25.05.2023

Персональные данные не подлежащие разглашению

Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Персональные данные не подлежащие разглашению». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.

Содержание

1. Разглашение и распространение персональных данных без согласия субъекта

2. Что делать при незаконном разглашении персональных данных?

3. Что такое обработка персональных данных?

4. Может ли оператор передать кому-нибудь персональные данные?

5. Отзыв согласия на обработку и распространение общедоступных персональных данных

6. Ответственность за нарушения по персональным данным

7. Перечень санкций за нарушения при обработке ПД для должностных лиц и организаций.

8. Общедоступные данные по-новому

9. Чего следует опасаться гражданину

10. Что же со всем этим делать?

11. Что такое персональные данные и конфиденциальность

12. Защита персональных данных

13. До 500 тыс. руб. за одну утечку

14. Ответственность за нарушение закона о персональных данных

15. Какие данные являются персональными

В статье 9 Закона № 152-ФЗ уже установлена обязанность работодателей запрашивать у работника согласие на обработку персональных данных. Эта статья содержит и требования к оформлению такого согласия. В частности, оно должно быть конкретным, информированным и сознательным. Работник может дать его в любой позволяющей подтвердить факт получения такого согласия форме (письменно или в виде электронного документа, подписанного электронной подписью), если иное не предусмотрено федеральным законом.

Разглашение и распространение персональных данных без согласия субъекта

Хранить, использовать, дополнять, копировать, блокировать и совершать другие операции с ПДн необходимо исключительно после того, как получено одобрение от субъекта. Причем человек должен дать официальное согласие в электронном либо письменном виде, предварительно ознакомившись с целями, методами, объемом и сроками обработки частных сведений. Если оператор действует самовольно и передает секретные данные иным лицам, то имеет место незаконное распространение персональных данных. Каким образом производится передача информации другим организациям, гражданам или общественности, не имеет значения, в любом случае за совершенные действия виновника накажут. Поводом для начала уголовного производства может служить как заявление субъекта в правоохранительные органы, так и инициатива надзорного органа, который обнаружил признаки несанкционированных операций в рамках плановой или внеплановой проверки.

Нарушением признается разглашение персональных данных без согласия владельца не только в том случае, если он не подписывал соответствующий документ, но и при отзыве ранее предоставленного разрешения. То есть нельзя продолжать обработку, если получили по всем правилам оформленное заявление об отзыве от гражданина либо его законного представителя.

Что делать при незаконном разглашении персональных данных?

Способы защиты данного нарушенного права различны. Жалоба на незаконное использование персональных данных может быть подана в правоохранительные органы либо непосредственно в суд.

В зависимости от выбранного способа существуют различные последствия для нарушителя. Результатом направлении жалобы в адрес правоохранителей является привлечение виновника к административной либо уголовной ответственности. Обращение в полицию с соответствующим заявлением особенно актуально в случае, если сведения о распространителе не известны. Иными словами – не достаточно данных виновника нарушения прав для определения его в суде в качестве ответчика. В таком случае задачей государственного органа будет установление лица, допустившего незаконное распространение данных о личности.

Целью подачи заявления в суд, в отличие от обращения в полицию, выступает предъявление денежного требования к ответчику в качестве компенсации за незаконное распространение личных данных. При этом, такое заявление обязательно должно отвечать установленным процессуальным кодексом требованиям к исковому порядку.

Немаловажно отметить, что при решении вопроса куда жаловаться на разглашение персональных данных, необходимо знать – оба рассмотренных способа не противоречат друг другу и могут быть реализованы одновременно. Применение всевозможных процедур защиты нарушенного права напротив имеет максимальный положительный эффект. По сути жалоба в правоохранительные органы и иск в суд будут дополнять друг друга. Установленные фактические данные в полиции будут дополнительным доказательством в суде и упростят рассмотрение гражданского иска.

Что такое обработка персональных данных?

