Сбор и обработка персональных данных

Разрешение споров

8.1. До обращения в суд с иском по спорам, возникающим из отношений между Пользователем сайта и Администрацией сайта, обязательным является предъявление претензии (письменного предложения о добровольном урегулировании спора).
8.2 .Получатель претензии в течение 30 календарных дней со дня получения претензии, письменно уведомляет заявителя претензии о результатах рассмотрения претензии.
8.3. При не достижении соглашения спор будет передан на рассмотрение в судебный орган в соответствии с действующим законодательством.
8.4. К настоящей Политике конфиденциальности и отношениям между Пользователем и Администрацией сайта применяется действующее законодательство.

Цели сбора персональной информации пользователя

4.1. Персональные данные Пользователя Администрация сайта может использовать в целях:
4.1.1. Идентификации Пользователя, зарегистрированного на сайте, для оформления заказа и (или) заключения Договора.
4.1.2. Предоставления Пользователю доступа к персонализированным ресурсам сайта.
4.1.3. Установления с Пользователем обратной связи, включая направление уведомлений, запросов, касающихся использования сайта, оказания услуг, обработка запросов и заявок от Пользователя.
4.1.4. Определения места нахождения Пользователя для обеспечения безопасности, предотвращения мошенничества.
4.1.5. Подтверждения достоверности и полноты персональных данных, предоставленных Пользователем.
4.1.6. Создания учетной записи для совершения покупок, если Пользователь дал согласие на создание учетной записи.
4.1.7. Уведомления Пользователя сайта о состоянии Заказа.
4.1.8. Обработки и получения платежей, подтверждения налога или налоговых льгот, оспаривания платежа, определения права на получение кредитной линии Пользователем.
4.1.9. Предоставления Пользователю эффективной клиентской и технической поддержки при возникновении проблем связанных с использованием сайта.
4.1.10. Предоставления Пользователю с его согласия, обновлений продукции, специальных предложений, информации о ценах, новостной рассылки и иных сведений от имени сайта или от имени партнеров сайта.
4.1.11. Осуществления рекламной деятельности с согласия Пользователя.
4.1.12. Предоставления доступа Пользователю на сторонние сайты или сервисы партнеров данного сайта с целью получения их предложений, обновлений или услуг.

Кто такой оператор персональных данных и как он уведомляет о себе РКН

Оператор персональных данных (ОПД) – это организация или гражданин,
который обрабатывает персональные данные. Обрабатывает, то есть собирает,
хранит, использует, передает, уничтожает или делает с ними что-то еще, что
написано в п. 3 ст. 3 Закона № 152-ФЗ.

В нормативке по работе с персональными данными нет послаблений для
ИП или самозанятых. Поэтому они должны делать все то же, что и крупные
компании, например, составить кучу регламентов и обеспечить должную защиту
собранных сведений.

До того, как ОПД начнет собирать персональные данные, он обязан
сообщить об этом в РКН (п. 1 ст. 22 Закона № 152-ФЗ). Для этого подает
уведомление на бумаге или через интернет. Схему действий для каждого способа
показали в таблице.

Таблица 1. Как
уведомить Роскомнадзор об обработке персональных данных

Как отправляем
уведомление:

на бумаге

через интернет

· Заполняем уведомление на сайте РКН.

· Распечатываем его в двух экземплярах.

· Подписываем у директора.

· Относим лично или отправляем ценным письмом с
уведомлением о вручении. Отнести или отправить нужно в территориальный орган РКН

· Заполняем уведомление на сайте РКН.

· Подписываем электронной подписью с помощью специального плагина
или через аутентификацию на сайте Госуслуг

В уведомлении, кроме прочего, нужно написать, с какой целью и какие
именно персональные данные собираете. Целью может быть:

авторизация посетителей сайта;
исполнение договора купли-продажи;
отправление пользователю рекламных сообщений по email или
sms.

