Выполним требования закона о защите персональных данных 

Согласно части 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператор обязан до начала обработки персональных данных уведомить уполномоченный орган о своём намерении осуществлять такую обработку.

Уполномоченным органом является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

Ответственность за нарушение

Невыполнение или несвоевременное выполнение обязанности по уведомлению Роскомнадзора о начале обработки персональных данных влечёт административную ответственность по части 10 статьи 13.11 КоАП РФ:

• для граждан — от 5 000 до 10 000 рублей;

• для должностных лиц — от 30 000 до 50 000 рублей;

• для юридических лиц — от 100 000 до 300 000 рублей.

В соответствии со статьёй 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обработка персональных данных должна осуществляться на основе следующих принципов:

Принцип 1. Обработка персональных данных должна осуществляться на законной и справедливой основе.

Принцип 2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора.

Принцип 3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

Принцип 4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

Принцип 5. Содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Персональные данные не должны быть избыточными по отношению к заявленным целям.

Принцип 6. При обработке персональных данных должны быть обеспечены точность, достаточность и актуальность данных. Оператор обязан принимать меры по удалению или уточнению неполных либо неточных персональных данных.

Принцип 7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки (если иной срок не установлен федеральным законом или договором). По достижении целей обработки или в случае утраты необходимости в их достижении персональные данные подлежат уничтожению либо обезличиванию.

Оператор вправе обрабатывать персональные данные исключительно в случаях, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», с соблюдением установленных им принципов и правил.

Все законные основания можно условно разделить на три группы.

Группа 1. Обработка обязательна в силу закона

Оператор обязан обрабатывать определённые персональные данные, потому что это прямо предусмотрено законодательством.

К таким случаям относятся:

• получение сведений о туристе и заказчике в объёме, необходимом для реализации туристского продукта (ст. 10 Федерального закона от 24.11.1996 № 132-ФЗ «Об основах туристской деятельности в Российской Федерации»);

• получение от работников документов, указанных в ст. 65 Трудового кодекса РФ (паспорт, трудовая книжка, СНИЛС, документы воинского учёта, документы об образовании и др.), а также передача этих сведений в налоговые органы и внебюджетные фонды.

Группа 2. Обработка необходима для осуществления основной деятельности

Оператор обрабатывает персональные данные туристов, когда это требуется:

• для исполнения договора, стороной которого является турист или иной заказчик;

• для заключения договора по инициативе самого туриста;

• для заключения договора, по которому турист будет выгодоприобретателем или поручителем;

• в статистических или аналитических целях (при условии обезличивания данных);

• в целях продвижения туристских услуг на рынке.

Группа 3. Обработка осуществляется по инициативе оператора

В этом случае оператор вправе обрабатывать персональные данные только при соблюдении одного из условий:

• получено согласие субъекта персональных данных на обработку;

• используются только те данные, которые субъект персональных данных сам сделал общедоступными для неопределённого круга лиц (например, сведения из резюме, размещённого в открытом доступе).

Согласно п. 1 ч. 1 ст. 6 и ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ оператор вправе обрабатывать персональные данные только после получения согласия субъекта персональных данных (или его представителя).

Форма согласия

Согласие должно быть оформлено:

• в письменной форме на бумажном носителе, либо

• в форме электронного документа

В согласии обязательно указываются:

• сведения о субъекте персональных данных;

• сведения об операторе;

• цель обработки;

• перечень персональных данных;

• перечень действий с данными и способы обработки;

• срок действия согласия и способ его отзыва;

• подпись субъекта.

Согласие на сайте

Если персональные данные собираются через сайт, необходимо:

• разместить текст согласия на обработку персональных данных;

• установить чекбокс (галочку) с формулировкой «Даю согласие на обработку персональных данных».

Пользователь не должен иметь возможности отправить свои данные без выражения согласия.

Важные особенности для турбизнеса

Поскольку договор о реализации туристского продукта заключается в письменной форме (в том числе в форме электронного документа), согласие туриста также должно быть получено в письменной форме или в форме электронного документа/

Отзыв согласия

Субъект персональных данных вправе отозвать согласие в любое время.
Оператор обязан прекратить обработку персональных данных в течение 30 дней с даты получения отзыва.

Важно: нельзя включать согласие на обработку персональных данных в текст договора без возможности отказаться от него (отдельная отметка или чекбокс обязательны).

Согласно части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ оператор обязан обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, а также к сведениям о реализуемых требованиях к защите персональных данных.

Если оператор собирает персональные данные через сайт, эти документы обязательно должны быть размещены на сайте и доступны любому пользователю.

Что рекомендуется разместить на сайте:

• Политику в отношении обработки персональных данных;

• Сведения о реализуемых требованиях к защите персональных данных;

• Текст согласия на обработку персональных данных. 

Отсутствие опубликованной политики обработки персональных данных влечёт административную ответственность по части 3 статьи 13.11 КоАП РФ: от 30 000 до 60 000 рублей.

Согласно части 1 статьи 19 Федерального закона от 27.07.2006 № 152-ФЗ оператор обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

Основные организационные меры:

• назначение лица, ответственного за организацию обработки персональных данных;

• утверждение политики в отношении обработки персональных данных и локальных актов, регулирующих порядок обработки и защиты данных;

• определение перечня лиц, имеющих доступ к персональным данным;

• ознакомление работников с требованиями законодательства и внутренними документами.

Технические меры зависят от способа обработки:

1. Неавтоматизированная обработка (без использования средств вычислительной техники)

Осуществляется с учётом требований Постановления Правительства РФ от 15.09.2008 № 687.

Необходимо обеспечить раздельное хранение материальных носителей разных категорий персональных данных, ограничить доступ к ним и принять меры, исключающие возможность несанкционированного доступа.

2. Автоматизированная обработка (с использованием средств вычислительной техники)

Требуется определить актуальные угрозы безопасности, установить уровень защищённости персональных данных и реализовать соответствующие организационно-технические меры в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119, Приказом ФСТЭК России от 18.02.2013 № 21 и иными нормативными актами.

Для большинства небольших турагентств и туроператоров, как правило, достаточно обеспечения 4-го уровня защищённости персональных данных.

3. Смешанная обработка

Применяется совокупность требований, установленных для неавтоматизированной и автоматизированной обработки.

Выполнение указанных требований возможно как самостоятельно, так и с привлечением специализированных специалистов.