HeadHunter многое знает о персональных данных. Не просто много, а почти все. Ведь на hh.ru десятки миллионов резюме, и быть на 100% погруженными в тему информационной безопасности — наша обязанность.
Поэтому мы создали систему управления персоналом Talantix, в которой автоматизировали сбор разрешений на использование персональных данных кандидатов. Неделю назад Сергей Кортиков, ведущий консультант по информационной безопасности АО «Винтегра Секьюрити», Наталья Родякина, менеджер по развитию продукта Talantix, и Юрий Донников, директор юридического департамента hh.ru, провели митап, на котором разъяснили суть закона «О персональных данных» и расcказали, как соблюдать его требования.
Формы согласий субъектов персональных данных
Практически у каждого оператора существуют процессы обработки персональных данных ( ПДн ), в рамках которых необходимо взять согласия субъектов на обработку их ПДн . При этом есть случаи, когда необходимо получать согласия субъектов только в письменной форме (эти случаи предусмотрены в законодательстве), а есть ситуации, когда можно получать согласия в любой форме, позволяющей подтвердить факт его получения.
Отзыв согласия на обработку персональных данных // как избавиться от спама и мошенников?
Согласно ч.4 ст.9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (152-ФЗ) в случаях, предусмотренных федеральным законом, обработка ПДн осуществляется только с согласия в письменной форме субъекта ПДн . Равнозначным содержащему собственноручную подпись субъекта ПДн согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Действующим законодательством РФ предусмотрены следующие случаи обязательного получения субъекта ПДн согласия в письменной форме:
включение ПДн субъекта в общедоступные источники ПДн (в том числе справочники, адресные книги), созданные в целях информационного обеспечения (ч.1 ст.8 152-ФЗ);
обработка специальных категорий ПДн , касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (п.1 ч.2 ст.10 152-ФЗ);
обработка сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта ПДн (ч.1 ст.11 152-ФЗ);
осуществление трансграничной передачи ПДн на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов ПДн (п.1 ч.4 ст.12 152-ФЗ);
принятие решения, порождающего юридические последствия в отношении субъекта ПДн или иным образом затрагивающее его права и законные интересы, на основании исключительно автоматизированной обработки ПДн субъекта (ч.2 ст.16 152-ФЗ);
сообщение работодателем ПДн работника третьей стороне (абз.2 ст.88 Трудового кодекса РФ ).
Рассмотрим более подробно случаи, когда оператор ПДн вправе самостоятельно решать, в какой форме брать согласия у субъектов на обработку их ПДн . Согласия могут быть даны в различных формах, но с точки зрения снижения рисков оператора самой надежной формой согласия является письменная форма:
Почему нужно отозвать согласие на обработку персональных данных
| Письменная форма | Отдельный письменный документ «Согласие на обработку ПДн» |
| Составная часть типовой формы документов (анкеты, карточки), заявления, письма | |
| Составная часть письменного договора/соглашения с субъектом | |
| Составная часть публичной оферты, принимаемая субъектом в письменном виде | |
| Полная электронная форма | Электронный документ, подписанный квалифицированной электронной подписью субъекта |
| Простая электронная форма | Активация субъектом специального флажка «чекбокса» в поле «Согласие на обработку персональных данных» на сайте в сети «Интернет» или мобильном приложении, при условии размещения в указанном поле гиперссылки на полный текст согласия |
| Принятие субъектом (например, путем нажатия на кнопки «Принимаю», «Согласен» и т.п.) размещенного на сайте в сети «Интернет» или мобильном приложении пользовательского соглашения или пользовательских условий/правил, находящихся в статусе публичной оферты и содержащих положения о согласии субъекта на обработку его ПДн | |
| Направление субъекту электронных сообщений (email, SMS и т.д.) с текстом согласия | |
| Устная форма | Озвучивание субъектом своего согласия как непосредственно, так и с использованием средств голосовой связи |
| Конклюдентная 1) форма | Предоставление субъектом запрашиваемых оператором материальных носителей с ПДн |
| Посещение сайта в сети «Интернет» при условии отображения на нем всплывающего окна (pop-up), автоматически отображаемого для впервые посещающих сайт в сети «Интернет» посетителей и содержащего текст «Продолжая посещать данный сайт и использовать его функционал, Вы предоставляете согласие на обработку Ваших персональных данных», а также содержащего гиперссылку на полный текст согласия | |
| Активация субъектом функции ввода сведений при заполнении соответствующей веб-форме на сайте в сети «Интернет» или мобильном приложении, при условии размещения в указанной веб-форме гиперссылки на полный текст согласия | |
| Озвучивание типового речевого уведомления (например, «Обращаем Ваше внимание, что с целью улучшения контроля качества все звонки записываются. Соединение с оператором подтверждает Ваше согласие на обработку Компанией сообщенных Вами персональных данных для дальнейшего взаимодействия») перед началом общения с субъектом, обратившемся с использованием средств голосовой связи |
Рекомендуется брать письменные согласия субъектов на обработку их ПДн во всех случаях, где существует такая возможность. Это позволит минимизировать риски, связанные с наличием законных оснований обработки ПДн субъектов и, при необходимости, с подтверждением фактов получения согласий. Необходимо заметить, что в некоторых ситуациях формы письменного согласия могут не соответствовать требованиям ч.4 ст.9 152-ФЗ, но должны соответствовать общим требованиям ч.1 ст.9 152-ФЗ, а именно: согласие на обработку ПДн должно предоставляться субъектом свободно, своей волей и в своем интересе, а также должно быть конкретным, информированным и сознательным.
