Бурлинский район

Что от­но­сит­ся к пер­со­наль­ным дан­ным?

Пер­со­наль­ные дан­ные — это лю­бая ин­фор­ма­ция, пря­мо или кос­вен­но от­но­ся­ща­я­ся к физи­че­ско­му ли­цу (субъ­ек­ту пер­со­наль­ных дан­ных), и поз­во­ля­ю­щая его опре­де­лить:

ФИО;

ме­сто, да­та рож­де­ния, ме­сто по­сто­ян­ной или вре­мен­ной ре­ги­стра­ции;

фо­то­гра­фия или ви­део­за­пись че­ло­ве­ка, ко­то­рые мо­гут его иден­ти­фи­ци­ро­вать;

све­де­ния о де­тях, род­ствен­ни­ках, се­мей­ном по­ло­же­нии;

све­де­ния о за­ра­бот­ной пла­те;

оцен­ка на­вы­ков, лич­ност­ных ка­честв;

ин­ди­ви­ду­аль­ные лич­ные дан­ные (ра­са, на­цио­наль­ность, по­ли­ти­че­ские или ре­ли­ги­оз­ные взгля­ды, фило­соф­ские убеж­де­ния; со­сто­я­ние здо­ро­вья);

ин­фор­ма­ция о су­ди­мо­стях или их от­сут­ствии;

но­мер те­ле­фо­на, адрес элек­трон­ной по­чты, иные иден­ти­фи­ка­то­ры в со­ци­аль­ных се­тях или мес­сен­дже­рах;

пас­порт­ные дан­ные, СНИЛС, ИНН;

био­мет­ри­че­ские дан­ные.

Не­ко­то­рые из этих дан­ных, са­ми по се­бе, без связ­ки с дру­ги­ми дан­ны­ми, пер­со­наль­ны­ми яв­лять­ся не бу­дут.

На­при­мер, но­мер те­ле­фо­на сам по се­бе не яв­ля­ет­ся пер­со­наль­ны­ми дан­ны­ми, но вме­сте с ука­за­ни­ем ФИО вла­дель­ца — яв­ля­ет­ся.

Адрес элек­трон­ной по­чты в фор­ма­те Этот e-mail адрес защищен от спам-ботов, для его просмотра у Вас должен быть включен Javascript то­же от­но­сит­ся к пер­со­наль­ным дан­ным, как и ФИО с при­вяз­кой к ИНН, но­ме­ру те­ле­фо­на или ме­сту ре­ги­стра­ции.

Клас­си­фи­ка­ция пер­со­наль­ных дан­ных

Пер­со­наль­ные дан­ные под­раз­де­ля­ют на:

Об­ще­до­ступ­ные — те, на до­ступ к ко­то­рым да­но со­гла­сие субъ­ек­та пер­со­наль­ных дан­ных, а не те, ко­то­рые мож­но най­ти в об­щем до­сту­пе в ин­тер­не­те.

Спе­ци­аль­ные — ин­фор­ма­ция о ра­се, на­цио­наль­но­сти и ре­ли­гии; по­ли­ти­че­ских и фило­соф­ских взгля­дах, здо­ро­вье, по­дроб­но­стях лич­ной жиз­ни, су­ди­мо­стях.

Био­мет­ри­че­ские — ин­фор­ма­ция о физио­ло­ги­че­ских и био­ло­ги­че­ских осо­бен­но­стях че­ло­ве­ка. Это от­пе­чат­ки паль­цев, ге­не­ти­че­ская ин­фор­ма­ция, ри­су­нок ра­дуж­ной обо­лоч­ки глаз, об­раз­цы го­ло­са, фо­то­гра­фии.

Иные — к ним от­но­сит­ся все осталь­ные дан­ные: элек­трон­ная поч­та или гео­ло­ка­ция, ин­фор­ма­ция о при­над­леж­но­сти к опре­де­лен­ной со­ци­аль­ной груп­пе, стаж ра­бо­ты и пр.