Обработка ПД – это любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

работодатель заключил с вами трудовой договор, и вы передали в отдел кадров свои документы, где была создана папка с вашим личным делом, – работодатель осуществил сбор, запись и хранение ПД;
работодатель передал ваши данные типографии для печати визитки – он осуществил передачу ПД;
продавец сжег документы, в которых содержались данные покупателей, – он уничтожил ПД;
покупатель при покупке товара через интернет передал владельцу сайта свои ПД – указал Ф.И.О., адрес, почту и телефон. Данные были сохранены в электронной базе сайта – его владелец осуществил сбор, запись и хранение ПД.

Из примеров видно, что ваши ПД могут храниться как на бумажных носителях, так и на электронных.

Может ли оператор передать кому-нибудь персональные данные?

Оператор может передавать ПД третьим лицам только с вашего согласия, если иное не предусмотрено законом.

Примеры, когда согласие нужно: работодатель передает ваши ПД сторонней организации для бронирования отелей, покупки авиабилетов или оформления пропуска.

Примеры, когда согласие не нужно:

управляющая организация или правление товарищества собственников жилья вправе предоставить ваши ПД (Ф.И.О., номер квартиры, сведения о размере доли) организатору созыва общего собрания собственников жилья;
работодатель вправе передавать ваши ПД в ФСС, ПФР, налоговые органы, по запросу в суд, прокуратуру, правоохранительные органы и т.д.

Предоставление такого согласия является добровольным. Оператор не может принуждать вас это сделать.

Отзыв согласия на обработку и распространение общедоступных персональных данных

Важнейшее нововведение Федерального закона № 519-ФЗ от 30.12.2020 – это презумпция неправомерности распространения и обработки общедоступных личных сведений третьими лицами. Гражданам, желающим удалить свои персональные данные из общего доступа, больше не придется доказывать неправомерность их обработки третьими лицами.

Теперь обязанность предоставить доказательства законности распространения и обработки общедоступных персональных данных лежит на каждом лице, осуществившем их распространение (п. 2 ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ).

По новым правилам физлица в любое время вправе обратиться к любому оператору персональных данных с требованием прекратить передачу (распространение, предоставление и доступ) своих общедоступных персональных данных. Обосновывать данное требование не нужно. Оператор персданных обязан удалить персональные данные физлица из общего доступа по факту получения соответствующего требования.

Ответственность за нарушения по персональным данным

Изменения затронут всех без исключения работодателей, которые связаны с обработкой персональных данных сотрудников и подрядчиков-физических лиц. Более того, можно сказать, что поправки касаются практически всего бизнес-сообщества, взаимодействующего в персональными данными физических лиц (например, владельцев сайтов, которые собирают персональные данные посетителей). Законодатель с 1 июля вносит изменения в статью 13.11 КоАП (Федеральный закон от 7 февраля 2017 г. № 13-ФЗ).

До 1 июля 2017 года размеры штрафов за нарушение закона о персональных данных составляют:

для юридических лиц – от 5 тыс. до 10 тыс. руб.;
для должностных лиц – от 500 до 1 тыс. руб.

Ниже в таблице приведу перечень нарушений и размеры новых штрафов за них с 1 июля 2017.

Вид нарушения	Размер штрафа
для юридических лиц	для должностных лиц
Обработка персональных данных в случаях, не предусмотренных законодательством, либо их обработка, несовместимая с целями сбора персональных данных*.	От 30 тыс. до 50 тыс. руб.	От 5 тыс. до 10 тыс. руб.
Обработка персональных данных без письменного согласия субъекта персональных данных на их обработку*	От 15 тыс. до 75 тыс. руб.	От 10 тыс. до 20 тыс. руб.
Обработка персональных данных с нарушением требований к составу сведений, отражаемых в письменном согласии субъекта персональных данных на их обработку	От 15 тыс. до 75 тыс. руб.	От 10 тыс. до 20 тыс. руб.
Нарушение оператором требований законодательства в области обработки, хранения и предоставления персональных данных	От 15 тыс. до 50 тыс. руб.	От 3 тыс. до 10 тыс. руб.

