Что такое обработка персональных данных

НПА, регулирующие обработку персональных данных

Вопросы обработки документов, содержащих персональные данные физических лиц (далее — ПД), регулируют следующими НПА:

1. Федеральные законы № 152-ФЗ от 27.07.2006, № 149-ФЗ от 27.07.2006.
2. Трудовой кодекс РФ (глава 14).
3. Постановления Правительства РФ № 687 от 15.9.2008, № 211 от 21.03.2012, № 1119 от 01.11.2012, № 996 от 05.09.2013, № 1046 от 29.06.2021 и др.
4. Приказы Роскомнадзора № 178 от 27.10.2022, № 179 и 180 от 28.10.2022, № 187 от 14.11.2022 и т.д.

Что такое персональные данные, и что входит в их состав

Персданными считаются любые сведения, которые относятся к человеку и позволяют провести его идентификацию среди других людей.

На законодательном уровне перечень информации, которая является персональными данными, не определен. ПД считаются любые сведения, которые прямо либо косвенно относятся к физическому лицу. Они включают в себя, в частности, следующие сведения:

1. ФИО.
2. Дату и место рождения.
3. Реквизиты документов (паспорт, ИНН, СНИЛС и др.).
4. Образование.
5. Место трудоустройства, получения образования.
6. Почтовый адрес, телефонный номер, e-mail.
7. Медицинские диагнозы, результаты медицинских анализов.
8. Расу, национальность.
9. Вероисповедание.
10. ДНК.
11. Отпечатки пальцев.
12. Изображение лица и пр.

Подробнее: какие бывают виды персональных данных

Что такое обработка персональных данных

Обработкой персданных является совершение с ними любых действий. К мероприятиям по работе с персданными относятся, в частности:

1. Сбор.
2. Систематизация.
3. Хранение.
4. Внесение в ПД изменений.
5. Передача третьим лицам
6. Блокировка ПД.
7. Обезличивание.
8. Уничтожение материальных носителей, содержащих ПД или их удаление из информационных систем и др.

Отдельно узнайте, каковы сроки хранения персональных данных

Кто считается оператором персональных данных

Оператором ПД является любое лицо, которое их обрабатывает или совершает с ними любые другие действия. К ним относятся:

1. Физические лица.
2. Индивидуальные предприниматели.
3. Организации, как коммерческие, так и некоммерческие.
4. Органы власти — государственной или муниципальной — в лице соответствующих учреждений и должностных лиц.

Может пригодиться: как стать оператором персданных в реестре Роскомнадзора

Правила обработки персональных данных

Обработку персданных оператором требуется производить с соблюдением ряда обязательных правил. К ним, в частности, относятся следующие:

1. Производить обработку ПД в строгом соответствии с требованиями действующего законодательства.
2. Перед тем как начать обрабатывать персданные, требуется уведомить об этом органы Роскомнадзора. В ряде случаев, установленных законом, направлять уведомление о начале обработки не требуется. Например, если работа производится в рамках трудовых правоотношений, обрабатываются только ФИО, сведения носят общедоступный характер или получены в результате заключения договора, а передача их третьим лицам не производится.
3. Персданные обрабатываются исключительно с согласия субъекта ПД. Согласие в установленных законодательством случаях требуется получить в письменной форме со включением в документы ряда обязательных положений (например, ФИО, реквизиты документа, удостоверяющего личность субъекта ПД, цель, с которой персданные обрабатываются, перечень обрабатываемых ПД, срок выдачи согласия, способы отзыва). В иных случаях разрешено получение согласия обрабатывать ПД иными способами (например, путем проставления галочки в соответствующем поле на сайте при регистрации). Допускается осуществлять работу с персданными без получения согласия субъекта в случаях, установленных законом (например, судебное делопроизводство).
4. При получении от субъекта ПД отзыва ранее данного согласия на обработку персональных данных оператор обязан прекратить их обрабатывать и уничтожить материальные носители, содержащие такие данные, удалить сведения из информационных систем. В ряде случаев закон позволяет обрабатывать ПД и после отзыва согласия. Например, при выполнении госорганами возложенных на них полномочий, судебное разбирательство в отношении субъекта ПД, выполнение обязательств по гражданско-правовым договорам.
5. Сбор и обработка персональных данных производятся со строго определенной целью, что должно определять объем обрабатываемых персданных. Запрещается обрабатывать ПД без определенной цели либо те персональные данные, которые не требуются для достижения обозначенной цели.
6. Следить за актуальностью ПД, при их изменении вносить в процессе обработки необходимые сведения.
7. Поручение оператором обрабатывать персональные данные иным лицам допускается в случае, если такое право установлено законом или договором.
8. Соблюдать конфиденциальность при работе с персданными. Не допускать их передачу третьим лицам без согласия субъекта ПД. Исключение составляют случаи, предусмотренные законом.
9. При необходимости производить обезличивание персданных.
10. Обеспечить при работе с персональными данными их безопасность, исключающую несанкционированный доступ к ним третьих лиц.
11. Назначить ответственных лиц, отвечающих за обработку, хранение и защиту ПД в организации.
12. Разработать и утвердить локальные нормативные акты, которыми регулируются вопросы обработки персданных (положения, политика, правила и т.п.). Ознакомить с указанными ЛНА сотрудников, которые обрабатывают ПД. Провести обучение сотрудников по работе с персданными, регулярно проводить переобучение, доводя до сотрудников изменения, происходящие в законодательстве, регулирующем работу с ПД.
13. Своевременно выявлять и устранять нарушения, допускаемые в процессе работы с ПД.

Обязательно прочитайте: о защите персональных данных

Пример согласия:

Актуальный бланк и образец этого документа есть в КонсультантПлюс Скачать бесплатно

Подробнее: как составить согласие на обработку персональных данных

Ответственность за нарушение правил обработки персональных данных

За нарушение правил работы с персданными оператор привлекается к следующим видам ответственности:

1. Административная, которая предусмотрена ст. 13.11 КоАП РФ. Наказание устанавливается в виде штрафа, размер которого составляет для граждан от 1500 до 30 000 руб., для должностных лиц — от 6000 до 500 000, для ИП — от 10 000 до 1 млн руб., для организаций — от 30 000 до 1,5 млн руб.
2. Уголовная ответственность будет по ст. 137, ч. 1 ст. 272 УК РФ.
3. Гражданская предусмотрена по иску субъекта персональных данных, права которого нарушены при работе с ПД, о взыскании компенсации морального вреда.