Закон о предоставлении данных. Федеральный закон "О персональных данных": основные положения простыми словами

Работу с индивидуальными сведениями сотрудников регулирует закон о защите персональных данных (Полное название Федеральный Закон «О персональных данных») и Гражданский Кодекс Российской Федерации. Обладая конфиденциальными сведениями о наемном работнике, работодатель обязан, помимо всего, обеспечить их сохранность в соответствии с законом. Чтобы более подробно разобраться в данном вопросе, начнем, как говорится, «от печки» — для начала рассмотрим перечень персональных данных, подлежащих защите.

Оформляя трудовые отношения с новым сотрудником, работодатель собирает и обрабатывает его персональные данные. Под персональными подразумеваются индивидуальные сведения о конкретном человеке. В том числе:

личностная информация: ФИО, возраст, половая принадлежность, фотоизображение;
сведения о полученном образовании и профессиональных навыках;
национальность и расовая принадлежность;
отношение человека к наркотическим, алкогольным, психотропным веществам;
сведения об этапах прошлой жизни (служба в рядах вооруженных сил, отбывание наказания, предыдущие места работы и т.п.);
принадлежность к политическим и религиозным течениям;
материальное положение;
сведения о месте проживания;
информация о родственных связях и семейном положении;
оценивающая характеристика личности;
данные о физическом и психическом состоянии сотрудника и его сексуальной ориентации;
наличие хобби, увлечений.

Получив необходимые сведения о своем сотруднике, наниматель обязан, согласно Федеральному Закону о защите персональных данных, обработать и сохранить их. Обрабатывая индивидуальные данные сотрудников, руководитель предприятия должен соблюдать некоторые правила, предусмотренные законом:

Собирать и обрабатывать можно только те сведения личного характера, которые влияют на эффективность сотрудничества в рамках трудовых отношений, более качественное выполнение трудовых обязанностей и сохранение жизни и здоровья наемного работника.
База данных работника складывается из информации, полученной от самого сотрудника и от сторонних лиц. Запрос сведений у третьих лиц может быть осуществлен только с согласия самого работника, оформленного в письменном виде.
Сведения о вероисповедании, принадлежности к каким-либо политическим течениям, личной жизни, не могут быть материалом для обработки по месту трудоустройства.
Также не обрабатывается информация о принадлежности к профсоюзным организациям и прочим объединениям.
Запрещается принимать решения, ущемляющие личные права наемного рабочего, на основе автоматизированных или электронных данных.
Обязанность по организации защиты персональных данных на предприятии лежит на работодателе.
Руководитель предприятия обязан издать приказ о защите персональных данных своих сотрудников. Образец данного документа приведен ниже.
Сотрудник под роспись знакомится с порядком обработки его индивидуальных сведений.
В целях защиты своих персональных данных и на основе трудового права работник может не передавать нежелательную для него информацию.

Организация защиты персональных данных на предприятии

При обработке и использовании персональных данных своих сотрудников, у работодателя появляются обязанности:

не распространять полученные сведения;
предоставлять допуск к конфиденциальной информации только уполномоченным на то представителям;
какую-либо передачу информации осуществлять только с согласия ее владельца, оформленного в письменном виде.

Помимо прочего, работодатель не имеет права собирать и обрабатывать информацию, не относящуюся к выполнению трудовых обязательств сотрудника.

Относительно вопроса об индивидуальных сведениях работников в Трудовом Кодексе РФ есть статья 89 о защите персональных данных.

Согласно закону РФ о защите персональных данных, работник имеет право:

знать, как обрабатывается и хранится информация о его личности;
иметь доступ к базе своих персональных сведений;
вносить изменения в информационную базу, если таковые имеют место быть;
защищать свое право в судебных заседаниях в случае нарушения работодателем положений о защите персональных данных;
иметь представителей по защите своих прав.