Вот пример целей от ООО «Авиасейлс Медиа»:

ведение кадрового и бухгалтерского учета;
обеспечение соблюдения трудового и налогового законодательства
РФ;
подготовка, заключение и исполнение
гражданско-правового договора;
продвижение товаров, работ, услуг на рынке;
обеспечение пропускного режима на территорию
оператора;
подбор персонала (соискателей) на вакантные
должности оператора;
исполнение требований и запросов государственных
органов РФ;
обеспечение работы и предоставление доступа к
интернет-сервису и его возможностям пользователям в сети Интернет;
обеспечение защиты программных элементов
интернет-сервиса и данных пользователей от несанкционированного доступа и иного
вмешательства;
обработка обращений пользователей сервиса и иных
частных лиц.

А вот так формулирует цель обработки персональных данных ООО «Компания «М.видео»:

осуществление уставной деятельности оператора;
заключение и исполнение гражданско-правовых и
трудовых договоров;
обязательное раскрытие информации на рынке
ценных бумаг;
раскрытие информации для целей соблюдения
антимонопольного законодательства;
раскрытие информации для целей соблюдения
требований законодательства о противодействии неправомерному использованию
инсайдерской информации и манипулированию рынком;
соблюдение требований налогового
законодательства.

РКН внесет данные о вас в Реестр ОПД
в течение 30 дней после того, как получит уведомление. Но собирать персональные
данные можете сразу после его отправки – не нужно ждать, когда вас зачислят в
Реестр.

Вот еще три момента про Реестр ОПД, о которых важно знать. Первый

Подавайте уведомление даже с опозданием. Если
персональные данные обрабатываете давно, а уведомление в РКН не отправляли, то
скорее сделайте это. За просрочку с подачей не оштрафуют. Но штраф прилетит,
если ведомство само обнаружит вашу оплошность

Первый. Подавайте уведомление даже с опозданием. Если
персональные данные обрабатываете давно, а уведомление в РКН не отправляли, то
скорее сделайте это. За просрочку с подачей не оштрафуют. Но штраф прилетит,
если ведомство само обнаружит вашу оплошность.

Второй. Обновляйте информацию в уведомлении. Когда меняете
что-то из данных в нем, сообщайте об этом в РКН. Делайте это не позднее 15-го
числа месяца, который следует за месяцем изменений (п. 1 ст. 22 Закона №
152-ФЗ). Например, в сентябре в компании поменялся ответственный за обработку
персональных данных. Уведомьте об этом РКН по 15 октября включительно.

Уведомление об изменении сведений составляйте по тем же правилам,
что описали выше. Форму берите с
сайта РКН
и отправляйте ее в бумажном или электронном виде.

Третий. Запросите выписку в РКН. Она пригодится, чтобы подтвердить
дату, с которой вас оформили как оператора, и отбиться от штрафов. Выписку
закажите на сайте РКН.

ОТВЕТСТВЕННОСТЬ СТОРОН

7.1. Администрация сайта, не исполнившая свои обязательства, несёт ответственность за убытки, понесённые Пользователем в связи с неправомерным использованием персональных данных, в соответствии с законодательством Российской Федерации, за исключением случаев, предусмотренных п.п. 5.2., 5.3. и 7.2. настоящей Политики Конфиденциальности.

7.2. В случае утраты или разглашения Конфиденциальной информации Администрация сайта не несёт ответственность, если данная конфиденциальная информация:

7.2.1. Стала публичным достоянием до её утраты или разглашения.

7.2.2. Была получена от третьей стороны до момента её получения Администрацией сайта.

7.2.3. Была разглашена с согласия Пользователя.

Как связаны Закон «О персональных данных» и сайты

Пóмните эти назойливые всплывающие окна на сайтах про cookie, политику
конфиденциальности и прочие штуки? Вот пример того, о чем говорим.

Владельцы сайтов вставляют их не от нечего делать. Так они исполняют
закон «О персональных данных» от 27.07.2006 № 152-ФЗ (далее Закон № 152-ФЗ). Его
цель – защитить личную информацию человека.

Применительно к интернету это означает, что владелец сайта:

собирает о посетителе лишь нужные для своей
работы сведения;
рассказывает посетителю, что именно собирает и
зачем;
не передает личную информацию о посетителе не известно
кому;
по первой же просьбе уничтожает собранные
персональные данные.

