Правовой статус оператора персональных данных

Ответственность за отказ регистрироваться в реестре

Реестр операторов персональных данных – это специальная база (список) Роскомнадзора, куда включаются юридические или физические лица, подпадающие под определение оператора.

Такое лицо обязано самостоятельно заявить о себе органам Роскомнадзора путем подачи уведомления в особой форме – бумажным или электронным письмом, либо на фирменном бланке организации. Подробно процедура описана в Приказе Минкомсвязи России от 21.12.2011 N 346.

https://www.youtube.com/watch?v=ytpolicyandsafetyru

Обо всех изменениях, касающихся перечня операций с ПД или целей их обработки, оператор должен уведомлять Роскомнадзор. Роскомнадзор в свою очередь осуществляет контроль за работой объектов в сфере обработки ПД и проводит их проверку.

Действующим законодательством предусмотрена административная ответственность за нарушение требований к защите ПД. Согласно Федеральному закону от 07.02.2017 № 13-ФЗ, который начал действовать с 1 июля 2017 года, в статье 13.11 КоАП РФ предусмотрено несколько составов правонарушений, за которые могут быть оштрафованы операторы персональных данных.

Отказ регистрироваться в реестре может быть расценен как непредставление информации в контролирующий орган. Наказание за это предусмотрено в статье 19.7 КоАП РФ. По ней должностным лицам грозит штраф в размере от 300 до 500 рублей, а юридическим — от 3000 до 5000 рублей.

Кто такие операторы персональных данных и чем они занимаются

Получается, что в некоторых случаях будет достаточно фамилии, имени и номера автомобиля, чтобы идентифицировать гражданина, а в других понадобится еще номер его водительского удостоверения и адрес регистрации.

Оператор персональных данных — это государственный или муниципальный орган, юридическое или физическое лицо, которое:

  • самостоятельно или совместно с другими лицами организует и/или осуществляет обработку ПД;
  • определяет цели работы с личной информацией, ее состав, а также действия (операции) с ней.

То есть любой, кто запрашивает и пользуется ПД, является их оператором. И все, кто имеет доступ и обрабатывает сведения, по которым можно идентифицировать гражданина, фактически работают с ПД и несут ответственность за несоблюдение закона об их защите.

Давайте представим, кто может относиться к операторам ПД. Банки? Да! Сайты, собирающие материал о подписчиках? Да! Юридические и бухгалтерские компании, оказывающие различные услуги? Да! Магазины и салоны красоты, предлагающие приобрести бонусную карту? Снова да! ТСЖ, вузы, детсады, турагентства, медучреждения, автоматизированные системы, в том числе государственные? Да, да, да! Операторы ПД — повсюду, в любой сфере!

Права и обязанности

Для обеспечения безопасности хранения и передачи персональных данных предусмотрена процедура аттестации и получения лицензии для организаций занимающихся сбором и хранением такой информации.

Чтобы получить лицензию предприятию приходится не только обучать сотрудников, но и приобретать технические средства защиты.

Предлагаем ознакомиться:  Защита персональных данных на автоматизированном рабючем месте

Оператор персональных данных

Процедура состоит из нескольких этапов, из которых можно выделить наиболее важные.

  • уведомить соответствующие органы о намерении обрабатывать данные с помощью средств автоматизации (компьютеры);
  • пройти предварительное обследование имеющихся информационных систем;
  • спроектировать систему защиты с учетом инфраструктуры компьютерной техники и других средств автоматизации;
  • приобрести и внедрить средства защиты;
  • привести все помещения в соответствие требованиям по пожарной безопасности, охране, электропитанию и т.д.
  • провести повышение квалификации сотрудников в области защиты персональных данных и их аттестация.

В результате можно гарантировать наличие действующей системы защиты сведений при их хранении и передаче через коммуникационные линии.

Стоит отметить, что все действия, описанные выше, могут быть применены только к обработке персональных данных в электронном виде, что является потенциально небезопасным для хранящейся или передаваемой информации.