Опре­де­ля­ем­ся с по­ня­ти­я­ми

Опе­ра­тор пер­со­наль­ных дан­ных — ли­цо, са­мо­сто­я­тель­но или сов­мест­но с дру­ги­ми ли­ца­ми ор­га­ни­зу­ю­щее и (или) осу­ществ­ля­ю­щее об­ра­бот­ку пер­со­наль­ных дан­ных, а так­же опре­де­ля­ю­щее це­ли их об­ра­бот­ки, со­став пер­со­наль­ных дан­ных, под­ле­жа­щих об­ра­бот­ке, дей­ствия (опе­ра­ции), со­вер­ша­е­мые с пер­со­наль­ны­ми дан­ны­ми.

Об­ра­бот­ка пер­со­наль­ных дан­ных — лю­бое дей­ствие (опе­ра­ция) или со­во­куп­ность дей­ствий (опе­ра­ций) с пер­со­наль­ны­ми дан­ны­ми, со­вер­ша­е­мых с ис­поль­зо­ва­ни­ем или без ав­то­ма­ти­зи­ро­ван­ных средств:

Сбор;

За­пись;

Си­сте­ма­ти­за­ция;

На­коп­ле­ние;

Хра­не­ние;

Уточ­не­ние (об­нов­ле­ние, из­ме­не­ние);

Ис­поль­зо­ва­ние;

Пе­ре­да­ча (рас­про­стра­не­ние, предо­став­ле­ние, до­ступ);

Обез­ли­чи­ва­ние;

Бло­ки­ро­ва­ние;

Уда­ле­ние;

Уни­что­же­ние.

В свою оче­редь, об­ра­бот­ка мо­жет осу­ществ­лять­ся тре­мя пу­тя­ми:

Ав­то­ма­ти­зи­ро­ван­ная — с по­мо­щью средств вы­чис­ли­тель­ной тех­ни­ки. Это ком­пью­те­ры, те­ле­фо­ны и дру­гие элек­трон­ные устрой­ства, ба­зы дан­ных, крип­то­гра­фи­че­ские сред­ства за­щи­ты, про­грам­мы, скрип­ты и т.д.

Сме­шан­ная — об­ра­бот­ка че­ло­ве­ком при уча­стии средств вы­чис­ли­тель­ной тех­ни­ки. На­при­мер, ко­гда бух­гал­тер вби­ва­ет в про­грам­му дан­ные из бу­маж­но­го но­си­те­ля.

Не­ав­то­ма­ти­зи­ро­ван­ная — без ис­поль­зо­ва­ния средств вы­чис­ли­тель­ной тех­ни­ки.

По­сле то­го, как пер­со­наль­ные дан­ные об­ра­бо­та­ны, они от­прав­ля­ют­ся на хра­не­ние в ар­хив. Это мо­жет быть от­дель­ное спе­ци­а­ли­зи­ро­ван­ное по­ме­ще­ние, ес­ли речь о бу­маж­ных до­ку­мен­тах, или элек­трон­ное хра­ни­ли­ще (на­при­мер, об­лач­ное). В лю­бом слу­чае нуж­но иметь воз­мож­ность опе­ра­тив­но най­ти дан­ные и уни­что­жить их (по тре­бо­ва­нию субъ­ек­та) или пе­ре­дать (по за­ко­ну).

Чтобы по­иск не пре­вра­тил­ся в квест, не­об­хо­ди­мо пра­виль­но ор­га­ни­зо­вать ар­хив — как обыч­ный, так и элек­трон­ный.

С че­го на­чать?

Ес­ли вы еще не за­ни­ма­е­тесь сбо­ром и (или) об­ра­бот­кой пер­со­наль­ных дан­ных:

Под­го­товь­те по­ли­ти­ку об­ра­бот­ки пер­со­наль­ных дан­ных для сай­та и фор­му со­гла­сия на об­ра­бот­ку пер­со­наль­ных дан­ных. При под­го­тов­ке об­ра­ти­те вни­ма­ние на со­от­вет­ствие их со­дер­жа­ния тре­бо­ва­ни­ям Фе­де­раль­но­го за­ко­на «О пер­со­наль­ных дан­ных» от 27.07.2006 №152-ФЗ.