Приказ о защите персональных данных образец

Защита персональных данных работника - трудовое право

К защите индивидуальных сведений граждан наше законодательство подошло очень серьезно. Нарушение права по защите личных данных, предусмотренное Конституцией РФ, карается законом. В первую очередь, наказаны будут лица, допустившие нарушения прав работника, а также и руководитель данного предприятия.

Уполномоченный сотрудник, который нарушил закон «О персональных данных», воспользовавшись своим служебным положением, подвергается наказанию в виде:

денежного штрафа в размере 100 000 – 300 000 рублей;
материального взыскания, составляющего сумму дохода за 12-24 месяца;
содержания под стражей до 0,5 года;
запрета занимать определенные должности.

Также, согласно статье 137 УК РФ, лица, виновные в распространении охраняемых законом сведений, несут ответственность в виде:

денежного штрафа в размере до 200 000 рублей;
материального взыскания, составляющего доход за 1,5 года;
от 120 до 180 часов обязательных работ;
выполнения исправительных работ сроком до 12 месяцев;
заключения под стражу до 4 месяцев.

Помимо всего, сотруднику, разгласившему охраняемую информацию, будет вынесен выговор, либо произойдет перевод его на другую должность, а возможно и увольнение .

Отстаивать права о защите своих индивидуальных сведений гражданин будет в судебном заседании. Доказав нарушения норм законодательства относительно персональных данных, работник может рассчитывать на возмещение материального и морального ущерба.

Алексей Кондратов
Сооснователь и руководитель юридического отдела сервиса сайт, специалист в области защиты персоальных данных, юридического сопровождения стартапов и судебной защиты бизнеса.

Образование: юридический факультет Поморского государственного университета. Ранее работал на позиции CEO в компании «Иски Онлайн».

С 1 июля 2017 года вступили в силу изменения в российском Кодексе Административных правонарушений. Увеличились размеры взысканий за нарушения по закону №152-ФЗ «О защите персональных данных», изменились некоторые формулировки. Новые правила заставили многих владельцев сайтов забеспокоиться о том, насколько их ресурсы соответствуют нормам закона. Пробуем разобраться.

Начнем с небольшой вводной информации. 152-ФЗ – первый в России современный закон о персональных данных. Он начал разрабатываться в 2000 году и вступил в силу 27 июля 2006 года. Основным положением закона стало обязательное согласие человека на обработку информации о нем в любых целях. Во время разработки 152-ФЗ были введены два новых термина, которыми закон оперирует до сих пор – субъект персональных данных и оператор персональных данных. Легко догадаться, что субъект – человек, личность которого можно установить, используя определенную информацию. Оператором же может стать как физическое, так и юридическое лицо, которое имеет доступ к личным данным субъекта. Последнее определение крайне важно для нас, поэтому остановимся на нем подробнее.

Кто по закону 152-ФЗ считается оператором персональных данных?

Органы государственной власти и муниципального управления, суды, образовательные и медицинские учреждения, работодатели, любые компании и организации, предоставляющие персональные услуги: банки, юридические фирмы, операторы мобильной связи, строительные компании, интернет-ресурсы – всё это операторы персональных данных, поскольку они в разной мере имеют доступ к личной информации людей.

Какие персональные данные пользователей могут быть на вашем сайте?

Чаще всего под персональными данными (ПДн) понимаются:

фамилия,
возраст,
место рождения,
фото,
адрес проживания,
номер телефона.

Также к персональным данным относятся сведения:

о семейном положении,
религиозных, философских и политических взглядах,
интимной жизни,
состоянии здоровья.

Обезличенные персональные данные и автоматически собираемая информация:

e-mail,
IP-адрес,
геолокация,
файлы cookie.

Какие есть формы сбора персональных данных на сайте?

Форма регистрации.
Форма заказа.
Форма обратной связи.
Кнопка «Заказать обратный звонок».
Форма подписки на e-mail рассылку.

