Штрафы за персональные данные в 2021 году

Новое в Законе «О персональных данных» 2021. Что нас ждет?

Штрафы за персональные данные в 2021 году

23 декабря 2020 г. Госдума приняла законопроект о внесении изменений в Закон «О персональных данных» — два чтения законопроект прошел за два дня.

А 30 декабря 2020 г. Федеральный закон № 519-ФЗ “О внесении изменений в Федеральный закон “О персональных данных” уже был подписан Президентом.

По замыслу создателей изменения вступят в силу в два этапа: основная часть с 1 марта 2021, вторая — с 1 июля 2021 г.

Сразу предупрежу: не спешите переподписывать согласия и перезаключать договоры. Прежде проконсультируйтесь со своим юристом. Ниже изложена моя точка зрения на изменения и она не претендует на истину. Будем ожидать разъяснений Роскомнадзора.

Персональные данные в 2021

Что нового

Изменения сводятся к одному важному моменту — понятия общедоступных персональных данных больше не будет. Не путайте с общедоступными источниками персональных данных.

Из части 1 статьи 6 исключается пункт 10 — важное условие обработки персональных данных без согласия:

«10) осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (персональные данные, сделанные общедоступными субъектом персональных данных);»

Этот принцип так или иначе охватывал возможность публикации персональных данных пользователей соцсетей. Да, была и иная точка зрения, но сейчас в этих спорах поставлен восклицательный знак:

любые данные о человеке можно публиковать только с его прямого согласия!

Исключения сделаны только для случаев, где есть государственный, общественный и публичный интерес. Уважаемые журналисты, аккуратно выдыхайте

Источник: https://mediapravo.com/privacy/rasprostranenie-pd.html

Ответственность за разглашение персональных данных в 2021 году – Институт Профессионального Кадровика

Штрафы за персональные данные в 2021 году
22 декабря

5147

#CNT# data-template-html-inactive=В избранное #CNT#>

За нарушения при обработке личных сведений можно лишиться денег, должности, а в отдельных ситуациях и свободы. Сохраните в закладках нашу таблицу проступков и наказаний, чтобы уберечь себя от неприятностей с законом.

  • Уголовная — в зависимости от тяжести нарушения суд может назначить разные наказания: от крупных штрафов до лишения свободы, причем, чтобы ответить по статье, достаточно рассказать чужую личную информацию всего одному человеку.
  • Административная — суд предпишет заплатить штраф или ограничится предупреждением.
  • Гражданско-правовая — необходимо будет возместить материальный или моральный ущерб
  • Дисциплинарная — предполагает замечание или выговор, иногда дело может дойти до увольнения.
НарушениеВозможные наказанияНорма закона
  • Сбор или распространение данных, которые составляют личную или семейную тайну человека, без его согласия.
  • Обнародование таких данных.

Стоит понимать, что у понятий «личная тайна» и «семейная тайна» нет конкретных определений.Суды трактуют их довольно широко, а потому есть риск ответить перед законом за раскрытие практически любых личных сведений о другом человеке.В целом, личной тайной считается все, что человек, хотел бы скрыть: болезнь, религиозные убеждения, уровень обеспеченности и т.д.Например, одной компании пришлось отвечать перед судом за раскрытие перемещений автомобиля, а другой — за детализацию мобильных расходов клиента.Понятие семейной тайны немного конкретнее: это информация об отношениях с родственниками, социально-бытовых условиях жизни и т.д.

  • штраф
  • обязательные, исправительные, принудительные работы
  • лишение права вести профессиональную или другую деятельность
  • арест, лишение свободы
137 статья УК РФ, ч. 1С использованием служебного положения — 137 ст, ч 2
Незаконное обнародование информации о потерпевшем, которому нет 16 лет, если эта информация:касается уголовного дела.раскрывает его страдания, полученный вред и подобные последствия, связанные с преступлением.Городская газета опубликовала статью о девочке-подростке, указав её ФИО и номер школы. При этом ни девочка, ни ее родители согласия на обнародование таких личных данных газете не давали. РКН вынес редактору письменное предупреждение, однако она на него не отреагировала, и в газете появилось еще несколько статей с личной информацией героев, не достигших 16 лет.В результате суд постановил закрыть газету.
  • штраф
  • лишение права вести профессиональную или другую деятельность
  • принудительные работы
  • арест, лишение свободы
137 статья УК РФ, ч. 3
Чиновник неправомерно отказался предоставить человеку документы, затрагивающие его права и свободы, либо предоставил ему неполную или заведомо ложную информацию — при условии, что эти действия нанесли вред правам и законным интересам граждан.Чиновник также будет наказан за:

  • уклонение от выдачи документов (например, он заявит, что нужных человеку данных нет, хотя они есть);
  • бездействие (например, проигнорирует письменный запрос).
  • штраф
  • лишение права вести профессиональную или другую деятельность
140 статья УК РФ
Неправомерный доступ к компьютерной информации, которая охраняется законом, если это вызвало ее уничтожение, блокирование, изменение или копирование.Под неправомерным доступом здесь подразумевают любое взаимодействие с данными (включая просто ознакомление), на которое нет разрешения собственника или другого законного пользователя.
  • штраф
  • исправительные, принудительные работы
  • ограничение свободы
  • лишение свободы
272 статья УК РФ, ч. 1ущерб от 1 млн. руб — 272 статья, ч 2
Описанные в 1 и 2 частях статьи правонарушения, если они были совершены:

  • группой лиц по предварительному сговору;
  • организованной группой;
  • с использованием служебного положения.
  • штраф
  • ограничение свободы
  • принудительные работы
  • лишение свободы
272 статья УК РФ, ч. 3
Правонарушения, описанные в 1, 2 и 3 частях статьи, если они вызвали тяжкие последствия или угрозу их наступления (к таким случаям относят, например, смерть, существенный вред здоровью).лишение свободы до 7 лет272 статья УК РФ, ч. 4

Уголовной ответственностью за разглашение персональных данных грозит, например, не слишком популярная, но встречающаяся практика публикации черного списка сотрудников. Даже в случае указания только ФИО проблемных работников, без, например, их контактов, это уже будет считаться незаконным обнародованием личной информации.

НарушениеЧто грозитНорма закона
  • Отказ предоставить гражданину (в том числе адвокату) или организации сведений, которые федеральные законы предписывают предоставлять.
  • Предоставление позднее положенного срока.
  • Предоставление заведомо недостоверных данных.
штраф 5-10 тыс. руб.Статья 5.39 КоАП РФ
  • Обработка личных сведений в случаях, не предусмотренных законами о ПД.
  • Обработка личных сведений, которая не отвечает целям сбора ПД, заявленным оператором. Исключение — ситуации, оговоренные 2 частью статьи, если эти действия не включают уголовно наказуемого деяния.

Салон красоты собирал телефоны клиентов, поясняя, что будет напоминать о грядущих визитах к мастерам или сообщать об их отмене. А помимо этого начал рассылать рекламные смс, хотя клиенты соответствующую бумагу не подписывали.Салон привлекли к административной ответственности за нарушение обработки персональных данных.

Статья 13.11 КоАП РФ, ч. 1
  • Обработнка личной информации без письменного согласия человека в тех случаях, когда его требует законодательство, если эти действия не содержат уголовно наказуемого деяния.
  • Письменное согласие на обработку есть, но оператор собирает не только те сведения, что в этом согласии перечислены.

Частная клиника заводила амбулаторные карточки пациентов и вносила в свою базу их ФИО, телефоны и адреса. При этом подписать согласие на обработку ПД клиентам не предлагалось.Суд назначил директору клиники штраф.

  • штраф от 3 до 75 тыс. руб.
Статья 13.11 КоАП РФ, ч. 2
Непредоставление в открытом доступе документа, разъясняющего политику в отношении обработки и защиты личной информации.Владельцу форума пришлось заплатить штраф, так как он не разместил на сайте информацию о деталях работы с личной информацией — адресах электронной почты, которые собирал.Статья 13.11 КоАП РФ, ч. 3
Непредоставление человеку сведений, касающихся обработки его личной информации.штраф от 1 до 40 тыс. рубСтатья 13.11 КоАП РФ, ч. 4
Оператор не уточнил, не заблокировал или не удалил в оговоренный законом срок личностные данные, которые устарели, оказались неточными, были получены незаконно или не отвечали заявленным оператором целям.Потребовать проделать все перечисленные действия имеет право как сам человек, чьи ПД оказались в распоряжении оператора, так и его представитель или уполномоченный орган по защите прав субъектов персональных данных.Статья 13.11 КоАП РФ, ч. 5
Оператор недостаточно надежно хранил ПД на материальных носителях, и информация попала к третьим лицам — неважно, целенаправленно они ее получили или случайно.Получив информацию, третья сторона ее уничтожила, как-то изменила, скопировала или провела еще какие-то операции, но при отсутствии признаков уголовно наказуемых действийштраф от 700 рублей  до 50 тыс. руб.Статья 13.11 КоАП РФ, ч. 6
Орган управления не обезличил ПД вопреки закону или не применил для этого установленные законом методы.Например, визовые центры присваивают каждому подающему на визу идентификационный номер. Такой номер не принадлежит к разряду персональной информации и обезличивает человека: по номеру невозможно установить конкретную личность.Статья 13.11 КоАП РФ, ч. 7
Оператор не сообщил вовремя или совсем не сообщил положенные законом данные госоргану или чиновнику.За сообщение ложных или неполных данных также придется ответить в суде.В Федеральную антимонопольную службу пожаловался мужчина: ему приходила рекламная рассылка от кафе, хотя он не давал на это согласия. ФАС запросила у оператора сотовой связи данные абонента, от которого шла рассылка. Компания отказалась, сославшись на закон о персональных данных.Однако суд постановил, что ФАС имеет право запрашивать сведения об абоненте, поскольку ситуация с рекламной рассылкой входит в сферу ее деятельности.Статья 19.7 КоАП РФ
Важно!С декабря 2019 года изменена статья 13.11 КоАП. Теперь отдельное наказание предусмотрено тем, кто хранит персональные данные на серверах вне территории России. Штрафы внушительные: до 6 миллионов рублей за первое нарушение и до 18 миллионов рублей — за повторное.
НарушениеЧто грозитНорма закона
Оператор нарушил правила обработки личной информации, из-за чего человек понес материальные потери.Это могут быть:

  • затраты на восстановление нарушенных прав потеря;
  • порча имущества;
  • упущенная выгода.
Полное возмещение убытков, если только меньший объем выплат не установлен законом или договором.Если виновник как-то нажился на чужой личной информации, ее владелец вправе потребовать в дополнение упущенную выгоду в размере не меньшем, чем полученные нарушителем доходы.Статья 15 Гражданского кодекса
Оператор нарушил правила обработки личностных сведений, что повлекло для человека моральный вред.Мужчина обратился в суд: банк засыпал его смс и звонками с требованиями погасить задолженность по кредиту. Деньги он действительно брал, но уже давно выплатил. Однако до сотрудников банка это донести не удавалось.Суд запретил банку обрабатывать ПД истца и постановил выплатить ему 15 тыс. руб. моральной компенсации.Компенсация морального вредаСтатья 24 Закона «О персональных данных»
НарушениеЧто грозитНорма закона
Сотрудник придал огласке личную информацию другого сотрудника, которые он выяснил в ходе работы.Менеджер банка, проверяя платежеспособность заявителя на кредит, позвонил к нему на работу. Руководитель не должен давать информацию о размере зарплаты подчиненного без его письменного согласия и официального письма из банка.УвольнениеСтатья 81, пункт 6, подпункт «в» Трудового кодекса
Работник допустил какие-либо другие нарушения при работе с личной информацией.Рекрутер передала резюме неподошедшего соискателя коллеге из другой компании. У нее было согласие человека на обработку его личных сведений, но не на передачу кому-то еще. Поэтому рекрутеру сделали выговор.Замечание или выговорСтатья 90 и статья 192 ТК РФ

Если вы работодатель, и ваш подчиненный нарушил правила конфиденциальности, учитывайте, что и вы должны играть значительную роль в недопущении подобных ситуаций. В частности, важно:

  • защитить личные сведения сотрудников и клиентов от стороннего доступа (в том числе внутри организации);
  • прописать в трудовом договоре ответственность сотрудника за нарушение принципов конфиденциальности;
  • донести до всех сотрудников правила и принципы работы с ПД, которые установлены законом и применяются в организации.
Всё равно остались вопросы? Или хочется больше разборов реальных ситуаций из практики? Делимся практическим опытом и даем новейшую информацию в авторском курсе о персональных данных. Вам не придется самостоятельно изучать законы и разбирать нагромождения юридических формулировок. Мы уже сделали это за вас и упаковали в простые и понятные принципы.

 

Источник: https://profkadrovik.ru/articles/work-with-documents/otvetstvennost-personalnye-dannye-2020/

Штрафы за персональные данные в 2021 году – за что штрафуют и на сколько

Штрафы за персональные данные в 2021 году
2 декабря 2019 года вступили в силу новые штрафы за нарушения законодательства РФ в области персональных данных суммой до 18 миллионов рублей.

Административная ответственность по статье 13.

11 в текущей редакции предусматривает дифференциацию в зависимости от последствий нарушения.

Так ответственность для юридического лица предусматривает наложение штрафа в размере от 15 тысяч до 6 миллионов рублей, а при повторном нарушении — до 18 миллионов рублей.

Максимальный совокупный штраф для должностного лица составляет 268 тысяч рублей, а при повторном нарушении может превышать 800 тысяч.

Статья 13.11 Кодекса об административных правонарушениях РФ

КоАП РФ не возлагает на организации, осуществляющие обработку персональных данных, дополнительных обязанностей и не изменяет содержание существующих требований, которые предусмотрены законодательством в области персональных данных (152-ФЗ).

Стоит отметить, что КоАП наделяет должностных лиц органа, осуществляющего функции по контролю и надзору в области персональных данных, которым является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), полномочиями по возбуждению дел об административных правонарушениях.

Представляем вашему вниманию сводную таблицу штрафов за нарушения законодательства в области персональных данных (в редакции от 02.12.2019):

Статья статьи КоАП Сумма штрафа Гражданин Должн. лицо ИП Юр. лицо
13.11 ч.1 Обработка персональных данных в случаях, не предусмотренных законодательством РФ в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния 1-3 тыс. руб 5-10 тыс. руб 30-50 тыс. руб
13.11 ч.2 Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством РФ в области персональных данных, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством РФ в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных 3-5 тыс. руб 10-20 тыс. руб 15-75 тыс. руб
13.11 ч.3 Невыполнение оператором предусмотренной законодательством РФ в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных 0,7-1 тыс. руб 3-6 тыс. руб 5-10 тыс. руб 15-30 тыс. руб
13.11 ч.4 Невыполнение оператором предусмотренной законодательством РФ в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных 1-2 тыс. руб 4-6 тыс. руб 10-15 тыс. руб 20-40 тыс. руб
13.11 ч.5 Невыполнение оператором в сроки, установленные законодательством РФ в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки 1-2 тыс. руб 4-10 тыс. руб 10-20 тыс. руб 25-45 тыс. руб
13.11 ч.6 Невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих в соответствии с законодательством РФ в области персональных данных сохранность персональных данных при хранении материальных носителей персональных данных и исключающих несанкционированный к ним доступ, если это повлекло неправомерный или случайный доступ к персональным данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении персональных данных, при отсутствии признаков уголовно наказуемого деяния 0,7-2 тыс. руб 4-10 тыс. руб 10-20 тыс. руб 25-50 тыс. руб
13.11 ч.7 Невыполнение оператором, являющимся государственным или муниципальным органом, предусмотренной законодательством РФ в области персональных данных обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов по обезличиванию персональных данных 3-6 тыс. руб
13.11 ч.8 Невыполнение оператором при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», предусмотренной законодательством РФ в области персональных данных обязанности по обеспечению записи, систематизации, накопления, хранения, уточнения (обновления, изменения) или извлечения персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ 30-50 тыс. руб 100-200 тыс. руб 1-6 млн. руб
13.11 ч.9 Повторное совершение административного правонарушения, предусмотренного частью 8 настоящей статьи 50-100 тыс. руб 500-800 тыс. руб 6-18 млн. руб

Данная статья актуализирована с учетом изменений статьи 13.11 Кодекса №195-ФЗ от 2 декабря 2019 года.

Источник: https://data-sec.ru/personal-data/fines/

Персональные данные в 2021: как компаниям с ними работать и не получать штрафы | Rusbase

Штрафы за персональные данные в 2021 году

Александр Оводов, основатель Ovodov Cybersecurityh, рассказывает, как будут регулировать использование персональных данных в 2021 году и что компаниям обязательно нужно учесть.

Персональные данные в 2021: как компаниям с ними работать и не получать штрафы Дарья Мызникова

С учетом активного перехода компаний в цифру и на удаленную работу, вероятность утечки или хищения персональных данных (ПДн) возрастает, возрастают и репутационные риски и риски внеплановых проверок Роскомнадзора, прокуратуры и ФСБ.

С момента принятия 152-ФЗ «О персональных данных» правительство и Роскомнадзор не раз задавались вопросом — как повысить ответственность операторов ПДн за утечки?

