Согласие на обработку персональных данных у кого требуют

Содержание
  1. Как собирать персональные данные и отправлять рассылки об акциях
  2. Какие законы регламентируют рассылки рекламных предложений клиентам
  3. Что относится к персональным данным
  4. Как избежать штрафов
  5. Что отвечать клиентам про обработку их данных
  6. Ограничения при рассылке рекламы
  7. Ограничения при смс-рассылке
  8. Штрафы
  9. Согласие собственников на обработку персональных данных
  10. Персональные данные собственников
  11. Когда нужно получить согласие на обработку ПД
  12. Каким должно быть согласие на обработку ПД
  13. Согласие на обработку ПД в договоре управления МКД
  14. Согласие обработку ПД в договоре о предоставлении КУ
  15. Если собственник не даёт согласия на обработку ПД
  16. Согласие на обработку персональных данных. Можно ли не давать?
  17. Что такое персональные данные?
  18. По закону согласие на обработку персональных должно включать в себя, в частности:
  19. Согласие должно быть подписано вами, иначе оно недействительно.
  20. С чем вы обычно соглашаетесь, подписывая бумаги в банке:
  21. Может ли оператор отправлять кому-нибудь мои персональные данные без моего согласия?
  22. Можно ли отозвать свое согласие на обработку персональных данных?
  23. Что еще почитать:
  24. Зачем нужно согласие на обработку персональных данных — Право на vc.ru
  25. Немного теории
  26. Что делать
  27. И зачем всё это вообще?
  28. Персональные данные: обработка, защита, согласие на обработку
  29. 2. Компании могут использовать данные различных категорий субъектов
  30. 3. Обработке подлежат персональные данные, отвечающие целям их обработки
  31. 4. Необходимо знать, какие именно данные нужно использовать
  32. 5. Необходимо понимать, когда требуется согласие на обработку данных
  33. 1. Правовые меры
  34. 2. Организационные меры
  35. 3. Технические меры
  36. При обработке персональных данных организации следует:

Как собирать персональные данные и отправлять рассылки об акциях

Согласие на обработку персональных данных у кого требуют

Владелец бизнеса стремится сохранить нынешних клиентов. Чтобы покупатели не уходили навсегда и возвращались чаще, с ними нужно поддерживать контакт — рассказывать о новых предложениях, об акциях и скидках.

Донести эту информацию до клиента получится, только если он оставил номер телефона, адрес электронной почты, ссылку на аккаунты в соцсетях. Все это персональные данные.

Разберемся, как получить контакты пользователя, законно использовать их и хранить.

  1. Не обрабатывайте персональные данные без согласия клиентов.

  2. Ничего им не отправляйте без их согласия.

  3. Попросите клиентов заполнить анкету, чтобы получить это согласие.

  4. Храните заполненные анкеты.

  5. Ваш клиент в любой момент может отозвать свое согласие. В этом случае отпишите его от рассылок и удалите его персональные данные.

  6. Клиенты соглашаются на использование данных только в тех целях, которые указаны в анкете. Использовать их с другой целью — незаконно.

Какие законы регламентируют рассылки рекламных предложений клиентам

Как собирать, хранить и использовать контакты вашей аудитории.Федеральный закон № 152-Ф3 «О персональных данных»

Что запрещено рекламировать, какие рекламные сообщения запрещено транслировать. Проморассылки тоже считаются рекламой, и на них действуют те же ограничения, что и на другие форматы.Федеральный закон № 38-Ф3 «О рекламе»

Для смс-рассылок существуют дополнительные требования.Федеральный закон № 126-Ф3 «О связи»

Что относится к персональным данным

В законе нет четкого списка, что считать персональными данными. Если по данным можно идентифицировать физическое лицо — это персональные данные. В спорных ситуациях решение принимает суд.

Вы имеете дело с персональными данными, если собираете о клиентах следующие сведения:

  • фамилия, имя, отчество;
  • дата и место рождения;
  • домашний адрес и адрес регистрации;
  • номер телефона;
  • электронная почта;

Обработкой персональных данных считается любое действие с этими данными, включая сбор, хранение и использование.

Как избежать штрафов

Не используйте персональные данные без предварительного согласия.

Сбор данных организуют с какой-то конкретной целью, и незаконно использовать эти данные с любой другой целью. Например, если покупатель оставил вам телефон для получения электронной копии чека по смс, вы не можете слать ему сообщения с рекламой магазина.

