Персональные данные в 2021 году

15.12.2021 00:00

Теперь не допускается получение согласия на распространение персональных данных "по умолчанию" и в 2 раза увеличены штрафы.

personalnye-dannye

Изменения в Федеральный закон от 27.07.2006 № 152-ФЗ, который проясняет вопросы обработки, хранения и доступа к персональным данным, внес Федеральный закон от 30.12.2020 № 519-ФЗ.

Поправки решают проблему бесконтрольного использования персональных данных граждан третьими лицами.

Что изменилось в обработке персональных данных?

Из Федерального закона от 30.12.2020 № 519-ФЗ следует, что:

Молчание или бездействие ни при каких обстоятельствах нельзя расценивать как согласие на обработку персональных данных.
Согласие на обработку персональных данных, разрешенных для распространения, оформляется отдельно. Оператор обязан обеспечить возможность определить перечень персональных данных по каждой категории, указанной в согласии на обработку.
В согласии на обработку персональных данных, разрешенных для распространения, можно установить запреты на передачу этих персональных данных неограниченному кругу лиц, а также запреты на обработку или условия обработки данных неограниченным кругом лиц. Оператор не вправе отказать в этом случае.

Как прекратить передачу данных, разрешенных для распространения?

Законодательство обязывает прекратить передачу персональных данных, разрешенных для распространения, в любое время по требованию субъекта.

Для этого нужно направить требование, в котором нужно четко указать перечень персональных данных, обработку которых нужно прекратить.

Указанные персональные данные могут обрабатываться только оператором, которому оно направлено.

В законе прямо не уточняется, какие именно данные являются персональными, но, если исходить из формулировки, что это "любая информация", относящаяся к физическому лицу, то к персональным данным относятся:

ФИО;
дата рождения;
адрес;
телефон;
электронный адрес;
фотография;
ссылка на персональный сайт;
ссылка на профиль в социальных сетях.

Одним словом, речь идет о любых данных, по которым можно идентифицировать человека. Фактически любой владелец сайта - оператор персональных данных, так как он размещает на своем ресурсе форму обратной связи, форму регистрации и пр.

За что и на какие суммы штрафуют операторов персональных данных в 2021 году?

Вступил в силу Федеральный закон от 24.02.2021 № 19-ФЗ, который значительно увеличивает штрафы за нарушения в работе с персональными данными.

Нововведения:

За любые правонарушения в области обработки персональных данных теперь будут сразу штрафовать. Ранее предусматривалось предупреждение.
Ранее повторное нарушение не выделялось как самостоятельный состав правонарушения. А теперь выделяется и штрафы по нему в несколько раз выше, чем за первичное нарушение.
Например, если выяснится, что юрлицо запрашивает персональные данные, которые несовместимы с целями сбора, то за первое нарушение ему придется заплатить штраф в размере от 60 до 100 тысяч рублей, за повторное — от 100 до 300 тысяч рублей.
Срок давности привлечения к административной ответственности за нарушения в области персональных данных тоже увеличился. Если ранее он составлял три месяца, то теперь увеличен до одного года.

Основание	Размер штрафа
Обработка персональных данных в случаях, не предусмотренных законодательством и несовместимая с целями сбора персональных данных.	Для физлиц: предупреждение или штраф от 2 000 до 6 000 руб. Для должностных лиц: предупреждение или штраф от 10 000 до 20 000 руб. Для юрлиц: предупреждение или штраф от 60 000 до 100 000 руб. При повторном нарушении Для физлиц: от 4 000 до 12 000 руб.; Для должностных лиц: от 20 000 до 50 000 руб.; Для ИП: от 50 000 до 100 000 руб.; Для юрлиц: от 100 000 до 300 000 руб.
Обработка персональных данных без письменного согласия субъекта.	Для физлиц: от 6 000 до 10 000 руб. Для должностных лиц: от 20 000 до 40 000 руб. Для юрлиц: от 30 000 до 150 000 руб. При повторном нарушении Для граждан: от 10 000 до 20 000 руб.; Для должностных лиц: от 40 000 до 100 000 руб.; Для ИП: от 100 000 до 300 000 руб.; Для юрлиц: от 300 000 до 500 000 руб.
Невыполнение обязанности по опубликованию или обеспечению доступа к документу, определяющему политику по обработке персональных данных, или сведениям по защите персональных данных.	Для физлиц: 1 500 до 3 000 руб. Для должностных лиц: от 6 000 до 12 000 руб. Для юрлиц: от 30 000 до 60 000 руб. Для ИП: от 10 000 до 20 000 руб.
Непредоставление субъекту персональных данных информации по их обработке.	Для физлиц: предупреждение или штраф от 2 000 до 4 000 руб. Для должностных лиц: предупреждение или штраф от 8 000 до 12 000 руб. Для юрлиц: предупреждение или штраф от 40 000 до 80 000 руб. Для ИП: предупреждение или штраф от 20 000 до 30 000 руб.
Невыполнение требования субъекта персональных данных или его представителя об уточнении, блокировке, уничтожении (если персональные данные неполные, устаревшие, неточные, незаконно получены, не являются необходимыми для заявленной цели обработки)	Для физлиц: предупреждение или наложение штрафа в размере от 2 000 до 4 000 руб. Для должностных лиц: предупреждение или штраф от 8 000 до 20 000 руб. Для юрлиц: предупреждение или штраф от 50 000 до 90 000 руб. Для ИП: предупреждение или штраф от 20 000 до 40 000 руб. При повторном нарушении Для граждан: от 20 000 до 30 000 руб. Для должностных лиц: от 30 000 до 50 000 руб. Для ИП: от 50 000 до 100 000 руб. Для юрлиц: от 300 000 до 500 000 руб.
Неисполнение обязанности по сохранности персональных данных, что привело к неправомерному или случайному доступу к персональным данным и стало причиной их уничтожения, изменения, блокирования, копирования.	Для физлиц: от 1 500 до 4 000 руб. Для должностных лиц: от 8 000 до 20 000 руб. Для юрлиц: от 50 000 до 100 000 руб. Для ИП: от 20 000 до 40 000 руб.
Невыполнение государственным или муниципальным органом обязанности по обезличиванию персональных данных; несоблюдение требований по обезличиванию персональных данных.	Для должностных лиц: предупреждение или наложение административного штрафа от 6 000 до 12 000 руб.