В части взятия согласий у субъектов на обработку их ПДн посредством конклюдентных действий, электронных сообщений и иных форм, необходимо учитывать остаточный риск, например, в случае проверки Роскомнадзор может потребовать доказать, что такое согласие было дано именно этим субъектом. В этом случае представителям оператора придется связываться с субъектом и просить его подтвердить дачу согласия для Роскомнадзора.
Действия лица, которые показывают своим поведением желание вступить в определенные правоотношения (например, совершить сделку), но не в форме устного или письменного волеизъявления, а поведением, по которому можно сделать заключение о таком намерении.
Нажимая кнопку «Ок» и продолжая использовать данный сайт, Вы соглашаетесь с Политикой приватности, в том числе с правилами обработки файлов cookies.
Источник: rppa.ru
Изменения в персональных данных в 2023 году
Тема про новшества в сфере персональных данных — одна из самых актуальных за последнее время. Прямо сейчас расскажем, что именно изменилось и какие еще изменения ждут граждан и организации в 2023 году, а также детально разберем все новые правила работы с персональными данными.
- Новый закон о защите персональных данных
- С какого числа действуют новые изменения в персональных данных?
- Какие изменения в закон о персональных данных актуальны для граждан в 2023 году?
- Теперь Закон распространяется на иностранных операторов ПД
- Появились новые требования к согласию человека на обработку ПД
- Биометрические ПД теперь надо предоставлять только в исключительных случаях
- В договоре с гражданином нельзя ущемлять его права
- Оператору запретили отказываться обслуживать человека
- Ввели новые обязанности оператора перед гражданином
- Установили новые сроки для доступа человека к своим ПД
- Сообщение в ФСБ обо всех утечках данных
- Сообщение в Роскомнадзор о нарушении прав граждан при передаче информации
- Определен новый порядок работы с персональными данными для оператора-компании
- Уточнены случаи и порядок уведомления Роскомнадзора об обработке ПД
- Сокращены сроки для ответа любого оператора на запросы Роскомнадзора
- Скорректирован порядок поручения обработки ПД другому лицу
Новый закон о защите персональных данных
Его еще часто называют «новый закон о персональных данных 2022 года».
Речь идет о Федеральном законе от 14.07.2022 № 266-ФЗ (переходите по ссылке в систему КонсультантПлюс, чтобы прочитать полный текст закона). Он вносит изменения в другой закон, который уже давно регулирует вопросы обработки и защиты персональных данных — Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» (далее – Закон).
Таким образом, фактически не вышел новый закон о персональных данных, а принят закон, который изменил старую редакцию закона «О персональных данных». То есть, в закон «О персональных данных» внесены изменения.
С какого числа действуют новые изменения в персональных данных?
Новшества вступили в силу 01 сентября 2022 года. Но есть ряд изменений, которые начнут действовать гораздо позже – 01 марта 2023 года.
Какие изменения в закон о персональных данных актуальны для граждан в 2023 году?
Их довольно много. Перечислим основные моменты и ниже подробно объясним, что нового в обработке персональных данных (далее — ПД) с 01 сентября 2022 года затрагивает права физлиц.
Во-первых, расширилась сфера действия Закона – теперь его должны соблюдать иностранные операторы ПД.
Во-вторых, дополнены требования к согласию человека на обработку персональных данных (изменения 2022).
В-третьих, уточнены правила предоставления оператору биометрических ПД.
В-четвертых, оператор по-новому взаимодействует с гражданином, чьи персональные данные обрабатывает.
Так, с 01 сентября 2022 года оператор связан рядом запретов. Один из них – это запрет отказывать в обслуживании человеку, который не хочет сообщать свои биометрические данные.
