Федеральный закон № 152-ФЗ о персональных данных: кто становится оператором, когда нужно согласие на обработку, в какие сроки отвечать человеку и сообщать об утечке, какие санкции грозят и как выстроить обработку в компании.
Коротко
Федеральный закон № 152-ФЗ «О персональных данных» распространяется на обработку сведений о человеке — сбор, хранение, передачу, уничтожение, — которую ведут госорганы, организации и граждане с помощью техники или по картотекам, кроме, например, обработки для личных и семейных нужд (ст. 1 Закона № 152-ФЗ). Оператор — тот, кто определяет цели обработки и состав данных (п. 2 ст. 3 Закона № 152-ФЗ). Согласие должно быть конкретным, информированным и оформленным отдельно от иных документов (ч. 1 ст. 9 Закона № 152-ФЗ), а доказать его получение обязан оператор (ч. 3 ст. 9 Закона № 152-ФЗ).
Первые шаги оператора, когда ситуация с данными уже случилась
ч. 3.1 ст. 21 Закона № 152-ФЗ
ч. 1, 3 ст. 21 Закона № 152-ФЗ
ч. 2 ст. 9 Закона № 152-ФЗ; ч. 5 ст. 21 Закона № 152-ФЗ
ч. 5.1 ст. 21 Закона № 152-ФЗ
ч. 1, 2 ст. 21 Закона № 152-ФЗ
ч. 5, 9 ст. 15.5 Закона № 149-ФЗ
Нарушения, которые проверяющий находит по документам компании
Ситуации, где ошибка в первом ответе дорого стоит
Роли по закону и обязанности каждой стороны
| Участник | Обязанность или право | Норма |
|---|---|---|
| Оператор | Определяет цели обработки, состав данных и действия с ними, организует обработку и доказывает получение согласия или иное основание обработки | п. 2 ст. 3 Закона № 152-ФЗ; ч. 3 ст. 9 Закона № 152-ФЗ |
| Субъект персональных данных | Решает, давать ли согласие, свободно, своей волей и в своём интересе; вправе отозвать согласие | ч. 1, 2 ст. 9 Закона № 152-ФЗ |
| Представитель субъекта | Даёт согласие от имени человека после проверки оператором полномочий; за недееспособного согласие даёт законный представитель, после смерти субъекта — наследники, если сам он не дал согласия при жизни | ч. 1, 6, 7 ст. 9 Закона № 152-ФЗ |
| Лицо, обрабатывающее данные по поручению оператора | Работает с данными по поручению; оператор обеспечивает у него блокирование, прекращение обработки и уничтожение | ч. 1, 3 ст. 21 Закона № 152-ФЗ |
| Ответственный за организацию обработки | Ведёт внутренний контроль, доводит до работников требования и локальные акты, организует приём обращений субъектов; подотчётен исполнительному органу | ч. 2, 4 ст. 22.1 Закона № 152-ФЗ |
| Роскомнадзор | Осуществляет федеральный государственный контроль (надзор) за соблюдением операторами обязательных требований и получает уведомления об инцидентах | ч. 1, 2 ст. 23.1 Закона № 152-ФЗ; ч. 3.1 ст. 21 Закона № 152-ФЗ |
| Иностранное юридическое или физическое лицо | Применяет закон, если обрабатывает данные граждан России по договору с ними, иному соглашению или на основании их согласия | ч. 1.1 ст. 1 Закона № 152-ФЗ |
Понятия закона, от которых зависят обязанности компании
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3 Закона № 152-ФЗ). Под определение попадают не только паспорт и телефон, но и сведения, по которым человека можно установить в сочетании с другой информацией.
Обработка — любое действие с такими данными: сбор, запись, систематизация, хранение, уточнение, передача, обезличивание, блокирование, удаление, уничтожение (п. 3 ст. 3 Закона № 152-ФЗ). Закон действует и при работе с базами на компьютерах, и без средств автоматизации, если картотека позволяет по заданному алгоритму найти сведения о человеке (ч. 1 ст. 1 Закона № 152-ФЗ).
Закон различает распространение — раскрытие данных неопределённому кругу лиц — и предоставление определённому лицу или кругу лиц (пп. 5, 6 ст. 3 Закона № 152-ФЗ). Отдельное понятие — трансграничная передача, то есть передача данных на территорию иностранного государства его органу власти, иностранному физическому или юридическому лицу (п. 11 ст. 3 Закона № 152-ФЗ).