В соответствии с Федеральным законом РФ от 27 июля 2006 г. N 152-ФЗ «О персональных данных»операторы ПД имеют ряд обязательств перед государством и лицом, чьи данные взяты в обработку. Они должны:

  1. Обеспечить безопасность обработки ПД, использовать различные методы для защиты конфиденциальной информации от неправомерных действий или случайного доступа, в том числе копирование, уничтожение, передача третьим лицам, корректировка и блокировка.
  2. Уведомить федеральный орган Роскомнадзор о начале работы с личной информацией субъектов для внесения в единый государственный реестр.
  3. При сборе ПД получить у субъекта письменное согласие на обработку данных.

    Правовой статус оператора персональных данныхПоследний пункт имеет исключения, закрепленные законодательно, когда согласия субъекта на операции с персональными данными не требуется.

  4. По требованию субъекта предоставлять данные о нем, корректировать имеющуюся информацию в случае изменения данных, уничтожать недостоверные сведения по требованию субъекта.
  5. Предоставлять в уполномоченный государственный орган (по требованию) ПД, необходимые для работы госслужбы.

Что касается прав оператора, то они довольно ограничены и заключаются в праве получать информацию об изменениях в законодательстве, касающихся сферы обработки ПД.

Регистрация в Роскомнадзоре в качестве оператора персональных данных

Законом предусмотрено, что до начала работы с ПД необходимо обратиться в уполномоченный орган надзора и уведомить о начале работы с личной информацией. Это не значит, что каждая компания должна быть внесена в реестр операторов персональных данных Роскомнадзора. В этот список не включаются:

  • работодатели. Они собирают и хранят информацию в соответствии с трудовым законодательством, например, при оформлении трудовых договоров, различных приказов кадрового характера;
  • компании сотовой или стационарной телефонной связи, если данные получены исключительно для оказания услуг связи по заключенному договору, не распространяются и не предоставляются третьим лицам без согласия субъекта ПД;
  • общественные объединения или религиозные организации, которые получают доступ к данным своих членов (участников) для достижения целей, предусмотренных в учредительных документах;
  • организации и частные лица, пользующиеся общедоступными сведениями, которые субъекты ПД сами раскрыли, например, на персональных сайтах;
  • любые компании, в которых действует система пропусков. Если паспортные данные гражданина переписываются для оформления однократного пропуска на территорию организации, регистрироваться не придется;
  • системы со статусом государственных автоматизированных информсистем, а также государственные системы ПД, созданные в целях защиты безопасности государства и общественного порядка. Их очень много, а в их числе системы «Эра-Глонасс» и «Управление», АИС учета некоммерческих и религиозных организаций и многие другие на федеральном и региональном уровне;
  • граждане и организации, которые обрабатывают информацию без использования средств автоматизации (компьютера). При этом им надо руководствоваться требованиями, утвержденными Постановлением правительства от 15 сентября 2008 г. N 687;
  • организации, которые запрашивают данные для обеспечения безопасного функционирования транспортного комплекса, например, при бронировании и покупке билетов, в том числе через онлайн-сервисы перевозчиков или посредников.
Предлагаем ознакомиться:  Застраховать гражданскую ответственность перед третьими лицами

С учетом таких формулировок многие из организаций уже не попадают в реестр операторов, осуществляющих обработку персональных данных, который ведет Роскомнадзор. Но те, на кого исключения не распространяются, обязательно должны быть в списке контролирующего органа.

Предпринимать меры по уведомлению Роскомнадзора для включения в список придется:

  • Интернет-ресурсам (соцсетям, форумам, порталам), которые проводят регистрацию пользователей с указанием ПД даже в минимальной форме (Ф.И.О. и электронный адрес).
  • Онлайн-магазинам, принимающим от покупателей информацию об обратном звонке, адресе доставки товара.
  • Сайтам, публикующим информацию о субъекте или отправляющим ее на электронный ящик, а также тем, которые уже содержат конфиденциальные данные.

    Внимание! Роскомнадзор имеет право заблокировать интернет-ресурс, нарушающий законодательство в сфере ПД.

  • Компаниям, организациям, предпринимателям, которые занимаются оперированием ПД на постоянной основе: юридические и бухгалтерские конторы, турагентства, учреждения ЖКХ, регистраторы и реестродержатели, банки и медучреждения, образовательные учреждения, компании сферы обслуживания, выдающие клубные карты.
  • Компаниям, функционирующим на основе гражданско-правовых договоров с внештатными кадрами.
  • Фирмам, использующим системы CRM.