А еще это значит, что «хозяину» сайта добавляется куча дополнительной
работы. Например, нужно:

завить о себе в Роскомнадзор (РКН) как об
операторе персональных данных;
сообщить в РКН об утечке персональных данных, если
такое случилось;
составить с десяток политик, положений,
регламентов, инструкций по работе с персональными данными.

Если не сделать такого, прилетят штрафы. Поэтому давайте
разбираться, как исполнить Закон № 152-ФЗ и не схлопотать санкций от РКН.
Начнем с того, что относится к персональным данным.

Как хранить персональные данные клиентов

Для правильного хранения персональных данных выполните четыре
действия.

Первое. Определите и утвердите место хранения. Решите, где
будут накапливаться собранные данные о посетителях сайта и клиентах. Это может
быть локальная компьютерная сеть компании или облачный сервер.

При выборе места учитывайте два момента:

нельзя объединять базы данных, которые
собирались для разных целей. Их нужно хранить отдельно (п. 14 постановления
Правительства от 15.09.2008 № 687);
храните персональные данные в РФ. Это так
называемая локализация из п. 5 ст. 18 Закона № 152-ФЗ,
запрещающая использовать зарубежные серверы. Если воспользуетесь услугами
хостинг-провайдера с центрами обработки данных в другой стране, то РКН
заблокирует сайт и впаяет штраф по ч. 8 или 9 ст. 13.11 КоАП.

Утвердите выбранное место хранения в приказе директора. Ознакомьте с
ним под подпись ответственного за работу с персональными данными. Пример такого
приказа можете посмотреть в нашем шаблоне:

Второе. Если храните персональные данные у третьих лиц,
например, на облачном сервере, возьмите на это согласие у посетителей сайта. Иначе
РКН одарит штрафом все по той же ст. 13.11 КоАП. А там за такое до 150 тыс.
руб.

Вот пример согласия на обработку данных у третьих лиц:

Третье. Следите за сроками хранения. В согласии на обработку
персональных данных вы указывали период, на который берете сведения о посетителях
сайта. Не нарушайте его.

Если срок завершился или цель обработки достигнута, тогда
уничтожайте или обезличивайте собранную информацию (п. 7 ст. 5 Закона № 152-ФЗ).
Про уничтожение расскажем дальше, а про обезличивание – сейчас.

ФИО: Иванова Мария Ивановна;
номер телефона: +7 912 1234567;
email:
IvanovaMI@inbox.ru.

А вот обезличенные сведения – Иванова Мария Ивановна.

Четвертое. Проконтролируйте, чтобы правила хранения
персональных данных были в положении о работе с ними. Выше мы уже говорили про
этот документ.

Если там такого нет, тогда составьте отдельный регламент. Так его и
назовите – Положение о порядке хранения персональных данных. Ознакомьте с ним
под подпись сотрудников, которые работают с персональными данными.

Какова ответственность за нарушение Закона о персональных данных

Ответственность за нарушение Закона № 152-ФЗ может быть
административной, гражданско-правовой и даже уголовной. Разберемся с каждым
видом.

Административная ответственность

Это штрафы по КоАП. Ими накажут, если, например, нарушите правила
обработки персональных данных или не уведомите РКН, когда это требуется.
Санкций тут хоть отбавляй. Смотрите их в таблице.