Вне действия закона остаются обработка гражданином исключительно для личных и семейных нужд, если права субъектов не нарушаются, хранение и использование архивных документов по законодательству об архивном деле и сведения, отнесённые к государственной тайне (ч. 2 ст. 1 Закона № 152-ФЗ). Подзаконные акты не вправе ограничивать права субъектов или возлагать на операторов обязанности, которых нет в федеральных законах (ч. 2 ст. 4 Закона № 152-ФЗ).
Определение, от которого зависит, касается ли закон действий компании
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Определение нарочно широкое: выгрузка из CRM, пересылка списка курьеру, хранение анкет в картотеке с поиском по фамилии — уже обработка. Поэтому вопрос, есть ли у компании обработка, почти всегда решён заранее; спорят о том, на каком основании она ведётся и как защищена. Аудит я начинаю с перечня действий из этого пункта и сопоставляю его с реальными процессами компании.
Статьи закона, на которых держится тема, — с названиями из официального текста
Официальный текст: О персональных данных
Типичные обращения компаний по закону о персональных данных
Орган проводит контрольное мероприятие и требует показать согласия, назначение ответственного и порядок ответов на обращения субъектов (ст. 23.1 Закона № 152-ФЗ).
Сведения оказались у третьих лиц: уведомления в орган, внутреннее расследование, претензии граждан и поиск виновных работников (ч. 3.1 ст. 21 Закона № 152-ФЗ).
Клиент или бывший работник требует прекратить обработку и уничтожить сведения; спор идёт о том, было ли у оператора иное основание (ч. 2 ст. 9 Закона № 152-ФЗ).
Сведения о работниках переданы в банк, аутсорсеру или лежат в общей папке; встаёт вопрос дисциплинарной и материальной ответственности виновных (ст. 90 ТК РФ).
Компания собирает телефоны и адреса через формы заявок и должна оформить согласие отдельно от пользовательского соглашения (ч. 1 ст. 9 Закона № 152-ФЗ).
CRM, хранилища и рассылки иностранных провайдеров на серверах за рубежом означают трансграничную передачу данных и требуют отдельной оценки (п. 11 ст. 3 Закона № 152-ФЗ).
Доступ к сайту ограничивают по вступившему в силу судебному акту; после устранения нарушения владелец сайта просит исключить его из реестра (ст. 15.5 Закона № 149-ФЗ).
Компания распознаёт лицо или голос клиентов для аутентификации и обязана обеспечить безопасность таких сведений в своей системе (ст. 13.11.3 КоАП РФ).
Где действует закон о персональных данных, а где другие правила
| Признак | Закон о персональных данных | Иной режим | Норма |
|---|---|---|---|
| Цель обработки | Обработка органами, организациями и гражданами в любых целях | Гражданин исключительно для личных и семейных нужд, если права субъектов не нарушаются, — закон не применяется | ч. 1, п. 1 ч. 2 ст. 1 Закона № 152-ФЗ |
| Вид сведений | Любая информация о прямо или косвенно определяемом человеке | Сведения, составляющие государственную тайну, и документы Архивного фонда — по своему законодательству | п. 1 ст. 3 Закона № 152-ФЗ; пп. 2, 4 ч. 2 ст. 1 Закона № 152-ФЗ |
| Информация о работе судов | Общие правила обработки | Публикация и передача сведений о деятельности судов — по отдельному федеральному закону о доступе к такой информации | ч. 3 ст. 1 Закона № 152-ФЗ |
| Реакция на нарушение в интернете | Оператор сам прекращает неправомерную обработку и уничтожает данные | Основанием для включения сайта в реестр нарушителей является вступивший в законную силу судебный акт | ч. 3 ст. 21 Закона № 152-ФЗ; ч. 5 ст. 15.5 Закона № 149-ФЗ |
| Данные работников | Общие требования к обработке и защите сведений | Дисциплинарная и материальная ответственность виновных — по трудовому законодательству | ч. 1 ст. 90 ТК РФ |
За нарушение требований к размещению биометрических данных предусмотрены штрафы (ч. 1 ст. 13.11.3 КоАП РФ)
| Нарушение | Кто отвечает | Санкция | Норма |
|---|---|---|---|
| Нарушение правил обработки и защиты данных работника | Лица, виновные в нарушении | Дисциплинарная и материальная ответственность, а также гражданско-правовая, административная и уголовная по федеральным законам | ч. 1 ст. 90 ТК РФ |
| Размещение и обновление биометрических данных в единой биометрической системе банком или иной организацией с нарушением требований | Должностное лицо | Штраф от ста тысяч до трехсот тысяч рублей | ч. 1 ст. 13.11.3 КоАП РФ |
| То же нарушение | Юридическое лицо | Штраф от пятисот тысяч до одного миллиона рублей | ч. 1 ст. 13.11.3 КоАП РФ |
| Непринятие мер безопасности биометрических данных в системах аутентификации | Юридическое лицо | Штраф от одного миллиона до одного миллиона пятисот тысяч рублей | ч. 3 ст. 13.11.3 КоАП РФ |
| Незаконные использование, передача, сбор или хранение компьютерной информации с персональными данными, полученной незаконным путём | Физическое лицо | Уголовная ответственность, включая штраф до трехсот тысяч рублей | ч. 1 ст. 272.1 УК РФ |
Руководители и работники организаций, совершившие административное правонарушение в связи с организационно-распорядительными или административно-хозяйственными функциями, отвечают как должностные лица; предприниматели без образования юридического лица — тоже, если КоАП не установлено иное (примечание к ст. 2.4 КоАП РФ). Таблица не исчерпывает ответственность операторов персональных данных.