Про­верь­те свой сайт на на­ли­чие оши­бок.

Под­го­товь­те по­ло­же­ние об ор­га­ни­за­ции об­ра­бот­ки пер­со­наль­ных дан­ных. Ло­каль­ный акт, ко­то­рый по­мо­жет со­блю­дать ос­нов­ные обя­зан­но­сти: сро­ки ре­а­ги­ро­ва­ния, по­ря­док до­сту­па, ал­го­ритм дей­ствий при ком­про­ме­та­ции пер­со­наль­ных дан­ных и др.

Чтобы со­би­рать, хра­нить и об­ра­ба­ты­вать пер­со­наль­ные дан­ные, нуж­но со­блю­дать тре­бо­ва­ния За­ко­на №152-ФЗ.

Крат­кий чек-лист:

За­ре­ги­стри­ро­вать­ся в Ро­с­ком­над­зо­ре, как опе­ра­тор пер­со­наль­ных дан­ных (обя­за­тель­но не для всех, ни­же вы узна­е­те об ис­клю­че­ни­ях).

За­пра­ши­вать раз­ре­ше­ние на сбор и об­ра­бот­ку дан­ных у субъ­ек­тов и не со­би­рать с них лиш­ние дан­ные.

От­ве­чать на об­ра­ще­ния субъ­ек­тов и предо­став­лять им всю ин­фор­ма­цию.

Со­би­рать и хра­нить ин­фор­ма­цию толь­ко для до­сти­же­ния опре­де­лен­ных це­лей, и на опре­де­лен­ный срок.

Хра­нить и за­щи­щать пер­со­наль­ные дан­ные по за­ко­ну, обес­пе­чи­вать со­хран­ность, тай­ну и точ­ность дан­ных, не пе­ре­да­вая тре­тьим ли­цам. А ес­ли пе­ре­да­вать, то толь­ко с до­ку­мен­таль­ным под­твер­жде­ни­ем и толь­ко ат­те­сто­ван­ным.

Уточ­нять, бло­ки­ро­вать или уни­что­жать пер­со­наль­ные дан­ные по за­яв­ле­нию субъ­ек­тов или ко­гда до­стиг­ли це­лей их сбо­ра.

Всем ли нуж­на ре­ги­стра­ция в Ро­с­ко­мо­над­зор?

Ко­му не нуж­но ре­ги­стри­ро­вать­ся как опе­ра­то­ру пер­со­наль­ных дан­ных:

сбор пер­со­наль­ных дан­ных осу­ществ­ля­ет­ся для уста­нов­ле­ния тру­до­вых от­но­ше­ний;

пер­со­наль­ные дан­ные со­би­ра­ют­ся для за­клю­че­ния до­го­во­ра без по­сле­ду­ю­щей пе­ре­да­чи и рас­про­стра­не­ния тре­тьим ли­цам и для ис­пол­не­ния до­го­во­ра;

об­ра­бот­ка пер­со­наль­ных дан­ных из от­кры­то­го до­сту­па;

сбор ФИО граж­дан без те­ле­фо­на и e-mail;

сбор пер­со­наль­ных дан­ных для од­но­крат­но­го про­пус­ка граж­да­ни­на на тер­ри­то­рию опе­ра­то­ра, со­би­ра­ю­ще­го дан­ные, или в ана­ло­гич­ных слу­ча­ях;

сбор, об­ра­бот­ка и хра­не­ние пер­со­наль­ных дан­ных осу­ществ­ля­ет­ся на бу­маж­ных но­си­те­лях без ис­поль­зо­ва­ния средств ав­то­ма­ти­за­ции. Хра­нить свой бу­маж­ный ар­хив, вклю­чая кад­ро­вые до­ку­мен­ты и пер­со­наль­ные дан­ные мож­но вне офи­са. Так мож­но из­бе­жать их утра­ты и не­санк­ци­о­ни­ро­ван­но­го до­сту­па к ин­фор­ма­ции.

