Принципы обработки персональных данных

Правила обработки и защиты персональных данных в федеральном законе 152-ФЗ – Институт Профессионального Кадровика

Принципы обработки персональных данных
16 октября

2019

#CNT# data-template-html-inactive=В избранное #CNT#>

Закон о персональных данных включил в обязанности Роскомнадзора наблюдение за защитой конфиденциальной информации.  В 2020 году ужесточилась ответственность за обработку ПД, введены новые требования и правила, определен  регламент проведения проверок.

Чтобы не допустить ошибок и штрафов, необходимо знать законодательство в области обработки и защиты персональных данных.

Наш онлайн-курс сэкономит ваше время на изучении нормативных актов, поможет  грамотно организовать работу с личными сведениями работников. Учитывая последние требования No152 ФЗ «О персональных данных» с изменениями, вы успешно пройдете проверку Роскомнадзора.

Главные тезисы процесса обработки  по № 152- ФЗ «О персональных данных» — законность и справедливость. Регламент жестко требует    соответствия целей  характеру обрабатываемых данных:

  1. Заранее определите конечные задачи обработки ПДн, совпадающие с законодательными установками. Все действия с личными сведениями прекращаются по достижении намеченного результата. Если обработка персональной информации противоречит или не совпадает с целью сбора данных — она незаконна.
  2. Если обрабатываются разнородные массивы сведений с разными задачами, их интеграция недопустима.
  3. Непозволительно собирать чрезмерное количество персданных относительно задекларированной цели. Важно соблюдать соразмерность сути и объема ПД в сравнении с объявленным результатом.  

Необходимо соблюдение точности — закон 152-ФЗ указывает, что количество сведений должно быть достаточным для работы. Требование актуальности ПДн относительно цели соблюдайте при необходимости.

Если по форме ПДн можно установить субъекта, закон требует хранить такие сведения не дольше, чем требуется для получения результата их обработки. Это условие устанавливается, если отдельным законом, договором, в котором владелец ПД  поручитель, выгодоприобретатель или сторона не определено другое время хранения.

Важно!Когда результат обработки конфиденциальных сведений о субъекте достигнут или потребность в дальнейших операциях отпала, искомые сведения уничтожают или обезличивают.

Статья, устанавливающая принципы обработки – ст. 5 закона 152-ФЗ о персональных сведениях.

В федеральном законе они определены в ст. 10-11 — специальные или биометрические, перечисляются разновидности конфиденциальных сведений. Выделяют специальные категории, среди которых — затрагивающие расу, национальность, политические, религиозные, философские принципы, здоровье, интимную жизнь.

Закон устанавливает порядок защиты персональных данных, относящихся к специальным — их обработка запрещена.  Даны исключения — перечень ситуаций, позволяющих совершать установленные действия с этими ПДн. Он исчерпывающий, не подлежит расширению. По устранению причин, приведших к необходимости обработки спецданных, операции с ними надлежит оперативно прекратить.

В ст. 11 законодатель дает понятие биометрических сведений — совокупности физиологических и биологических признаках субъекта, позволяющих  его идентифицировать.  Право на обработку персональных данных этой категории оператор получает при имеющемся у него разрешении владельца ПД (согласие на обработку). Часть 2 статьи комментирует разрешение использования биометрии без позволения владельца.

Глава 3 Закона о персональных данных 152-ФЗ дает расширенное толкование прав субъекта.  В статьях 14 -17 рассматриваются права на:

  • беспрепятственный допуск к личной информации;
  • согласие субъекта на использование его личных сведений в рекламных и прочих целях;
  • защиту от принятия юридически важных для персоны решений, основанных на личной информации, прошедшей обработку в ИСПДН;
  • возможность воспрепятствования таким решениям;
  • обжалование в суде незаконных действий или бездействия оператора ПД.  