Размеры штрафов после изменений 1 июля 2017 года

Номер статьи	Возможные нарушения	Размер штрафа
ч.1 ст.13.11 КоАП	Запрос сканов документов у посетителей сайта. SMS- и e-mail рассылка без согласия клиента. Любая дезинформация пользователей относительно цели ввода данных в форму на сайте.	Для физ. лиц - до 3 т.р. Для юр. лиц - до 50 т.р.
ст.13.11 КоАП	Обработка, сбор и хранение любых ПДн, в том числе IP-адресов и cookie, без электронной подписи пользователей. Отсутствие на сайте документов «Политика конфиденциальности» и «Пользовательское соглашение». Несоответствие документов требованиям закона, которое может возникнуть из-за ошибок при составлении. Отсутствие дисклеймера при первом посещении сайта пользователем.	Для физ. лиц - до 5 т.р. Для юр. лиц - до 75 т.р.
ч. 3 ст.13.11 КоАП	Отсутствие свободного доступа к Политике конфиденциальности для каждого посетителя сайта.	Для физ. лиц - до 1.5 т.р. Для ИП - до 10 т.р. Для юр. лиц - до 30 т.р.
ч. 4 ст.13.11 КоАП	Отказ, игнорирование или ложь в ответ на требование пользователя предоставить полную информацию о том, как хранят и обрабатывают его персональные данные.	Для физ. лиц - до 2 т.р. Для ИП - до 15 т.р. Для юр. лиц - до 40 т.р.
ч. 5 ст.13.11 КоАП	Отказ удалить ПДн из публичного доступа по желанию пользователя. Другие действия, нарушающие право субъекта отозвать согласие на обработку ПДн.	Для физ. лиц - до 2 т.р. Для ИП - до 20 т.р. Для юр. лиц - до 45 т.р.
ч. 6 ст.13.11 КоАП	Хакерская атака, взлом базы данных третьими лицами, распространение ПДн пользователей.	Для физ. лиц - до 2 т.р. Для ИП - до 20 т.р. Для юр. лиц - до 50 т.р.

При совершении уголовного преступления к штрафу прибавляются дополнительные меры взыскания, в том числе блокировка ресурса и арест нарушителя.

Как это работает?

Чтобы выявить нарушения, Роскомнадзор проводит плановые, внеплановые (по заявлениям граждан) и документарные (с запросом документов) проверки сайтов. Например, в ходе проверки в 2016 году «Тамбовскую городскую юридическую компанию» оштрафовали за размещение формы обратной связи без сопроводительных документов, а зимой 2017 года за подобные нарушения были оштрафованы несколько астраханских сайтов.

Как избежать штрафа и блокировки сайта: 5 шагов

Перенесите базы данных на российские сервера. Это требование закона N149-ФЗ «Об информации, информационных технологиях и о защите информации». Нарушение закона может привести к блокировке ресурса – так, например, прекратила свою деятельность на территории России деловая социальная сеть LinkedIn.
Составьте два документа – «Политику обработки персональных данных» и «Пользовательское соглашение». Обратите внимание, что публичная оферта заменяет документ о политике конфиденциальности. Крайне важно, чтобы документы не содержали в себе фактических и юридических ошибок. Лучше всего доверить эту работу профессиональному юристу. В 9 статье закона указано, что виртуальный документ равнозначен документу на бумажном носителе, поэтому никаких физических документов не потребуется.
Подключите форму с согласием на обработку ПДн и обязательным чекбоксом ко всем полям сбора персональных данных на сайте.
Убедитесь, что страница с «Политикой обработки персональных данных» доступна для прочтения каждому пользователю сайта.
Отправьте бумажное и электронное уведомление в Роскомнадзор по установленной форме – ее можно найти на сайте Роскомнадзора. В соответствии со 22 статьей закона этот пункт является обязательным.

Если вы сомневаетесь в своей юридической компетенции или просто не хотите тратить много времени на формальности, есть более простое и практичное решение проблемы – сервис . Это простое, дешевое и быстрое решение для Вашего сайта и бизнеса.