Таблица 10.
На сколько оштрафуют за нарушение Закона № 152-ФЗ

За что	Кого и на сколько, тыс. руб.	Где про это написано в КоАП
Физлицо (не ИП)	Должностное лицо	ИП	Юрлицо
Обрабатывали персональные данные в незаконных случаях	I*	2–6	10–20	10–20	60–100	Ст. 2.4, п. 1 ст. 13.11
II*	4–12	20–50	50–100	100–300	П. 1.1 ст. 13.11
Обрабатывали персональные данные без письменного согласия владельца	I	6–10	20–40	20–40	30–150	Ст. 2.4, п. 2 ст. 13.11
II	10–20	40–100	100–300	300–500	П. 2.1 ст. 13.11
Не опубликовали политику обработки персональных данных	×	1,5–3	6–12	10–20	30–60	П. 3 ст. 13.11
Не предоставили субъекту персональных данных информацию по его запросу	×	2–4	8–12	20–30	40–80	П. 4 ст. 13.11
Не выполнили в срок требования об уточнении, блокировании или уничтожении персональных данных	I	2–4	8–20	20–40	50–90	П. 5 ст. 13.11
II	20–30	30–50	50–100	300–500	П. 5.1 ст. 13.11
Не выполнили обязанность по обеспечению записи, систематизации, накопления, хранения, уточнения или извлечения персональных данных, которые собрали через интернет	I	30–50	100–200	1 000–6 000	1 000–6 000	П. 8 ст. 13.11
II	50–100	500–800	6 000–18 000	6 000–18 000	П. 9 ст. 13.11
Не предоставили информацию по требованию Роскомнадзора	×	0,1–0,3	0,3–0,5	0,3–0,5	3–5	Ст. 2.4, 19.7
Препятствуете проверке Роскомнадзора или уклоняетесь от нее	×	0,5–1	2–4	2–4	5–10	Ст. 2.4, п. 1 ст. 19.4.1
Помешали Роскомнадзору завершить проверку	I	–	5–10	5–10	20–50	Ст. 2.4, п. 2 ст. 19.4.1
II	–	10–20 или дисквалификация от полугода до года	50–100	Ст. 2.4, п. 3 ст. 19.4.1
Не выполнили в срок предписание Роскомнадзора об устранении нарушений	×	0,3–0,5	1–2 или дисквалификация до 3 лет	10–20	Ст. 2.4, п. 1 ст. 19.5
Примечание: · I – за первое нарушение; · II – за повторное нарушение

Гражданско-правовая ответственность

Здесь не будет такой «портянки» со штрафами, как выше, потому что гражданско-правовая
ответственность индивидуальна. Она наступит, если гражданин докажет в суде, что
понес убытки и моральный вред из-за ОПД (п. 1 ст. 1064 ГК РФ, п. 2 ст. 24
Закона № 152-ФЗ).

Если судья увидит связь между незаконными действиями с персональными
данными, а также ущербом и страданиями гражданина, то обяжет виновного
оператора компенсировать все это деньгами.

Уголовная ответственность

Наказать по УК за неправильную обработку персональных данных тоже
можно. Правда, не прямо, а косвенно.

Например, кто-то собирает или распространяет информацию о частной
жизни гражданина без его согласия. Правоохранители могут подвести это под п. 1
ст. 137 УК. А там за такое широкий спектр санкций – от штрафа в 200 тыс. руб.
до тюрьмы на два года.

А еще законодатели рассматривают вопрос о введении уголовки за
утечку персональных данных, но пока это лишь в планах.

Процесс сбора персональных данных на сайте – это вопрос для серьезной
внутренней проверки. Там только одних форм согласий может быть штуки четыре: на
обработку данных, на сбор информации через cookie, на рекламную рассылку, а еще на
передачу сведений третьим лицам. Но прочекать, все ли нужные «бумажки» у вас
есть, стоит. Зачем подвергать себя риску штрафов от РКН, так ведь?

Предмет политики конфеденциальности

3.1. Настоящая Политика конфиденциальности устанавливает обязательства Администрации сайта по умышленному неразглашению персональных данных, которые Пользователь предоставляет по разнообразным запросам Администрации сайта (например, при регистрации на сайте, оформлении заказа, подписки на уведомления и т.п).
3.2. Персональные данные, разрешённые к обработке в рамках настоящей Политики конфиденциальности, предоставляются Пользователем путём заполнения специальных форм на Сайте и обычно включают в себя следующую информацию:
3.2.1. фамилию, имя, отчество Пользователя;
3.2.2. контактный телефон Пользователя;
3.2.3. адрес электронной почты (e-mail);
3.2.4. место жительство Пользователя и другие данные.
3.3. Администрация сайта также принимает усилия по защите Персональных данных, которые автоматически передаются в процессе посещения страниц сайта: IP адрес; информация из cookies; информация о браузере (или иной программе, которая осуществляет доступ к сайту); время доступа; посещенные адреса страниц; реферер (адрес предыдущей страницы) и т.п.
3.3.1. Отключение cookies может повлечь невозможность доступа к сайту.
3.3.2. Сайт осуществляет сбор статистики об IP-адресах своих посетителей. Данная информация используется с целью выявления и решения технических проблем, для контроля корректности проводимых операций.
3.4. Любая иная персональная информация неоговоренная выше (история покупок, используемые браузеры и операционные системы и т.д.) не подлежит умышленному разглашению, за исключением случаев, предусмотренных в п.п. 5.2. и 5.3. настоящей Политики конфиденциальности.

