Какие требования предъявляются к обработке персональных данных

Требования к обработке персональных данных затрагивают несколько вопросов: зачем нужны сведения, на каком основании их используют и что с ними происходит после достижения цели. Статья 5 152-ФЗ закрепляет принципы обработки, а ст. 6 152-ФЗ определяет условия, при которых она допускается. Эти требования действуют вместе: наличие основания не позволяет собирать любые сведения о человеке.

Начать нужно с конкретной, заранее определённой и законной цели. По ст. 5 152-ФЗ нельзя использовать собранные сведения способом, несовместимым с этой целью. Нельзя и объединять базы, если цели обработки содержащихся в них данных несовместимы между собой. Поэтому сам факт наличия информации у организации ещё не означает, что её можно использовать для любой новой задачи.

От цели зависит допустимый состав сведений. Обработке подлежат только те данные, которые ей отвечают; их содержание и объём не должны быть избыточными. Это означает, что каждый вид собираемой информации должен соответствовать заявленной задаче. Статья 5 152-ФЗ также требует обеспечивать точность и достаточность данных, а при необходимости — их актуальность. Оператор, то есть лицо, организующее обработку, должен принимать меры для уточнения или удаления неполных и неточных сведений либо обеспечивать принятие таких мер.

Срок хранения тоже связан с целью. Пока сведения позволяют определить человека, их нельзя хранить дольше, чем требуется для обработки, кроме случаев, когда срок установлен федеральным законом или указанным в ст. 5 152-ФЗ договором. По достижении цели либо при утрате необходимости в ней данные уничтожают или обезличивают, если федеральный закон не предусматривает иного. Обезличивание означает, что сведения перестают указывать на конкретного человека.

Отдельно выбирают основание по ст. 6 152-ФЗ. Помимо согласия человека, закон допускает, например, обработку, необходимую для исполнения договора с ним или заключения договора по его инициативе. Другое основание — необходимость исполнить обязанности, возложенные законом. Для защиты жизни, здоровья или иных жизненно важных интересов обработка допускается, когда получить согласие невозможно. Ссылка на законные интересы оператора или третьих лиц применима при условии, что права и свободы человека не нарушаются.

Если обработку передают исполнителю, применяются правила ч. 3–5 ст. 6 152-ФЗ. Поручение оформляют на предусмотренном законом основании; по общему правилу требуется согласие человека. В поручении определяют данные, операции с ними, цели, обязанности по конфиденциальности и безопасности. Исполнитель не обязан самостоятельно получать согласие, но обязан соблюдать правила обработки. Перед человеком за действия такого исполнителя отвечает оператор; исполнитель отвечает перед оператором. Для поручения иностранному лицу ч. 6 ст. 6 152-ФЗ предусматривает ответственность перед человеком обоих участников.