Для каждого покупателя, чьи контакты вы получили, у вас должно быть письменное согласие на обработку персональных данных. В случае судебных разбирательств, именно вы должны будете доказать, что получили согласие. Главным аргументом в защиту организатора рассылки станет анкета, собственноручно заполненная покупателем.

Согласие на обработку персональных данных
Типовая анкета с согласием на получение рекламных рассылок и оповещений о проводимых акциях, мероприятиях, скидках, их результатах. Храните заполненные анкеты и не позволяйте им оказаться в чужих руках.

Что отвечать клиентам про обработку их данных

Если ваши клиенты интересуются, как используются их данные, вы обязаны ответить. По закону вы не можете скрывать от клиента факт обработки его персональных данных, цель и способ обработки. Вы обязаны рассказать, какие сотрудники и сервисы имеют доступ к его данным.

Ограничения при рассылке рекламы

  • Реклама не должна содержать ложной информации;
  • недопустимы некорректные сравнения с товарами конкурентов;
  • порочить честь, достоинство или деловую репутацию;
  • побуждать к совершению противоправных действий;
  • призывать к насилию и жестокости;
  • формировать негативное отношение к лицам, не пользующимся рекламируемыми товарами, или осуждать таких лиц;
  • содержать информацию порнографического характера;
  • использовать иностранных слова и выражения, которые могут привести к искажению смысла информации;
  • указывать на одобрение рекламируемого товара чиновниками или государственными органами;

По требованию клиента или уполномоченного органа рассылка прекращается.

Запрещено рекламировать

  • табачные изделия и курительные принадлежности;
  • наркотические, психотропные вещества и растения, которые их содержат;
  • взрывчатые вещества, кроме пиротехники;
  • медицинские услуги по аборту;
  • человеческие органы и части тела в качестве товаров;
  • товары, для продажи которых требуется сертификация, лицензирование и разрешение, если нет соответствующих сертификатов, лицензий, разрешений.

Ограничения при смс-рассылке

Нельзя отправлять смс-рассылку без предварительного согласия абонента. Он должен отдельно обозначить согласие на получение сообщений на телефон. В нашей анкете мы учли эту тонкость.

Рассылка по сети подвижной радиотелефонной связи должна осуществляться при условии получения предварительного согласия абонента, выраженного посредством совершения им действий, однозначно идентифицирующих этого абонента и позволяющих достоверно установить его волеизъявление на получение рассылки.

Рассылка признается осуществленной без предварительного согласия абонента, если заказчик рассылки в случае осуществления рассылки по его инициативе или оператор подвижной радиотелефонной связи в случае осуществления рассылки по инициативе оператора подвижной радиотелефонной связи не докажет, что такое согласие было получено.

Федеральный закон № 126-Ф3 «О связи»,
статья 44.1. Рассылка по сети подвижной радиотелефонной связи

Штрафы

По статье 13.11 КоАП РФ за нарушение закона «О персональных данных»

Нарушение закона «О персональных данных» или обработка персональных данных с любой целью, кроме заявленной, если действия не нарушают Уголовный кодекс:

  • предупреждение;
  • от 1000 до 3000 ₽ для граждан;
  • от 5000 до 10 000 ₽ для ответственных сотрудников или руководителя организации;
  • от 30 000 до 50 000 ₽ для организаций.

Обработка персональных данных без письменного согласия или если письменное согласие не содержит необходимых по закону сведений:

  • от 3000 до 5000 ₽ для граждан;
  • от 10 000 до 20 000 ₽ для ответственных сотрудников или руководителя организации;
  • от 15 000 до 75 000 ₽ для организаций.

Не опубликован документ, определяющий политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных:

  • предупреждение;
  • от 700 до 1500 ₽ для граждан;
  • от 5000 до 10 000 ₽ для ИП;
  • от 3000 до 6000 ₽ для ответственных сотрудников или руководителя организации;
  • от 15 000 до 30 000 ₽ для организаций.

Если не предоставили клиенту информацию об обработке его персональных данных:

  • предупреждение;
  • от 1000 до 2000 ₽ для граждан;
  • от 10 000 до 15 000 ₽ для ИП;
  • от 4000 до 6000 ₽ для ответственных сотрудников или руководителя организации;
  • от 20 000 до 40 000 ₽ для организаций.