Среди наших предложений, Вы, наверняка, сможете подобрать удобное Вам. Если Вы не хотите затягивать с решением проблемы, то можете уже сейчас. Возникающие юридические вопросы можно задать по телефону нашей службы поддержки 8 800 100 43 45 или ниже в форме комментариев.

Сфера защиты персональных данных является очень щекотливой. Даже государства с более развитым в этой сфере законодательством очень осторожны и постоянно его совершенствуют. Для России же шаги по совершенствование федеральных законов о данных физических лиц происходит нечасто.

С 1 июля 2017 вводится обновленная версия 152-ФЗ , заставившая не на шутку переполошиться владельцев виртуальных ресурсов. Поговорка: «Всё, что не делается, всё к лучшему» в данной ситуации совершенно не уместна, ведь пользы от закона мало. Штрафы стали значительно больше, а также увеличилось количество поводов для привлечения к ответственности.

Попробуем в подробностях разобраться, что сулит обладателям сайтов, где пользователи регистрируются и оставляют информацию о себе. Ведь незнание ни от чего не освобождает, и под прицелом Фемиды может оказаться каждый.

Какие негативные последствия влечет за собой 152-ФЗ

Во-первых, нечестным на руку сотрудникам проверяющих служб будет намного проще портить нервы владельцам компаний. Основанием для этого станет размер штрафа, для юридических лиц, достигающий 75 тысяч рублей.
Во-вторых, 152-ФЗ входит в компетенцию Роскомнадзора. Предыдущие редакции должны были контролироваться прокуратурой, но в силу тяжелой загрузки им было не до этого. А самый опасный момент заключается в том, что бизнес до сих пор не видит, какая угроза над ним зависла.

Основные нарушения, за которые будет штрафовать Роскомнадзор

Перечислим шесть основных случаев, которые вытекают из свода законов КоАП, пункт 3.11, вступающего в силу с 1.07.2017. Сразу стоит оговориться, что там также имеется большое количество прочих пунктов, но они касаются только государственных учреждений, поэтому мы про них рассказывать не будем:

НАРУШЕНИЕ 1: Обработка данных в случаях, которые не прописаны в действующем законодательстве, либо использование метода, преследующего скрытые от частного лица или контролирующего органа цели.

ШТРАФ: от 30 до 50 тысяч рублей.

Этот пункт будет угрожать предпринимателям в следующих случаях:

Если компания неявно укажет цели сбора персональных данных или попробует их выразить нейтрально , чтобы таким образом избежать ответственности. Также может сильно повлиять неграмотность лица, составляющего текст.
Если связь лиц, занимающихся сбором данных, с компанией, обрабатывающей эти данные, противоречит общим условиям обработки личной информации. Эти ошибки возникают чаще всего при составлении анкет на улицах. Теперь при неправильном подходе за это можно получить штраф.
В вашем интернет-магазине действует принудительная регистрация с целью сбора клиентской базы? Вы тоже находитесь под ударом с первого июля. Сама цель продажи не совпадает со сбором персональных данных. Например, чтобы что-либо купить на рынке или в магазине, не нужно показывать свой паспорт. Это же справедливо и для онлайн продаж. Вероятнее всего, что этот пункт будет активно проверяться.

НАРУШЕНИЕ 2: Согласно новому закону, обработка персональных данных должна производиться только с согласия того, чьи данные будут обрабатываться.

ШТРАФ: от 15 до 75 тысяч рублей.

Пока что большинству совершенно не ясно, как будет работать этот механизм, но под угрозой оказываются все без исключения. Опрашивать каждого посетителя на сайте, давал ли он согласие, а тем более заставить давать его в чистом виде, никто не сможет. Остаются различные варианты с галочками и ссылками рядом с формами сбора персональных данных на сайте.

В интернете сотни тысяч сайтов, большинство из которых даже не подозревают об угрозе. Обрабатывать такие объёмы правонарушений не сможет ни одна государственная служба, но ведущим лидерам рынка и выборочным «везунчикам» точно достанется.

НАРУШЕНИЕ 3: Недопущение проверяющих органов к политике проверки персональных данных.

