Что важно знать бизнесу о персональных данных

В связи с многократным увеличением штрафов в области обработки персданных, рассказываем какие шаги необходимо предпринять, чтобы не нарваться на штрафы.

Персональные данные — это любая информация о физлице, позволяющая прямо или косвенно можно его идентифицировать. К ним относятся сведения от ФИО, паспортных данных, дате и месте рождения, контактной информации до биометрических данных. Каждая компания рано или поздно сталкивается с необходимостью использования персданных (например, при найме сотрудников или заключении контрактов с партнерами), в результате чего она становится оператором персональных данных и может самостоятельно или с привлечением третьих лиц организовывать и обрабатывать персданнные, а также определять состав, действия и цели обработки, совершаемые с ними.

Статус оператора персональных данных регулирует закон 152-ФЗ «О персональных данных».

1. Определить цели обработки персданных. Важно четко определить, зачем именно собираются и обрабатываются персональные данные. Это может включать предоставление услуг, заключение контрактов, уведомление о новостях и прочее. Цели должны быть законными, конкретными и заранее определёнными.
2. Определить состав обрабатываемых персданных. Необходимо установить, какие именно данные нужны для достижения поставленных целей. Объем данных должен быть минимально необходимым и соответствовать заявленным целям обработки.
3. Получить согласие субъектов персданных (в большинстве случаев). Согласие представляет собой добровольное, информированное и четкое выражение желания субъекта на обработку его персональных данных.
   Существуют исключения, когда согласие не требуется (ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 закона 152-ФЗ).
4. Обеспечить безопасность персданных. Необходимо разработать и внедрить меры по защите персональных данных от несанкционированного доступа, уничтожения, изменения или раскрытия. Это может включать как технические, так и организационные меры безопасности, такие как шифрование данных, контроль доступа, регулярные аудиты и обучение сотрудников.
5. Уведомить Роскомнадзор об обработке персданных. Оператор должен направить уведомление в Роскомнадзор, содержащее сведения об операторе, целях обработки, категориях субъектов и данных, а также о мерах по обеспечению безопасности персданных.

   Существуют исключения, когда уведомление не требуется (ч.2 ст. 22 закона 152-ФЗ). Если вы не успели подать уведомление до 30 мая, сделайте это как можно скорее, чтобы избежать значительных штрафов.

   Штраф за отсутствие уведомления: для ИП и должностных лиц — до 50 000 руб., для юр. лиц — до 300 000 руб.

6. Разработать и внедрить внутренние документы, регламентирующие обработку персданных. Это должно включать в себя политику и регламент обработки данных, положения о защите персональных данных, правила обустройства рабочих мест и оценки рисков для субъектов данных, соглашение о конфиденциальности, а также инструкции для сотрудников, отвечающих за обработку персональных данных и другие необходимые документы. Главное, чтобы все сотрудники были ознакомлены с этими документами и строго соблюдали их требования.

   Штрафы за отсутствие политики и согласий в отношении обработки персональных данных: для ИП и должностных лиц — до 300 000 руб., для юр. лиц — до 1 000 000 руб.

7. Назначить ответственного за организацию обработки персданных. Этот сотрудник должен иметь соответствующие знания и навыки в сфере защиты персональных данных, а также контролировать выполнение требований законодательства.
8. Проводить регулярный аудит системы защиты персональных данных. Необходимо периодически оценивать эффективность применяемых мер по охране персональных данных и вносить корректировки при необходимости.