Перечень санкций за нарушения при обработке ПД для должностных лиц и организаций.

Часть ст. 13.11 КоАП РФ	Нарушение	Санкции
1	а) обработка ПД в случаях, не предусмотренных Законом о ПД (например, без согласия на их обработку); б) обработка ПД в целях, несовместимых с заявленными (например, рассылка спама получателям интернет-услуг по указанному при регистрации адресу)	Предупреждение или штраф: – должностному лицу – от 5 тыс. до 10 тыс. руб.; – организации – от 30 тыс. до 50 тыс. руб.
2	а) обработка ПД без письменного согласия лица, когда такое согласие необходимо (например, при внесении в информационную базу сведений о здоровье пациента); б) нарушение требований закона к составу сведений, которые нужно включить в согласие субъекта на обработку ПД (например, информирование о третьих лицах, которым открыт доступ к ПД)	Штраф: – должностному лицу – от 10 тыс. до 20 тыс. руб.; – организации – от 15 тыс. до 75 тыс. руб.
3	Невыполнение требования об обеспечении неограниченного доступа к документу, определяющему политику оператора в отношении обработки ПД, или сведениям о реализуемых требованиях к защите ПД (например, отсутствие документов на официальном сайте)	Предупреждение или штраф: – должностному лицу – от 3 тыс. до 6 тыс. руб.; – организации – от 15 тыс. до 30 тыс. руб.
4	Непредоставление субъекту информации, касающейся обработки его ПД	Предупреждение или штраф: – гражданам – от 1 тыс. до 2 тыс. руб.; – должностному лицу – от 4 тыс. до 6 тыс. руб.; – предпринимателю – от 10 тыс. до 15 тыс. руб.; – организации – от 20 тыс. до 40 тыс. руб.
5	Невыполнение в срок требования об уточнении ПД, их блокировании или уничтожении	Предупреждение или штраф: – должностному лицу – от 4 тыс. до 10 тыс. руб.; – организации – от 25 тыс. до 45 тыс. руб.
6	Необеспечение условий, необходимых, чтобы: – сохранить ПД при хранении материальных носителей; – исключить несанкционированный доступ к ним	Штраф: – должностному лицу – от 4 тыс. до 10 тыс. руб.; – организации – от 25 тыс. до 50 тыс. руб.
7	Невыполнение государственным или муниципальным органом обязанности по обезличиванию персональных данных	Предупреждение или штраф должностному лицу – от 3 тыс. до 6 тыс. руб.

Общедоступные данные по-новому

С 1 марта 2021 года вместо общедоступных данных появилось понятие «персональные данные, разрешенные субъектом персональных данных для распространения» – сведения о субъекте, доступ к которым субъект предоставил неограниченному кругу лиц путем дачи согласия на обработку этих ПД, разрешенных им для распространения в порядке, предусмотренном Законом № 152-ФЗ (ст. 3 Закона № 152-ФЗ).

При этом под распространением персональных данных в новой редакции понимаются действия, направленные на их раскрытие неопределенному кругу лиц.

К сведению: в прежней редакции закона распространением назывались действия, направленные на передачу ПД определенному кругу лиц или на ознакомление с ПД неограниченным кругом лиц, в том числе обнародование в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к ПД каким-либо иным способом.

Таким образом, прежде чем разместить для неограниченного круга лиц (на сайте организации, в печатных изданиях, в рекламе и т. д.) персональные данные работника, нужно получить его согласие.