Еще у оператора появился целый ряд новых обязанностей перед гражданином, чьи персональные данные он использует.
Кроме того, теперь оператор должен обеспечивать доступ гражданину к его ПД в более короткие сроки, чем раньше.
Теперь Закон распространяется на иностранных операторов ПД
С 01 сентября 2022 года положения Закона должны соблюдать иностранные компании и граждане, которые обрабатывают ПД российских граждан.
Причем не имеет значения основание, по которому осуществляется такая обработка. Это может быть договор, другое соглашение или согласие гражданина РФ на обработку его персональных данных.
Новое правило (новое в персональных данных) предусмотрено в ч. 1.1 ст. 1 Закона.
Появились новые требования к согласию человека на обработку ПД
Оно является одним из законных оснований для того, чтобы оператор мог обрабатывать персональные данные.
Сейчас Закон требует, чтобы согласие на обработку ПД было конкретным, информированным и сознательным. С 01 сентября 2022 года оно также должно быть предметным и однозначным. Так что можно говорить о новой форме согласия на обработку персональных данных.
Биометрические ПД теперь надо предоставлять только в исключительных случаях
Это особая категория ПД. Это различные сведения о физиологических и биологических особенностях человека, по которым можно установить его личность (ст. 11 Закона). На обработку биометрических данных обязательно нужно письменное согласие гражданина.
Исключение – это случаи, которые прямо указаны в ч. 2 ст. 11 Закона. В них обрабатывать биометрические данные человека можно и без его согласия. Например, при осуществлении правосудия, при исполнении судебного акта, при обязательной дактилоскопической регистрации. Такие положения Закона актуальны на сегодняшний день.
С 01 сентября 2022 года правила о биометрических данных изменились.
В Законе четко зафиксировано, что человек должен сообщить такие данные о себе только в случаях, которые перечислены в ч. 2 ст. 11 Закона. Во всех остальных ситуациях предоставление биометрических данных не может быть обязательным.
В договоре с гражданином нельзя ущемлять его права
Одно из оснований для законной обработки ПД гражданина – это исполнение договора, по которому он является стороной, выгодоприобретателем или поручителем, или заключение такого договора в будущем (ч. 1 ст. 6 Закона).
С 01 сентября 2022 года в такой договор нельзя включать положения, которые:
- ограничивают права и свободы человека, чьи ПД будут обрабатываться,
- устанавливают случаи обработки ПД несовершеннолетних,
- допускают в качестве условия заключения договора бездействие гражданина.
Оператору запретили отказываться обслуживать человека
Речь идет о ситуациях, когда гражданин:
- не хочет давать свои биометрические ПД,
- не соглашается на обработку ПД, а согласно закону оператору необязательно заручаться согласием человека.
Новые положения включены в ст. 11 Закона.
Ввели новые обязанности оператора перед гражданином
С 01 сентября 2022 года оператор должен:
1) разъяснить гражданину последствия, если тот откажется дать согласие на обработку данных, которое обязательно в силу закона (ч. 2 ст. 18 Закона),
2) заранее сообщать человеку, чьи ПД он получил не от него самого, среди прочей информации перечень персональных данных, которые оператор будет обрабатывать (ч. 3 ст. 18 Закона),
3) предоставлять гражданину, помимо других сведений об обработке его ПД, информацию о способах выполнения оператором обязанностей, которые предусмотрены Законом (ч. 7 ст. 14 Закона),
4) прекратить обработку ПД человека, который потребовал этого, в срок не позднее 10 рабочих дней с даты получения обращения (ч. 5.1 ст. 21 Закона).
Этот срок можно продлить, но не больше чем на 5 рабочих дней, заранее уведомив гражданина.
Учтите, что в некоторых ситуациях оператор не обязан прекращать обработку ПД. Это ситуации, когда:
- оператор обрабатывает ПД не по согласию человека, а по другим основаниям (например, когда обработка нужна для исполнения судебного акта),
- оператор законно обрабатывает биометрические ПД,
- оператор законно обрабатывает специальные категории ПД (которые касаются расовой, национальной принадлежности гражданина, политических взглядов, состояния здоровья и т.п.)
Установили новые сроки для доступа человека к своим ПД
Гражданин, чьи персональные данные обрабатывает оператор, имеет право на доступ к ним. В частности, он может рассчитывать на получение следующих сведений: подтверждение факта обработки его данных оператором, правовые основания и цели обработки, подробная информация об операторе, сами обрабатываемые ПД, источник их получения, сроки обработки.
Получить всю эту информацию может сам гражданин или его представитель. Для этого надо обратиться к оператору с обращением или запросом (ст. 14 Закона).