адвокат · рег. № 78/8790
Закон о персональных данных для компании — не документ на сайте, а набор обязанностей, которые проверяют по фактам: где собираются сведения, кто имеет к ним доступ, сколько они хранятся и что происходит, когда человек пишет с требованием. Работу я начинаю с карты обработки: перечисляю формы, базы и подрядчиков и сопоставляю каждое действие с его основанием.
Слабые места, которые я нахожу при аудите, повторяются: согласие, встроенное в договор, отсутствие доказательств его получения и архивы, которые никто не уничтожает после достижения цели. Каждое из них закон прямо называет обязанностью оператора, и ссылка на сложившуюся практику компании здесь не работает.
При инциденте считаю часы, а не дни: сроки уведомления органа закон отмеряет именно часами. Готовлю первое сообщение, перечень мер и позицию по виновным лицам так, чтобы сведения в двух уведомлениях не расходились. Если проверка уже идёт, оспариваю выводы по каждому эпизоду отдельно и проверяю, относится ли требование к компании как к оператору или к её подрядчику.
Что компания делает по закону, чтобы обработка была правомерной
Что оператор показывает субъекту, органу и суду
| Документ | Зачем | Кто подписывает, форма |
|---|---|---|
| Согласие на обработку персональных данных | Основание обработки; доказывать его получение обязан оператор (ч. 3 ст. 9 Закона № 152-ФЗ) | Субъект или его представитель в форме, позволяющей подтвердить получение; в случаях, предусмотренных федеральным законом, — письменно или электронным документом с электронной подписью (ч. 1, 4 ст. 9 Закона № 152-ФЗ) |
| Документ о полномочиях представителя | Проверка права давать согласие от имени человека (ч. 1 ст. 9 Закона № 152-ФЗ) | Доверенность или иной документ; его реквизиты указываются в письменном согласии (п. 2 ч. 4 ст. 9 Закона № 152-ФЗ) |
| Решение о назначении ответственного | Исполнение обязанности оператора — юридического лица (ч. 1 ст. 22.1 Закона № 152-ФЗ) | Исполнительный орган организации, которому ответственный подотчётен (ч. 2 ст. 22.1 Закона № 152-ФЗ) |
| Локальные акты по обработке данных | Доводятся до работников ответственным лицом (п. 2 ч. 4 ст. 22.1 Закона № 152-ФЗ) | Утверждает оператор |
| Уведомление об инциденте | Сообщение органу о причинах, вреде и принятых мерах (п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ) | Оператор с указанием лица, уполномоченного на взаимодействие с органом |
| Подтверждение уничтожения данных | Доказательство исполнения обязанности уничтожить сведения (ч. 7 ст. 21 Закона № 152-ФЗ) | Оператор по требованиям уполномоченного органа |
Часы, рабочие и календарные дни отсчитываются от разных событий
| Действие | Срок | С какого дня | Норма |
|---|---|---|---|
| Уведомить орган об инциденте | В течение двадцати четырех часов | С момента выявления инцидента | п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ |
| Сообщить итоги внутреннего расследования | В течение семидесяти двух часов | С момента выявления инцидента | п. 2 ч. 3.1 ст. 21 Закона № 152-ФЗ |
| Уточнить неточные данные | В течение семи рабочих дней | Со дня представления сведений | ч. 2 ст. 21 Закона № 152-ФЗ |
| Прекратить неправомерную обработку | Не превышающий трех рабочих дней | С даты выявления | ч. 3 ст. 21 Закона № 152-ФЗ |
| Прекратить обработку по требованию субъекта | Не превышающий десяти рабочих дней, если нет оснований продолжить; продление — не более чем на пять рабочих дней | С даты получения требования | ч. 5.1 ст. 21 Закона № 152-ФЗ |
| Уничтожить данные после достижения цели | Не превышающий тридцати дней, если иное не предусмотрено договором или соглашением с субъектом | С даты достижения цели | ч. 4 ст. 21 Закона № 152-ФЗ |