ШТРАФ: от 15 до 30 тысяч рублей.

Эксперт Илья Шагаев рассказывает об изменениях в законе о персональных данных: что изменится, какие будут последствия и как к этому подготовиться.

Илья Шагаев, генеральный директор CRM-агентства « ДМ Базис ». Персональными данными занимается с 2006 года, входил в Консультативный совет при Роскомнадзоре, в рабочие группы различных ассоциаций по 152-ФЗ.

Приверженец подхода «закон о персональных данных - это не о безопасности баз данных, а о правильной работе с данными частного лица - потенциального клиента, покупателя, работника».

В законодательстве произошли большие изменения, но про них практически не говорят. Так что давно пора привлечь к этому внимание широкой общественности.

Законодательство нас часто пугает и порой кажется тайной даже для людей, знакомых с языком договоров, приложений и прочей формальной документации. Поэтому статья написана простым языком, в первую очередь - для представителей бизнес-аудитории, которые используют персональные данные (далее - ПДн) для рекламы и маркетинговых акций.

Как правило, юристы не любят законодательство о персональных данных - мутное, непонятное, примеры не проработаны. При появлении вопросов о ПДн им проще запретить, чем искать пути решения проблемы. Поэтому российскому бизнесу необходимо уметь ориентироваться в этих вопросах, хотя бы для правильной постановки задач юристам и правильного контроля.

Управление репутаций бренда

ORM – один из самых быстро растущих сегментов digital-рынка. Стань экспертом в области управления репутацией вместе с новым курсом Skillbox и Sidorin.Lab (агентством №1 по профильному рейтингу Рувард).

3 месяца онлайн-обучения, работа с наставником, дипломная работа, трудоустройство для лучших в группе. Следующий поток обучения стартует уже 15 марта . Cossa рекомендует!

В поисковиках мне удалось найти только три статьи на тему изменений в Законе N 152-ФЗ с 1 июля; во всех трёх грубейшие ошибки в трактовке законодательства и изменений. Правда же в том, что некоторые ужесточения не особо страшны, а вот на другие советуем обязательно обратить внимание.

Государство предприняло самый значимый шаг в законодательстве о ПДн со времени появления самого закона 152-ФЗ. С 1 июля 2017 года вступит в силу закон 13-ФЗ от 07.02.2017, вносящий поправки в КоАП. Ужесточается ответственность за нарушения, которые могут допустить операторы (читаем - бизнес) в работе с ПДн.

Если коротко, то штрафы выросли почти на порядок (до 75 тысяч рублей). Причём за нарушения, которые допустить очень легко и которые видны на каждом шагу. Проверяющим и надзорным органам в том числе.

А привлечь к ответственности стало существенно проще. Если раньше это можно было сделать через прокуратуру (которой этими вашими ПДн заниматься некогда), то сейчас возбудить дело об административном правонарушении может непосредственно регулятор - Роскомнадзор. Который, можете быть уверены, заниматься этим хочет и давно уже ждал изменений в КоАП.

Главное

«Кошмарить бизнес» за нарушения 152-ФЗ стало гораздо выгоднее. Штраф был до 10 000 рублей, стал до 75 000 рублей.

Привлекать к ответственности стало проще. Раньше была прокуратура, которой было не до того, чтобы этим заниматься, а стал Роскомнадзор - регулятор, в зоне ответственности которого и находится 152-ФЗ.

Бизнес, однако, расслаблен, и угрозы не заметил.

Давайте разберёмся, будут ли «кошмарить», за что конкретно и зачем это нужно. Где кошмар, а где нет?

Как было раньше и почему не волнуются сейчас

Небольшое сравнение законодательства и поведения операторов (бизнеса, компаний, юрлиц) «раньше и сейчас».

152-ФЗ «О персональных данных» появился в 2006 году. Всё прошло тихо, и люди всполошились не сразу. Довольно долгое время (год–два) к закону не было подзаконной нормативной базы на тему его применения.

