Обработка персональных данных. Персональные данные: как соблюсти порядок их обработки

В последнее время нам все чаще предлагают поставить свою подпись под фразой «О согласии на использование и обработку персональных данных»: в любых социальных и финансовых учреждениях, коммунальных службах, при приеме на работу. Требуют наши «добровольные согласия» сегодня в ВУЗах, школах, детских садах, поликлиниках и даже библиотеках! Не отстают магазины, гостиничные и ресторанные комплексы - для получения дисконтной карты вы обязаны заполнить и подписать анкету, где внизу мелким шрифтом обозначено ваше согласие на обработку персональных данных. Для чего это нужно: с целью безобидного учета или для превращения человека в бесправное приложение к мировой электронной системе? Давайте разбираться.

Что представляют собой персональные данные человека и кому они нужны?

Итак, понятие «персональные данные человека» включает в себя не только его имя, отчество, фамилию и адрес регистрации, как мы привыкли понимать. Это полностью вся информация, которая прямо или косвенно касается конкретного физического лица: биометрические данные, сведения о состоянии здоровья и физиологические особенности, национальность, вероисповедание, состав семьи, наличие судимости, информация о сфере занятости, финансовые доходы и прочее.

В 2005 году Россия утвердила Конвенцию Совета Европы «О защите физических лиц при автоматической обработке персональных данных». После чего был принят Федеральный закон (ФЗ-№152) «О персональных данных», основные положения которого повторяет вышеуказанный международный акт. Большая часть людей думает, что закон предусматривает защиту личных данных человека. Но так ли это на самом деле?

Особенно настораживает в документе такое понятие как «автоматическая обработка данных», которое предусматривает как накопление и хранение данных личности, так и передачу их третьим лицам и использование в различных целях. Право выполнять эти действия принадлежит так называемому оператору, выступать в роли которого могут юридические или физические лица, государственные структуры, коммерческие организации.

Но главным нашим оператором является коммерческая структура ОАО «Универсальная электронная карта». Именно она обладает правом определять состав персональных данных, цели их обработки и совершать над ними любые действия.

Что скрывается за понятиями «использование» и «обработка» персональных данных?

Казалось бы, зачем больницам, учебным заведениям, ЖЭКам, работодателям стало необходимо предоставлять такую полную информацию о себе, своей семье, материальном положении, если совсем недавно еще не было этой надобности? Такой жестких сбор всех личных данных начался с принятием Федерального закона № 210 «Об организации предоставления государственных и муниципальных услуг», после чего во всю и заработали ранее принятый закон «О персональных данных».

Кому это нужно? Безусловно, не социальным и коммерческим структурам - они только инструмент для сбора информации. Все данные будут фиксироваться непосредственно у главного оператора - ОАО «УЭК», который планирует в скором времени обеспечить всех граждан электронными документами и запустить активную тщательную обработку каждого человека.

А что подразумевается под словом «обработка» и «использование»? Граждане понимает под этим понятием банальный сбор и хранение информации. А на что на самом деле соглашается человек?

В п. 3 ч. 1 ст. 3 ФЗ № 152 это обозначено следующим образом:

«Обработка» включает в себя любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), ОБЕЗЛИЧИВАНИЕ, БЛОКИРОВАНИЕ, УДАЛЕНИЕ, УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ.»

Таким образом, люди добровольно передают в чужие руки разрешение распоряжаться своей личной жизнью. Теперь главный оператор, в будущем обеспечив вас электронным биометрическим документом, будет обладать всей полной информацией, касающейся вашего здоровья, наличия родственников, социальных выплат, совершенных сделок, налогах, хозяйственных покупок и даже передвижения! И, если вы, как обладатель универсальной электронной карты, будете не согласны с некоторыми действиями оператора, тогда все ваши данные он может просто заблокировать или вовсе уничтожить, как полноправный хозяин вашей персональной информации. Вы ведь заранее согласились на возможность применения к себе подобных мер!

Как это работает уже сегодня?

Активный процесс по обработке персональных данных только начинает внедряться в нашу повседневную жизнь, но некоторые граждане уже успели почувствовать на себе последствия таких законных действий.

Так, обязательное согласие на обработку персональных данных требуют некоторые образовательные учреждения страны.Согласно комментариям студентов, в случае отказа давать свое согласие, их просто не допустят к экзаменам и не выдадут дипломы.

Также обстоят дела и с частью государственных лечебных заведений, где гражданин обязан предоставить больнице не только информацию о здоровье и номер медицинского полиса, но и страховой номер индивидуального лицевого счета в Пенсионном фонде (СНИЛС) - основной ключ доступа к информационным базам ОАО «УЭК». В бланке «Согласие пациента на обработку персональных данных» существует пометка, что в случае отказа в согласии, клиника вправе отказать в медицинских услугах пациенту.

То же касается любых других государственных и коммерческих учреждений, требующих от своих клиентов обязательное согласие на обработку и использование персональной информации, аргументируя это необходимостью бухгалтерского, кадрового или воинского учета. Как себя вести в таких ситуациях — читайте далее.

Как быть, если работодатель настаивает на подписании разрешить использовать вашу личную информацию и имеет ли он на это право?

Согласно закону, любые действия, касающиеся персональной информации сотрудника, могут осуществляться только с его согласия в письменном виде. Работодатель обязан довести под роспись будущему сотруднику, с какой целью и в каком порядке будут храниться и использоваться предоставленные им сведения, а также о возможности отказаться либо в будущем написать отзыв своего согласия на обработку персональных данных.

Согласно ст. 5.27 и ст. 5.39 КоАП России предусматривается административная ответственность за нарушение норм хранения и обработки личных данных работников. В случае нарушения законодательства руководство компании обязано возместить материальный ущерб сотруднику за незаконное использование его персональной информации.

Если вы по незнанию когда-то подписали разрешение на использование ваших личных данных, то теперь знайте, что имеете право его отозвать. Отзыв может быть составлен в свободной форме, но с обязательной ссылкой на действующие законы. Предлагаем образец такого заявления:

Генеральному директору ООО ___________
От ________________
Зарегистрированного по адресу:
___________________________
Паспортные данные: ________

Отзыв согласия
на обработку персональных данных

Я, ФИО, в соответствии с ч. 1 ст. 9 Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных» отзываю у Общества с ограниченной ответственностью «_________» согласие на обработку моих персональных данных.
Прошу прекратить обработку моих персональных данных в течении тридцати рабочих дней с момента поступления настоящего отзыва.

Дата. Подпись.

Некоторые юристы считают, что отзыв на обработку персональных данных ничего не решает, ведь к моменту его написания все информация о человеке уже занесена в нужные электронные базы для дальнейшего использования. Но, по крайней мере, вы выполните свой долг с позиции православного христианина, и, возможно, притормозите процесс дальнейшего обновления ваших личных данных.

Как законно отказаться от сбора персональных данных в детских садах и школах?

В последнее время большую тревогу забили родители, ведь администрация дошкольных и общеобразовательных учреждений фактически принуждает их подписывать согласие на обработку и использование персональной информации о ребенке и членах его семьи. Это получается, что вы должны добровольно отказаться от права на неприкосновенность вашей частной и семейной жизни? Ведь автоматическая обработка персональных данных предусматривает передачу собранной информации третьим лицам без ограничений.