Сейчас Закон устанавливает срок в 30 дней, чтобы оператор успел сообщить о наличии у него ПД этого человека и предоставить ему возможность ознакомиться с этими ПД. В этот срок оператор должен дать гражданину положительный или отрицательный ответ, предоставить данные для ознакомления или мотивированно отказаться это сделать (ст. 20 Закона).
С 01 сентября 2022 года действуют новые нормы о сроках доступа человека к своим ПД. Оператору дается всего 10 рабочих дней, чтобы успеть предоставить запрошенную информацию. Этот срок можно увеличить, но не больше чем на 5 рабочих дней, по решению самого оператора. Тогда гражданина надо уведомить об этом и указать причины, по которым срок ответа продлевается.
Важно! Требуемые сведения оператор направляет человеку или его представителю в той же форме, в какой тот направил обращение или запрос. Правда, заявитель может указать в них другие предпочтительные варианты получения информации.
Какие изменения о персональных данных актуальны для операторов в 2023 году?
Для операторов ПД также много нового в персональных данных:
1) Все операторы должны выполнять новые обязанности по защите персональных данных.
2) Оператору — компании следует учитывать новые требования при издании документов, которые касаются работы с ПД, и их опубликовании.
3) Операторам важно учесть, что с 01 сентября 2022 года уведомлять Роскомнадзор о предстоящей обработке ПД придется чаще, чем сейчас, а уведомление предстоит составлять по обновленным требованиям.
4) Любой оператор должен предоставить информацию по запросу Роскомнадзора в более короткие сроки, чем раньше.
5) Если оператор поручает обработку ПД другому лицу, надо учитывать новые требования к этой процедуре — например, к содержанию поручения.
Давайте разбираться со всеми новыми правилами обработки персональных данных по порядку.
Появились новые обязанности оператора в области защиты ПД
Речь идет о мерах по защите персональных данных, которые отныне обязаны предпринимать все операторы.
Сообщение в ФСБ обо всех утечках данных
Оператор теперь должен:
- взаимодействовать с госсистемой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (ч. 12 ст. 19 Закона),
- сообщать о компьютерных инцидентах, которые привели к незаконной передаче ПД, в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, — ФСБ России (а тот уже сам передаст эту информацию в Роскомнадзор) (ч. 13 ст. 19 Закона).
Сообщение в Роскомнадзор о нарушении прав граждан при передаче информации
С 01 сентября 2022 года у оператора появились новые обязанности, если возникла утечка ПД. Речь идет об их незаконной или случайной передаче (предоставлении, распространении, доступе), которая нарушает права граждан. В таких ситуациях оператор должен сообщить в Роскомнадзор:
1) в течение 24 часов — о произошедшем инциденте, а также:
— о возможных причинах утечки,
— о предполагаемом вреде для людей, чьи ПД «утекли»,
— о мерах, которые оператор успел принять для исправления ситуации,
— о лице, которое будет контактировать с Роскомнадзором по поводу случившегося,
2) в течение 72 часов — о результатах внутреннего расследования инцидента и о его виновниках (если их нашли).
Названные сроки надо считать с момента, когда удалось выявить инцидент. Кстати, это может сделать не только сам оператор, но и Роскомнадзор, и другие заинтересованные лица (ч. 3.1 ст. 21 Закона).
Определен новый порядок работы с персональными данными для оператора-компании
Сейчас мы расскажем про изменения о персональных данных, актуальные для работы операторов, которые являются организациями.
Оператор – юрлицо должен издавать:
- документы, определяющие его политику в отношении обработки ПД,
- локальные акты по вопросам обработки ПД,
- локальные акты про процедуры, которые направлены на предотвращение, выявление нарушений законодательства и устранение их последствий.
С 01 сентября 2022 года действуют дополнительные требования к содержанию таких документов (ч. 1 ст. 18.1 Закона).
Они не могут включать положения, которые ограничивают права граждан, а также возлагать на операторов обязанности и полномочия, которых нет в Законе.
Кроме того, в локальных актах по вопросам обработки ПД для каждой цели обработки данных надо определить:
- категории и перечень обрабатываемых ПД,
- категории граждан, данные которых обрабатываются,
- способы, сроки их обработки и хранения,
- порядок уничтожения ПД, если достигнута цель их обработки или наступило другое законное основание.
Плюс есть еще один важный момент, который касается нового порядка обработки персональных данных операторами-компаниями.
Часто организация собирает ПД с помощью информационно-телекоммуникационной сети – например, сети интернет. Тогда она должна опубликовать там документ, который определяет политику организации в отношении обработки данных, и сведения о требованиях к защите ПД, которые она реализует (ч. 2 ст. 18.1 Закона).