Если по требованию клиента или гос. органа данные не уточнили, не заблокировали или не удалили:

  • предупреждение;
  • от 1000 до 2000 ₽ для граждан;
  • от 10 000 до 20 000 ₽ для ИП;
  • от 4000 до 10 000 ₽ для ответственных сотрудников или руководителя организации;
  • от 25 000 до 45 000 ₽ для организаций.

Если персональные данные попали в чужие руки или оказались уничтожены, повреждены или изменены, если это не привело к уголовно наказуемому деянию:

  • от 700 до 2000 ₽ для граждан;
  • от 10 000 до 20 000 ₽ для ИП;
  • от 4000 до 10 000 ₽ для ответственных сотрудников или руководителя организации;
  • от 25 000 до 50 000 ₽ для организаций.

Штраф по статье 14.3 КоАП РФ за нарушение закона «О рекламе»

  • от 2000 до 2500 ₽ для граждан;
  • от 4000 до 20 000 ₽ для ответственных сотрудников или руководителя организации;
  • от 100 000 до 500 000 ₽ для организаций.

Штрафов избежать несложно — достаточно придерживаться нескольких правил: не храните данные без ведома и согласия ваших покупателей, не отправляйте им рекламу без разрешения.

Разрешение нужно получить в письменной форме и хранить от третьих лиц. Если вы придумали новый способ использовать эти данные, придется заново спрашивать разрешения.

Если вас попросили удалить данные — удалите их и прекратите рассылку.

Программа лояльности для покупателей в Кабинете Дримкас Создавайте акции и отслеживайте их результат. Кабинет подскажет, какими механиками по привлечению и удержанию клиентов воспользоваться и наглядно покажет их эффективность в отчетах.

Источник: https://dreamkas.ru/blog/personal_information/

Согласие собственников на обработку персональных данных

Согласие на обработку персональных данных у кого требуют

Считается, для того, чтобы работать с персональными данными собственников, необходимо с каждого из них собрать согласие на обработку персональных данных. Это и верно, и нет, – зависит от ситуации.

Сегодня мы расскажем, в каких случаях согласие на обработку персональных данных нужно получить и что делать, если собственник его не даёт.Роскомнадзор об обработке персональных данных

Персональные данные собственников

1 июля 2021 года вступили в силу изменения в Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Теперь есть 7 составов правонарушений, за которые управляющие компании могут привлечь к административной ответственности за нарушение законодательства о персональных данных.

Ужесточилась административная ответственность за нарушение требований ст. 13.11 КоАП РФ – суммарный размер штрафа может составить 275 000 рублей. Многие управляющие компании не знают, как правильно работать с ПД.

Для них 4 октября мы провели вебинар «7 ошибок при работе с персональными данными, за которые УО получит штраф». Мы рассказали об обязанностях оператора ПД, дали рекомендации по выполнению требований статьи 13.11 КоАП РФ и отдельно внимание уделили вопросу получения согласия на обработку ПД.

Когда нужно получить согласие на обработку ПД

Если вы управляющая компания и у вас нет согласия на обработку ПД от собственников, но вы их обрабатываете внутри организации и не отдаёте их в сторонние организации, в таком случае согласие на обработку персональных данных не требуется.

Если вы будете передавать персональные данные собственников третьим лица, согласие на обработку нужно обязательно получить. При этом лицо, которое обрабатывает персональные данные по поручению оператора, не обязано получать отдельное согласие субъекта ПД на обработку его персональных данных. Ответственность в этой ситуации несёт управляющая организация.

В № 152-ФЗ перечислены случаи, когда согласие на обработку ПД для передачи третьим лицам не требуется:

  1. Если это разрешает Федеральный закон. Так, например, для размещения информации в ГИС ЖКХ согласия на обработку ПД не нужно.
  2. Если вы передаёте данные платёжному агенту и расчётным центрам (ч. 16 ст. 155 ЖК РФ).

Когда вы привлекаете представителя для расчётов с собственниками и нанимателями жилых помещений и взимания платы за жилое помещение и коммунальные услуги, согласие субъектов ПД на передачу персональных данных таким представителям не требуется.

Но в договоре между вами и представителем необходимо закрепить положение о конфиденциальности персональных данных (ч. 10 ст. 3, ч. 4 ст. 6, ч. 1 ст. 7 № 152-ФЗ).Правомерность обнародования списка должников ЖКУ

Каким должно быть согласие на обработку ПД

Субъект передаёт управляющей компании согласие на обработку персональных данных в любой форме, позволяющей подтвердить факт получения:

  • в договоре управления,
  • в договоре ресурсоснабжения,
  • в уставе товарищества собственников жилья.

