О компании Новости Наши партнеры Контакты Благодарности и рекомендации
 

Роскомнадзор о защите персональных данных

Вот уже больше года, как закон о защите персональных данных работает в полной мере, без каких-либо оговорок и исключений. А контролирующие органы, которые активно подключились к проверкам по соблюдению закона, не скупятся на штрафы. О том, как не допустить нарушений, за которые положены штрафы, мы погорим в настоящей статье.

О проверяющих и размере штрафов

Ответственность за нарушения в сфере охраны персональных данных законодатель отнесен к административной. Значит, санкции за подобные проступки надо искать в Кодексе об административных правонарушениях. Заглянув туда, мы обнаружим, что штрафы не так уж и высоки. Согласно статье 13.11 КоАП РФ они составляют 5-10 тысяч рублей для организации и 500-1000 рублей для ее руководителя, если в нарушении есть его вина.

Однако надо учитывать, что этот штраф может налагаться за каждое допущенное нарушение. А правил для тех, кто работает с персональными данными, законодатели установили очень много (них мы подробно поговорим чуть ниже). Так что 10 тысяч рублей штрафа легко могут превратиться в 50 или 100 тысяч рублей даже в рамках одной проверки. А за год эти суммы могут оказаться еще внушительнее.

Раз уж мы затронули вопрос проверок, то сразу скажем, что ведомством, полномочным контролировать соблюдение режима персональных данных, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (сокращенно — Роскомнадзор). Однако права налагать и взыскивать штрафы у этой организации нет. Все материалы по тем проверкам, где обнаружены нарушения, Роскомнадзор передает в прокуратуру. Прокурор уполномочен принимать решения о возбуждении производства по административному правонарушению (п. 1 ст. 28.4 КоАП РФ). Вопрос же о наложении штрафов решается судьей (п. 1 ст. 23.1 КоАП РФ).

составляет 3-5 тысяч рублей.

Источник: сайт Роскомнадзора.

Надо отметить, что правила, установленные Федеральным законом от 27.07.06 № 152-ФЗ «О персональных данных», касаются не только тех организаций, которые имеют дело с клиентскими базами данных. Соблюдать требования этого закона должны все организации, в которых есть хотя бы один работник. Связано это с тем, что к персональным данным законодатели среди прочего отнесли и те сведения, которые предприятие получает от своих сотрудников, принимая их на работу. А это значит, что организация обязана их защищать в полном соответствии с законом.

Отметим, что закон не делает каких-то различий между тем, на каких носителях в организации существуют документы, содержащие персональные данные. Так что, и тот работодатель, который внедрил высокотехнологические информационные системы, и тот, который ведет работу с кадровыми документами на бумаге, обязаны принять ряд организационных и технических мер по защите персональных данных сотрудников. Именно формальное выполнение этих мер в большинстве случаев и контролируют специалисты Роскомнадзора.

Первое, что захотят увидеть проверяющие, — это приказ руководителя о назначении ответственного за работу с персональными данными и обеспечении их защиты. Таким ответственным может быть как конкретное лицо, так и подразделение. В последнем случае личную ответственность несет руководитель такого подразделения.

Далее потребуется утвердить документ, содержащий перечень персональных данных , которые реально используются в деятельности организации. Составляя такой документ, не забудьте включить в него все сведения, которые работник письменно сообщает о себе при поступлении на работу, а также используемые в дальнейшем при оформлении кадровой документации.

В этом перечне должны быть:

  • заявление о приеме на работу;
  • анкета сотрудника;
  • личная карточка;
  • личное дело;
  • трудовой договор;
  • приказы;
  • трудовая книжка;
  • материалы аттестационных комиссий.

Это один раздел перечня. Если же в организации имеется внутренний документооборот, содержащий сведения о сотрудниках (например, отчеты и материалы, которые составляются для акционеров, учредителей, головной организации и т.п.), то эти отчеты тоже нужно включить в перечень.

Помимо этого, в перечне должны быть указаны документы, содержащие те сведения о сотрудниках, которые организация представляет в различные государственные органы (налоговую и трудовую инспекции, органы статистики).

Здесь заметим, что подготовка такого перечня важна не только для соблюдения требований законодательства. Он позволит упорядочить работу с персональными данными внутри организации. Дело в том, что трудоемкость защиты персональных данных напрямую зависит от степени важности обрабатываемых сведений. Например, информация о политических и религиозных взглядах, личной жизни человека, здоровье, национальности законом отнесена к категориям информации, которые подлежат более надежным методам и средствам защиты, чем данные, идентифицирующие личность. Поэтому анализ составленного перечня и исключение из него данных, не являющихся безусловно необходимыми в деятельности организации, позволит существенно удешевить систему защиты персональных данных.

Следующий этап работы — подготовка и утверждение списка лиц, допущенных к работе с персональными данными. Этот документ утверждается приказом руководителя и доводится под подпись до всех указанных в нем сотрудников.

Еще один документ, который нужно подготовить и утвердить — Положение о работе с персональными данными. В Положении о работе с персональными данными нужно детально прописать все требования к получению, хранению, комбинированию, передаче и любому другому использованию персональных данных, а также гарантии по их защите. С Положением нужно под подпись ознакомить всех сотрудников, включенных в список лиц, допущенных к работе с персональными данными.

Каким должно быть содержание Положения

Что же должно быть зафиксировано в Положении о персональных данных? На практике такой документ обычно состоит из разделов, описывающих каким именно образом в организации должен происходить сбор и обработка персональных данных; кто и в каком порядке имеет доступ к этим данным; какие меры предпринимаются для предотвращения разглашения персональных данных.

Так что начать Положение мы рекомендуем с раздела «Сбор и обработка персональных данных». В нем обязательно нужно зафиксировать, что персональные данные в организации можно получить и обрабатывать исключительно на основании письменного согласия работника. А значит, не лишним будет сразу разработать и утвердить форму такого заявления. На подпись такое заявление работнику надо давать сразу при приеме на работу. А по действующим сотрудникам такую работу придется провести сразу же после утверждения Положения.

Далее может следовать раздел «Доступ к персональным данным». В нем последовательно описывается порядок доступа к таким данным работников организации и третьих лиц (отдельно родственников, государственных органов, представителей других организаций). При необходимости тут можно ввести уровни доступа в зависимости от должности сотрудника. Например, директор и аппарат дирекции имеют доступ ко всем персональным данным; сотрудники бухгалтерии — только к тем сведениям, которые необходимым для расчета заработной платы и налогов; представители кадровой службы — к сведениям, необходимым для оформления кадровой документации и т.п.

Продолжит Положение раздел «Порядок обработки и передачи данных». Здесь надо зафиксировать правила для передачи данных о сотрудниках определенным  органам или лицам. В случаях, когда передача данных регулируется законодательно (налоговые органы, органы статистики, Пенсионный фонд и т.п.) достаточно сделать ссылки на порядок передачи сведений, установленный законодательством. Но при этом следует обязательно зафиксировать, кто и в каком порядке вправе готовить данные сведения для передачи в госорганы.

А вот родственникам, членам семьи, страховым компаниям, банкам, благотворительным организациям, негосударственным пенсионным фондам и т. п. персональные данные предоставляются только при наличии письменного согласия работника на каждый конкретный факт передачи данных.

Закончить Положение лучше разделом «Ответственность». Тут достаточно будет сделать ссылки (или привести целиком) на нормы Трудового кодекса (увольнение за разглашение персональных данных по статье 81 ТК РФ), Кодекса об административных правонарушениях (уже знакомая нам статья 13.11 КоАП РФ) и, если есть такая необходимость  Уголовного кодекса (ст. 137 УК РФ).

Обязательно ли уведомлять Роскомнадзор?

Есть еще один немаловажный момент. Речь идет об уведомлении Роскомнадзора о том, что организация работает с персональными данными. Ситуация тут крайне неоднозначная.

На первый взгляд, закон освобождает от подачи такого уведомления, если обрабатываются только персональные данные сотрудников. Однако на практике органы Роскомнадзора зачастую требуют предоставлять уведомление, даже если кроме работы с данными сотрудников организация никакой другой работы с персональными данными не ведет. При этом контрольное ведомство пользуется противоречивостью положений закона. Статья 22 Закона о персональных данных, которая освобождает от необходимости направлять уведомление в части персональных данных сотрудников организации, сформулирована так, что использование данных сотрудников в отношениях с банком при начислении им заработной платы, а также с государственными органами при предоставлении сведений о работниках формально под это исключение не подпадает. Поэтому во избежание лишних споров и штрафов советуем все же направить уведомление.

Где можно ознакомиться с планом проверок?

Он размещен ина официальном сайте Роскомнадзора (www.rsoc.ru), и на сайте Управления Роскомнадзора по Самарской области (www.63.rsoc.ru).

 

– Роскомнадзор известит компанию о предстоящем визите с проверкой?

– Да. Роскомнадзор заранее в письменной форме информирует компанию о запланированной проверке. В извещении указываются дата проведения и продолжительность проверки, а также ее правовое обоснование

Какие нарушения законодательства обычно выявляются при проверках?

Чаще всего работодатели допускают следующие нарушения:

  • отсутствует письменное согласие работника на обработку его персональных данных;
  • обработка персональных данных гражданина оператором (третьим лицом) не обеспечивает должной конфиденциальности;
  • не направлено уведомление об обработке персональных данных в Роскомнадзор, либо не представлена информация по запросу Роскомнадзора;
  • персональные данные обрабатываются дольше, чем этого требуют конкретные цели;
  • гражданин запрашивает информацию, касающуюся обработки его персональных данных, а она представляется ему несвоевременно или не соответствует требованиям, установленным законом.

 

– Чем грозят ошибки в соблюдении правил работы с персональными данными работников?

Согласностатье 24 Закона № 152-ФЗ, лица, виновные в нарушении требований закона о персональных данных, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность.

В частности, КоАП РФ предусматривает достаточно много штрафных санкций. Так, нарушение порядка сбора, хранения, использования или распространения персональных данных влечет предупреждение или штраф на граждан – от 300 до 500 рублей; на должностных лиц – от 500 до 1 000 рублей; на организации – от 5 000 до 10 000 рублей (ст. 13.11 КоАП РФ). За непредставление, за несвоевременное представление, за представление в неполном или искаженном виде сведений в госорганы предусмотрен штраф на граждан от 100 до 300 рублей; на должностных лиц – от 300 до 500 рублей; на юрлиц – от 3 000 до 5 000 рублей (ст. 19.7 КоАП РФ).

За разглашение информации предусмотрен штраф на граждан – до 500 до 1 000 руб.; на должностных лиц – от 4 000 до 5 000 рублей (ст. 13.14 КоАП). В отдельных случаях разглашение персональных данных может повлечь и уголовную ответственность по статье 137 Уголовного кодекса РФ. Там уже речь идет не только о гораздо более ощутимых штрафах, но и о лишении права заниматься определенной деятельностью, и об аресте, и об исправительных работах.

 Можно ли направить уведомление об обработке персональных данных через Интернет?

Да,уведомление об обработке персональных данных можно заполнить на портале персональных данных (приказ Роскомнадзора от 19 августа 2011 г. № 706). Но при этом необходимо распечатанное уведомление с подписями и печатями направить заказным письмом или нарочным в адрес Управления Роскомнадзора.

В настоящее время отрабатываются процедуры подачи уведомления и через единый портал государственных услуг с использованием электронной подписи

О компании Новости Наши партнеры Контакты Благодарности и рекомендации
Rambler's Top100