С 01 сентября 2022 года введены дополнительные требования к размещению этого документа и сведений. Оператор — компания обязан, в том числе, разместить их на странице своего сайта, на котором он собирает персональные данные.
Уточнены случаи и порядок уведомления Роскомнадзора об обработке ПД
Любой оператор, который собирается обрабатывать ПД, должен сообщить о таком своем намерении в Роскомнадзор. Сделать это надо предварительно, то есть до начала обработки персональных данных. Это общее правило. Однако из него есть исключения.
Так, в ряде случаев оператор может обрабатывать ПД без уведомления Роскомнадзора. Перечень таких ситуаций определен в ч. 2 ст. 22 Закона и в настоящее время содержит 9 пунктов. В нем упомянуты, например:
- ПД, которые оператор обрабатывает в соответствии с трудовым законодательством,
- ПД, которые включают только ФИО граждан,
- ПД, которые необходимы для однократного пропуска человека на территорию оператора или в аналогичных целях.
С 01 сентября 2022 года перечень таких случаев существенно сократился – в нем осталось всего 3 пункта.
Так, с 01 сентября 2022 нужно уведомлять Роскомнадзор об обработке персональных данных, которые включают только ФИО граждан, которые необходимы согласно трудовому законодательству, которые нужны только, чтобы оформить пропуск для прохода через территорию.
Изменения коснулись и содержания уведомления, которое оператор направляет в Роскомнадзор. Некоторые сведения (например, категорию ПД и правовое основание для их обработки) надо теперь приводить для каждой цели обработки данных, указанной в уведомлении. Кроме того, теперь в уведомление нужно включать ФИО гражданина или наименование компании, которые имеют доступ или по договору обрабатывают персональные данные, содержащиеся в государственных и муниципальных информационных системах (ч. ч. 3, 3.1 ст. 22 Закона).
Оператор может информировать Роскомнадзор о том, что он прекратил обработку ПД. В таком случае из реестра операторов исключают информацию, которую оператор предоставлял ранее в уведомлении об обработке данных. Роскомнадзору дается 30 дней, чтобы актуализировать сведения реестра (ч. 4.1 ст. 22 Закона).
Сокращены сроки для ответа любого оператора на запросы Роскомнадзора
Они уменьшены с 30 дней до 10 рабочих дней, которые считают с даты получения запроса.
Есть возможность продлить этот срок, но не больше чем на 5 рабочих дней. Для продления оператору надо направить в Роскомнадзор мотивированное уведомление. В нем указывают причины увеличения срока, в который оператор направит нужную информацию (ч. 4 ст. 20 Закона).
Скорректирован порядок поручения обработки ПД другому лицу
Оператор имеет право поручить обработку ПД другому лицу. Делается это на основании договора, который заключает оператор, или акта госоргана или муниципального органа (далее — поручение оператора). По общему правилу, нужно предварительно заручиться согласием гражданина (ст. 6 Закона).
С 01 сентября 2022 года на лицо, которое обрабатывает ПД по поручению оператора, возлагаются дополнительные обязанности. В частности, оно должно соблюдать конфиденциальность персональных данных.
Также гораздо содержательнее стало поручение оператора. Так, помимо сведений, которые надо было указать в нем согласно нынешней редакции Закона, теперь в поручении будут приводить перечень персональных данных.
Еще появилось новое правило об ответственности оператора, который поручил обработку ПД иностранному гражданину или иностранной компании. В таком случае за действия такого лица перед гражданином отвечает не только оно, но и сам оператор.
Новые штрафы за персональные данные для операторов
Новые требования к обработке персональных данных повлекли новую ответственность для операторов.
Изменения внесли в статью 14.8 Кодекса РФ об административных правонарушениях (Федеральный закон от 28.05.2022 N 145-ФЗ). Они действуют с 01 сентября 2022 года.
Ответственность грозит операторам, которые отказались заключить, исполнить, изменить или расторгнуть договор с потребителем из-за его отказа предоставить ПД. За такие действия компанию могут оштрафовать на сумму от 30 до 50 тысяч рублей, а должностное лицо – от 5 до 10 тысяч рублей.
Важно учитывать, что ответственность не наступает, когда:
- потребитель был обязан сообщить ПД согласно требованиям федеральных законов или других правовых актов,
- предоставление данных непосредственно связано с исполнением договора.
Более полную информацию по теме вы можете найти в КонсультантПлюс.
Пробный бесплатный доступ к системе на 2 дня.
Источник: spmag.ru