Чего следует опасаться гражданину

Утечка информации может привести к, мягко говоря, неприятным последствиям:

огласка посторонним лицам частных (приватных) фактов из жизни человека, которые компрометируют личность, влияют на репутацию, прочее;
угроза разглашения определенных обстоятельств заинтересованным в этом лицам, от которых гражданин скрывает информацию (шантаж);
различные мошеннические действия, направленные на завладение имуществом, деньгами;
незаконный доступ к банковским карточкам, счетам с целью хищения финансов;
хулиганские действия, наиболее часто распространены в Интернет-среде, например, передача данных для рекламных рассылок;
попытки переложить ответственность за неправомерные действия злоумышленником, путем создания видимости причастности к такой деятельности гражданина;
получение на имя человека кредитов, займов;
открытие на гражданина фирм-однодневок;
ухудшение социального статуса, что может понизить авторитетность как потребителя, например, как потенциального заемщика.

Что же со всем этим делать?

Ответ на этот вопрос весьма прост: всем, кто может быть хоть каким-то образом связан с описанными выше ситуациями, касающимися чьих-либо персональных данных, чтобы себя обезопасить и не подвести под монастырь, надо принять соответствующе меры. Ибо нынешний закон о хранении персональных данных вовсе не предполагает, что с ним можно шутить.

И поэтому владельцам сайтов нужно:

Еще раз внимательно перечитать поправки в закон о персональных данных;
Регистрироваться как можно быстрее в реестре операторов Роскомнадзора;
Подготовить публичные документы (пользовательское соглашение, документы о политике конфиденциальности, о правилах продажи и проч.) и разместить все это на своем ресурсе таким образом, чтобы тексты эти были доступны на всех его страницах. (Условия обработки персональных данных могут быть прописаны и в вашем обычном договоре или оферте).

Если же Вы решили использовать для этого образцы документов с других сайтов — адаптируйте их под ваши нужды: не переписывайте слепо правила и положения, в которых, в вашем случае, например, может и не быть необходимости: подойдите к процессу творчески.

И тогда, будем надеяться, что нас с вами карательные меры, предусмотренные описанным законом, не коснутся и жизнь по-прежнему будет радовать и вдохновлять. Чего мы всем искренне и от души и желаем.

Что такое персональные данные и конфиденциальность

Для того чтобы разобраться с этими понятиями, необходимо обратиться к федеральному закону РФ «О персональных данных». Так, под персональными понимается данныме любого рода, относящаяся к личным сведениям о том или ином гражданине.

Статья 7 вышеупомянутого ФЗ раскрывает понятие конфиденциальности персональных данных. Под ней понимается такая защита личных сведений о человеке, при которой лица, получившие к ним доступ, не имеют право разглашать их кому-либо без согласия правообладателя.

Особое внимание стоит уделить самому федеральному закону. Он был принят 27.07.2006 года. Состоит нормативный правовой акт из преамбулы, глав и статей. Всего в законе 6 глав, последняя из которых посвящена заключительным и переходным положениям.

Защита персональных данных

Законом предусмотрено, что до начала обработки персональных данных, оператор обязан уведомить компетентный орган (Роскомнадзор) своем намерении осуществлять обработку персональных данных.

К исключениям относятся:

только ФИО субъектов;
трудовые отношения;
договорные отношения;
общедоступные персональные данные;
однократные пропуска на территорию;
когда данные обрабатываются без использования средств автоматизации (ЭВМ, компьютеры);
транспортная безопасность.

Прим. Роскомнадзор разъяснил, что под автоматизацией понимается непосредственное отсутствия деятельности человека. В случае если данные клиента просто забиты в компьютерную программу и сами по себе не рассылаются/уничтожаются/обрабатываются/обновляются и т.д., это нельзя считать автоматизацией.

Вместе с тем, при возникновении спорных вопросов относительно способа обработки данных, лучше этот момент уточнять непосредственно в Роскомнадзоре.

Уведомление о начале обработке персональных данных должно быть оформлено в соответствии с методическими рекомендациями по уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения (утв. Приказом Роскомнадзора от 30.05.2017 N 94).

Если обработка данных будет осуществляться без уведомления Роскомнадзора, или в уведомлении будут содержаться недостоверные сведения, то организация будет привлечена к административной ответственности.

