительно его разработать и согласовать со всеми инстанциями. Грамотно составленный документ поможет избежать многих проблем и разногласий.
Варианты нарушений и возможные санкции рассмотрены в таблице:
|
Нарушение |
Санкции для физлиц |
Санкции для должностных лиц |
Санкции для юрлиц |
| Обработка ПД в «других» целях. Например, передача сторонним предприятиям или рекламным компаниям. | Предупреждение или штраф в размере 1-3 тыс. рублей | Предупреждение или штраф в размере 5-10 тыс. рублей | Предупреждение или штраф в размере 30-50 тыс. рублей |
| Обработка ПД без согласия. Согласие должно быть предоставлено в письменном виде и заверено личной подписью физлица. Также обязательно присутствие даты заполнения документа и срока действия. | Штраф в размере 3-5 тыс. рублей | Штраф в размере 10-20 тыс. рублей | Штраф в размере 15-75 тыс. рублей |
| Отсутствие доступа к положению о ПД сотрудникам предприятия в любое время при необходимости. | Штраф в размере 700 – 1 500 рублей | Штраф в размере 3-6 тыс. рублей | Штраф в размере 5-10 тыс. рублей для ИП и 15-30 тыс. рублей для организаций |
| Сокрытие информации от владельца данных об изменениях в ПД или политике. | Штраф в размере 4-6 тыс. рублей | Штраф в размере 5-10 тыс. рублей | Штраф в размере 20-40 тыс. рублей |
| Нарушение сохранности ПД, в следствие чего третьи лица могли получить информацию. | Штраф в размере 700 – 2 000 рублей | Штраф в размере 4-10 тыс. рублей | Штраф в размере 10-20 тыс. рублей для ИП и 25-50 тыс. рублей для организаций |
Таким образом, передача личной информации работодателю или в другие учреждения должна сопровождаться заполнением согласия на обработку личных данных.
При этом получатель согласия не вправе распространять персональные сведения после оказания услуги или после увольнения в течение нескольких десятков лет. Если же процедура обработки информации или конфиденциальность будет нарушена, потерпевший может обратиться в суд для разъяснения ситуации.
С 1.07.2017 г. вступили в действие изменения в КоАП и ФЗ № 152. В соответствии с ними, всем организациям, учреждениям, предприятиям необходимо разработать и утвердить особый документ - Политику в отношении обработки персональных данных .
Новые требования законодательства направлены на защиту граждан от несанкционированного доступа и незаконного использования их личных сведений. Особое внимание законодатель уделил социально значимым объектам: ДОУ, школам.
Позволяет обеспечить реализацию принципов законности, конфиденциальности и безопасности информации.
Законодательством предусмотрены периодические проверки субъектов на предмет соответствия фактического уровня защиты установленным требованиям. Мониторинг осуществляют территориальные подразделения Роскомнадзора.
Политика в отношении обработки персональных данных - это документ, состоящий из нескольких разделов. В них приводятся сведения о субъекте, осуществляющем сбор и обработку данных, и о третьих лицах, участвующих в этом процессе, меры по защите информации, ссылки на нормативные документы, права носителей персональных сведений. Далее будет описан типовой образец Политики в отношении обработки персональных данных.
Справа вверху должен присутствовать гриф утверждения. В нем присутствуют: наименование должности, Ф. И. О. руководителя и его подпись, а также печать организации.
По центру, с небольшим отступом от грифа указывается наименование документа. Например, оно может быть таким:
"Политика ООО "__" в отношении обработки персональных данных и сведениях о реализуемых мерах по их защите".
Как правило, с титульного листа начинается текст документа.
В Общих положениях Политики в отношении обработки персональных данных приводится информация о самом документе. Ключевые его задачи состоят в:
Образец Политики в отношении обработки персональных данных содержит также указание на общедоступность документа.
В качестве субъекта, осуществляющего сбор и обработку личных сведений, может выступать любое предприятие, организация, в том числе оказывающая услуги оператора. Политика в отношении обработки персональных данных содержит информацию о:
В Политику оператора в отношении обработки персональных данных включаются также сведения о номере, дате и основании их внесения в единый реестр.
В этом разделе Политики организации в отношении обработки персональных данных приводятся указания на правовые документы, которыми руководствуется компания при работе с личными сведениями. К основным нормативным актам относят:
В целях реализации Политики в отношении обработки персональных данных компания принимает ряд локальных актов. В их числе Перечни:
Кроме того, утверждаются:
В должен присутствовать закрытый перечень задач, реализуемых организацией. Обработка сведений должна осуществляться для:
Политика в отношении обработки персональных данных предусматривает работы с личными сведениями:
Источниками этой информации являются сами ее носители.
Согласно Политике в отношении обработки персональных данных , субъект, работающий с информацией, обязан соблюдать положения 5 статьи ФЗ № 152.
Если организация не работает с в Политике должно быть это указано. Биометрические сведения характеризуют биологические и физиологические особенности человека, по которым устанавливается его личность.