Тем не менее, году в 2008–2009 благодаря появлению нормативки (от Роскомнадзора, ФСТЭК и ФСБ) и более активной работе СМИ некоторый мандраж наступил. Не знающих о законе почти не осталось, а отношение к нему было очень разным.

С операторами-клиентами в то время много общались мои сотрудники в рамках наших CRM-проектов (мы ведём крупные проекты, и клиенты были озадачены), я сам выступал и писал на эту тему, как раз в те годы я входил в Консультативный совет при РКН.

По степени реакции на происходящее в законодательстве выделим четыре категории компаний

2. «Знаем, но не обращаем внимания и считаем это всё полной ерундой. Ещё один неработающий закон: как применять - непонятно, и чем грозит - непонятно».

3. «Знаем, смотрим в ту сторону. Как применять - непонятно, чем грозит - непонятно... Немножко что-то сделаем, типа подготовились».

4. «Знаем и подготовимся по полной программе, насколько это можно в непонятном законодательстве».

Последняя категория позволила хорошо заработать интеграторам и компаниям, специализирующимся на информационной безопасности. Стоимость услуги по подготовке документации «на соответствие 152-ФЗ» могла превышать 2 млн рублей, хотя сама услуга была достаточно типовая.

К 2012 году рынок понял, что «реальной опасности» законы о ПДн не представляют - штрафы мизерные, вчинить их довольно сложно, требования умозрительные, проверки редкие и так далее. Операторы из категорий 3 и 4 плавно перетекли в категорию 2; а категория 4 при этом почувствовала себя обманутой - сначала услуги по подготовке подешевели до 600–500 тысяч, потом до 300 тысяч, а после появились сайты, предлагающие типовой пакет документов за 20–30 тысяч рублей.

Что мы имеем сейчас? Пассивность и нежелание бизнеса обращать внимание на изменения. Несмотря на то, что с изменениями «поймать штраф» до 30 тысяч рублей теперь легко может каждый второй интернет-магазин, а в более запущенных случаях и до 75 тысяч рублей, а в инфопространстве тишина и покой! К моему большому удивлению, ничего не обсуждается, подготовка не ведётся - это отчётливо видно по тем же интернет-сайтам, где штрафы можно просто поставить на поток.

Очевидно, что первая волна 2009–2012 годов, всколыхнувшая операторское сообщество, качнула маятник в другую сторону - от волнений тогда до равнодушия сейчас. Прошедшее время показало, что «выиграли» те, кто не готовился - категория 2. Они и время, и деньги сэкономили, и ничего им за это не было. Не обращать внимания, переждать, а потом оно само уляжется - тактика сработала.

И сейчас уже опытный бизнес, как будто бы поднаторевший на ниве ПДн, не воспринимает серьёзно нынешние изменения, поскольку «всё уже знаем, не пугайте, ничего за это не будет».

Но когда изменения в КоАП уже внесены, риски стали значительно выше.

Изменения в 152-ФЗ. Как стало сейчас, и почему риски операторов увеличились

Как я уже упомянул в начале статьи, буду говорить о примерах, актуальных для наиболее многочисленной группы операторов - тех, кто использует персональные данные частных лиц в целях продвижения товаров, работ и услуг. Это - бизнес, использующий CRM-проекты, программы лояльности, интернет-магазины, финансовые сервисы, такси, мобильные приложения и так далее.

Несмотря на десятилетнюю историю законодательства в сфере ПДн, читают закон и нормативные акты к нему очень плохо и воспринимать их не хотят. Поэтому изменения заслуживают более глубокого анализа, сравнения с самим законом и нормативкой в целом.

Терминологию упрощу, а штрафы приведены в отношении юридических лиц. Хотя в изменениях в КоАП ещё есть штрафы в отношении граждан, должностных лиц.