Причина тому — ежегодный рост утечек ПДн граждан. Способов использования похищенных данных достаточно много, от банальных рассылок спама до продуманных схем социальной инженерии. Вот наиболее частые:

  • Распространение вирусов и вредоносного ПО через рассылки спама на почту, мессенджеры, соцсети людей, чьи данные были похищены.
  • Кража аккаунтов в социальных сетях в целях шантажа, компрометация публичных личностей.
  • Проникновение в сеть организаций для хищения ценной информации (клиентская база, ноу-хау, заявки от клиентов) или же шифрования серверов и ПК сотрудников в целях вымогательства денег.
  • Предложения о покупке сомнительных лекарств и непроверенных способов лечения на основе полученных медицинских данных.
  • Склонение людей к противоправным действиям, пользуясь их слабостями.
  • Деяния уголовных элементов, сексуальных маньяков, продавцов наркотиков в отношении детей.
  • Социальная инженерия. Мошенники часто представляются сотрудниками банков и манипулируют людьми с целью получения денежных средств или сообщения информации, которая позволит им получить доступ к банковским счетам и картам.

По данным отчета Центрального банка, за первые шесть месяцев 2020 года было зафиксировано более 300 тысяч несанкционированных операций со средствами граждан, совершенных без их согласия. Их объем составил порядка 4 млрд рублей. Это на 39% больше того же периода 2019 года. 

Ежегодный рост утечек ПДн налицо. Законодатели призывают к ответственности путем повышения штрафов, увеличения числа проверок для того, чтобы компании принимали меры по обеспечению безопасности обрабатываемых ими ПДн. 

Unsplash

Основным документом, определяющим порядок ответственности и штрафов за административные нарушения, является КоАП — Кодекс об административных правонарушениях.

Последнее принятое изменение в КоАП ужесточило ответственность за нарушение требований по локализации ПДн: теперь серверы с данными российских пользователей должны находиться на территории России.

С декабря 2019 года первичный штраф для организаций, нарушивших это требование, составляет от 1 до 6 млн рублей, за повторный — от 6 до 18 миллионов. Вспомним о назначении штрафа в размере 4 млн рублей за отказ о переносе серверов в Россию.

Изменения в российском законодательстве, которые нас ждут

Сейчас Госдума совместно с Правительством готовит не просто поправки в КоАП, а принятие нового кодекса. В части про персональные данные нас ждут два изменения.

Изменение №1

Появляется новое основание, за несоблюдение которого могут оштрафовать (раньше за это не наказывали рублем). Невыполнение обязанности по соблюдению конфиденциальности ПДн влечет наложение штрафа:

  • на граждан — в размере от 10 до 20 тысяч рублей;
  • на должностных лиц — от 40 до 100 тысяч рублей;
  • на индивидуальных предпринимателей — от 100 до 300 тысяч рублей;
  • на юридических лиц — от 300 до 500 тысяч рублей.

Организация, физическое или юрлицо, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия владельца ПДн, если это не предусмотрено федеральным законом.

Любая передача ПДн (распространение, предоставление, доступ) является незаконной без согласия владельца ПДн и является нарушением конфиденциальности его ПДн.

Если ПДн сотрудников были переданы без их письменного согласия, то во-первых, это противозаконно, а во-вторых, за подобные действия будут штрафовать.

Вот типовые ситуации, которые будут подпадать под данную статью:

1. Передача ПДн работников третьим лицам:

  • в банк для целей выплаты заработной платы и иных материальных выплат, а также перечисления подотчетных средств;
  • в охранное предприятие в целях взаимодействия и реагирования;
  • в медицинские организации в целях проведения медицинских осмотров;
  • в страховые компании по договорам добровольного медицинского страхования;
  • в образовательные организации в объеме превышающем требования закона об образовании;
  • в целях организации командировок и участия в выставках;
  • в других целях, напрямую не связанных с должностными обязанностями сотрудника.

2. Передача ПДн клиентов, представителей клиентов, поставщиков, партнеров третьим лицам в целях:

  • организации мероприятий, маркетинговых акций, рекламы; 
  • размещения отзывов, рекламных акций на сайте компании и других общедоступных источниках;
  • сбор персональных данных через онлайн-каналы (мессенджеры, социальные сети, формы обратной связи на сайте, онлайн-консультанты) без применения средств защиты, обеспечивающих их конфиденциальность при передаче через интернет.

3. Получение ПДн без подтверждения наличия согласия от человека или иных законных оснований у передающей стороны.

4. Предоставление доступа к ПДН внутри организации сотрудникам без должного документального оформления (должностные обязанности и/или локальные нормативные акты).

Изменение №2

Ответственность за не обезличивание персональных данных теперь несут не только государственные и муниципальные органы власти, но и все операторы.