О том, какую информацию разрешено открыть  субъекту персональных данных,  закон 152-фз говорит далее:

  • подтверждение того, что оператор обрабатывает его ПД;
  • доказательства необходимости обработки (основания и цели);
  • методы, механизмы обработки; перечень работников, имеющих допуск к персданным субъекта;
  • полный список обрабатываемых ПДн, источники их получения;
  • сколько времени будут обрабатываться и храниться данные;
  • как субъект сможет реализовать свои права в области ПД;
  • о передаче личной информации за рубеж;
  • информация о лицах, которые проводят обработку по поручению оператора.
Важно!Если окажется, что персональные данные неполные, некорректные или избыточные/полученные с нарушением закона, владелец вправе требовать их коррекции, блокировки или уничтожения.

Принятые при сборе информации о субъекте меры должны быть достаточны для реализации требований федерального закона о персональных данных. Закон разрешает оператору самостоятельно выбирать, устанавливать способы охраны персональных сведений. Оператор вправе:

  • назначать ответственных лиц;
  • разрабатывать, издавать специальные локальные акты;
  • применять механизмы (правовые, технические, организационные), обеспечивающие безопасность ПД;
  • проводить внутренние проверки на предмет соответствия порядка обработки конфиденциальных данных федеральному закону 152-ФЗ, другим нормативным (локальным) требованиям;
  • оценивать потенциальный вред при нарушениях, соотносить его с осуществляемыми мерами безопасности;
  • обучать (знакомить) своих сотрудников с нормами защиты и обработки персональных данных— федеральными, локальными, другими.

Определена обязанность оператора по открытости и доступности информации, о том, какие требования защиты конфиденциальности он выполняет, о проводимой им политики в области обработки ПД.

Важно!Как оператор обеспечивает сохранность конфиденциальных сведений при их обработке по федеральному закону о персональных данных 152 ФЗ:

  • определяет угрозы безопасности ПД на основании методик, разработанных уполномоченными органами госвласти;
  • соблюдает регламентированные Правительством степени защиты персданных, для этого применяет меры различного характера, обеспечивающие сохранение ПД при обработке в ИС в соответствии с нормотребованиями;
  • применяет средства защиты, прошедшие процедуру соответствия;
  • оценивает эффективность методов обеспечения безопасности до введения в эксплуатацию ИСПДн;
  • ведет учет съемных / встроенных носителей ПД;
  • принимает незамедлительные меры при выявлении несанкционированного доступа к ПД;
  • восстанавливает испорченные после несанкционированного доступа данные;
  • вводит регистрацию и учет всех манипуляций с ПД в ИСПДн, разрабатывает, утверждает правила допуска к системе;
  • контролирует меры безопасности, степени защищенности систем персональных данных.

Федеральный закон 152 определяет порядок действий оператора  персональных данных в следующих ситуациях:

  • если субъект обращается к нему непосредственно, либо в виде запроса от владельца ПД / его представителя – ст.20;
  • в каких ситуациях производятся  уточнение  или блокирование (уничтожение) личных сведений, прекращение обработки и в какие сроки – ст.21.  

Ст. 22 формулирует права и обязанности оператора по извещению Роскомнадзора о начале обработки персональных данных для осуществления учета. Определяет порядок направления уведомления, содержание уведомления, а также случаи, при которых его не требуется направлять.

Обязанности ответственного за обработку ПД на предприятии, порядок его назначения оператором определен статьей 22.1.

Глава 5 Закона посвящена порядку госконтроля за обработкой персданных. В ней подробно перечислены права, обязанности и общая деятельность Роскомнадзора в сфере обработки и защиты персональных данных и их субъектов. Законом No152-ФЗ также регламентирована ответственность за его неисполнение или нарушения.

Уважаемые читатели! Мы постарались понятным языком донести до вас, что такое обработка ПДн по 152-ФЗ. Понимаем, что в рамках статьи не получится разъяснить все нюансы законодательства. Поэтому приглашаем вас записаться на онлайн-курс, в котором ведущие эксперты Валентина Митрофанова и Мария Финатова внятно и доходчиво расскажут, как правильно обрабатывать ПД, как избежать рисков при их обработке.

