Памятка по работе с персональными данными
Что такое персональные данные?
Персональные данные - любая информация, относящаяся к прямо или косвенно к определенному или определяемому физическому лицу (далее - субъект персональных данных).
Контактные данные и реквизиты юридического лица, а также иные сведения, по которым можно его определить, не подпадают под понятие персональных данных.
Какие сведения относятся в персональным данным?
Фамилия, имя, отчество, год, месяц, дата рождения, место рождения, адрес, семейное положение, социальное положение, имущественное положение, образование, профессия, доходы, другая информация, относящаяся к субъекту персональных данных.
Различные идентификаторы личности (номер паспорта, СНИЛС, ИНН, номер водительского удостоверения, реквизиты банковской карты, IP-адрес, адрес электронной почты, номер телефона) и т.д.
Чем регулируются правоотношения в области защиты персональных данных?
152-ФЗ от 27.07.2006 «О персональных данных»
Что понимается под обработкой персональных данных?
Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Какие способы обработки персональных данных существуют?
- автоматизированная обработка персональных данных – любая обработка персональных данных с использованием средств вычислительной техники;
- обработка персональных данных, без использования средств автоматизации (на бумажном носителе).
Чем отличается распространение ПДн от предоставления ПДн?
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц. В таком случае, Поручение Оператора (договор) содержат требования по соблюдению конфиденциальности дальнейшей обработки персональных данных третьими лицами.
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц (в сети Интернет, при публикации таких данных в СМИ или в социальных сетях). Доступность персональных данных неопределенному кругу лиц означает утрату контроля над дальнейшим использованием таких данных, что определенно затрагивает права субъектов персональных данных и в ряде случаев может их нарушать.
Что такое обезличивание персональных данных?
Под обезличиванием персональных данных понимается один из способов обработки персональных данных, в результате которого становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.
- метод введения идентификаторов, т.е. замена части сведений персональных данных идентификаторами и создание таблицы соответствия идентификатора исходным данным;
- метод изменения состава – обобщение персональных данных (рекомендуется при заполнении отчетов в разделе обращения граждан).
Что является основанием для легитимности обработки персональных данных?
Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
В каких случаях Не требуется Согласие на обработку персональных данных
- исполнение законодательства (функций, полномочий и обязанностей), международных договоров РФ, решений суда;
- персональные данные общедоступны и подлежат обязательному раскрытию (8-ФЗ от 09.02.2009 «Об обеспечении доступа к информации о деятельности государственных органов и органов местного самоуправления»;
- предоставление государственных и муниципальных услуг;
- для осуществления законной деятельности журналиста или СМИ;
- в статистических целях, когда персональные данные обезличены;
- при исполнении договоров, государственных контрактов;
- защиты жизни и здоровья, если согласие получить невозможно.
Особенности обработки персональных данных при проведении фото и видеосъемки
Определяет Статья 152.1. Охрана изображения гражданина Гражданского Кодекса Российской Федерации, где говорится, что обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина.
Такое согласие не требуется в случаях, когда:
1) использование изображения осуществляется в государственных, общественных или иных публичных интересах;
2) изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования;
3) гражданин позировал за плату.
Какие формы согласий на обработку персональных данных существуют
- Согласие на обработку персональных данных
- Согласие на передачу 3-им лицам (может быть объединено с Согласием на обработку персональных данных)
- Согласие на обработку персональных данных, разрешенных для распространения (оформляется отдельно от иных согласий и по содержанию должно соответствовать Приказу Роскомнадзора от 24.02.2021 № 18).
- Согласие на трансграничную передачу персональных данных (за пределы Российской Федерации)
Где взять формы Согласий на обработку персональных данных
В приложении к данной Памятке приводятся типовые формы согласий, которые являются примерными (обобщенными) и в каждом конкретном случае заполняются исходя из цели обработки, категорий обрабатываемых персональных данных, действий и способов обработки и т.д.
- Типовая форма согласия на обработку персональных данных субъектов персональных данных
- Типовая форма согласия на передачу персональных данных субъекта персональных данных третьему лицу
- Типовая форма согласия на обработку персональных данных субъекта персональных данных, разрешенных для распространения
Какая ответственность предусмотрена за виновные действия, нарушающие требования 152-ФЗ?
Дисциплинарная, гражданская, административная, уголовная
Обязанность предоставить доказательства законности обработки ПДн и последующего распространения лежит на каждом лице, осуществившем их распространение или иную обработку.
Рекомендации
-
Не допускать обработку персональных данных граждан без получения Согласия на обработку персональных данных за исключением случаев, установленных законодательством Российской Федерации, когда такое согласие не требуется.
-
Сотрудник обязан соблюдать конфиденциальность персональных данных, обеспечивать сохранность персональных данных при их обработке. Обрабатывать только те персональные данные, к которым получен доступ в силу исполнения должностных обязанностей.
-
Запрещается использовать сведения, содержащие персональные данные, в неслужебных целях. Запрещается снимать копии с документов и других носителей информации, содержащих персональные данные, без служебной необходимости.
-
В случае публикации в сети Интернет персональных данных граждан необходимо брать отдельное Согласие на обработку персональных данных, разрешенных для распространения.
-
При подготовке отчетов депутатов для публикации в сети Интернет на сайте рекомендуется обезличивать персональные данные субъектов персональных данных и представлять их в виде статистических данных, если не получено Согласие на распространение таких персональных данных.
-
Не пересылать персональные данные по незащищенным каналам связи в открытом виде (электронной почте, мессенджерам).
-
Не выкладывать персональные данные в облачные сервисы (Яндекс Диск, Облако Mail.ru, Google Диск и др.)
-
Не создавать формы анкет (опросов), где могут обрабатываться персональные данные в сети Интернет с помощью Яндекс Форм, Google Форм и иные.
-
Передавать персональные данные на бумажном носителе в запечатанном конверте, исключающем несанкционированный просмотр сведений посторонними лицами, из рук в руки. Персональные данные в электронном виде передавать только на учтенных съемных машинных носителях информации.
-
Исключать несанкционированный доступ посторонних лиц в помещения, где обрабатываются и хранятся персональные данные. В случае ухода ответственных сотрудников помещения должны закрываться на ключ.
-
Не оставлять без присмотра документы, содержащие персональные данные на столе в рабочее время, по окончании рабочего дня убирать их в надежно запираемые на ключ хранилища (тумбочки, шкафы).
-
При обработке персональных данных в составе информационной системы мониторы рабочих станций должны быть повернуты задней стороной к дверям и окнам, либо должны использоваться шторы, жалюзи или другие средства для пресечения несанкционированного просмотра содержимого, отображаемого на мониторах.
-
Лицо, получившее доступ к персональным данным, обязано не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта.
-
При достижении цели обработки персональных данных или истечения сроков хранения персональные данные необходимо уничтожить путем измельчения бумагорезательных машин (шредера).
Приложения
ТИПОВАЯ ФОРМА СОГЛАСИЯ на обработку персональных данных субъекта персональных данных
ТИПОВАЯ ФОРМА СОГЛАСИЯ на передачу персональных данных субъекта персональных данных третьему лицу