Оператор персональных данных: обязанности, права и ответственность

Оператор персональных данных — тот, кто сам или совместно с другими определяет цели, состав данных и действия с ними (п. 2 ст. 3 Закона № 152-ФЗ). Здесь — кто является оператором, что он обязан до начала обработки, какие нужны документы и чем грозят нарушения.

Написать в мессенджер

Telegram MAX WhatsApp

Адвокат Константин Вруцкий — защита по уголовным делам, Москва — Адвокат · рег. № 78/8790

Коротко

Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, которые самостоятельно или совместно с другими лицами организуют и (или) осуществляют обработку персональных данных и определяют её цели, состав данных и действия с ними (п. 2 ст. 3 Закона № 152-ФЗ). Главное правило: оператор обязан принимать меры, необходимые и достаточные для выполнения обязанностей по закону, и сам определяет их состав, если иное не предусмотрено федеральными законами (ч. 1 ст. 18.1 Закона № 152-ФЗ).

Что делать сейчас: оператор персональных данных

Три ситуации, в которых у оператора срок считается днями и часами.

Позвонить сейчас

Пришёл запрос уполномоченного органа по защите прав субъектов персональных данных

Зафиксировать дату получения: необходимую информацию оператор сообщает в течение десяти рабочих дней с этой даты (ч. 4 ст. 20 Закона № 152-ФЗ).
Если ответ не готов — направить органу мотивированное уведомление о причинах: срок продлевается не более чем на пять рабочих дней (ч. 4 ст. 20 Закона № 152-ФЗ).
Собрать документы и локальные акты, подтверждающие принятые меры, — их оператор представляет по запросу органа (ч. 4 ст. 18.1 Закона № 152-ФЗ).

ч. 4 ст. 20 Закона № 152-ФЗ, ч. 4 ст. 18.1 Закона № 152-ФЗ

Выявлена неправомерная или случайная передача персональных данных, повлекшая нарушение прав субъектов

В течение двадцати четырёх часов с момента выявления инцидента уведомить уполномоченный орган: что произошло, предполагаемые причины и вред, принятые меры, лицо для взаимодействия (п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ).
В течение семидесяти двух часов сообщить результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, при их наличии (п. 2 ч. 3.1 ст. 21 Закона № 152-ФЗ).

ч. 3.1 ст. 21 Закона № 152-ФЗ

Субъект требует прекратить обработку его персональных данных

Прекратить обработку или обеспечить её прекращение у лица, которое обрабатывает данные, в срок не более десяти рабочих дней с даты получения требования, за исключением случаев, перечисленных в ч. 5.1 ст. 21 Закона № 152-ФЗ.
Если нужно больше времени — направить субъекту мотивированное уведомление: продление не более чем на пять рабочих дней (ч. 5.1 ст. 21 Закона № 152-ФЗ).

ч. 5.1 ст. 21 Закона № 152-ФЗ

Чего делать нельзя: оператор персональных данных

Ошибки, которые оператор совершает до первого запроса и которые потом приходится исправлять в сжатые сроки.

Собирать данные через сайт без опубликованной политики Оператор, который собирает персональные данные через сеть «Интернет», обязан опубликовать на страницах своего сайта, где идёт сбор, документ о политике в отношении обработки персональных данных и сведения о реализуемых требованиях к защите (ч. 2 ст. 18.1 Закона № 152-ФЗ). Форма заявки без доступа к политике — нарушение, которое видно любому посетителю.ч. 2 ст. 18.1 Закона № 152-ФЗ
Начинать рассылку по базе, полученной от партнёра Если данные получены не от самого субъекта, оператор до начала обработки обязан сообщить ему своё наименование и адрес, цель и правовое основание, перечень данных, пользователей, права субъекта и источник данных (ч. 3 ст. 18 Закона № 152-ФЗ). Исключения — например, субъект уже уведомлён этим оператором или данные получены в связи с исполнением договора, стороной, выгодоприобретателем или поручителем по которому является субъект (ч. 4 ст. 18 Закона № 152-ФЗ).ч. 3, 4 ст. 18 Закона № 152-ФЗ
Хранить базу граждан на зарубежном сервере При сборе персональных данных, в том числе через «Интернет», запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз данных за пределами России не допускаются, за исключением случаев, перечисленных в ч. 5 ст. 18 Закона № 152-ФЗ. Перенос CRM в зарубежное облако сначала сверяют с этим правилом.ч. 5 ст. 18 Закона № 152-ФЗ
Держать данные после достижения цели Когда цель обработки достигнута, оператор прекращает обработку и уничтожает данные в срок не более тридцати дней с даты достижения цели, если иное не предусмотрено договором с субъектом, иным соглашением с ним либо если оператор не вправе обрабатывать данные без согласия на основаниях, предусмотренных федеральными законами (ч. 4 ст. 21 Закона № 152-ФЗ).ч. 4 ст. 21 Закона № 152-ФЗ
Вписывать в политику ограничения прав субъекта Политика и локальные акты оператора не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов полномочия и обязанности, не предусмотренные законодательством (п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ). Пункт о том, что клиент «не вправе отозвать согласие», подпадает под этот запрет: закон сам описывает последствия отзыва согласия (ч. 5 ст. 21 Закона № 152-ФЗ).п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ

