Вчера в 11:19 Защита персональных данных

Роскомнадзор и обработка персональных данных

С сентября 2022 года организации и ИП должны информировать Роскомнадзор о работе с персональными данными. Расскажем, кому необходимо направлять такие уведомления, как правильно это сделать, какие документы потребуются, чтобы Роскомнадзор включил компанию в реестр операторов персданных.

Персональные данные и оператор по их обработке

Любая компания и ИП, взаимодействующие с физицами — будь то сотрудники, исполнители, партнеры или клиенты — должны соблюдать правила по сбору, обработке, хранению и уничтожению персональных данных

Персональные данные — это любая личная информация, которая прямо или косвенно идентифицирует человека.

Роскомнадзор следит за правильностью обработки данных. Поэтому, чтобы организации было разрешено запрашивать персданные, нужно сообщить в Роскомнадзор. Он вносит организацию в реестр операторов по обработке персональных данных. Это обязательное условие, перед тем как нанять сотрудников или привлечь исполнителей для работы.

В ходе проверок компании обязаны предоставить инспекторам все необходимые документы, дополнительную информацию, а также обеспечить свободный доступ к оборудованию и помещениям, где происходит работа с персональными данными.

Правила обработки данных регулирует закон от 27.07.2006 № 152-ФЗ.

Обязанности операторов:

Уведомление Роскомнадзора о проведении операций с персональными данными.
Разработка корпоративной политики в области персональных данных, в которой должны быть описаны: методы их сбора, хранения, обработки и утилизации, информация о том, кто имеет к ним доступ. Все требования указаны в законе № 152-ФЗ.
Сбор личных данных только с согласия их владельца, в некоторых случаях требуется письменное согласие.
Использование информационных систем, расположенных на территории России, для сбора, обработки и хранения персональных данных.
Обеспечение защиты персональных данных от доступа посторонних лиц и их утечек.

Обработка персональных данных должна быть правомерной, добросовестной и соответствовать целям, для которых эти данные собирались. Например, если компания собирает данные о кандидатах для трудоустройства, она не может использовать эти данные для целей маркетинга или передавать третьим лицам без согласия владельца.

Документы для подачи уведомления в Роскомнадзор

Прежде чем направить уведомление, нужно проверить все локальные акты и документы в соответствии с требованиями законодательства и разработать политику оператора персональных данных. Это основной документ, который регулирует процессы обработки и защиты персональных данных.

Защита персональных данных — это не просто формальная обязанность, а необходимость, обеспечивающая как коммерческую безопасность организации, так и защиту права и свободы физических лиц. Отсутствие доступа к политике или к информации о мерах защиты данных может повлечь за собой штраф в размере 300 000 руб. (п. 3 ст. 13.11 КоАП).

Перед подачей заявления следует подготовить:

Необходимый пакет документов в соответствии с требованиями закона 152-ФЗ.
Реализовать ряд организационных и технических мер, включая ограничение доступа в помещения с персданными и установку паролей.

Комплект документов создается индивидуально для каждого оператора в зависимости от его сферы деятельности и целей обработки.

«Роском Онлайн» — это поддержка бизнеса в области работы с персональными данными. Мы решаем все задачи по подготовке документов, консультированию и взаимодействию с Роскомнадзором:

Чек-лист обязательных процедур: список шагов для соблюдения закона № 152-ФЗ, включая перечень локальных актов и инструкции для сотрудников.
Документы под ключ для регистрации как оператора персональных данных и организации внутренних процессов.
Экспертные консультации: юристы помогут разобраться в сложных ситуациях и правильно ответить на запросы Роскомнадзора.

Начните с бесплатной консультации на сайте и скачайте чек-лист для правильной работы с персональными данными.

Регистрация в реестре Роскомнадзора для работы с персональными данными

На Роскомнадзор не распространяются «надзорные каникулы», поэтому он может провести внеплановую проверку вне зависимости от возраста и размера организации

Уведомления Роскомнадзора

Форма уведомления об обработке персональных данных утверждена приказом Роскомнадзора от 28.10.2022 № 180 (приложение № 1). Перечень сведений, которые нужно прописать в уведомлении, указан в ч. 3 ст. 22 закона № 152-ФЗ.

Через сайт «Роском Онлайн» можно быстро зарегистрироваться в Роскомнадзоре для подачи уведомления оператора по персданным. Также на сайте есть подробная информация, как правильно заполнить уведомление. Если возникнут вопросы, специалисты помогут этот документ без ошибок.

Уведомление можно отправить одним из следующих способов:

В бумажном формате. Форму можно скачать на сайте Роскомнадзора, заполнить ее, подписать и предоставить лично или отправить по почте.
Онлайн через сайт Роскомнадзора. Нужно подписать усиленной квалифицированной электронной подписью.
В личном кабинете на портале Госуслуг.

В течение 30 дней после подачи уведомления Роскомнадзор проверяет информацию и вносит организацию в реестр операторов по работе с персданными. Оператор должен внимательно следить за корректностью информации, которую указывает в уведомлении. Если возникнут ошибки, Роскомнадзор запросит уточнение данных (ч. 6 ст. 22 закона № 152-ФЗ). Исправленная информация передается в течение 30 дней с момента получения запроса.

Уведомлять Роскомнадзор нужно разово. Если организации уже занесена в реестр, то повторные сведения не требуются. Но если произошли изменения в сведениях об обработке или она прекращена, то об этом нужно сообщить:

при изменении данных — до 15 числа следующего месяца относительно того, в котором произошли изменения;
при прекращении обработки — в течение 10 рабочих дней.

Если произошла утечка персональных данных, организация должна сообщить об этом Роскомнадзору:

В течение 24 часов — сообщить о случившемся, определить возможные причины и последствия, а также указать ответственное лицо.
В течение 72 часов — предоставить итоги внутреннего расследования.

В противном случае на организацию будет наложен штраф по статье 19.7 КоАП.

Кому не нужно уведомлять Роскомнадзор

В ч. 2 ст. 22 закона № 152-ФЗ указаны обстоятельства, при которых уведомление не требуется:

Данные занесены в государственные системы информации о персональных данных, разработанные для обеспечения государственной безопасности и поддержания общественного порядка.
Обработка данных осуществляется без применения автоматизированных средств, то есть вручную.
Данные обрабатываются с целью обеспечения безопасности в сфере транспорта, а также для поддержания стабильной и безопасной работы транспортной системы.

Ответственность за несоблюдение работы с персданными

С каждым годом растет степень ответственности за нарушения в области обработки персональных данных. Поэтому компаниям нужно серьезно подойти к вопросу обработки личной информации и ведения соответствующей документации. Максимальные штрафы за допущенные ошибки могут достигать 18 млн руб. (ст. 13.11 КоАП). Согласно статье 137 УК, за нарушение неприкосновенности частной жизни может быть предусмотрено уголовное наказание сроком до двух лет.

На сайте «Роском Онлайн» есть удобный чек-лист, который поможет соблюдать требования Роскомнадзора и закона №152-ФЗ. В нем указаны обязательные действия, связанные с обработкой персональных данных, а также перечень внутренних документов и ссылки на законодательные акты. Также на сайте «Роском Онлайн» вы можете получить консультацию специалистов по всем аспектам работы с персданными.