Источник: https://profkadrovik.ru/articles/working-conditions/requirements-no-152-fz-on-the-procedure-for-processing-of-personal-data-in-organisations/

Принципы обработки персональных данных, принципы и условия обработки ПНд

Принципы обработки персональных данных

25 октября 2019 Персональные данные

Ранее наши коллеги из компании «ИТ-ГРАД» уже рассказали, что такое персональные данные (ПНд). Теперь пришло время обсудить требования, предъявляемые законом к обработке ПДн.

О чем говорит закон

Здесь сразу стоит обратить внимание на принципы обработки ПДн, введенные в статьях 5 и 6 закона «О персональных данных»[1]. Рассмотрим наиболее значимые пункты:

  • обработка ПДн должна проводиться на законной и справедливой основе, то есть для каждого случая обработки персональных данных должно быть законное основание, или нормы, прямо предусмотренные законодательством, или согласие субъекта ПДн;
  • закон требует ограничивать обработку ПДн конкретными, заранее определенными и законными целями, при этом нельзя обрабатывать данные в целях, которые не были заявлены при сборе;

Автомобилистам известной сети заправок предложили заполнить анкеты, чтобы оформить дисконтную карту. Позже автомобилисты получили предложение от банка на аккредитацию и размещение средств. Хотя в анкете не говорилось о том, что банк обратится к клиенту с предложением услуг, в нарушение 15 статьи закона «О персональных данных» и 18 статьи закона «О рекламе». Поскольку ни один из субъектов не давал согласия на это! Можно считать классическим примером обработки ПДн, несовместимой с целями, заявленными при их сборе.

  • состав и объем обрабатываемых персональных данных должен соответствовать цели их обработки. Отклонение от указанных требований является нарушением;

Кадровый орган хранит персональные данные сотрудников, включая копии свидетельства о рождении детей, как того требует фонд социального страхования (ФСС), когда предоставляется отпуск по уходу за ребенком, и свидетельства о браке – это нужно для того, чтобы подтвердить социальный статус работника. В этих документах присутствует графа «национальность родителей», «национальность брачующихся». Она заполняется по желанию, но эти сведения относятся к специальной категории персональных данных, требующих согласия на обработку, и наличие такой копии в электронном виде в личном деле работника – два административных правонарушения: обработка ПДн специальной категории без согласия в письменной форме и незаконная обработка персональных данных, поскольку сведения о национальности для достижения целей, предусмотренных 86 статьей Трудового кодекса, работодателю совсем не нужны.

  • следующий принцип обработки – точность, достаточность и актуальность обрабатываемых данных. Если данные являются неточными, неактуальными, незаконно полученными или не соответствуют цели обработки, закон требует от оператора ПДн либо уточнить эти данные, либо уничтожить. Во многих случаях это оказывает влияние на решение, принимаемое в отношении субъектов ПДн, и затрагивает их законные права;
  • Последний принцип, на котором надо остановиться, закон разрешает хранить ПДн только до того момента, когда будет достигнута цель обработки или минует надобность для достижения этой цели. После этого данные должны быть уничтожены или обезличены.

Условия обработки персональных данных

Следующий важный момент касается условий обработки персональных данных. Для лучшего понимания мы подготовили перечень, который позволит определить, насколько законной является обработка ПДн.

  • наличие согласия субъекта ПДн. Помните, что наличие согласия субъекта персональных данных – это всегда правильно и хорошо. Причем оно должно быть сознательным, информированным и конкретным. В некоторых случаях одного согласия может быть недостаточно, в дополнение требуется определить цель, которая будет достигаться, и действия, которые будут выполняться с ПДн;
  • обработка ПДн допускается, если это предусмотрено в международном договоре или законе. Это особенно важно понимать, поскольку в России существует масса законов, прямо предписывающих организацию обработки ПДн, начиная от Трудового кодекса, закона «О связи», заканчивая законами «О кредитных историях», «О банках и банковской деятельности»;
  • наличие договора, в котором субъект ПДн выступает выгодоприобретателем/поручителем, или наличие инициативы субъекта заключить такой договор. Предположим, человек ищет работу и отправляет свое резюме или анкету в компанию. В этом случае получать согласие от соискателя на вакантную должность не требуется, поскольку, предоставив резюме, человек выражает стремление заключить трудовой договор и тем самым дает согласие на обработку ПДн. Однако в последнее время Роскомнадзор поясняет что, если сбор резюме производится через веб-сайт, это требует получения от субъекта согласия на обработку ПДн;
  • без согласия могут обрабатываться ПДн, полученные из общедоступных источников, которые подлежат опубликованию или обязательному раскрытию. Несмотря на кажущуюся простоту и очевидность рассматриваемого вопроса, подходить к этому пункту стоит с особой осторожностью. Дело в том, что было несколько громких дел, когда решение верховного и арбитражного судов сводилось к тому, что без согласия доказываемого субъекта ПДн данные, размещенные на общедоступном источнике для неограниченного доступа пользователей, было запрещено обрабатывать. С этим можно соглашаться или не соглашаться, но решение суда для ряда конкретных случаев вступило в законную силу.