Как правильно уничтожить персональные данные

ОПД уничтожает
персональные данные в четырех случаях. Обобщили их в таблице.

Таблица 8.
Когда нужно уничтожить персональные данные

В каком случае	В какой срок	Где про это в Законе № 152-ФЗ
По требованию гражданина, в любом из двух случаев: · ОПД получил данные незаконно. Например, купил базу с ними на черном рынке; · для заявленной цели обработки часть данных лишняя. Например, пиццерия запрашивает скан паспорта для интернет-заказа	7 рабочих дней с даты получения требования	П. 1 ст. 14, п. 3 ст. 20
ОПД установил, что неправомерно обрабатывает данные. Например, данные остались в базе после окончания срока их обработки	10 рабочих дней с даты выявления неправомерной обработки	П. 3 ст. 21
ОПД достиг цели обработки. Например, выполнил заказ, под который брал данные*	30 дней с даты достижения цели обработки	П. 4 ст. 21
Гражданин отозвал согласие на обработку данных*	30 дней с даты поступления отзыва, если для целей обработки данные не нужно сохранять	П. 5 ст. 21
Примечание: * в отмеченных случаях ОПД вправе не уничтожать данные, если: · договорится об этом с гражданином. Например, отправит ему уведомление о сохранении данных в базе по завершении конкурса, под который эти данные собирались, а гражданин даст на это согласие; · ОПД не нужно согласие на обработку данных. Например, адрес клиента запрашивается для исполнения договора купли-продажи

Уничтожение данных проходит в три этапа.

Первый. Удалите персональные данные из информационной системы
так, чтобы их нельзя было восстановить. Например, одновременно очистите
«Корзину» на ПК или удалите резервную копию с данными.

Удалить может ответственный за обработку персональных данных или
комиссия из него и других работников. Однако комиссия не обязательна.

Второй. Составьте акт об уничтожении. Включите в него десять
обязательных пунктов (п. 3 приказа Роскомнадзора от 28.10.2022 № 179):

наименование и адрес ОПД;
наименование и адрес того, кто обрабатывает
персональные данные по поручению ОПД, если есть такое поручение;
ФИО тех, чьи персональные данные уничтожаются;
ФИО, должности, подписи тех, кто уничтожил
данные;
перечень уничтоженных данных;
наименование уничтоженного материального
носителя и количество листов в нем, если данные были на бумаге;
наименование информационной системы, из которой
были уничтожены данные;
способ уничтожения;
причина уничтожения;
дата уничтожения.

Третий. Сделайте выгрузку из журнала регистрации событий в
информационной системе, где хранились уничтоженные персональные данные. В
выгрузке должны быть пять пунктов (п. 5 приказа Роскомнадзора от 28.10.2022 №
179):

ФИО тех, чьи персональные данные уничтожаются;
перечень уничтоженных данных;
наименование информационной системы, из которой
были уничтожены данные;
причина уничтожения;
дата уничтожения.

Если информация система не формирует выгрузку со всеми этими
параметрами – не страшно. Тогда они будут взяты из акта. Акт и выгрузку храните
три года с даты уничтожения данных (п. 6, 8 приказа Роскомнадзора от 28.10.2022
№ 179).

Как передавать персональные данные, в том числе трансгранично

Передача персональных данных происходит, когда они «выходят» за
пределы вашей компании. Вот парочка примеров:

заказы доставляют курьеры из сторонней фирмы, и
для этого вы отдаете им адреса и ФИО ваших заказчиков;
вы подключили на сайт Google Analytics или собираете анкеты от клиентов
через Google Forms.