Помните, что давать или не давать свое согласие - это ваше право, а не обязанность. Ниже мы приводим пример заявления об отказе предоставления личных сведений о ребенке для дальнейшей их обработки:

В администрацию школы/детского сада №
от__________________________________

ЗАЯВЛЕНИЕ

Я, ____________________________________, являясь законным представителем своего ребенка _________________________________ , заявляю о своем категорическом отказе предоставлять те или иные сведения о частной жизни моего ребенка или моей семьи в соответствии с пунктом 1 статьи 23 Конституции РФ («Каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени»).
Также я запрещаю использовать в отношении моего ребенка любые психологические тесты и опросы, запрещаю принуждать моего ребенка к участию в этих тестах и опросах, запрещаю любой сбор информации о разнообразных сторонах жизни моего ребенка и моей семьи. Считаю необходимым известить вас, что нарушение вами моего запрета подпадает под пункт 2 статьи 137 Уголовного Кодекса РФ («Нарушение неприкосновенности частной жизни с использованием своего служебного положения») с учетом статьи 63 УК РФ («Обстоятельства, отягчающие наказание»).
Пользуясь случаем, считаю своим долгом заявить о своем убеждении, что все действия по сбору информации о детях, родителях и их семьях, в конечном итоге, направлены на разрушение института семьи в нашей стране, что является антигосударственным деянием.

«____» «_______________________» 20___г. _____________________
(Личная подпись)

Безусловно, следует понимать, что школе необходимо иметь базовую персональную информацию о каждом учащемся с целью организации воспитательно-образовательного процесса. По закону, в момент нахождения детей в школе, за них несет ответственность администрация этого учебного учреждения. Поэтому, если уж возникла необходимость передать конкретные сведения о ребенке, то оформите этот процесс грамотно, используя приведенный пример заявления:

Образец согласия на обработку персональных данных школой, который не создает опасности нарушения прав семьи.

СОГЛАСИЕ ЗАКОННОГО ПРЕДСТАВИТЕЛЯ
НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ НЕСОВЕРШЕННОЛЕТНЕГО

Я, ______________________________________________________________(ФИО),
проживающий по адресу ____________________________________________________________, Паспорт № _________________________ выдан (кем и когда) _____________________________
______________________________________________________________________________
являюсь законным представителем несовершеннолетнего ____________________________________ (ФИО) на основании ст. 64 п. 1 Семейного кодекса РФ.
Настоящим даю свое согласие на обработку в ГОУ СОШ № ________ персональных данных моего несовершеннолетнего ребенка _____________________________, относящихся исключительно к перечисленным ниже категориям персональных данных:

• данные свидетельства о рождении;
• данные медицинской карты;
• адрес проживания ребенка;
• оценки успеваемости ребенка;
• учебные работы ребенка.

Я даю согласие на использование персональных данных моего ребенка исключительно в следующих целях:

• обеспечение организации учебного процесса для ребенка;
• ведение статистики.

Настоящее согласие предоставляется на осуществление сотрудниками ГОУ СОШ № ____ следующих действий в отношении персональных данных ребенка: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование (только в указанных выше целях), обезличивание, блокирование (не включает возможность ограничения моего доступа к персональным данным ребенка), уничтожение. Я не даю согласия на какое-либо распространение персональных данных ребенка, в том числе на передачу персональных данных ребенка каким-либо третьим лицам, включая физические и юридические лица, учреждения, в том числе внешние организации и лица, привлекаемые ГОУ СОШ № ______ для осуществления обработки персональных данных, государственные органы и органы местного самоуправления. Я даю согласие на обработку персональных данных ребенка только неавтоматизированным способом и не даю согласия на их обработку автоматизированным способом.
Обработку персональных данных ребенка для любых иных целей и любым иным способом, включая распространение и передачу каким-либо третьим лицам, я запрещаю. Она может быть возможна только с моего особого письменного согласия в каждом отдельном случае.
Данное Согласие действует до достижения целей обработки персональных данных в ГОУ СОШ № ______ или до отзыва данного Согласия. Данное Согласие может быть отозвано в любой момент по моему письменному заявлению.
Я подтверждаю, что, давая настоящее согласие, я действую по своей воле и в интересах ребенка, законным представителем которого являюсь.

Дата: __.__._____ г.
Подпись: ________________________ (______________________)

Как правильно написать отказ на обработку персональных данных?

Как мы уже выяснили, целью автоматизированного учета личной информации граждан является не гарантия прав людей, а исключительная власть над ними. Так происходит очередной этап построения системы управления человеком.

В феврале 2014 года на сайте Московской Патриархии была опубликована информация об обращении Патриарха Московского и всея Руси Кирилла к Президенту Российской Федерации Владимиру Путину с просьбой принять законодательные меры, которые обеспечивали бы право человека на использование традиционных удостоверений личности и способы их учета на бумажных носителях, а также предоставить правовые гарантии существования, технического оснащения и финансирования традиционной системы учета.

Администрация Президента Российской Федерации направила ответ на обращение Патриарха следующего содержания:

«...Разделяя Вашу озабоченность по вопросу нежелания некоторой части российских граждан получать другой вид паспорта - документ нового поколения, содержащий электронные носители информации, полагаю возможным отметить, что любые формы принуждения людей к использованию электронных идентификаторов личности, автоматизированных средств сбора, обработки и учета персональных данных, личной конфиденциальной информации недопустимы...».

Еще давно православные Старцы и священнослужители предупреждали о том, что людей будут обольщать с помощью «многохитростной лжи и чудовищного обмана».

Если вы желаете самостоятельно распоряжаться своей жизнью, а не давать это право чужим лицам, то вместо подписания согласия на обработку своих персональных данных советуем оформить заявление, образец которого представлен ниже:

ЗАЯВЛЕНИЕ

об отказе подписать «Согласие на обработку персональных данных»
(на основании ст. Конституции РФ 2, 3, 15, 18, 23, 24, статьи 12 ГК РФ)

................................................................... мне было предложено подписать бланк «Согласие на обработку
(дата)
персональных данных» для..................................................................................................................................................................
(указать для чего получается «Согласие»)
Я не даю согласие на обработку моих персональных данных по следующим основаниям:
1. Обязательное получение согласия на обработку персональных данных при........................

