Какие требования закона предъявляются к работе с персональными данными

Требования к персональным данным касаются и самих сведений, и того, как с ними работают. Оператор — тот, кто организует их обработку. По ст. 5 152-ФЗ он должен заранее определить конкретную законную цель. Собирать информацию без ясного назначения, а затем искать ей применение такой подход не позволяет. Использование сведений должно оставаться совместимым с целью их сбора.

От цели зависит допустимый состав информации. Нельзя включать в обработку сведения лишь потому, что они могут пригодиться: содержание и объём должны соответствовать заявленной задаче. Если для её решения часть сведений не нужна, их обработка будет избыточной. Та же ст. 5 152-ФЗ запрещает объединять базы, когда цели обработки содержащихся в них данных несовместимы. Само удобство общей базы не снимает этого ограничения.

Отдельное требование касается качества информации. Оператор обеспечивает её точность и достаточность, а когда это нужно для цели обработки — актуальность. Неполные или неточные сведения следует уточнять либо удалять. Поэтому правила работы должны охватывать не только первоначальный сбор, но и исправление информации: наличие записи в базе ещё не означает, что её можно продолжать использовать без изменений.

Хранение также связано с целью. Если сведения позволяют определить человека, сохранять их дольше необходимого для этой цели нельзя, кроме случаев, когда срок установлен федеральным законом или указанным в ст. 5 152-ФЗ договором с участием этого человека. При достижении цели или утрате необходимости в ней сведения уничтожают либо обезличивают, если федеральный закон не предусматривает иного. Обезличивание означает устранение возможности определить человека по сведениям.

Статья 18.1 Закона № 152-ФЗ переводит эти принципы в организационные обязанности. Юридическое лицо назначает ответственного за организацию обработки и принимает политику и внутренние акты. Для каждой цели в них определяют категории людей и данных, перечень сведений, способы и сроки обработки и хранения, порядок уничтожения. Внутренними правилами нельзя ограничивать права людей, чьи сведения обрабатываются, или присваивать оператору полномочия, которых закон не предусматривает.

Одних документов недостаточно: ст. 18.1 Закона № 152-ФЗ предусматривает правовые, организационные и технические меры безопасности, внутренний контроль либо аудит, оценку возможного вреда и соотношение с ним принимаемых мер. Работников, непосредственно обрабатывающих сведения, знакомят с законодательством и внутренними правилами и (или) обучают. Состав необходимых мер оператор определяет самостоятельно в пределах требований закона.

Политика обработки и сведения о реализуемых требованиях к защите должны быть доступны неограниченному кругу лиц. При сборе через сайт их публикуют и на страницах, через которые получают данные, обеспечивая доступ средствами сети. По запросу уполномоченного органа оператор представляет предусмотренные ст. 18.1 Закона № 152-ФЗ документы либо иным способом подтверждает принятие мер. Поэтому фактическую работу с информацией нужно согласовать с тем, что закреплено в правилах.