К другим основополагающим принципам работы с личной информацией следует отнести:
Для реализации требований законодательства, достижения целей работы с персональной информацией, в интересах и по согласию носителей сведения передаются:
Этот раздел Политики в отношении обработки персональных данных считается одним из самых значимых.
Субъект, работающий с личной информацией граждан, обязан предпринять все юридические, технические и организационные меры по предотвращению случайного или противоправного доступа, изменения, уничтожения, копирования, блокирования, распространения и совершения иных противозаконных действий с ней.
В организации должны быть назначены служащие, ответственные за организацию работы с информацией.
В обязательном порядке предусматривается внутренний контроль/аудит соответствия обработки сведений требованиям ФЗ № 152, а также нормативным документам, принятым на его основании, в том числе локальным актам. Все сотрудники, работающие с личной информацией граждан, должны быть ознакомлены с их положениями.
До ввода в эксплуатацию информсистемы должна быть проведена оценка эффективности мер, предпринимаемых для обеспечения защиты сведений.
Факты несанкционированного доступа к персональным данным должны выявляться оперативно. При их обнаружении организация обязана принимать меры по восстановлению измененных либо уничтоженных сведений.
Доступ к персональным данным должен осуществляться по установленным в законодательстве и других, в том числе В организации должны обеспечиваться регистрация и учет действий, совершаемых с личной информацией граждан. Обязательным требованием законодательства является установление контроля за мерами, предпринимаемыми для защиты данных и информсистем.
В должностных регламентах определяются обязанности сотрудников, работающих с личной информацией.
Граждане вправе получать сведения о процессе обработки их личной информации. Носитель данных может потребовать их уточнения, уничтожения либо блокирования, если они:
Носитель информации вправе принимать меры для защиты своих интересов в рамках действующего законодательства.
Оно допускается исключительно в случаях, предусмотренных законом. Права граждан на доступ к их персональным данным ограничивается, если:
В Политике об обработке персональной информации должны закрепляться меры, которые может предпринимать гражданин для защиты своих прав. В частности, субъект может обратиться непосредственно к лицам, работающим с его личными данными.
Организация должна рассматривать любые жалобы и обращения, тщательно изучать их. При необходимости проводится внутреннее расследование нарушений. Организация обязана предпринять все меры для незамедлительного устранения выявленных нарушений, наказания виновных и урегулирования конфликтов в досудебном порядке.
Носитель персональных сведений может оспорить действия/бездействия организации, ее сотрудников посредством обращения в орган, уполномоченный на реализацию функций по защите прав субъектов персональной информации. Он также может потребовать компенсации морального либо материального вреда в судебном порядке.
В Политике должна присутствовать информация о лицах, ответственных за организацию работы с персональными сведениями. Им может являться руководитель отдела по приему граждан, организационно-технической работы и социального сопровождения. Должны указываться его Ф. И. О., должность, номер телефона. По усмотрению руководства организации в контактных данных может присутствовать адрес эл. почты.
Кроме того, в этом разделе Политики должны указываться сведения о контролирующем органе:
В этом разделе приводится информация о разработчиках Политики и лице, контролирующем ее исполнение в организации. В качестве первых выступает, как правило, компании. Контроль исполнения положений возлагается на руководителя организации или его заместителя. Ф. И. О. и должность ответственного лица должна обязательно указываться в документе.
Разработанный проект Политики передается руководителю для согласования. Утверждение документа осуществляется по приказу директора. Этот акт составляется по типовому образцу, принятому в соответствии с номенклатурой дел, на основании Инструкции по делопроизводству.
В Приказе присутствуют следующие сведения:
Преамбула, как правило, обычно выглядит следующим образом:
"В соответствии с п. 2 ст. 18.1 ФЗ № 152 "О персональных данных", Постановлением правительства № 211 от 21.03.2012 г., принятыми на их основании нормативными актами, приказываю…"
"Утвердить Политику "___" в отношении обработки персональных данных".
Операторы должны размещать утвержденный документ на официальном сайте региона в разделе "Реестр поставщиков соц. услуг". В этой связи в приказе указывается следующее:
"Начальнику отдела по работе с гражданами (Ф. И. О.) в течение 10 дней с даты утверждения опубликовать Политику на официальном сайте (наименование региона) в разделе "Реестр поставщиков социальных услуг".
Если в организации ранее была утверждена Политика, ее следует пересмотреть и при необходимости внести изменения. Откорректированный документ следует утвердить заново. При этом приказ, на основании которого была принята действовавшая до изменений Политика, нужно отменить. Для этого издается распоряжение. В нем можно одновременно отменить ранее действовавший приказ и утвердить откорректированную политику.
В последнее время вопросу обеспечения защиты персональных сведений уделяется повышенное внимание. Это связано со стремительным развитием компьютерных технологий, появлением новых возможностей для недобросовестных пользователей. Каждая организация, работающая с персональными данными, должна гарантировать их носителям безопасность.
Положения Политики должны быть доведены до сведения всех работников. Требования, предусмотренные документом, являются обязательными для исполнения всеми подразделениями компаний, учреждений, предприятий и других лиц, участвующими в работе с личной информацией граждан. Нарушение предписаний влечет ответственность в соответствии с нормами действующего законодательства.