(указать: предоставлении медицинской помощи, выплате пособия, оформлении сделки и др.)
...................................................................................................................................................
противоречит Конституции РФ,гарантирующей гражданам данное право без каких-либо условий. В соответствии со статьями 2, 15, 18 права и свободы человека - высшая ценность, Конституция РФ имеет высшую юридическую силу и прямое действие.
2. Согласие на обработку моих персональных данных (персональных данных моих детей
..........................................................................................................................................................................
(указать, если такие имеются)
..........................................................................................................................................................................
противоречит моим интересам и интересам моей семьи.
В соответствии со статьей 9 Федерального закона №152-ФЗ «О персональных данных» субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе.
В соответствии с законом №152-ФЗ персональные данные - это любая информация, относящаяся к физическомулицу. Понятие «обработка» включает в себя любые действия оператора с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ, в том числе передачу третьим лицам и трансграничную передачу), обезличивание, блокирование, удаление, уничтожение персональных данных.
В 2009 году в №152-ФЗ «О персональных данных» были внесены изменения, отменившие обязанность операторов по криптографической (шифровальной) защите персональных данных.
При использовании персональных данных оператор обладает правом принятия решений или совершения иных действий, порождающих юридические последствия в отношении меня или других лиц как субъектов персональных данных.
Получая согласие человека на обработку персональных данных - любой информации обо мне и моей семье - оператор становится их полным хозяином.
Формальная фраза бланка о праве отозвать согласие на обработку персональных данных ничего не решает, поскольку оператор к моменту отзыва «Согласия» уже имеет возможность использовать свои полномочия в полном объеме.
Согласие на обработку персональных данных делает человека потенциальным объектом любых криминальных манипуляций, так как никто не несет ответственности за нравственное состояние операторов.
3. Получение согласия «на обработку персональных данных - любой информации о человеке» нарушает положения статей 23, 24 Конституции РФ, гарантирующей гражданам право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени.
4. Предложенный мне бланк «Согласия» нарушает принципы статьи 5 «Принципы обработки персональных данных» №152-ФЗ «О персональных данных»: о недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой; об обработке только тех персональных данных, которые отвечают целям их обработки; о соответствии содержания и объема обрабатываемых персональных данных заявленным целям обработки; о недопустимости избыточности обрабатываемых персональных данных по отношению к заявленным целям их обработки.
На основании изложенных доводов, я отказываюсь от дачи согласия на такую обработку моих персональных данных (персональных данных моих детей) и прошу обеспечить соблюдение моих конституционных прав и свобод. Мои персональные данные, необходимые для внутреннего использования в Вашем распоряжении уже имеются.
Я был(а) предупрежден(а), что в случае отказа подписать «Согласие» мне будет...............................................................................................................................................................
(последствия отказа подписать «Согласие»)
В случае реализации данной угрозы, прошу дать мне аргументированный письменный ответ, который мне будет необходим для обжалования неправомерных действий должностного лица (служащего) и возмещения материального и морального ущерба.

С уважением,
"____" _____________ 20___ года

Поступая на работу, новый сотрудник предоставляет работодателю колоссальное количество личной информации. Частично это объясняется производственной необходимостью. Независимо от характера предоставляемых данных, они должны храниться должным образом и быть качественно защищены. Если этого не происходит и личная информация работников разглашается, то сотрудникам оказывается нанесен существенный ущерб (как их достоинству, так и личной безопасности). Поэтому важно подробнее рассмотреть понятие "персональные данные". Что к ним относится? Каким образом их необходимо хранить? Какие существуют методы защиты персональных данных? Кто регулирует процесс их хранения и обработки? Ответы на эти и некоторые другие вопросы будут предоставлены непосредственно в этой статье. Будьте максимально внимательны.

Закон о персональных данных

Разнообразные нормативно-правовые акты предоставляют различные определения понятия "персональные данные сотрудника". Для того чтобы понять, что именно подразумевается, необходимо соотнести их разнообразные положения. Их законодательным основанием является закон "О персональных данных" и ряд норм, содержащихся в Конституции Российской Федерации.

Итак, что можно сказать об информации, которую собирают у сотрудников предприятия? Такие работники становятся субъектами персональных данных. К такого рода информации относят следующие данные: Ф.И.О., данные о рождении, семейный статус, место жительства, общественный статус, информация об актуальных доходах, данные об образовании и так далее.

Эти данные относятся к типу информации с ограниченным доступом, ведь законодательно подтверждено, что никто не может подвергаться вмешательству в его личную жизнь. Это относится и к персональным данным.

Такая информация необходима для того, чтобы эффективно идентифицировать личность гражданина. А если речь идет о сотруднике, то персональные данные предоставляют сведения о нем как профессионале в определенной сфере деятельности. Поэтому логично, что к личной информации работника относятся только те сведения, которые имеют отношение к его профессиональному потенциалу и особенностями исполнения им его трудовых обязанностей.

Конституция Российской Федерации гарантирует гражданам конфиденциальность их личной жизни. И персональная информация имеет к ней прямое отношение. Это определено соответствующим Указом президента Российской Федерации, который утверждает конфиденциальный характер такого рода информации и закрепляет отсутствие доступа к ней для общественности.

В то же время Трудовой кодекс Российской Федерации предоставляет достаточно узкое определение рассматриваемого понятия. Он утверждает, что персональные данные сотрудника - это информация, которая необходима его руководителю в связи с исполнением его прямых профессиональных обязанностей и которая имеет отношение исключительно к определенному работнику.

Обработка персональных данных

Для чего нужно обрабатывать и хранить персональные данные? Они необходимы для того, чтобы правильным образом реализовывать трудовую активность предприятия.

Цели их обработки следующие:

• факт приема на работу;
• основание для карьерного продвижения;
• осуществление выплат заработной платы;
• контроль реализации выполнения работы.

Существует ряд методов защиты личной информации. Работники имеют полное право знать, как именно хранятся и используются их персональные данные. Ознакомить сотрудников с этой информацией - это обязанность руководителей. Факт уведомления работники подтверждают личной подписью.

Типы персональных данных

То, какая именно личная информация о работниках должна быть собрана, определяется Трудовым кодексом, Конституцией Российской Федерации и рядом федеральных законов. Так, являются необходимыми два вида документов. Первый - бумаги, которые связаны с подачей трудового договора. Второй - документация, запрашиваемая или формируемая работодателем непосредственно.

Так, персональные данные классифицируются по следующим признакам:

Степень доступа

• Общедоступные. Доступны широкому кругу лиц.
• Конфиденциальные. Доступны только тем, кому сотрудник позволил.

Направление

• Специальные. Личная жизнь, наличие судимости, религиозные взгляды, политические убеждения.
• Обычные. Все, что не относится к специальным данным.

• Биометрические. Характеризуют физиологию.
• Не биометрические. Данные, которые не относятся к биометрическим.

Виды персональных данных

На какие типы подразделяются персональные данные? Что к ним относится?

Важно понимать, что вся информация, которая хранится на предприятии в отношении определенного сотрудника, может быть рассмотрена с двух разных точек зрения.

• Данные о семейном положении и семье работника (отдельных ее членах), а именно: наличие иждивенцев, наличие детей, их возраст и количество, состояние здоровья.
• Информация об определенном сотруднике, а именно: ФИО (паспорт), профессия, состояние здоровья, а также какие-нибудь особенные обстоятельства.

Руководитель предприятия обязан сформировать нормативно-правовой акт локального значения, который рассматривает порядок, определяющий хранение персональных данных. Он может быть представлен в разном виде. Например, им может являться Положение о персональных данных.

Итак, обсудим один из нюансов подробнее. Персональные данные: что к ним относится? Информация, содержащаяся в личных делах. Речь идет о следующем:

• данные паспорта (место и год рождения и так далее);
• копия диплома;
• копия документов, которые подтверждают наличие специальных навыков и знаний;
• копия документов пенсионного госстраха;
• иные документы.

Итак, подведем итог, что подразумевает понятие персональные данные? Что к ним относится? Это личная информация о работнике, которая необходима работодателю для того, чтобы наиболее эффективно использовать потенциал и умения сотрудника. Последний, конечно же, должен дать свое согласие на обработку персональных данных. Если все формальности соблюдены, то информация останется максимально защищенной.

Ответственность за разглашение

Важно учесть, что 152 ФЗ "О защите персональных данных" предусматривает только административную ответственность предприятия за разглашение персональных данных сотрудника. А значит, если организация не способна гарантировать работникам абсолютную защиту их личной информации, то ее ожидает только штраф. Причем суммы денежного наказания за неправильное хранение персональных данных абсолютно смешные. В общем, они колеблются от пяти до десяти тысяч рублей. Конечно, это так, если речь идет только об одиночных выплатах. Как правило, на предприятиях, где есть такого рода проблемы, нарушения множественные, а значит, и суммы штрафа существенно возрастают.