Роскомнадзор советует оформлять его в письменной форме отдельным документом. Единственный минус такой позиции – управляющая компания может физически не собрать со всех субъектов персональных данных такое согласие.

Субъект ПД принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Полные требования согласию описаны в ч. 4 ст. 9 № 152-ФЗ.

Согласие должно быть:

  • конкретным,
  • информированным,
  • осознанным.

Независимо от того, как вы оформите согласие на обработку ПД, в нём обязательно должны быть:

  • ФИО, адрес субъекта персональных данных или его представителя, реквизиты документа, удостоверяющего его личность;
  • наименование или ФИО и адрес оператора, получающего согласие субъекта ПД;
  • цель обработки персональных данных;
  • перечень ПД, на обработку которых дают согласие;
  • наименование или ФИО и адрес лица, обрабатывающего ПД по поручению оператора;
  • перечень действий с ПДн, на совершение которых даётся согласие;
  • общее описание используемых оператором способов обработки ПД;
  • срок действия согласия субъекта ПД;
  • подпись субъекта ПД;
  • условия прекращения работы с персональными данными.

Появятся ли персональные данные собственников помещений в МКД в открытом доступе?

Согласие на обработку ПД в договоре управления МКД

Согласие на обработку персональных данных можно включить в приложение к договору управления МКд. Договор управления МКД собственники заключают с управляющей компанией в письменной форме. Составляется один документ и подписывается сторонами (ст. 162 ЖК РФ).

Решение ОСС в МКД, принятое по вопросам, отнесённым к компетенции такого собрания, обязательно для всех собственников помещений в МКД, в том числе для тех собственников, которые не участвовали в ании (ч. 5 ст. 46 ЖК РФ).

Условия договора управления МКД одинаковы для всех собственников помещений в МКД (ч. 4 ст. 162 ЖК РФ). Согласно пп. «б» п. 4 постановления Правительства РФ от 15.05.2013 № 416, УО собирает, обновляет и хранит информацию о собственниках и нанимателях помещений в МКД.

Эта позиция не единственно правильная, судебной практики по этому вопросу нет.

Согласие обработку ПД в договоре о предоставлении КУ

Согласие на обработку персональных данных можно прописать в договоре о предоставлении коммунальных услуг.

Договор, содержащий положения о предоставлении КУ (договор управления МКД в том числе), можно заключить с исполнителем (п. 6 и пп. «а» п. 9 Правил № 354):

  • в письменной форме;
  • путём совершения потребителем действий, свидетельствующих о его намерении потреблять КУ или о фактическом потреблении таких услуг (конклюдентные действия).

Договор считается заключённым с момента, когда потребитель начал пользоваться коммунальными услугами и оплачивать их. Это значит, что потребитель согласен со всеми условиями договора, в том числе на обработку персональных данных.Я к вам пишу – чего же боле: Минкомсвязи разъяснило вопрос раскрытия информации, содержащей персональные данные

Если собственник не даёт согласия на обработку ПД

Заставить собственника дать согласие на обработку персональных данных нельзя. Но можно пытаться убедить. Здесь всё зависит от красноречия представителей управляющей компании.

Но перед этим советуем прочитать определение Конституционного Суда РФ от 28.01.2021 № 100-О. Конституционный Суд сделал ряд заключений, которые в будущем могут повлиять на работу управляющих компаний в целом.

Например, для исполнения договора управления управляющая организация обязана заручиться согласием собственников на обработку персональных данных. Согласие может быть включено в качестве условия в договор управления.

Но всё равно, бремя доказывания наличия согласия на обработку ПД лежит на операторе персональных данных. Это значит, что если субъект заявляет, что не давал вам согласие, вы должны доказать, что в какой-то форме его получили, например, это условие было было включено в качестве условия в договор управления МКД.

Возможность предоставления оператором персональных данных третьему лицу согласия субъекта ПД, нельзя рассматривать как нарушение конституционного права на получение юридической помощи.

Источник: https://roskvartal.ru/deyatelnost-uk/8236/soglasie-sobstvennikov-na-obrabotku-personalnyh-dannyh

Согласие на обработку персональных данных. Можно ли не давать?

Согласие на обработку персональных данных у кого требуют

Обработка наших с вами персональных данных осуществляется в соответствии с Федеральным законом РФ “О персональных данных” от 27.07.2006 года № 152-ФЗ.  Можно сказать, что личные данные граждан охраняет государство.