Когда нужна помощь юриста: оператор персональных данных

Случаи, в которых я подключаюсь к работе оператора.

Бизнес начинает собирать данные клиентов и нужно понять, является ли он оператором и какие меры обязан принять (п. 2 ст. 3 Закона № 152-ФЗ, ч. 1 ст. 18.1 Закона № 152-ФЗ).п. 2 ст. 3 Закона № 152-ФЗ, ч. 1 ст. 18.1 Закона № 152-ФЗ
Пришёл запрос уполномоченного органа или субъекта, и ответ нужно подготовить в течение десяти рабочих дней (ч. 1 и 4 ст. 20 Закона № 152-ФЗ).ч. 1, 4 ст. 20 Закона № 152-ФЗ
Произошла утечка: нужны уведомления уполномоченному органу и внутреннее расследование (ч. 3.1 ст. 21 Закона № 152-ФЗ).ч. 3.1 ст. 21 Закона № 152-ФЗ
Данные получены не от субъекта или обработку ведёт подрядчик по поручению оператора (ч. 3 ст. 18 Закона № 152-ФЗ, ч. 1 ст. 21 Закона № 152-ФЗ).ч. 3 ст. 18 Закона № 152-ФЗ, ч. 1 ст. 21 Закона № 152-ФЗ

Кто участвует: субъекты и операторы персональных данных

У каждого участника своя роль в обработке и свои обязанности.

Участник	Обязанность или право	Норма
Оператор	Организует и (или) осуществляет обработку, определяет её цели, состав данных и действия с ними; принимает меры для выполнения обязанностей по закону.	п. 2 ст. 3 Закона № 152-ФЗ, ч. 1 ст. 18.1 Закона № 152-ФЗ
Субъект персональных данных	Физическое лицо, к которому относятся данные; вправе безвозмездно ознакомиться с ними и представить сведения о неточности или незаконном получении данных.	п. 1 ст. 3 Закона № 152-ФЗ, ч. 3 ст. 20 Закона № 152-ФЗ
Лицо, действующее по поручению оператора	Обрабатывает данные по поручению; блокирование, прекращение обработки и уничтожение данных у него обязан обеспечить оператор.	ч. 1, 3, 4 ст. 21 Закона № 152-ФЗ
Ответственный за организацию обработки	Назначается оператором, являющимся юридическим лицом.	п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ
Работники оператора	Те, кто непосредственно осуществляет обработку, знакомятся с законодательством, политикой и локальными актами и (или) проходят обучение.	п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ
Уполномоченный орган по защите прав субъектов персональных данных	Запрашивает у оператора информацию, документы и локальные акты; получает уведомления об инцидентах.	ч. 4 ст. 20 Закона № 152-ФЗ, ч. 4 ст. 18.1 Закона № 152-ФЗ, ч. 3.1 ст. 21 Закона № 152-ФЗ

Показать всех участниковСвернуть

Что это значит: оператор персональных данных

Статус оператора следует не из регистрации, а из того, кто решает, зачем и какие данные обрабатываются.

Оператор определяет цели обработки, состав персональных данных и действия с ними — самостоятельно или совместно с другими лицами (п. 2 ст. 3 Закона № 152-ФЗ). Поэтому две компании, которые вместе решают, зачем собирают данные клиентов, могут быть операторами обе.