Согласие субъекта – тонкости и особенности

Важно понимать, что согласие субъекта дается свободно, своей волей и в своем интересе. Согласие должно быть конкретным, информированным, сознательным и полученным в любой доказанной форме, если иное не установлено федеральным законом.

Но и здесь не обходится без нюансов.

Как показывает практика, наиболее частым способом выражения согласия являются конклюдетные действия[2], когда, к примеру, посетитель предоставляет паспорт на ресепшен и с документом производят какие-либо действия: ксерокопируют, сканируют, выписывают данные, при этом человек молчит, подтверждая тем самым согласие на обработку ПДн. Помните, что такой способ выражения согласия не предусмотрен законом.

Какие требования необходимо выполнить, если сбор ПДн осуществляется через веб-сайт?В этом случае регулятор хочет видеть дисклеймер[3], который говорит о согласии субъекта с пользовательским соглашением, определяющим порядок работы с персональными данными и политикой оператора, сведения которого реализуются для защиты этих ПДн.

В некоторых случаях закон предусматривает не просто согласие в любой доказанной форме, а согласие в письменном виде. Закон «О персональных данных» описывает пять таких ситуаций:

  • включение персональных данных в общедоступные источники;
  • обработка специальных категорий персональных данных;
  • обработка биометрических персональных данных;
  • трансграничная передача персональных данных на территорию иностранных государств, не обеспечивающих адекватную защиту прав субъектов;
  • принятие решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки его персональных данных.

При этом два случая в законе «О персональных данных» явным образом не прописаны. К ним относятся:

  • распространение персональных данных членов (участников) общественного объединения или религиозной организации;
  • передача ПДн третьим лицам, если условием лицензии на осуществление деятельности оператора является запрет на такую передачу.

Остались вопросы?

Полезный вебинар о переносе ПНд в облако:

Источник.

И обязательно следите за новыми материалами первого блога о корпоративном IaaS. В следующей статье мы рассмотрим зоны ответственности заказчика и облачного провайдера, поговорим об особенностях аутсорсинга обработки ПДн, а также расскажем, на что следует обратить внимание при выборе провайдера, предлагающего услуги по «ФЗ-152».

чтобы получать чек-листы, реальные кейсы, а также
обзоры сервисов раз в 2 недели. Положение об обработке персональных данных работников

Каков порядок обработки персональных данных работников, их родственников, в т.ч. при размещении их в облаке. Каков объем прав у сотрудников на защиту их персональных данных, нужно ли получать согласие работников.

Средства защиты персональных данных в организации

Организация данных и информации на предприятии – какие мероприятия требуется провести, как составить их план, кого назначить ответственным. Построение эффективной системы защиты информации и персональных данных на предприятии.

ЦОД и 152-ФЗ

Как и нужно ли проводить проверку на соответствие организации, ее бизнес-процессов, сайта, серверов на соответствие Федеральному закону №152-ФЗ «О персональных данных».

Источник: https://integrus.ru/blog/it-decisions/printsipy-obrabotki-personalnyh-dannyh.html

Поделиться:
Нет комментариев

    Добавить комментарий

    Ваш e-mail не будет опубликован. Все поля обязательны для заполнения.