| Постановление по делу об административном правонарушении | Не может быть вынесено по истечении одного года | Со дня совершения, при длящемся правонарушении — со дня обнаружения | ч. 1, 2 ст. 4.5 КоАП РФ |
| Оспорить решение органа в арбитражном суде | Заявление подают не позднее трёх месяцев; иной срок возможен, если установлен федеральным законом | С даты, когда гражданин или организация узнали о нарушении своих прав и законных интересов | ч. 4 ст. 198 АПК РФ |
Как адвокат ведёт поручение компании
Что компания делает своими силами и где нужна правовая позиция
Текущие документы компания ведёт сама; когда начались проверка, инцидент или спор о доказательствах, я готовлю позицию и документы до первого ответа органу или человеку.
№ 78/8790 · адвокат · в профессии с 2006 года
Я веду поручение лично. При обращении разбираю задачу, необходимые действия и объём помощи, который закрепляю в соглашении.
Сведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Ответы по тексту закона о персональных данных
Отношения, связанные с обработкой персональных данных органами власти, юридическими и физическими лицами — с помощью средств автоматизации, в том числе в интернете, или без них, если картотека позволяет искать сведения по заданному алгоритму (ч. 1 ст. 1 Закона № 152-ФЗ).
Это отдельный федеральный закон «О персональных данных», а не кодекс. Законодательство в этой области состоит из него и других федеральных законов, определяющих случаи и особенности обработки (ч. 1 ст. 4 Закона № 152-ФЗ).
Закон не действует при обработке гражданином исключительно для личных и семейных нужд, если права субъектов не нарушаются, при работе с документами Архивного фонда и другими архивными документами и со сведениями, отнесёнными к государственной тайне (ч. 2 ст. 1 Закона № 152-ФЗ).
Согласие даётся свободно, своей волей и в своём интересе; оно должно быть конкретным, предметным, информированным, сознательным и однозначным и оформляется отдельно от иных документов, которые подписывает человек (ч. 1 ст. 9 Закона № 152-ФЗ).
В случаях, предусмотренных федеральным законом. Письменному согласию с собственноручной подписью равнозначен электронный документ, подписанный электронной подписью; в согласии указываются цель, перечень данных, срок действия и способ отзыва (ч. 4 ст. 9 Закона № 152-ФЗ).
Оператор вправе продолжить обработку без согласия только при наличии иных оснований, прямо названных в законе (ч. 2 ст. 9 Закона № 152-ФЗ). Если их нет, обработка прекращается, а ненужные данные уничтожаются в срок, не превышающий тридцати дней с даты отзыва, если иное не предусмотрено договором с участием субъекта или соглашением с ним (ч. 5 ст. 21 Закона № 152-ФЗ).
Назначить ответственного за организацию обработки (ч. 1 ст. 22.1 Закона № 152-ФЗ), иметь доказательства согласия (ч. 3 ст. 9 Закона № 152-ФЗ), блокировать, уточнять и уничтожать данные по обращениям субъектов и сообщать в орган об инцидентах (ст. 21 Закона № 152-ФЗ).
Федеральный государственный контроль (надзор) ведёт уполномоченный орган; предмет — соблюдение операторами обязательных требований закона и принятых по нему актов (ч. 1, 2 ст. 23.1 Закона № 152-ФЗ).
Да, если иностранное юридическое или физическое лицо обрабатывает данные граждан России по договору с ними, иному соглашению или на основании их согласия (ч. 1.1 ст. 1 Закона № 152-ФЗ).
Любое действие с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение (п. 3 ст. 3 Закона № 152-ФЗ).
В действующей редакции согласие должно быть оформлено отдельно от иных информации и документов, которые подтверждает или подписывает субъект, а полномочия представителя проверяет оператор (ч. 1 ст. 9 Закона № 152-ФЗ).
Где нужна помощь адвоката и что прочитать дальше по этому вопросу