Тот, кто лишь выполняет обработку по поручению, в законе назван отдельно — лицом, действующим по поручению оператора. Блокирование, прекращение обработки и уничтожение данных у такого лица обязан обеспечить оператор (ч. 1, 3 и 4 ст. 21 Закона № 152-ФЗ).

Обработка — любое действие с персональными данными с использованием средств автоматизации или без них: сбор, запись, хранение, использование, передача, удаление, уничтожение и другие (п. 3 ст. 3 Закона № 152-ФЗ). Телефон, оставленный в форме сайта, и бумажная анкета — уже обработка.

Передача включает распространение, предоставление и доступ (п. 3 ст. 3 Закона № 152-ФЗ). Распространение — раскрытие данных неопределённому кругу лиц, предоставление — раскрытие определённому лицу или кругу лиц (п. 5 и 6 ст. 3 Закона № 152-ФЗ).

Меры оператора закон перечисляет открыто: к ним, в частности, относятся назначение ответственного, политика и локальные акты, меры безопасности, внутренний контроль и (или) аудит, оценка вреда, ознакомление работников (ч. 1 ст. 18.1 Закона № 152-ФЗ).

Что говорит закон: кто является оператором персональных данных

Определение оператора из Закона о персональных данных.

оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;п. 2 ст. 3 Закона № 152-ФЗ

Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790

Оператором делает не наличие базы, а право решать, зачем и какие данные обрабатываются. Подрядчик, который ведёт рассылку или колл-центр по заданию компании и сам целей не определяет, действует по её поручению, а обязанности по блокированию и уничтожению данных у него обеспечивает оператор (ч. 1 ст. 21 Закона № 152-ФЗ). Если цели определяют двое, операторами становятся оба.

Нормы по теме: оператор персональных данных

Статьи закона, на которых держится тема, — с названиями из официального текста

ст. 18 152-ФЗ Обязанности оператора при сборе персональных данных
ст. 18.1 152-ФЗ Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом
ст. 3 152-ФЗ Основные понятия, используемые в настоящем Федеральном законе

Официальный текст: О персональных данных

Виды дел: оператор персональных данных

С чем ко мне приходят операторы.

Является ли компания оператором

Клиенты оставляют телефоны в форме сайта, рассылку делает подрядчик, CRM — у третьего лица. Разбираю, кто определяет цели и состав данных и кто из участников оператор (п. 2 ст. 3 Закона № 152-ФЗ).

Документы оператора

Нужны политика, локальные акты и назначение ответственного (п. 1 и 2 ч. 1 ст. 18.1 Закона № 152-ФЗ), а затем публикация политики на страницах сайта, где собираются данные (ч. 2 ст. 18.1 Закона № 152-ФЗ).

Запрос уполномоченного органа

Пришёл запрос с коротким сроком, а документы о мерах разбросаны по отделам. Готовлю ответ и пакет локальных актов (ч. 4 ст. 18.1 Закона № 152-ФЗ, ч. 4 ст. 20 Закона № 152-ФЗ).

Утечка базы клиентов

Данные клиентов оказались в открытом доступе. Нужны уведомления в двадцать четыре и семьдесят два часа и внутреннее расследование (ч. 3.1 ст. 21 Закона № 152-ФЗ).

Требование субъекта

Клиент или бывший работник требует показать, какие данные о нём хранятся, исправить их или уничтожить. Готовлю ответ в сроки ч. 1 и 3 ст. 20 Закона № 152-ФЗ.

База получена от третьих лиц

Компания получила базу от партнёра. Проверяю, нужно ли до начала обработки сообщить людям сведения о себе и не подпадает ли случай под исключения (ч. 3 и 4 ст. 18 Закона № 152-ФЗ).

Ответственность: оператор персональных данных

Трудовая, административная и уголовная ответственность при обработке персональных данных.

