С 30 мая ужесточается ответственность за нарушения при обработке персональных данных. Огромные штрафы, грозящие не только за утечки, но и за ошибки учёта, могут сильно осложнить жизнь бизнесу.
Раньше подать заявление о работе с персональными данными (ПДн) в Роскомнадзор (РКН) можно было уже после сбора информации. Теперь же уведомлять ведомство нужно заранее. Нарушивших это правило граждан могут оштрафовать на 5–10 тыс. рублей, должностных лиц — на 30–50 тыс., компании — на 100–300 тыс.
Ещё более суровое наказание грозит за утечки собранных персональных данных. В случае такого инцидента компания или предприниматель должны в течение 24 часов уведомить РКН, сообщив о причинах, масштабах и принятых мерах. Затем, в течение 72 часов, передаются итоги внутренней проверки, включая информацию о возможных виновных лицах (при их наличии). Несоблюдение этих норм может грозить штрафом до 3 млн рублей.
Ну а самые большие санкции предусмотрены за саму утечку (точнее за действия или бездействие, её повлёкшие). Гражданам грозит штраф до 400 тыс. рублей, организациям — до 15 млн, а в случае рецидива — 1–3% от выручки.
Реестр пополнится
Оператором персональных данных считается любой государственный или муниципальный орган, физическое или юридическое лицо (в том числе ИП или самозанятый), которые занимаются обработкой личной информации о человеке (к ней относится практически что угодно — номер телефона, псевдоним в соцсетях, электронная почта, фотография, сведения об образовании и т. д.). Но речь идёт об обработке "с использованием средств автоматизации", проще говоря, компьютера или других гаджетов. Каждый такой оператор должен быть внесён в соответствующий реестр.
"Если специалист разместил объявление об услугах в газете, но не оставил там свой телефон, а дал адрес офиса или кабинета, куда приходят люди записаться на услугу, при этом их имена фиксируют только в бумажный блокнот, в этом случае необязательно состоять в реестре в качестве оператора персональных данных. Но в реальности так не происходит и как минимум используется сотовая связь. Даже если клиент пишет специалисту личное сообщение с просьбой о записи, то мы уже имеем факт обработки персональных данных", — поясняет собственник фирмы Teiwaz legal юрист Мария Стрельчик.
Самозанятые не считаются операторами ПДн, если работают в одиночку и не собирают базы. Но если происходит утечка или данные клиентов попадают в третьи руки, они всё равно могут нести ответственность как физические лица, указывает главный юрист направления информационной безопасности "Контур. Эгида", эксперт по ИБ Ольга Попова.
"А вот ИП полностью подпадают под нормы закона 152–ФЗ. Даже если у них нет сайта, но есть клиентская база, список заказов, переписка с данными — это уже повод соблюдать правила. Угрозы, к сожалению, есть всегда, идеальной защиты не существует. Но как минимум можно минимизировать риски: чётко понимать, как и где хранятся данные, иметь документы и использовать средства защиты", — подчёркивает она.
В тексте закона указано, что его действие не распространяется на отношения, возникающие при "обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных". Так что считать каждого человека оператором ПДн из–за списка контактов в смартфоне, видимо, всё–таки не будут. По крайней мере хочется в это верить.
Зато предпринимателям, которые раньше могли себе позволить игнорировать правила, так как штрафы были не слишком высоки и взыскивали их не так уж рьяно, стоит срочно подавать уведомление в Роскомнадзор. И далее при взаимодействии с клиентом обязательно брать письменное согласие на обработку данных, в котором указано, какие данные он будет обрабатывать, для каких целей, как их защищать.
“
"Изменение правил обработки персональных данных может оказаться критичным, поскольку возникает необходимость приводить в соответствие новым требованиям IT–системы и бизнес–процессы. Для крупного бизнеса это может быть особенно долго и дорого. Если лицо оказывает услуги только юридическим лицам, оно всё равно не может обойтись без обработки персональных данных, например представителей юридического лица или контактных лиц", — добавляет юрист практики по интеллектуальной собственности и информационным технологиям АБ "Качкин и партнёры" Ольга Новинская.
Технические тонкости
Операторы данных теперь обязаны собирать, хранить и обрабатывать информацию исключительно на территории России. Правила по локализации распространяются на компании, которые используют иностранные сервисы для сбора и обработки пользовательской информации. Например, облачные хранилища, Google Forms, Google Analytics. Под правила попадают и те, кто применяет иностранные IT–решения, — если их серверы находятся за пределами РФ.
Трансграничная передача данных возможна, но только при наличии официального разрешения от Роскомнадзора. Например, туристические компании могут передавать информацию о клиентах принимающей стороне за границей. Но для этого организация должна заранее уведомить регулятора и внести информацию в Реестр трансграничных передач. Впрочем, участники рынка напоминают, что турагенты и туроператоры уже больше 2 лет считаются операторами ПДн.