Теперь протоколы об административных правонарушениях будет составлять Роскомнадзор. Это ключевой регулятор в сфере ПДн, и он давно ждал изменений в КоАП. Потому что возбуждать дела через прокуратуру и в итоге выставлять штраф в 5–10 тысяч рублей очень муторно. А ускорить процесс, проведя всё самостоятельно, и выставить в десять раз больше - гораздо интереснее.

Интерес ведомства значим ещё и потому, что РКН желал увеличения штрафов, определяемых КоАП, до 500 тысяч рублей. Хорошо, что этого не случилось (пока), иначе риски бизнеса взлетели бы до небес. Но и увеличение от 5–10 тысяч рублей до 50–75 тысяч рублей, согласитесь, тоже неплохо.

Итак, КоАП с 1 июля 2017 года, статья 13.11. Семь пунктов, нас касаются первые шесть. Седьмой - про операторов, являющихся государственным или муниципальным органом, и это не про нашу тему.

Шесть пунктов

1. Обработка ПДн в случаях, не предусмотренных законодательством РФ, или обработка ПДн, несовместимых с целями обработки. Штраф от 30 до 50 тысяч рублей

В зоне риска:

Операторы, не указавшие цели обработки или указавшие их неграмотно. Встречается сплошь и рядом.

Операторы, собирающие данные, связь которых с целью обработки очень натянута или вообще необъяснима. Самый частый пример - сбор в анкетах программ лояльности паспортных данных. Это частое требование юристов, плохо читавших закон, и которое теперь может привести к штрафам.

Сюда же может быть отнесена принудительная регистрация в личном кабинете интернет-магазина при покупке. Если цель - продажа товара (доставка по указанному адресу), то запрашиваемая для регистрации информация (и сама регистрация) - избыточна и несовместима с целями.

2. Обработка ПДн без письменного согласия в случаях, когда оно должно быть по закону. Штраф от 15 до 75 тысяч рублей

Может показаться странным, но тут риск невелик. Дело в том, что перечень случаев, когда нужно письменное согласие (в терминах 152-ФЗ), ограничен, и продвижение товаров и услуг к нему не относится. А то, что многие называют сбором письменных согласий (в виде анкет), - это неверное понимание и трактовка законодательства. Недавно мне попалась на глаза одна из немногих разъяснительных статей по изменениям с 1 июля - и даже в экспертной статье неверно объясняются принципы письменного согласия. И вообще прелестно выглядит в другой статье рекомендация «получать письменное согласие у каждого подписчика на сайте».

3. Невыполнение оператором обязанности по обеспечению доступа к политике обработки ПДн. Штраф от 15 до 30 тысяч рублей

Вот здесь как раз группа риска огромна.

Любой сбор данных, относящихся к категориям ПДн в формах на сайтах, должен сопровождаться указаниями на политику обработки этих данных. То есть, программа минимум - на любом сайте необходимо реализовать такой документ. И совсем хорошо, когда из формы сбора данных дана ссылка на него. Отсутствие этого документа - повод для штрафа.

Вот примеры того, как обычно бывает:

Ни ссылок из анкет, ни самой политики обработки персональных данных в открытом доступе на сайтах этих интернет-магазинах нет. Кстати, за примерами далеко ходить не надо - это первые два магазина, где я пытался совершить нужную мне покупку. Это обычная ситуация, но получить с магазина от 30 до 50 тысяч рублей штрафа с 1 июля будет просто.

А вот так должно быть:

Годится, если на сайте просто где-то в футере есть ссылка на политику обработки данных или политику конфиденциальности. Пользовательское соглашение, в котором прописаны пункты о соответствии 152-ФЗ, тоже подходит.

4. Невыполнение оператором обязанности по предоставлению частному лицу информации об обработке его ПДн. Штраф от 20 до 40 тысяч рублей

Зона риска:

С одной стороны, сам порядок запроса субъектом информации об обработке его ПДн довольно сложен (он прописан в 152-ФЗ). И редкий субъект его выполнит

С другой, обязанность о предоставлении информации об обработке ПДн возникает при получении данных через третье лицо. Например, в партнёрских программах, различных кросс-промо, сменах подрядчиков в маркетинговых кампаниях и так далее.