Однако денежные затраты - далеко не самое главное последствие того, что использование персональных данных происходит неправильным образом. Это сильно бьет по репутации компании. Ведь когда сотрудники дают свое согласие на обработку персональных данных, они рассчитывают, что их сохранность гарантирована. Если выясняется иное, такие кадры отказываются иметь дело с фирмой такого рода. Компания теряет возможность нанимать профессионалов.

Как Роскомнадзор проверяет защиту персональных данных

В данном случае нас интересует 152 ФЗ "О защите персональных данных". Именно он является законодательной базой для реализации данной функции.

Обычно Роскомнадзор проверяет три основных направления рассматриваемой сферы:

• Средства массовой информации.
• Связь.
• Защита персональных данных.

Положение о персональных данных рекомендует Роскомнадзору проводить такого рода проверки как минимум трижды в год. Это правило действует, если речь идет о плановых проверках. Внеплановые же производятся по мере необходимости. Каковы могут быть для этого причины? Например, если плановый аудит осуществлялся достаточно давно. Или если потребуется удостовериться в том, что прошлые замечания были учтены и были внесены необходимые изменения.

Правила хранения персональных данных

На каждом предприятии обязательно должны быть разработанный специальные правила, регламентирующие то, как хранятся и используются персональные данные сотрудников. Существует несколько вариантов того, как именно описанный документ может быть оформлен. Это может быть как отдельное положение, так и раздел, включенный в локальные Правила внутреннего распорядка. Каждый сотрудник имеет право принимать участие в процессе разработки и проведения мероприятий по защите персональных данных. Именно поэтому всех работников необходимо тщательно ознакомить с описанным документом.

Потребуется составить перечень персональных данных и список сотрудников, а также сформировать шаблон документа. Его должны подписать все, кто работает на предприятии.

Физическое хранение

Существуют разные способы хранения данных. Некоторые не готовы переходить к электронным архивам, а значит, предпочитают вести дела традиционным образом (то есть на бумаге). Суть метода в том, чтобы хранить все данные о сотрудниках, его личные документы и копии в буквальной папке, которая называется личным делом.

Каковы преимущества такого типа ведения личных дел? Среди них выделяют следующие:

• всю информацию просто найти, так как она располагается в одном месте;
• данные можно легко систематизировать;
• поиск информации занимает максимально короткое время.

Однако такой метод имеет и некоторые минусы. Например, следующие:

• наличие дополнительных ресурсов для хранения, таких как специальные помещения, оборудование, сейфы и так далее;
• трудоемкость процесса;
• требуются специальные навыки для ведения бумажной документации.

Иногда отделы кадров предпочитают хранить информацию об одном сотруднике раздельно (в различных тематических папках). Так, отдельно хранятся все трудовые договоры, анкеты и прочие документы по всем работникам сразу. Их нумеруют для более удобного поиска. Этот способ менее трудозатратен, чем тот, что был описан выше, да и не требует никаких специальных навыков от сотрудника отдела кадров.

Тем не менее и он не лишен недостатков. Среди них выделяют следующие:

• большое количество времени требуется для того, чтобы отыскать нужные данные о конкретном работнике;
• риск утечки конфиденциальной информации существенно повышается.

Хранение в электронном виде

В описываемом случае отделы кадров предпочитают применять электронные базы данных и разнообразные информационные системы. Часто это гарантирует обеспечение безопасности персональных данных.

Каковы преимущества такого типа хранения информации? Далее будут перечислены основные из них:

• нет необходимости иметь большой архив;
• существенная экономия пространства;
• нет никаких ограничений по срокам хранения;
• обрабатывать персональные данные удобно, и для этого не потребуется много времени;
• несанкционированный доступ к данным практически исключен;
• не нужны никакие дополнительные ресурсы.

Выделяют, конечно же, и некоторые минусы. Например, следующие:

• потребность хранить резервные копии всей базы данных;
• необходим специалист, который займется администрированием системы информации;
• потребуются расходы на специально предназначенное для этого оборудование и программное обеспечение;
• сотрудник, который обрабатывает персональные данные, должен быть исключительно грамотен.

Какие именно методы применяют для того, чтобы эффективно защитить персональную информацию сотрудников?

• Сделать помещения, в которых обрабатываются личные данные, полностью закрытыми для доступа других сотрудников.
• Для получения какой-либо информации сотрудники должны получить специальное разрешение.
• Хранение данных должно быть четко организовано.

Учитывая наличие и недостатков, и преимуществ у каждого из методов, как правило, работодатели комбинируют их. Не имеет значения, какой именно способ хранения информации используется, работодатель, так или иначе, обязан получить согласие сотрудника на обработку его личной информации.

Вывод

Персональные данные - конфиденциальная информация, которая может быть собрана работодателем с целью идентификации личности сотрудника, а также для определения уровня квалификации работника и его профессионального потенциала. Существует несколько способов хранения и обработки личной информации (она может быть зафиксирована на бумаге или электронных носителях, в зависимости от предпочтений сотрудников отдела кадров и возможностей предприятия). Защита персональных данных должна стать первоочередной задачей соответствующего отдела, так как это право сотрудника, которое гарантируется ему Конституцией Российской Федерации. Важно хорошо знать свои права, чтобы иметь возможность защитить себя в спорной ситуации.

Сейчас никакая деятельность не обходится без информации. В каждой организации хранятся сведения о работниках, партнерах, клиентах. Несанкционированный доступ к ним приводит к их потере или изменению, что отрицательно влияет на деятельность фирмы. Цели обработки персональных данных в организациях одинаковые, поскольку это закреплено законом. Об этом рассказано в статье.

Что означает обработка

Каждый человек может ознакомиться со сведениями о другом гражданине как при исполнении рабочих обязанностей, так и при нерабочем общении, при просмотре интернет-страниц, чтении газеты. Такой сбор информации не считается обработкой. Это просто ознакомление со сведениями.

Если же личная информация специально собирается для использования, хранения, то это будет обработка персональных данных. Этот процесс наблюдается в учебных заведениях, больницах. Сведения регистрируют, вносят в базы, классифицируют для использования в законных целях. Если информацию собирает писатель, журналист, то он может использовать ее для творческих целей.

Способы обработки

Личные сведения обрабатывают 2 способами:

1. Автоматизированно.
2. Неавтоматизированно.

Второй вариант предполагает обработку, выполняемую с участием гражданина. Если это происходит без средств автоматизации, то данные нужно отделять от остальных сведений. Это выполняется с помощью отметки, например, на полях бланков. Запрещено размещать на единый носитель личную информацию, если известно, что цели обработки персональных данных несовместимы.

Если личные сведения граждан относят к разным категориям, то нужно для каждого вида использовать индивидуальный носитель. Какие системы можно отнести к автоматизированным, а какие не являются ими? Это раскрывают следующие факты:

1. Личные сведения, находящиеся в системе персональных данных, могут быть обработанными благодаря неавтоматизированному процессу, если их использование выполняется с личным присутствием человека.
2. Нельзя утверждать, что данные обрабатываются автоматизированно, если учитывать, что они находятся в информационной системе персональной информации.

Автоматизированная обработка выполняется с использованием вычислительных средств. Обработкой называют все действия, которые выполняются с предоставленными данными. В этот процесс входит сбор, фиксирование, использование, уничтожение.

Цели

Цели обработки персональных данных в организации одинаковые. Сведения нужны для:

1. Заключения, исполнения, прекращения договоров в случаях, предусмотренных законом и Уставом организации. Такие сделки могут происходить с гражданами, ИП, юридическими лицами.
2. Кадрового учета предприятия, соблюдения норм закона, заключения и исполнения обязательств по соглашениям.
3. помощи сотрудникам в трудоустройстве, обучении, использовании льгот.
4. Исполнения норм налогового законодательства по поводу уплаты налогов и передачи в ПФР персональных данных.
5. Заполнения статистических документов на основе норм закона.

Каждая цель обработки персональных данных в организации обязательна для исполнения, поскольку это закреплено законом. Именно поэтому во всех учреждениях необходимы сведения о работниках, клиентах, партнерах. Цели обработки персональных данных позволяют вести деятельность законным способом.

Правила и порядок

О своих сотрудниках руководитель должен получить следующую информацию:

1. Образование.
2. Опыт работы, прежняя должность.
3. Данные о семье и их работе.
4. Сведения о здоровье.

При обработке информации работников специалисты кадрового отдела должны следовать нескольким правилам:

1. Обрабатывать сведения на основе норм закона, помогать в трудоустройстве, содействовать в обучении и повышении в карьере, контролировать качество выполняемых поручений.
2. Личные сведения предоставляются сотрудником. Если по какой-то причине их нельзя получить от работника, а только от третьего лица, необходимо получить письменное согласие на разглашение информации.
3. Кадровый сотрудник не может самостоятельно пользоваться сведениями о религиозной направленности или профсоюзной деятельности, если это не относится к работе. Если эта информация касается рабочих отношений, то нужно письменное разрешение.
4. Контролирует сотрудников кадрового отдела, а также исполнение ими данных правил руководитель.
5. Все работники должны расписаться, подтверждая, что ознакомлены с правилами регламента.

Цели обработки персональных данных по закону №152 обязательны для исполнения каждым работодателем. Исходя из ст. 22, руководитель может совершать действия с личными сведениями сотрудников без оповещения Роскомнадзора.

Принципы

Важно знать не только цели сбора и обработки персональных данных, но и принципы. Они указаны в ст. 5 гл. 2 ФЗ №152:

1. Важно соблюдение законности и добросовестности целей и методов обработки.
2. Соответствие целям, заявленным при сборе.
3. Соответствие объема и характера обрабатываемой информации, методов целям.
4. Достоверность сведений.
5. Недопустимость объединения баз для несовместимых целей.
6. Хранение в форме, которая позволяет определить субъекта данных, причем не дольше, чем этого требуют цели. Потом их уничтожают.

Цели обработки персональных данных работника достигаются с помощью условий, указанных в ст. 6 гл. 2:

1. Выполнение обработки с разрешения субъектов.
2. Если это поручено на основе договора другому лицу, то важно соблюдение конфиденциальности.
3. Обработка особой информации в специальном порядке.

Есть несколько исключений, когда разрешение субъекта не требуется. Это происходит тогда, когда:

1. Процедура осуществляется на основе ФЗ, который устанавливает ее цель, условия, круг субъектов, информация о которых подлежит обработке.
2. Все выполняется для исполнения договора.
3. Требуется выполнение статистических и других научных целей.
4. Необходима защита жизни, здоровья, жизненно необходимых интересов, если получить разрешение невозможно.
5. Выполняется доставка почтовых отправлений.
6. Осуществляется профессиональная деятельность журналиста.
7. Происходит обработка информации, подлежащей опубликованию на основе закона.

Согласие

Чтобы защитить человека от нежелательного использования сведений о нем, требуется его согласие на обработку персональных данных. Цель обработки должна быть законной, а в остальных случаях это делать запрещено. Согласие предоставляется с устройством на работу, оформлением банковского счета и при других важных сделках.

Единой формы разрешения нет. Его составляют в свободной форме на бланке, используемом предприятием. Срок, на протяжении которого разрешение действует, обозначается в самом документе. Там же указываются цели обработки персональных данных в организации.

Ответственность организации

Специалиста, ответственного за получение, обработку, хранение личных сведений, назначает директор учреждения. Также он определяет лиц, которым открыт доступ к информации. Документ нужно оформить приказом. Обычно за обработку сведений отвечают:

1. Руководители кадрового отдела.
2. Кадровые инспекторы.
3. Руководители по персоналу.
4. Заместители руководителей по персоналу.
5. Специалисты по работе с персоналом.

Основываясь на ФЗ №152, работник, выполняющий сбор и обработку личных данных, является оператором. Им и является руководитель. Цели обработки персональных данных в образовательном учреждении такие же, как и в организациях.

Передача и хранение

Хранение документации с личной информацией о работниках осуществляется в огнеупорных шкафах или сейфах. Ключи от них должны быть у директора кадрового отдела. Если он отсутствует, то этим заведует заместитель. При необходимости передачи личных сведений работника кадровый сотрудник должен помнить о следующих правилах:

1. Запрещено передавать третьим лицам личные сведения без письменного разрешения. Исключением считаются случаи, когда данные требуются для предотвращения вреда здоровью и в ситуациях, закрепленных законом. Также запрещено разглашать информацию в коммерческих целях без согласия.
2. Если нужно передавать данные работников, то необходимо оповестить тех, для кого применяется эта информация, что сведения можно использовать только для целей запроса.
3. Кадровый сотрудник может использовать только ту информацию, которая необходима для исполнения рабочих обязанностей.
4. У кадрового работника нет права выяснения сведений о состоянии здоровья сотрудника.

Исключением считаются обстоятельства, имеющие отношение к вопросу выполнения работниками своих обязанностей.

Ответственность

Если работниками нарушен порядок сбора, обработки, выдачи сведений, то они несут дисциплинарную и уголовную ответственность по закону. В ст. 5 ФЗ сказано, что личная информация, собираемая для обработки автоматизированными принципами или другими средствами, должна производиться в таком виде, чтобы можно было установить субъекта данных.

Определение субъекта не может быть длительнее, чем это требуется для обработки. Если она выполнена, то некоторое время персональные данные уничтожать нельзя. Персональные данные сотрудников хранятся в учреждении 75 лет. Таким образом, на каждом предприятии должны соблюдать правила хранения и обработки информации.

В последние десятилетия информационные технологии развиваются очень стремительно. В связи с этим личные данные человека нуждаются в серьезной защите от возможного посягательства со стороны мошенников. Для этого в России разработан и сегодня действует Закон «О персональных данных», имеющий своей целью законодательно регламентировать взаимоотношения в сфере передачи и использования личной информации о физических лицах.

Что такое персональные данные

Указанный термин подразумевает абсолютно любую информацию, имеющую отношение к конкретному физическому лицу. Законодательная защита личной информации - это самое важное условие полноценной реализации такого конституционных прав человека и гражданина в сфере частной жизни.

Дорогой читатель! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Если вы хотите узнать, как решить именно Вашу проблему - обращайтесь в форму онлайн-консультанта справа или звоните по телефону.

Это быстро и бесплатно !

На уровне закона охраняются все сведения , имеющие отношение к физическому лицу прямо или опосредованно. К этим сведениям относятся: фамилия, имя и отчество человека, адрес места проживания, день рождения, место рождения, контактный телефонный номер, адрес электронной почты, любые сведения относительно принадлежащих ему документов (серия и номер паспорта, данные страхового свидетельства и медицинского полиса, идентификационный номер налогоплательщика). Сюда же можно отнести любую информацию о состоянии его здоровья, семейном положении, расовой и этнической принадлежности, политических взглядов и религии, иные сведения.

Основные принципы обработки

Основополагающим правилом обработки личных данных человека является ее осуществление в четком соответствии с законодательными нормами. К иным не менее важным принципам можно отнести следующие:

• Целевой характер применения используемых личных данных. Неконтролируемая и нецелевая переработка информации личного характера незаконна. Запрещено соединение нескольких баз, содержащих данные различной целевой направленности. Работа с личными данными должна производиться ровно в том размере и объеме, какие необходимы для достижения соответствующей цели.
• Точность, достаточность передаваемой информации. Субъект, производящий обработку соответствующих сведений, обязано обеспечить их точность и актуальность, а в случае обнаружения любого несоответствия действительности, уточнить их либо удалить неверную информацию.
• Ограниченный определенными временными рамками срок хранения информации. Такой срок устанавливается законодательством либо оговаривается сторонами в договоре между ними. Если же срок хранения не регламентирован, он не может превышать разумную длительность для соответствующей цели. Когда установленный срок истекает, дальнейшее хранение данных не может осуществляться и они подлежат удалению.

Кто такой оператор

Данный термин объединяет в себе широкий перечень лиц, обладающих любым видом доступа к объекту обработки. Эти лица производят их передачу, хранение, определяют цель и объем их использования. То есть абсолютно каждое лицо, которому по той или иной причине стали известны персональные данные можно назвать оператором. И все они обязаны соблюдать законодательные требования и принципы в данной области. Операторами могут быть органы государственной власти, физические лица, организации любой формы собственности.

Каждый оператор прежде чем приступить к обрабатыванию личностных данных обязан уведомить о своем желании осуществлять такую деятельность Роскомнадзор.

Территориальные подразделения Роскомнадзора ведут специальные реестры для обобщения информации.

Для чего нужна обработка личных данных

В современном мире персональные данные имеют особенно значимую ценность по многим причинам. Именно поэтому порядок работы с личными данными человека должен быть регламентирован на уровне закона. Лица, имеющие доступ к персональным данным, обязаны использовать их в четком соответствии с требованиями законов РФ. Несоблюдение этого важного правила может повлечь привлечение виновного лица к ответственности (административной, дисциплинарной или уголовной).

Согласие на передачу личных данных

Все мы сталкивались хоть раз с предложением подписания согласия на обработку персональных данных, заключая договоры, устраиваясь на работу, делая покупки в интернете и во многих других ситуациях. Такое согласие должно четко содержать намерение лица передать информацию личного характера оператору и согласие на ее переработку. Человек, давший такое согласие, вправе впоследствии его отменить.

В некоторых случаях согласие на обработку персональных данных может быть выражено только в письменном виде и закреплено личной подписью. К письменному согласию приравнивается по юридической силе согласие в электронной форме за цифровой подписью субъекта персональных данных.

Требования к содержанию такого документа:

• сведения о правообладателе данных или его законном представителе, позволяющие надлежащим образом их идентифицировать;
• основная информация об операторе;
• перечисление точных сведений, входящих в состав персональных данных, цель обработки, конкретные действия и шаги, которые при этом будет реализовывать оператор;
• данные третьего лица, производящего обработку персональных данных по требованию оператора;
• длительность обработки;
• способы отмены данного ранее согласия;
• подпись человека, сообщающего данные о себе.

Условия для обработки данных

Использование личной информации, производимое в соответствии с законными принципами и в надлежащем порядке, допускается в определенных случаях:

• при наличии согласия человека, к которому данные относятся;
• во исполнение законодательства РФ и международных правовых актов, также исполнительного производства, во исполнение вступивших в силу судебных или иных подлежащих исполнению по закону актов уполномоченных органов власти;
• для выполнения условий договора или соглашения;
• с целью незамедлительных действий для защиты жизни, здоровья и личных интересов физического лица, реализации общественно значимых интересов;
• в статистических, научных и иных исследовательских целях, а также для реализации профессиональной деятельности работников СМИ;
• если осуществляется обработка общедоступной информации либо сведений, подлежащих раскрытию и опубликованию в соответствии с законодательством.

Ответственность перед физическим лицом, сведения о котором публикуются третьими лицами, несет сам оператор.

Условия передачи и хранения

Понятие использования личных данных физических лиц включает в себя широкий спектр любых манипуляций с персональными данными, в том числе их хранение, аккумуляцию и дальнейшую передачу и любые другие виды использования. Оператору необходимо всевозможными способами обеспечить защиту порученной ему информации от утери и ее незаконного использования сторонними лицами.

В данной деятельности используют как бумажные носители, так и электронные средства учета . В каждой организации, выступающей в качестве оператора, должен быть разработан внутренний документ о хранении и обработке персональных данных, обычно он называется положением или правилами. В нем указываются конкретные методы, используемые в данной организации, а также круг лиц, допущенных к обработке персональных данных, права и обязанности этих людей.

Права работников в вопросах обработки персональных данных

Операторы, осуществляющие любые виды деятельности с данными личного характера, должны руководствоваться в своей деятельности в том числе и трудовым законодательством. Прежде всего, каждый работник организации вправе знать какие именно характеризующие его данные стали известны работодателю, а также иметь свободный и беспрепятственный доступ в любое время к этим данным.

Работник может затребовать от своего руководства корректировки неточностей и ошибок в персональных данных , их уточнения при необходимости, в том числе если функция обработки данных передана оператором третьим лицам. Сотрудник, кроме того, может назначить представителя для осуществления действий по защите своих личных данных в порядке, установленном в законе.

Если имело место нарушение или ущемление в любой форме прав работника, он вправе обратиться для защиты своих интересов в правоохранительные органы.

Таким образом, обработка, передача и хранение персональных данных физических лиц должна осуществляться в четком соответствии с нормами законодательства, нарушение которых может повлечь привлечение виновных лиц к ответственности, в том числе уголовной.

Термины, нюансы и частые заблуждения - в материале от экспертов службы безопасности компании «Онланта » (входит в группу компаний ЛАНИТ).

В закладки

Разбираемся в юридической терминологии и тех самых нюансах, из-за которых можно оказаться в суде.

Объясняем термины человеческим языком

Главный закон, который регулирует отношения, связанные с обработкой персональных данных - это Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных».

Первый термин, который требуется понимать, - персональные данные.

Что такое персональные данные

Это любая информация, с помощью которой можно идентифицировать человека: например, ФИО, дата рождения, образование, доходы и даже семейное положение. Вы спросите: «А что, моя фамилия, напечатанная на визитке, - это тоже персональные данные?»

Ответ: «Да». По закону неважно, напечатана ли на визитке только ваша фамилия или в сочетании, например, с номером телефона и адресом. И первое, и второе, и третье - персональные данные. Правда, за хранение визитки или номера телефона девушки в телефонной книге отвечать по закону не придётся, но об этом ниже.

Идём дальше. В СМИ постоянно пишут «хранение персональных данных». Правильно говорить не хранение, а обработка персональных данных. В чём разница? Хранение - это лишь часть того, что называется обработкой персональных данных. Любые действия, которые вы совершаете с персональными данными (собираете, накапливаете, храните, передаёте, изменяете), в законе обозначены как «обработка персональных данных».

Важно понимать, что в законодательстве выделяется два субъекта персональных данных: оператор и обработчик. Оператор осуществляет обработку персональных данных, а также определяет цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработчик - это тот, кто совершает какие-либо действия с персональными данными: сбор, хранение, систематизацию, накопление, уточнение, обновление, изменение, удаление, обезличивание и так далее.

На самом деле, обработчик - это не только конечный пользователь, которому персональные данные нужны для работы, но и любой промежуточный пользователь, через руки которого прошли эти персональные данные. Показываем на практике.

Задачка

У интернет-магазина есть база данных клиентов, которая размещена в «облаке» сторонней компании. С этой базой работает маркетинговое агентство. Вопрос: сколько операторов персональных данных мы имеем?

Правильный ответ - одного. Это интернет-магазин, который задаёт цели обработки персональных данных. Второй вопрос: сколько обработчиков персональных данных мы имеем? Правильный ответ - два.

1. Компания, в облаке которой размещена база данных интернет-магазина.
2. Маркетинговое агентство, которое извлекает данные и на основе этих данных может подготовить рекламное предложение клиентам.

Персональные данные обрабатываются во множестве различных учреждений: например, в банках, школах, поликлиниках, визовых центрах. Не говоря уже про интернет-страницы, где мы регистрируемся, оставляя свои адреса электронной почты и телефонные номера. Но как и где именно?

Нюанс

В законе есть такой малопонятный термин, как «информационная система персональных данных». Если попытаться объяснить простыми словами - это целый комплекс, состоящий из серверов баз данных, технических средств, обеспечивающих их обработку, и информационных технологий. В соответствии с законодательством любую информационную систему персональных данных необходимо защищать.

Методы защиты информации бывают разными.

• Физическими: например, в комнате, где расположены компьютеры, могут быть установлены камеры, использоваться пропускной режим, сигнализация.
• Техническими - c помощью специализированных средств защиты информации.
• Административными: всевозможные регламенты и правила, регулирующие обработку персональных данных внутри компании.

Пример

Одно из средств защиты информации - это обезличивание персональных данных. Что это такое? В визовом центре каждому подающему на визу человеку присваивается отдельный идентификационный номер. Сам по себе номер не относится к персональным данным, так как обезличивает человека: по нему нельзя определить лицо, подавшего документы на визу.

Кажется, я обрабатываю персональные данные

Итак, с терминологией разобрались. Теперь всем представителям бизнеса, в особенности индивидуальным предпринимателям, у которых может быть всего несколько сотрудников в штате, стоит честно ответить на вопрос: «Обрабатываю ли я персональные данные?»

Да , если вы владелец сайта с посещаемостью пять человек в неделю, но на нём есть форма обратной связи с полями «ФИО, адрес электронной почты, телефон». Информация о том, для каких целей вы собираете персональные данные, как вы их используете, должна быть представлена на вашем сайте.

Да , если вы обрабатываете персональные данные своих сотрудников или сторонних специалистов, нанятых для выполнения каких-то работ.

Да , если вы работаете с частными клиентами и вам требуются их паспортные данные для заключения договоров - это касается турагентств, фитнес-центров, разного рода сервисных компаний, интернет-магазинов и прочего.

И снова да , если вы бюджетная организация, политическая партия или детский сад. Последние обладают не только информацией о ребёнке, но и о его родителях, включая место работы и должность. Не говоря уже о медицинских учреждениях - там море личной деликатной информации, которую необходимо надёжно хранить.

Однако если вы используете данные для личной коммуникации без коммерческой выгоды, то требования законодательства на вас не распространяются и ни о какой уголовной ответственности речи идти не может.

Например, использование вами контактов, напечатанных на визитке, которую вы получили от коллеги, или номеров телефонов в записной книжке на смартфоне, информации в социальных сетях не накладывает на вас ответственность перед законом.

Определяем категорию персональных данных

Поздравляем, вы - гордый обладатель звания «оператор персональных данных». Самое важное теперь - понять, какие именно персональные данные вы обрабатываете. Потому что именно от категории персональных данных зависит, как данные защищать и каким требованиям нужно соответствовать. Категории подробно описаны в ФЗ-152 и постановлении правительства от 1 ноября 2012 г. N 1119.

Категории персональных данных простыми словами:

Общедоступные персональные данные: данные из открытых ресурсов, которые публикуются субъектом персональных данных или с его одобрения. Общедоступные данные - это данные из СМИ или интернета.

Пример: информация, выложенная в открытый доступ в социальных сетях или на сайте компаний. Номер телефона и семейный статус, опубликованный в открытом доступе в Facebook. Имя сотрудника и занимаемая им должность на сайте работодателя.

Биометрические персональные данные: к этой категории причисляются все данные по физиологическим и биологическим особенностям людей.

Пример: вес, рост, цвет глаз или волос, длина волос, группа крови, фотография.

Персональные данные специальной категории: сюда относится информация о принадлежности к какой-либо расе и нации, политические взгляды, религиозные и философские убеждения, состояние здоровья или интимной жизни.

Пример: врачебный диагноз (информация о том, чем вы болели, когда, какой врач вас лечил).

Персональные данные иных видов - сюда входят персональные данные, не вошедшие в указанные выше категории.

Пример: корпоративная информация. Карточки учёта сотрудников, в которых содержатся сведения, с которыми работает HR и бухгалтерия: зарплата, периоды отпуска, даты приёма на работу.

Категория, количество, тип угроз - уровень защиты

После того, как вы определились с категорией персональных данных, вам надо понять точное количество данных, которое вы обрабатываете: до 100 тысяч или свыше 100 тысяч.

Угрозы №1. «Дыры» и уязвимости в операционной системе. Пример: уязвимости, которые используют хакеры для проникновения в операционную систему с целью хищения информации.

Угрозы №2. «Дыры» и уязвимости в прикладном ПО, то есть в софте, который используется в вашей повседневной работе. Пример: Word, Excel.

Угрозы №3. Все другие угрозы, не указанные в первых двух типах. В первую очередь, человеческий фактор. Сотрудник может оставить открытым документ на незаблокированном компьютере, отправить документ на печать на чужой принтер или по электронной почте.

Первый и самый высокий уровень защиты чаще всего применяется для обработки персональных данных в государственных органах и медицинских учреждениях. Четвёртый уровень защиты - самый простой, чтобы его обеспечить, иногда достаточно выполнить организационно распорядительные меры, в основном он касается защиты общедоступных данных.

Определить уровень защиты можно по этой таблице .

Пример

Больница обрабатывает персональные данные своих пациентов - это персональные данные специальной категории. Также она обрабатывает персональные данные сотрудников - это персональные данные иной категории. Скорее всего, у больницы две базы данных. Если сложить обе базы, получится общее количество персональных данных, которые крутятся в информационной системе этой больницы.

Например, всего их - до 100 тысяч. Далее смотрим, как обрабатываются данные: автоматизировано (в компьютере) или не автоматизировано (в ручной картотеке). Если всё автоматизировано, смотрим, какое ПО использует больница, какие у него есть уязвимости.

Исходя из этого выявляются угрозы и их уровень. Складываем все факторы и получаем класс защиты второго уровня. Смотрим, какие требования в законе прописаны ко второму уровню защищённости. На базе этих требований необходимо будет построить защиту информационной системы для соответствия требованиям ФЗ.

