Безопасность и ответственность в вопросе хранения персональных данных: оформляем документы
В современном деловом мире правильное оформление и хранение персональных данных становится неотъемлемой частью успешной деятельности любой компании или индивидуального предпринимателя. В этой статье мы расскажем о ключевых этапах и правилах оформления хранения персональных данных, а также о том, как правильно подготовиться к выполнению этих обязательств.
ШАГ 1
ПОДАЕМ УВЕДОМЛЕНИЕ В РОСКОМНАДЗОР
Важно, оператором персональных данных может являться не только юридическое лицо или индивидуальный предприниматель, но также самозанятый и физическое лицо. Проверить, подано уведомление или нет, можно через сайт Роскомнадзора по ИНН.
Способы оформления и направления уведомления:
- заполнив форму на бумаге и направив её в адрес Роскомнадзора;
- заполнив форму на сайте Роскомнадзора и направить с использованием электронной цифровой подписи;
- через портал Госуслуг.
Штрафы за неисполнение – для граждан в размере от 5 000 до 10 000 руб., на должностных лиц от 30 000 до 50 000 руб., на юридических лиц от 100 000 до 300 000 руб. Одним штрафом дело может не ограничиться.
Отвечаем на вопросы, которые чаще всего вызывают сложности при заполнении уведомления:
Как выбрать цели обработки, какие данные необходимо вносить?
Цель необходимо выбирать именно ту, для которой Вы действительно эти данные собираете, не нужно выдумывать. Задайте себе вопрос - для чего мне это, сформулируйте ответ и найдите соответствующий пункт в форме уведомления. Если нужного пункта нет, то тогда выбираем строчку «иные» и самостоятельно указываем свою цель.
Кто является ответственным за защиту персональных данных?
Ответственным назначается любой штатный сотрудник, а если в штате один за всех, то он единственный и будет ответственным, будь то директор общества (приказ все равно нужен), ИП, самозанятый или физическое лицо.
Как определить местонахождение центра обработки данных – ЦОД?
Если храните все на своем компьютере, НЕ В ОБЛАКЕ, указываем адрес расположения компьютера. Если храним в облаке – адрес фактического расположения сервера, но важно чтобы такое хранилище было зарегистрировано на территории Российской Федерации. Если на сторонних серверах – фактический адрес используемого сервера. Но здесь есть нюанс. Важно обратить внимание на правильность оформления договорных отношений на использование сервера, чтобы обозначить тонкую грань между хранением и передачей.
В каких случаях изображение является биометрическими данными?
Биометрическими данными являются изображения, с использованием которых возможно идентифицировать личность, например, если для работы с фотографией применяются специализированные технологии, математические шаблоны для распознавания лица и другие. Художественные фотографии не являются биометрическими персональными данными.
ШАГ 2
РАЗРАБАТЫВАЕМ ЛНА ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
Это не право, а обязанность каждого оператора!
- политика оператора в отношении обработки персональных данных
- положение об обработке и защите персональных данных
- должностная инструкция, лица ответственного за организацию обработки персональных данных
- приказ назначения лица ответственного за организацию обработки персональных данных
- перечень работников, осуществляющих обработку персональных данных
- должностная инструкция работников, обрабатывающих персональные данные
- приказ об утверждении мест хранения персональных данных
- соглашение о неразглашении персональных данных
- согласие субъектов на обработку персональных данных
- акты уничтожения информации, содержащей персональные данные
- договор с третьими лицами, которым оператор поручает обработку персональных данных или которым передает персональные данные.
Важно отметить, что указанный список не является исчерпывающим и подлежит дополнению в каждом случае индивидуально. Оператор персональных данных обязан разместить политику оператора в отношении обработки персональных данных в общедоступном месте на бумаге, а в случае осуществления сбора персональных данных с использованием сайта – на сайте.
Согласие Вашего клиента, то есть субъекта, на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. А это значит, что упоминание: «При нажатии Вы даете согласие на обработку персональных данных», не являются согласием, полученным в рамках норм действующего законодательства. Согласие на обработку персональных данных собираемых посредством куков предоставляется отдельно.
ШАГ 3
ФАКТИЧЕСКИЕ МЕРЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
Помимо вышеперечисленных мер, оператор обязан обеспечить меры защиты персональных данных, исходя из типа актуальных угроз безопасности персональных данных, указанные типы угроз регламентированы Постановлением Правительства.
Также при обработке и хранении персональных данных автоматизированным способом необходимо предусмотреть дополнительные меры защиты от несанкционированного доступа, такие как установка антивирусного программного обеспечения, паролей для входа в компьютер и др.
Сроки хранения персональных данных должны быть точно определены и обоснованы, не допускается установление срока хранения персональных данных таких как бессрочно, исключительно до отзыва согласия субъектом, установленные наобум, к примеру 70 или 80 лет.
По окончанию срока хранения персональных данных, они должны быть уничтожены. Ответственность за уничтожение персональных данных несет непосредственно сам оператор. Если оператор обратился в стороннюю организацию для уничтожения персональных данных и даже заключил с ней договор, это не снимает с него ответственности за утечку персональных данных. В таких случаях оператору необходимо произвести полный контроль уничтожения документов, файлов, содержащих персональные данные. Помимо фактического уничтожения персональных данных, необходимо надлежащим образом оформить документы, сопутствующие такому уничтожению.
ДУМАЙТЕ САМИ!
Обеспечение правильного порядка хранения персональных данных — это не только требование закона, но и залог доверия Ваших клиентов и стабильности Вашего бизнеса. Не рискуйте штрафами, репутационными потерями или возможной уголовной ответственностью — доверьте этот важный вопрос профессионалам.
Член Ассоциации юристов России, директор юридической компании «ОВВИ-Либра», Иноземцева Ольга Юрьевна
Тел. +7 (952) 518-72-27; +7 (902) 614 62-86