Выступает ли им работодатель ?

Как следует из списка, представленного выше, любой работодатель, нанимающий сотрудников, потенциально может быть оператором ПД. Он получает от соискателей и сотрудников сведения, и обязан создавать систему защиты полученной информации, разрабатывать специальные меры, предотвращающие неправомерное ее использование.

Однако существует ряд исключений, согласно которым работодатель не считается оператором ПД, и может не уведомлять Роскомнадзор в процессе работы с персональными данными. В частности, это работодатели, которые собирают и хранят сведения, необходимые исключительно для составления договора о трудовых отношениях, внутренних приказов, в соответствии с трудовым законодательством.

Кто не является?

Оператор персональных данных – юридическое лицо, которое в силу своей деятельности занимается обработкой информации о действующих и потенциальных клиентов и сотрудниках. Размеры организации при этом никакого значения не имеют, как и форма ее собственности.

На практике оператором является любая организация, в которой есть наемный труд. Ведь трудоустройство невозможно без заполнения анкеты с довольно подробным перечнем сведений о себе, а также подачи личных документов, причем со всех снимаются копии, информация вносится в бухгалтерские программы и т.д.

Главное требование законодательства РФ, предъявляемое к операторам, это обеспечение сохранности тех данных, которые получила организация в процессе деятельности.

Предлагаем ознакомиться:  Всё, чем отличается договор подряда от возмездного оказания услуг, а также от других видов соглашений

Нормы, согласно которым обеспечивается охрана, установлены в упомянутом законе, также могут уточняться нормативными актами, так называемых регуляторов

Существует определенный порядок, который регламентирует случаи, когда организация получает право работать с персональными данными без уведомления в надзорный орган:

  • если предприятие обрабатывает только те сведения, которые нужны для трудовых отношений;
  • когда обработке подвергаются данные общедоступного характера;
  • если обрабатываются только фамилия, имя, отчество;
  • когда они используются один раз, например, для выписки пропуска;
  • если для обработки не применяется компьютерная техника.

Все остальные организации обязаны становиться на учет, в результате чего они получают уникальный регистрационный номер, под которым вносятся в специальный реестр.

https://www.youtube.com/watch?v=https:accounts.google.comServiceLogin

В нем всегда можно уточнить, имеет ли право конкретное юридическое лицо запрашивать или хранить персональные данные.

Например, часто такие вопросы возникают в отношении кредитных организаций, операторов сотовой связи и т.п.

Правовой статус оператора персональных данных

Поэтому принято называть «оператором обработки персональных данных» организации, которые в силу профессиональной деятельности собирают и обрабатывают не только общедоступные сведения, но и такие как серия, номер паспорта, адрес проживания и т.д.

Некоторые юридические лица и учреждения могут не подпадать под определение оператора ПД:

  1. телефонные компании, которые имеют доступ к сведениям абонента и используют их исключительно для оказания услуг связи;
  2. общественные или религиозные организации, использующие сведения своих членов для реализации целей, указанных в учредительных документах;
  3. лица и учреждения, которые используют ПД, раскрытые субъектом самостоятельно и добровольно;
  4. компании с пропускными системами, оформляющие одноразовые пропуска;
  5. госсистемы ПД, созданные в сфере защиты государства и сохранения общественного порядка;
  6. организации, которые обрабатывают данные без привлечения автоматизированных систем;
  7. транспортные компании, получающие сведения для оформления проездных билетов.

https://www.youtube.com/watch?v=ytaboutru

Следует учесть, что Роскомнадзор может прийти с проверкой не только в компанию, внесенную в госреестр, но и в любую другую, которая в списке не значится. Следовательно, с объекта, который не подпадает под термин “оператор”, не снимается ответственность по защите конфиденциальных сведений и деятельности в соответствии с российским законодательством.

Понравилась статья? Поделиться с друзьями:
Юрист
Добавить комментарий

;-) :| :x :twisted: :smile: :shock: :sad: :roll: :razz: :oops: :o :mrgreen: :lol: :idea: :grin: :evil: :cry: :cool: :arrow: :???: :?: :!:

Adblock detector