Такое правонарушение, как обработка персональных данных без получения согласия субъекта, предусматривает самые крупные штрафы для всех категорий операторов. Так, при повторном нарушении юридическому лицу придется заплатить штраф до 500 000 руб.

В связи с этим возникает много вопросов. Как уведомить Роскомнадзор об обработке персональных данных? Что делать владельцу сайта, чтобы избежать штрафов?

Что делать владельцу сайта, чтобы избежать штрафов?

Шаг 1. Если у вас на сайте есть какие-либо формы сбора персональных данных, то под каждой из них нужно добавить предложение "Даю согласие на обработку своих персональных данных" и окошко для галочки.

Шаг 2. Добавить к фразе "Даю согласие на обработку своих персональных данных" ссылку на документ, в котором прописываются условия обработки персональных данных. Если Вы используете Cookie и аналогичные технологии, то об этом тоже нужно предупреждать.

Шаг 3. Подготовьте текст документа с условиями обработки персональных данных.

Шаг 4. Подготовьте "Политику в отношении обработки персональных данных" и разместите ее на сайте в свободном доступе.

Компания "Юристы для турбизнеса "Байбородин и партнеры" готова предложить комплект необходимых каждой компании документов (более 40 шт) по защите персональных данных.

Шаг 5. Подайте уведомление об обработке персональных данных в Роскомнадзор. В соответствии с ч. 1 ст. 22 Федерального закона № 152-ФЗ, оператор должен это сделать еще до начала обработки персональных данных. Но лучше поздно, чем никогда.

За задержку с уведомлением вас не оштрафуют, санкции последуют только в том случае, если вами заинтересуется Роскомнадзор. Но даже если вы высылаете уведомление с опозданием, указывайте дату государственной регистрации как дату начала обработки персональных данных.

А в самом офисе?

Все тоже самое, дополнительно:

внедрить комплект по защите персональных данных, сложить в папку и хранить на случай проверки;
разместить "Политику обработки персональных данных" на видном и доступном клиенту месте, например, в "Уголке потребителя";
хранить физические носители персональных данных в строго отведенных местах с ограниченным доступом к ним;
в компьютере обеспечить безопасность и недоступность персональных данных для просмотра недоверенным лицам.

Когда уведомление Роскомнадзора не требуется?

Уведомлять Роскомнадзор не нужно, если персональные данные:

относятся к субъектам, которых связывают с оператором трудовые отношения;
получены оператором при заключении договора, но не распространяются, не предоставляются третьим лицам без согласия на то их субъекта, то есть используются оператором исключительно для исполнения договора;
являются общедоступными;
включают только ФИО субъектов персональных данных;
нужны для однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
включены в федеральные автоматизированные информационные системы персональных данных, государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами.

Все вышеперечисленные меры имеют отношение как к физическим, так и к юридическим лицам. Однако юридическим лицам следует предпринять ряд дополнительных мероприятий.

Компания "Юристы для турбизнеса "Байбородин и партнеры" готова предложить комплект необходимых каждой компании документов (более 40 шт) по защите персональных данных.

СПИСОК ВСЕХ УСЛУГ КОМПАНИИ ДОСТУПЕН ПО ССЫЛКЕ: https://ukab.ru/uslugi

Задать любой вопрос или оформить заказ можно по электронной почте info@ukab.ru

Оставьте заявку на услугу и мы обязательно свяжемся с Вами!