Нарушение	Кто отвечает	Санкция	Норма
Нарушение законодательства о персональных данных при обработке данных работника	Виновные лица	Дисциплинарная и материальная ответственность по ТК, а также гражданско-правовая, административная и уголовная — в порядке федеральных законов	ч. 1 ст. 90 ТК РФ
Нарушение порядка обработки биометрических персональных данных в единой биометрической системе	Должностное лицо	Штраф: 100 000–300 000 рублей	ч. 2 ст. 13.11.3 КоАП РФ
Нарушение порядка обработки биометрических персональных данных в единой биометрической системе	Юридическое лицо	Штраф от пятисот тысяч до одного миллиона рублей	ч. 2 ст. 13.11.3 КоАП РФ
Непринятие мер безопасности биометрических данных в системах аутентификации	Должностное лицо	Штраф от трехсот тысяч до пятисот тысяч рублей	ч. 3 ст. 13.11.3 КоАП РФ
Непринятие мер безопасности биометрических данных в системах аутентификации	Юридическое лицо	Штраф от одного миллиона до одного миллиона пятисот тысяч рублей	ч. 3 ст. 13.11.3 КоАП РФ
Незаконные использование, передача, сбор или хранение информации с персональными данными, полученной незаконным путём	Виновное физическое лицо	Штраф до трехсот тысяч рублей, принудительные работы или лишение свободы на срок до четырех лет	ч. 1 ст. 272.1 УК РФ

Показать всю ответственностьСвернуть

Общие административные штрафы оператора за нарушение порядка обработки персональных данных установлены отдельной статьёй КоАП и в таблицу не включены; составы по биометрии — только для единой биометрической системы и систем аутентификации. Уголовная норма не распространяется на обработку персональных данных физическими лицами исключительно для личных и семейных нужд (примечание 1 к ст. 272.1 УК РФ).

Возможные исходы: оператор персональных данных

Чем заканчиваются запросы, проверки и инциденты у оператора.

Оператор по запросу уполномоченного органа представляет документы и локальные акты или иным образом подтверждает принятие мер (ч. 4 ст. 18.1 Закона № 152-ФЗ).
Неправомерная обработка выявлена: оператор прекращает её в срок не более трёх рабочих дней, а если обеспечить правомерность невозможно — уничтожает данные в срок не более десяти рабочих дней и уведомляет субъекта (ч. 3 ст. 21 Закона № 152-ФЗ).
Неточность данных подтверждена: оператор уточняет их в течение семи рабочих дней со дня представления сведений и снимает блокирование (ч. 2 ст. 21 Закона № 152-ФЗ).
Уничтожить данные в установленный срок нельзя: оператор блокирует их и уничтожает в срок не более шести месяцев, если иной срок не установлен федеральными законами (ч. 6 ст. 21 Закона № 152-ФЗ).

Показать всёСкрыть

Нарушение затронуло данные работников: виновные лица привлекаются к дисциплинарной и материальной ответственности в порядке ТК и иных федеральных законов, а также к гражданско-правовой, административной и уголовной — в порядке федеральных законов (ст. 90 ТК РФ).

Не откладывайте правовую оценку

Обсудите задачу компании до следующего действия

Получили документ, готовите решение или возник спор? Позвоните или напишите: разберу обстоятельства, проверю применимый порядок и сроки, объясню возможные действия и риски для компании.

Позвонить сейчас

Комментарий адвоката Вруцкого

адвокат · рег. № 78/8790

Чаще всего ко мне приходят не с вопросом «как стать оператором», а когда уже пришёл запрос или выяснилось, что форма на сайте собирает телефоны без политики. Статус оператора следует из определения закона: кто сам или вместе с другими решает, зачем ему данные и какие, тот и оператор (п. 2 ст. 3 Закона № 152-ФЗ).

Работу я начинаю с карты обработки: какие данные, от кого, зачем, у кого из работников и подрядчиков к ним доступ. По этой карте пишу политику и локальные акты для каждой цели — с категориями субъектов, сроками и порядком уничтожения, как требует п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. Политика, скачанная из сети, обычно не совпадает с реальной обработкой, и это видно при первом запросе.

Отдельно проверяю подрядчиков: CRM, рассылки, колл-центр. Если обработку ведёт другое лицо по поручению, блокирование и уничтожение данных у него обязан обеспечить оператор (ч. 1 и 3 ст. 21 Закона № 152-ФЗ). Значит, в договоре с подрядчиком нужны механизмы, которые позволят сделать это в сроки закона.

Если случилась неправомерная или случайная передача данных, повлекшая нарушение прав субъектов, счёт идёт на часы: первое уведомление — в течение двадцати четырёх часов (ч. 3.1 ст. 21 Закона № 152-ФЗ). Я готовлю его вместе с ответственным и параллельно собираю материалы внутреннего расследования.