Во всех осталь­ных слу­ча­ях — ре­ги­стра­ция в Ро­с­ком­над­зор обя­за­тель­на.

Что сто­ит про­ве­рить, ес­ли вы уже за­ни­ма­е­тесь сбо­ром и/или об­ра­бот­кой пер­со­наль­ных дан­ных?

До­ве­де­ние по­ли­ти­ки об­ра­бот­ки пер­со­наль­ных дан­ных на ва­шем сай­те до поль­зо­ва­те­лей:

Опуб­ли­ко­ва­на ли на ва­шем сай­те по­ли­ти­ка об­ра­бот­ки ПД?

До­сту­пен ли до­ку­мент в «под­ва­ле» ва­ше­го сай­та?

Со­от­вет­ству­ет ли опуб­ли­ко­ван­ная по­ли­ти­ка уста­нов­лен­ным за­ко­ном тре­бо­ва­ни­ям к со­дер­жа­нию (п. 2 ч. 1 ст. 18.1 За­ко­на «О пер­со­наль­ных дан­ных»)?

Со­гла­сие на об­ра­бот­ку пер­со­наль­ных дан­ных для поль­зо­ва­те­лей:

Ука­за­ны ли в фор­ме со­гла­сия кон­крет­ные ка­те­го­рии об­ра­ба­ты­ва­е­мых дан­ных?

Уста­нов­лен ли срок об­ра­бот­ки (ли­бо по­ря­док его опре­де­ле­ния)?

Ука­зан ли пе­ре­чень лиц, ко­то­рым опе­ра­тор ПД пе­ре­да­ёт дан­ные?

По­ря­док транс­гра­нич­ной пе­ре­да­чи и (или) ло­ка­ли­за­ции пер­со­наль­ных дан­ных:

Фигу­ри­ру­ет ли на сай­те ин­фор­ма­ция об ис­поль­зо­ва­нии ино­стран­ных сер­ви­сов: Google Analytics, Microsoft Azure, Amazon Web Services и др.?

Ес­ли вы хо­ти­те про­дол­жить ис­поль­зо­вать та­кие сер­ви­сы, уве­до­ми­ли ли вы Ро­с­ком­над­зор о транс­гра­нич­ной пе­ре­да­че пер­со­наль­ных дан­ных?

Ес­ли вы хра­ни­те дан­ные на сер­ве­рах, физи­че­ски рас­по­ло­жен­ных за пре­де­ла­ми РФ, со­блю­да­ют­ся ли тре­бо­ва­ния о ло­ка­ли­за­ции пер­со­наль­ных дан­ных граж­дан РФ?

Ес­ли дан­ные все же «утек­ли»

Не­об­хо­ди­мо уве­до­мить Ро­с­ком­над­зор о ком­про­ме­та­ции пер­со­наль­ных дан­ных:

в те­че­ние 24 ча­сов с мо­мен­та утеч­ки: об ин­ци­ден­те, о пред­по­ла­га­е­мых при­чи­нах и вре­де, о ме­рах по устра­не­нию ин­ци­ден­та, кон­такт­ное ли­цо для свя­зи;

в те­че­ние 72 ча­сов о ре­зуль­та­тах внут­рен­не­го рас­сле­до­ва­ния.

Так­же не­об­хо­ди­мо под­го­то­вить от­вет на за­про­сы субъ­ек­тов пер­со­наль­ных дан­ных и Ро­с­ком­над­зо­ра — 10 ра­бо­чих дней на от­вет + 5 ра­бо­чих дней при на­прав­ле­нии мо­ти­ви­ро­ван­но­го пись­ма.