Немного про опасность утечек персональных данных

Зачем вообще так беспокоиться о защите персональных данных? Персональные данные - это дорогой товар на чёрном рынке. За профиль, содержащий полные данные медицинской карты человека, мошенникам готовы платить внушительные суммы. Отдельный рынок - продажа деталей банковских карт; аккаунты в социальных сетях.

Последствия утечки персональных данных бывают разными. Данные могут оказаться в открытом доступе в интернете: например, в сети легко можно найти украденные базы данных с адресами и телефонами клиентов компаний. Зная имя и фамилию, любой может узнать домашний адрес человека, залезть в соцсети, посмотреть профиль или просто написать SMS на мобильный телефон.

Персональные данные могут попасть в базу назойливой рассылки какой-нибудь коммерческой организации, тогда их владельца начнут одолевать непрошенными предложениями услуг. Также ими могут воспользоваться интернет-мошенники для онлайн-казино или чтобы открыть электронный кошелёк.

В худших случаях злоумышленник может выдать себя за другого человека и взять кредит на чужое имя. К числу наиболее тяжёлых последствий утечек персональных данных относятся: противоправные действия с недвижимостью, кража денег с банковских карт, шантаж родственников и регистрация фирмы.

Бремя ответственности

Вы поняли важность вопроса и готовы нести ответственность? Правильно. Потому что ответственность за сохранность персональных данных полностью лежит на операторе.

Это значит, что оператор должен позаботиться о том, чтобы информация не утекла в публичный доступ или не попала в руки третьих лиц, которые не имеют на неё никаких прав. Для этого требуется постоянный мониторинг и предотвращение угроз безопасности данных, контроль за уровнем сохранности информации и её восстановление в случае утраты.

В нашей стране Роскомнадзор контролирует соблюдение законодательства в области обработки персональных данных. Этот орган реагирует на жалобы, регулирует отношения между субъектами и операторами.

За технические требования по защите информации отвечает ФСТЭК и ФСБ: они вырабатывают требования и контролируют их исполнение.

Требования по обработке персональных данных

А теперь пришло время изучить таблицы с требованиями по технической защите персональных данных. Подробности можно найти в приказе Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 г. N 21.

Но начните хотя бы с этого:

1. Зарегистрируйтесь в Роскомнадзоре как оператор персональных данных. Требуется подать заявление в Роскомнадзор в бумажном или электронном виде. Информация по ссылке .
2. Получите согласие в письменном виде от всех субъектов, чьи персональные данные обрабатываются. Согласие на обработку персональных данных - это главный юридический документ, который подтверждает законность обработки персональных данных.
3. Разработайте внутреннюю документацию. Ввод в действие приказом руководителя организации «Положения об обработке персональных данных». В этом документе оператор поясняет, как он планирует использовать персональные данные, для чего и куда они будут переданы. Это основополагающий документ, который требуется любому оператору персональных данных. На его основании разрабатываются все остальные распорядительные документы.

Многие владельцы сайтов думают, что если посетитель нажал кнопку «Я согласен на обработку персональных данных», юридических проблем не будет, а обработка данных автоматически попадает в легальное поле. Это не так.

С юридической точки зрения есть только два способа подтвердить своё согласие на обработку персональных данных: поставить подпись на бумаге или при помощи электронной цифровой подписи.

Во всех остальных случаях, если дело дойдёт до суда, владелец сайта никак не сможет подтвердить, кто именно нажимал кнопку «Я согласен». Остаётся только надеяться, что субъект, пришедший к вам на сайт, добровольно передаёт свои данные и жалобу не подаст.

Эксперты службы безопасности компании «Онланта»

Неужели действительно могут быть проверки

Да, проверки могут быть от Роскомнадзора.

Ежегодно Роскомнадзор публикует перечень проверок выборочно из списка зарегистрированных операторов, если компания попала в перечень проверок, то следующая плановая проверка возможна не ранее чем через три года. Посмотреть, не попала ли ваша компания в список этого года, можно .

Проверки вне плана обычно вызваны жалобами. Если проверка внеплановая, вас о ней должны предупредить за сутки в письменном виде.

Также могут быть документарные проверки. При документарной проверке вам пришлют список документов, копии которых надо будет отправить в Роскомнадзор.

Иногда Роскомнадзор делает выездные проверки: инспекторы лично наносят визиты, чтобы проверить компанию на месте.

Подготовка к любой из этих проверок - трудоёмкое занятие. Будете ли вы решать задачу подготовки к проверке самостоятельно, или привлечёте внешних специалистов, для начала надо определить, кто в компании будет отвечать за соблюдение ФЗ-152.

Штрафы, суды и другие ужасы

За нарушение 152-ФЗ предусмотрена гражданская, уголовная, административная, и дисциплинарная ответственность.

Итак, Роскомнадзор провёл проверку, если он обнаружил несоответствия законодательству, он выдаст предписание следственному комитету провести разбирательство по факту нарушения закона «О персональных данных».

После этого прокуратура начнёт проверку, в ходе которой она может приостановить деятельность компании: изъять базу данных компании, в частности, компьютеры, на которых производилась обработка персональных данных.

Нарушителей закона прежде всего ждут штрафы. Размеры штрафов варьируются в зависимости от правонарушений. Так, за обработку персональных данных без письменного разрешения субъектов юридическим лицам придётся понести административную ответственность.

Даже если оператор готов заплатить штраф, а по меркам крупного бизнеса он не кажется огромным, правонарушителю всё равно придётся устранить несоответствие перед законом (например, удалить хранящиеся данные) и уведомить об этом Роскомнадзор.

Худший сценарий - это если Роскомнадзор решит отозвать лицензию компании, запретить бизнесу обработку персональных данных, а сайты, незаконно публикующие персональные данные граждан, подвергнуть блокировке.

За прошедшие несколько лет в России самый громкий скандал был связан с блокировкой сайта LinkedIn, владельцев которого обвинили в обработке персональных данных граждан без их согласия на серверах, находящихся за пределами РФ. Также «нашумела» сервиса autonum.info.

Сколько мне это будет стоит денег и сил

Организовать обработку персональных данных можно самостоятельно или с помощью компании, которая предоставляет подобную услугу.

Если решили обрабатывать персональные данные самостоятельно, потребуется:

1. Разобраться, какую категорию персональных данных вы обрабатываете и какие есть технические требования к их защите.
2. Своими силами или с помощью ИТ-компании разработать технические решения, подготовить закупки необходимого оборудования и программного обеспечения, установить его и внедрить.
3. Оформить все юридические документы. Разработать комплект внутренних документов: инструкций и регламентов.

На это уйдёт в лучшем случае три-четыре месяца, стоимость такого внедрения может составить 200-300 тысяч рублей - это стоимость покупки оборудования, лицензий. Трудозатраты и дальнейшая поддержка информационной системы - отдельная статья расходов. Также потребуется администратор, который будет контролировать работу системы.

Если говорить объективно, совсем маленькие компании просто не выполняют все требования закона в надежде, что проверки не будет. Возможно, её действительно не будет. Другие компании создают «потёмкинские деревни», лишь делая вид, что обрабатывают персональные данные в соответствии с требованиями законодательства, иными словами, «покупают» необходимые документы.

В следующем материале мы покажем, как посчитать стоимость обработки персональных данных внутри компании и расскажем, когда выгоднее заниматься обработкой персональных данных самим, а когда лучше отдать на хранение в «облаке».