По второму изменению в новом КоАП дело касается обезличивания ПДн. Проще говоря, если персональным данным (паспортным, медицинским, контактным данным и т.п) будет присвоен идентификационный номер, то это обезличивает персональные данные, т.к. по одному номеру нельзя определить человека. 

В новом КоАП предполагается распространить ответственность за не обезличивание персональных данных с государственных и муниципальных органов власти на всех операторов. Все операторы будут обязаны обезличивать ПДн, которые обрабатывают.

Невыполнение подобных требований влечет предупреждение или наложение административного штрафа для всех операторов ПДн в размере от 3 до 6 тысяч рублей. Штрафы небольшие, но можно предположить, что это только начало.

Unsplash

Что делать в 2021 году

Новый КоАП еще не принят, но вектор внимания уже определен. Для того чтобы нововведения не стали для вас сюрпризом, необходимо в 2021 году провести оценку соответствия процессов обработки и защиты персональных данных требованиям законодательства.

Проводить ее необходимо не реже, чем раз в три года. Это установлено законом.

Компания должна выполнить следующее:

  • Изучить все источники поступления ПДн в организацию, цели поступления и состав данных.  К примеру, нужно понимать, что источники ПДн клиентов и сотрудников разные, и состав ПДн тоже разный.

  • Проанализировать, где и как организация получает ПДн — наличие договора, соглашения и/или другого юридически значимого документа, подтверждающего правомерность получения персональных данных, их состав и цели обработки.

    Получение всех ПДн, которые попадают в организацию, без исключения должны подтверждаться подобными документами: корректно составленное соглашение по обработке ПДн на сайте, с которого компания получает ПДн клиентов, Соглашение по обработке ПДн с сотрудниками.

  • Изучить, какие и чьи ПДн в организации обрабатываются (в разрезе категорий физических лиц). Ориентируясь на ПДн клиентов и сотрудников, видно, что процесс их обработки и хранения разный. Доступ к ПДн сотрудников имеют отдел кадров, бухгалтерия, а к клиентским данным — та же бухгалтерия и коммерческий отдел.

  • Проверить наличие утвержденных локальных нормативных актов, определяющих порядок доступа сотрудников к персональным данным.  Документы, в которых прописано, кто и за что отвечает.
  • Проанализировать соответствие процесса обработки локальным нормативным актам. Зачастую на практике бывает несоответствие.

  • Изучить ваших получателей персональных данных: кому, для каких целей и в каком составе передаются персональные данные. Опять же, практика показывает, что в некоторых организациях к ПДн допускаются сотрудники, не имеющие к ним отношения.

  • Проанализировать, на каких условиях передаются ПДн третьим лицам — обязательно наличие договора, соглашения и/или другого юридически значимого документа, подтверждающего правомерность передачи персональных данных.

      Если зачисление зарплаты сотрудникам компании происходит через зарплатный проект банка, то компания обязана с каждым сотрудником, участвующем в зарплатном проекте, подписать соглашение о передаче его ПДн в этот банк.

  • Определить, какие персональные данные стоит обезличивать.

     К примеру, это данные, чей срок хранения официально вышел, но при этом характеристики клиента имеют ценность без необходимости идентификации физического лица.

  • Определить, какие согласия уже не имеют силы и которые надо скорректировать. Отсутствие отлаженной системы работы с ПДн в прошлом означает, что, возможно, часть документов уже не актуальна.
  • Изучить, как защищаются персональные данные в компании и от кого они реально защищены — только от внешних злоумышленников или от внутренних тоже?  Очень часто данные клиентов утекают вместе с увольняющимися сотрудниками коммерческих отделов.
  •  Составить годовой план и реализовать его.  Необходимо разработать поэтапный план по реализации этих пунктов с учетом объема работы и времени на их выполнения.

Два пути

Утечка ПДн может обернуться для компании не только финансовыми убытками, но и потерей репутации на рынке и разрывом отношений с партнерами. Поэтому важно изучить законодательство и вовремя принять меры. И здесь есть два пути:

  • делать все самостоятельно (силами организации);
  • доверить выполнение требований закона компаниям, которые могут провести независимый аудит по обработке ПДн и решить выявленные проблемы.

Фото на обложке: Shutterstock/Trismegist san

Нашли опечатку? Выделите текст и нажмите Ctrl + Enter

Источник: https://rb.ru/opinion/personal-data-2021/

Поделиться:
Нет комментариев

    Добавить комментарий

    Ваш e-mail не будет опубликован. Все поля обязательны для заполнения.