Порядок действий: оператор персональных данных

Шаги, которые оператор проходит до начала обработки и поддерживает потом.

1
Определить оператораВыясняю, кто определяет цели обработки, состав данных и действия с ними и нет ли совместных операторов (п. 2 ст. 3 Закона № 152-ФЗ). Отдельно отмечаю лиц, которые обрабатывают данные по поручению.
2
Составить карту обработкиДля каждой цели фиксирую категории и перечень данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения — это содержание локальных актов (п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ).
3
Назначить ответственногоОператор, являющийся юридическим лицом, назначает ответственного за организацию обработки персональных данных (п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ).
4
Издать политику и локальные актыГотовлю политику оператора в отношении обработки персональных данных и локальные акты, включая процедуры предотвращения и выявления нарушений. Положений, ограничивающих права субъектов, в них быть не должно (п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ).
5
Опубликовать политикуПолитика и сведения о требованиях к защите размещаются в открытом доступе, а при сборе через сайт — на его страницах, где идёт сбор (ч. 2 ст. 18.1 Закона № 152-ФЗ).
6
Принять меры безопасностиОпределяются угрозы, применяются организационные и технические меры, ведётся учёт машинных носителей, устанавливаются правила доступа и регистрация действий в информационной системе (ч. 2 ст. 19 Закона № 152-ФЗ).
7
Обучить работников и проверить себяРаботники, которые непосредственно обрабатывают данные, знакомятся с законодательством, политикой и локальными актами; оператор проводит внутренний контроль и (или) аудит (п. 4 и 6 ч. 1 ст. 18.1 Закона № 152-ФЗ).
8
Настроить ответы на запросыЗакрепляю, кто и как отвечает субъектам и уполномоченному органу: десять рабочих дней с продлением не более чем на пять рабочих дней при мотивированном уведомлении (ч. 1 и 4 ст. 20 Закона № 152-ФЗ).

Документы: оператор персональных данных

Что должно быть у оператора к первому запросу.

Документ	Зачем	Кто подписывает, форма
Политика в отношении обработки персональных данных	Определяет политику оператора; публикуется в открытом доступе (п. 2 ч. 1 и ч. 2 ст. 18.1 Закона № 152-ФЗ)	Издаёт оператор — юридическое лицо; размещается на сайте
Локальные акты по каждой цели обработки	Категории и перечень данных, категории субъектов, сроки, порядок уничтожения (п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ)	Издаёт оператор, письменно
Акт о назначении ответственного	Назначение ответственного за организацию обработки (п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ)	Оператор — юридическое лицо
Документы о мерах безопасности	Угрозы, меры защиты, учёт машинных носителей, правила доступа (ч. 2 ст. 19 Закона № 152-ФЗ)	Оператор, письменно
Подтверждение ознакомления работников	Ознакомление с политикой и локальными актами (п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ)	Работник, подпись
Результаты внутреннего контроля и оценки вреда	Подтверждают контроль и соотношение вреда и мер (п. 4 и 5 ч. 1 ст. 18.1 Закона № 152-ФЗ)	Оператор, письменно

Показать все документыСвернуть

Документы и локальные акты оператор представляет по запросу уполномоченного органа по защите прав субъектов персональных данных (ч. 4 ст. 18.1 Закона № 152-ФЗ).

Сроки: оператор персональных данных

Рабочие дни, календарные дни и часы — как в норме.

Действие	Срок	С какого дня	Норма
Уведомление об инциденте	24 часа; результаты расследования — 72 часа	С момента выявления инцидента	ч. 3.1 ст. 21 Закона № 152-ФЗ
Ответ субъекту о наличии данных	10 рабочих дней, продление не более чем на 5 рабочих дней	С даты получения запроса	ч. 1 ст. 20 Закона № 152-ФЗ
Ответ уполномоченному органу	10 рабочих дней, продление не более чем на 5 рабочих дней	С даты получения запроса	ч. 4 ст. 20 Закона № 152-ФЗ
Прекращение неправомерной обработки	Не более 3 рабочих дней; уничтожение — не более 10 рабочих дней	С даты выявления	ч. 3 ст. 21 Закона № 152-ФЗ
Уничтожение после достижения цели	Не более 30 дней, если иное не предусмотрено договором или соглашением с субъектом и в других случаях ч. 4	С даты достижения цели	ч. 4 ст. 21 Закона № 152-ФЗ
Прекращение обработки по требованию субъекта	Не более 10 рабочих дней, продление не более чем на 5 рабочих дней	С даты получения требования	ч. 5.1 ст. 21 Закона № 152-ФЗ
Срок привлечения по КоАП	Один год	Со дня совершения; при длящемся нарушении — со дня обнаружения	ч. 1 и 2 ст. 4.5 КоАП РФ
Оспаривание ненормативного акта, решения или действий органа в арбитражном суде	3 месяца, если федеральным законом не установлен иной срок; уважительность причин пропуска позволяет суду восстановить срок	День, когда гражданин или организация узнали, что их права и законные интересы нарушены	ч. 4 ст. 198 АПК РФ

Показать все срокиСкрыть

Как я веду дело

Как адвокат ведёт поручение компании

1
Разбор ситуацииСмотрю документы компании и обстоятельства, определяю маршрут и называю перспективу без приукрашивания. Если задача решается силами самой компании — говорю об этом прямо.
2
Сбор документовОпределяю, какие договоры, внутренние документы, переписка и материалы органа относятся к задаче. Недостающие сведения получаем доступным законным способом; судебные запросы возможны в соответствующей процедуре.
3
Подготовка документовГотовлю необходимые по задаче документы: договор, ответ, возражения, заявление или жалобу. Согласуем содержание и порядок подписания; проверяем полномочия лица, которое направляет документ.
4
Представительство по задачеПо согласованному поручению веду переговоры, представляю интересы в компетентном органе или суде. Заранее объясняю, когда необходимо личное участие представителя компании и какие документы потребуются.
5
Результат и дальнейшие действияРазбираю полученное решение или подготовленный документ и объясняю последующие действия. Исполнение судебного акта, обжалование и дополнительные этапы входят в работу в объёме, предусмотренном соглашением.
6
Связь на всех этапахСогласуем контактное лицо компании и порядок информирования. Сообщаю о значимых событиях и необходимых решениях в пределах принятого поручения.

Сам или с адвокатом: оператор персональных данных

Что оператор может сделать своими силами, а где нужен разбор адвоката.

Можно сделать самостоятельно

Разместить готовую политику на страницах сайта, где собираются данные (ч. 2 ст. 18.1 Закона № 152-ФЗ).
Ответить субъекту о наличии его данных в срок ч. 1 ст. 20 Закона № 152-ФЗ.
Ознакомить работников с политикой и локальными актами (п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ).

Лучше с адвокатом

Определить оператора при работе с подрядчиками и партнёрами (п. 2 ст. 3 Закона № 152-ФЗ).
Подготовить ответ на запрос уполномоченного органа и пакет документов (ч. 4 ст. 18.1 Закона № 152-ФЗ).
Уведомить орган об инциденте и провести внутреннее расследование (ч. 3.1 ст. 21 Закона № 152-ФЗ).

Кто ведёт дело

Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение

Константин Александрович Вруцкий

№ 78/8790 · адвокат

Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.

Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.

Личное ведениеВеду дело сам — от первого разговора до исполнения. Доверитель — компания или индивидуальный предприниматель, работа идёт по письменному соглашению с адвокатом — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».

Честная оценкаНе обещаю результата: называю реальную перспективу и цену промедления в рублях. Если задача решается силами компании, говорю прямо. Обещать положительный результат адвокату запрещено — п. 2 ст. 10 Кодекса профессиональной этики адвоката.

Адвокатская тайнаСведения о компании, её сделках, контрагентах и финансах, полученные в связи с делом, охраняются законом — рассказать можно всё, включая неудобное. Это адвокатская тайна — ст. 8 ФЗ «Об адвокатской деятельности и адвокатуре».

Понятные следующие шагиОбъясняю значение документа или решения и следующие действия компании. Представительство, обжалование и исполнение входят в согласованный объём помощи по соглашению — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».

Частые вопросы: оператор персональных данных

Ответы со ссылками на нормы.

Кто является оператором персональных данных?