Если персональные данные передаются по РФ, то тут все просто. Нужно
лишь получить еще одно согласие от клиента. Вот его примерная форма:

А если передача идет за рубеж, то дополнительно придется уведомлять РКН.
Причем иногда еще и проверять, насколько хорошо иностранное государство
защищает права субъектов персональных данных (п. 3, пп. 2 п. 5 ст. 12 Закона №
152-ФЗ). Это такой подарок от чиновников с 01.03.2023 из постановления
Правительства РФ от 16.01.2023 № 24. Подробности смотрите в таблице.

Таблица 7.
Как соблюсти Закон № 152-ФЗ при трансграничной передаче персональных данных

Что нужно сделать	В какую страну передаете сведения:
с адекватной защитой персональных данных*	в прочие государства
· Получить согласие от клиентов на передачу персональных данных. · Узнать у принимающей стороны, как будут защищаться данные и когда их обработка прекратится	+	+
· Уведомить РКН о трансграничной передаче персональных данных. Передачу можно начать, не дожидаясь ответа от РКН	+
· Оценить уровень защиты данных в стране, куда передаются данные. · Уведомить РКН о трансграничной передаче персональных данных. · В течение 10 рабочих дней ждать ответ от РКН. В ответе могут прийти разрешение, запрет или запрос дополнительных сведений. В случае запрета передавать данные нельзя		+
Примечание: * это страны из приказа РКН от 05.08.2022 № 128

Давайте разберемся, как:

подать уведомление в РКН;
оценить уровень защиты в «неадекватной» стране.

Как подать уведомление о трансграничной передаче в РКН

Образец уведомления о трансграничной передаче смотрите на сайте РКН.
Там же
его можно отправить, предварительно пройдя аутентификацию на Госуслугах.

Если РКН найдет ошибки в присланном уведомлении, то попросит
уточнить сведения. С уточнениями нужно уложиться в пять рабочих дней (п. 7, 8 Правил
из постановления Правительства от 16.01.2023 № 24).

Как оценить уровень защиты персональных данных в «неадекватной» стране

В нормативке не написано, как это делать. Поэтому придется
изворачиваться самим.

Эксперты советуют запросить нужные сведения напрямую у иностранного
контрагента. Узнайте у него, что делает он сам и его государство, чтобы
обеспечить надежную защиту персональных данных. Вероятно, РКН устроит такой
уровень защиты, который не ниже, чем в РФ.

Вот несколько нюансов про запрос у контрагента:

запрос и ответ на него оформляются в свободной
форме – требований к ним нет. Поэтому если ответ придет на иностранном языке,
переводить для чиновников на русский не обязательно;
контрагент может не ответить, тогда придется
искать другие способы. Например, изучать законы страны в сфере защиты
персональных данных;
ни запрос, ни ответ не прикладываются к
уведомлению о трансграничной передаче. Там есть только дата окончания
проведения оценки. Она должна совпадать с датой отчета о проверке защиты
персональных данных. Составляйте его на основании ответа контрагента или
исследований зарубежной нормативки.

ОБЯЗАТЕЛЬСТВА СТОРОН

6.1. Пользователь обязан:

6.1.1. Предоставить информацию о персональных данных, необходимую для пользования Сайтом веб-студии.

6.1.2. Обновить, дополнить предоставленную информацию о персональных данных в случае изменения данной информации.

6.2. Администрация сайта обязана:

6.2.1. Использовать полученную информацию исключительно для целей, указанных в п. 4 настоящей Политики конфиденциальности.

6.2.2. Обеспечить хранение конфиденциальной информации в тайне, не разглашать без предварительного письменного разрешения Пользователя, а также не осуществлять продажу, обмен, опубликование, либо разглашение иными возможными способами переданных персональных данных Пользователя, за исключением п.п. 5.2. и 5.3. настоящей Политики Конфиденциальности.

6.2.3

Принимать меры предосторожности для защиты конфиденциальности персональных данных Пользователя согласно порядку, обычно используемого для защиты такого рода информации в существующем деловом обороте

6.2.4. Осуществить блокирование персональных данных, относящихся к соответствующему Пользователю, с момента обращения или запроса Пользователя или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных на период проверки, в случае выявления недостоверных персональных данных или неправомерных действий.