В самом 152-ФЗ прописано, когда и как необходимо уведомлять субъекта.

5. Невыполнение в установленные сроки требования (частного лица, его представителя, уполномоченного органа) о блокировании-уничтожении-изменении ПДн. Штраф от 25 до 45 тысяч рублей

Зона риска:

Как упомянул выше, порядок запроса со стороны субъекта довольно сложен, поэтому таких запросов ещё очень мало. В этом смысле пункт оператору особо не угрожает

Будут ли при трактовке этого пункта сюда относить, например, отказ от email-рассылки или SMS, это вопрос...

Это заслуживает отдельного изучения. Формально никакого «упрощённого» порядка отзыва субъектом своего согласия на обработку данных законодательство не предусматривает. Но не рекомендовал бы пренебрегать остановкой коммуникаций с покупателем, если он попросил не беспокоить его. Кстати, в этом случае можно поиметь ещё и претензии ФАС в соответствии с законом «О рекламе».

6. Невыполнение обязанностей по хранению материальных носителей ПДн. Штраф от 25 до 50 тысяч рублей

Зона риска:

Если вы храните свои бумажные архивы (анкеты, договоры с частными лицами, заявки-запросы) очень долго, убедитесь, что это хранение обеспечивает конфиденциальность. Простой склад по соседству вряд ли подходит, должно быть что-то более безопасное. Либо проработайте с юристами механику перевода архива в электронный вид.

На всякий случай подчеркну, что выше упрощены трактовки и термины и даны самые быстрые и очевидные рекомендации. Этого достаточно, чтобы в целом понять состав изменений и их трактовать.

Если углубляться, то интересных выводов будет ещё много. Как минимум три-четыре пункта из приведённых заслуживают отдельного рассмотрения.

Может, так нам и надо?

Напоследок выскажу такую крамольную мысль. Может, она и странно прозвучит из уст представителя операторов, но скажу. Тем более, она впрямую следует из хронологии событий и моих тезисов «почему сообщество расслаблено».

Давайте честно признаемся - бизнес относится к персональным данным частных лиц довольно халатно. Большие компании стараются выстроить правильную политику работы с ними, но даже крупный бизнес ещё далеко не весь обратил внимание на качественные принципы работы с ПДн. А уж средний и малый - тем более. Многие даже не понимают, что данные покупателей - это ценность, и что нужно уважать права частного лица при работе с его данными. И что сам закон не про информационную безопасность, а про соблюдение прав.

По-прежнему имеют место сливы баз данных «налево», неправомерное использование данных (то самое «не соответствующее целям»). Покупателей раздражает чрезмерная коммуникативная активность бизнеса, тем более когда от неё не удаётся отказаться с первого раза.

Всё это - неверные принципы и неверные бизнес-процессы работы с данными. Непонимание и неверные коммуникационные стратегии как основа, и огульное использование данных как следствие.

Как знать, может быть, огромной массе операторского сообщества и нужна увесистая дубина в виде повышенного внимания надзорного органа и применения штрафов?

Грамотный маркетинговый подход к CRM и лояльности - это то, что называется permission-marketing (разрешительный маркетинг). Правильно выстроенные CRM-процессы и процессы обработки данных могут и должны дружить с законодательными требованиями (в случаях, когда эти требования ясны, конечно).

И необходимо обратить внимание ещё на один важный момент. При увеличении штрафов и ускорении возможного наказания можно найти позитивный момент в изменениях - конкретизацию состава нарушений. В предыдущей редакции была очень общая формулировка «Нарушение установленного законом порядка...» и она могла трактоваться весьма широко. Сейчас же семь (шесть, касающихся бизнеса) пунктов достаточно конкретизированы и понятны. Это, на мой взгляд, хороший шаг государства навстречу прозрачности законодательства в этой сфере.

Помните известное «не умеешь - научим, не хочешь - заставим».

Возможно, будет полезно почитать: