Что такое персональные данные и кто оператор по их обработке
Что такое персональные данные и кто оператор по их обработке Персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (ФИО, телефон, e-mail, ИНН, адрес, IP, фотографии и т.д.). Оператор персональных данных — организация или ИП, определяющие цели и способы обработки ПД (например, интернет-магазин, кадровый отдел, сервис по доставке). Если вы собираете контакты клиентов, ведёте базу сотрудников или подключаете аналитические сервисы — вы оператор или используете третьих лиц-обработчиков. 2. Основные обязанности оператора (кратко) (Описано в ФЗ-152-ФЗ и в разъяснениях Роскомнадзора) • Обрабатывать ПД законно и добросовестно, только для заявленных целей. • Получать согласие субъекта (если другое правовое основание не применимо). • Обеспечивать правдивость и минимизацию данных (только те данные, которые нужны). • Обеспечить конфиденциальность и безопасность (технические и организационные меры). • Информировать субъекта о правах (право доступа, исправление, требование удаления и т.д.). • Вести учет и документы по обработке данных (политика, регистры, договоры с подрядчиками). • Соблюдать требования при передаче данных третьим лицам и за рубеж. • При необходимости — уведомлять Роскомнадзор (см. п.6 про регистрацию/уведомление) и уведомлять субъекта/регулятора о крупных утечках. 3. Ответственность за нарушение правил обработки персональных данных 1) Административная ответственность За нарушения правил обработки, хранения и использования персональных данных предусмотрены административные санкции (штрафы, предписания уполномоченного органа — Роскомнадзора). Практика показывает, что штрафы применяются и к организациям, и к должностным лицам. 2) Гражданско-правовая ответственность Субъект персональных данных может требовать в суде компенсацию морального вреда и других убытков, причинённых неправомерной обработкой или утечкой данных. Договорная ответственность — штрафы/пени по договору с контрагентами (особенно если в договоре был пункт о защите ПД). 3) Уголовная ответственность В ряде случаев (например, при неправомерных действиях, повлёкших тяжкие последствия, или при неправомерном сборе/использовании особых категорий данных) возможна уголовная ответственность по УК РФ. 4) Репутационный урон и экономические потери Утечка клиентских баз, публикация персональных данных сотрудников — часто влечёт потерю клиентов, претензии партнёров, приостановку бизнес-операций, штрафы банков и регуляторов. Конкретные размеры санкций изменяются; Роскомнадзор регулярно выносит предписания и публикует практику, поэтому важно отслеживать её. 4. Что нужно размещать на сайте: Политика обработки персональных данных (privacy policy) Политика должна быть доступна пользователю (ссылка в футере, формах регистрации и т.д.) и содержать понятную и исчерпывающую информацию. Обязательные блоки политики: 1. Кто вы и контакты. Наименование оператора, юр. адрес, контактный e-mail (для вопросов по ПД). 2. Какие данные собираются. Перечень категорий (ФИО, e-mail, телефон, адрес доставки, IP, cookies и т.д.). 3. Цели обработки. Конкретно (выполнение договора, доставка заказа, рассылки, аналитика, реклама). 4. Правовое основание. Согласие субъекта, выполнение договора, законные интересы и т.д. 5. Сроки хранения. Сколько хранится каждая категория данных (например: контактные данные — 3 года после последней покупки). 6. Перечень получателей/обработчиков. Кому вы передаёте данные (курьерские компании, платёжные агрегаторы, облачные сервисы, подрядчики). Укажите, передаёте ли данные за рубеж и на каких условиях. 7. Права субъекта. Право на доступ, уточнение, удаление, отозвать согласие, требовать ограничения обработки, обжаловать действия оператора и пр. Описание процедуры обращения. 8. Информация о cookies и трекерах. Какие используются, для каких целей, как отключить. 9. Организационные и технические меры безопасности. Краткое описание мер (шифрование, журналы доступа, резервное копирование, доступ по ролям).