Важно помнить о том, что в случае, когда договорные отношения у компании с клиентом прекратились, а уведомления об обработки персональных данных не было подано в Роскомнадзор, и клиент не давал своего согласия на обработку, то его данные необходимо уничтожать, а не хранить. В противном случае организация уже не попадает под исключение и может быть оштрафована.

Далее оператору необходимо разработать необходимую документацию по обработке персональных данных. Перечень может разниться от размера организации, специфики её деятельности и т.д., но примерный перечень следующий:

Положение о персональных данных;
Приказ об утверждении положения;
Приказ о назначении ответственного лица;
Политика в отношении обработки и безопасности персональных данных;
Пользовательское соглашение в приложении и на сайте;
Инструкция ответственного за организацию обработки персональных данных;
Приказ о выделении помещений для обработки персональных данных + правила доступа;
Журнал учета машинных носителей информации с персональными данными.

Также если в организации есть Интернет-сайт, то он тоже должен соответствовать определенным требованиям: содержать в себе Политику конфиденциальности и Пользовательское соглашение, в которыми пользователь согласится, заполнив форму обратной связи или при осуществлении заказа.

Если же сервис компании ориентирован на международный рынок, но необходимо учитывать дополнительные требования международных правовых актов, и в частности, закон той организации, для населения которой осуществляется деятельность компании.

До 500 тыс. руб. за одну утечку

Министерство юстиции России предложило значительно увеличить штрафы за утечку персональных данных. Реализовать это предложено путем внесения поправок в Кодекс об административных правонарушениях (КоАП). Штрафы за утечку персональных данных в новой версии КоАП Минюст предлагает увеличить в ряде случаев более чем в десять раз. В случае принятия поправок изменения коснутся как юрлиц, так и должностных лиц, а также индивидуальных предпринимателей (ИП) вместе с физлицами.

Для физических лиц размер штрафа, в настоящее время составляющий 2000 руб., предложено увеличить до 20 тыс. руб.
Должные лица будут платить за утечку не нынешние 10 тыс. руб., а до 100 тыс. руб. а ИП – до 300 тыс. руб. вместо 20 тыс. руб.
Максимальный размер штрафа предусмотрен для юридических лиц – в настоящее время он равен 50 тыс. руб., но Минюст предлагает увеличить его до 500 тыс. руб.

Ответственность за нарушение закона о персональных данных

Лицам, нарушившим требования закона о персональных данных, в зависимости от конкретных обстоятельств и серьезности деяния может грозить не только административная и уголовная ответственность, но также гражданско-правовая и даже дисциплинарная (таблица 1). При этом административная ответственность с 1 июля 2017 года ужесточилась – вместо одного состава правонарушения ст. 13.11 КоАП РФ теперь предусматривает семь, а максимальный штраф составляет 75 тыс. руб.

Таблица 1. «Виды ответственности за нарушение закона о персональных данных»

Вид ответственности

Нарушение

Санкция

Норма

Неправомерный отказ в предоставлении гражданину и (или) организации информации, предоставление которой предусмотрено законом, несвоевременное ее предоставление либо предоставление заведомо недостоверной информации

Административный штраф на должностных лиц в размере от 5 тыс. до 10 тыс. руб.

Обработка персональных данных в случаях, не предусмотренных законом, либо обработка, несовместимая с целями сбора персональных данных

Предупреждение или административный штраф:

на граждан – от 1 тыс. до 3 тыс. руб.;
на должностных лиц – от 5 тыс. до 10 тыс. руб.;
на юридических лиц – от 30 тыс. до 50 тыс. руб.

Обработка персональных данных без письменного согласия субъекта, когда это необходимо, либо обработка данных с нарушением требований к составу сведений, включаемых в такое согласие

на граждан – от 3 тыс. до 5 тыс. руб.;
на должностных лиц – от 10 тыс. до 20 тыс. руб.;
на юридических лиц – от 15 тыс. до 75 тыс. руб.

Невыполнение оператором обязанности по опубликованию или обеспечению иным образом неограниченного доступа к политике обработки персональных данных