Тот, кто самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку и определяет её цели, состав данных и действия с ними: государственный или муниципальный орган, юридическое или физическое лицо (п. 2 ст. 3 Закона № 152-ФЗ). Подрядчик, обрабатывающий данные по поручению, — лицо, действующее по поручению оператора (ч. 4 ст. 21 Закона № 152-ФЗ).

Что оператор до начала обработки персональных данных обязан сделать?

Если данные получены не от субъекта, до начала обработки оператор сообщает ему, в том числе, наименование и адрес, цель и основание, перечень данных и источник, кроме случаев ч. 4 ст. 18 Закона № 152-ФЗ (ч. 3 ст. 18 Закона № 152-ФЗ). Меры по ч. 1 ст. 18.1 Закона № 152-ФЗ — ответственный у юридического лица, политика, локальные акты, безопасность — оператор определяет сам, если иное не предусмотрено федеральными законами. Уведомление уполномоченного органа об обработке закон регулирует отдельно.

Какие обязанности оператора обработки персональных данных при сборе?

По просьбе субъекта оператор предоставляет ему информацию об обработке (ч. 1 ст. 18 Закона № 152-ФЗ). Если предоставление данных или согласие обязательны по федеральному закону, оператор разъясняет юридические последствия отказа (ч. 2 ст. 18 Закона № 152-ФЗ).

Какие права оператора персональных данных: что оператор вправе определять сам?

Оператор определяет цели, состав данных и действия с ними (п. 2 ст. 3 Закона № 152-ФЗ) и самостоятельно определяет состав и перечень мер для выполнения обязанностей, если иное не предусмотрено федеральными законами (ч. 1 ст. 18.1 Закона № 152-ФЗ).

Показать все вопросыСвернуть

Что входит в документы оператора обработки персональных данных и политику оператора?

Политика в отношении обработки персональных данных, локальные акты по каждой цели, акт о назначении ответственного, документы о мерах безопасности (п. 1–3 ч. 1 ст. 18.1 Закона № 152-ФЗ). Политику оператор публикует или иначе открывает к ней доступ, при сборе через сайт — на его страницах, где идёт сбор (ч. 2 ст. 18.1 Закона № 152-ФЗ).

Нужна ли регистрация оператора персональных данных и уведомление Роскомнадзора?

Уведомление об обработке и внесение в реестр операторов регулирует отдельная статья Закона о персональных данных; её я сверяю под конкретную обработку. Само уведомление не заменяет обязанностей оператора: политики, локальных актов, ответственного и мер защиты (ч. 1 ст. 18.1 Закона № 152-ФЗ).

Как проверить оператора персональных данных в реестре Роскомнадзора по ИНН?

Запись в реестре операторов показывает сведения, которые оператор сам указал в уведомлении. Цели, перечень данных и категории субъектов в них должны совпадать с политикой и локальными актами (п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ). Расхождение — повод внести изменения в сведения реестра.

Оператор передает оператору персональные данные: что меняется?

Раскрытие данных определённому лицу — предоставление (п. 6 ст. 3 Закона № 152-ФЗ). Получатель, который сам определяет цели, становится оператором и, получив данные не от субъекта, до начала обработки уведомляет его, кроме случаев ч. 4 ст. 18 Закона № 152-ФЗ (ч. 3 ст. 18 Закона № 152-ФЗ). При обработке по поручению блокирование, прекращение обработки и уничтожение данных у исполнителя обеспечивает поручивший оператор (ч. 1, 3 и 4 ст. 21 Закона № 152-ФЗ).

Какая ответственность у оператора персональных данных?

За нарушения при обработке данных работника — дисциплинарная, материальная, гражданско-правовая, административная и уголовная ответственность (ст. 90 ТК РФ). За нарушения с биометрией в системах аутентификации — штрафы по ст. 13.11.3 КоАП РФ. По административным нарушениям в области персональных данных давность составляет год: от совершения (ч. 1 ст. 4.5 КоАП РФ) или от обнаружения длящегося нарушения (ч. 2 ст. 4.5 КоАП РФ).

Услуги и темы рядом: оператор персональных данных

Где нужна помощь адвоката и что прочитать дальше по этому вопросу

Показать всёСкрыть

Обсудите задачу до подписания и ответа

Запишитесь на консультацию

+7 (495) 198-70-77

Позвонить сейчас