Что считается незаконной обработкой персональных данных

Чтобы определить, законно ли используются ваши сведения, начните с основания. Оператор — тот, кто организует обработку персональных данных, — может опираться на согласие человека, исполнение договора или обязанность по закону. Например, обработка для исполнения договора, стороной которого вы являетесь, допускается без отдельного согласия. Но связь с исполнением договора должна быть необходимой, а не произвольной — п. 5 ч. 1 ст. 6 152-ФЗ.

Если согласия не было, выясните, для чего понадобились сведения. Закон допускает обработку и по другим основаниям: для участия в судопроизводстве, исполнения судебного акта, защиты жизненно важных интересов, когда получить согласие невозможно. При ссылке на законные интересы оператора или третьих лиц должны соблюдаться права и свободы человека — ч. 1 ст. 6 152-ФЗ.

Даже при законном основании нельзя использовать сведения для цели, несовместимой с целью сбора. Нельзя и объединять базы с несовместимыми целями обработки. Если информацию собирали для определённой задачи, её последующее использование нужно сопоставлять именно с этой задачей — ч. 2 и 3 ст. 5 152-ФЗ.

Сбор лишних сведений тоже нарушает правила: содержание и объём данных должны отвечать заявленной цели. Неточные или неполные сведения оператор обязан уточнять либо удалять. Хранить данные с возможностью определить человека можно в пределах необходимого для цели срока, с учётом срока по закону или договору. После достижения цели требуется уничтожение либо обезличивание, если закон не предусматривает иное — ч. 4–7 ст. 5 152-ФЗ.

Передача обработки подрядчику не освобождает оператора от ответственности перед вами. Поручение должно определять сведения, действия с ними, цели и требования к защите; исполнитель обязан соблюдать конфиденциальность. За действия российского исполнителя перед человеком отвечает оператор, а при иностранном исполнителе ответственность несут оба — ч. 3, 5 и 6 ст. 6 152-ФЗ.