Что такое персональные данные?

Персональные данные – это любая информация, относящаяся прямо или косвенно к физическому лицу. Т.е. это ваше ФИО, ваш телефон, ваш адрес, не говоря уже о паспортных данных. Даже электронная почта или ip-адрес компьютера относится к персональным данным.

Согласие на обработку персональных данных физическое лицо сейчас дает всегда, когда сообщает какому-то юридическому лицу свои личные данные.

Такое лицо называется оператор. Ваши данные нужны, например, при получении кредита, при оформлении на работу, при заказе пропуска. Значит, оператором, обрабатывающим личные данные, будет работодатель, магазин, банк и т.д. 

Вы даете согласие конкретному оператору на конкретное действие. Если какое-то действие повторяется в течение долгого времени, вы даете согласие единожды.

Например,  вы открыли в банке личный счет и, несмотря на то, что постоянно обращаетесь в банк по поводу своего счета, согласие на обработку своих данных вы даете только в момент открытия счета.

А вот, если заходите взять кредит в том же банке, то с вас попросят новое согласие. Потому что оно будет на другие действия.

По закону согласие на обработку персональных должно включать в себя, в частности:

  • ваши фамилию, имя, отчество, адрес, а также реквизиты вашего паспорта;
  • данные оператора, получающего это согласие;
  • цель обработки ваших данных, например, заключение договора;
  • перечень личных данных, на обработку которых дается согласие, например, ваши ФИО и паспортные данные;
  • перечень действий с данными, например, их запись, хранение, передачу;
  • срок, в течение которого действует согласие, а также способ его отзыва, если иное не установлено законом. При заключении договора, например, кредитного, обычно срок действия согласия не меньше срока договора.

Согласие должно быть подписано вами, иначе оно недействительно.

Подпись должна быть либо в письменной форме на бумажном документе, либо в электронном виде. Электронная подпись может быть разная, усиленная или простая.

Простая электронная подпись это, например, когда вам при заполнении своих данных на сайте направляют на телефон определенный код, который вы должны ввести в форму, чтобы ее отправить.

Так обычно делается при заполнении электронной анкеты на получение кредита.

На сайтах банков, интернет-магазинов и т.д. зачастую присутствует полный текст согласия на обработку персональных данных. Правда, практически никто его не читает, автоматически ставя “галку” в соответствующем поле. А между прочим, сами не догадываясь, вы порой разрешаете оператору передачу ваших данных третьим лицам, а потом удивляетесь, почему к вам на телефон постоянно приходит реклама.

Согласие обычно присутствует в тексте анкеты на получение кредита, в тексте кредитного договора и в других документах.

Вы часто обращаете на внимание на то, что там написано?

С чем вы обычно соглашаетесь, подписывая бумаги в банке:

Собственно, согласие на обработку своих персональных данных

Под персональными данными понимаются любые ваши личные данные, которые каким-либо образом вы сообщаете банку. Они передаются либо электронном виде либо в виде бумажных документов (или их копий).

Согласие на получение информации из бюро кредитных историй

Если вы не берете кредит, а в анкете это присутствует, можно галку в этом поле не ставить и отказаться. А вот при получении кредита отказаться уже не получится.

Согласие на получение от банка и его партнеров всяких коммерческих предложений

Речь про рекламу по телефону или в СМС. Теоретически, можно отказаться.

Можно ли не соглашаться?

Можно. Но, скорее всего, банковскую услугу тогда не получите.

Может ли оператор отправлять кому-нибудь мои персональные данные без моего согласия?

По закону, например, банк может (а точнее, обязан) при рассмотрении вашей заявки на кредит без вашего согласия отправлять ваши персональные данные в бюро кредитных историй (БКИ). И, кстати, вне зависимости от решения по этой заявке. Даже, если вам отказали, информация об этом уйдет в БКИ.

Есть еще другие обстоятельства, установленные законом, при которых ваше согласие никто и не спросит.

Можно ли отозвать свое согласие на обработку персональных данных?

Вы можете отозвать свое согласие в любое время, направив оператору письменное заявление об этом.

Но, несмотря на ваш отзыв, оператор, которому вы ранее дали согласие, вправе продолжить обработку ваших персональных данных. Это возможно, например, когда данные нужны для осуществления правосудия, исполнения судебного акта, или, например, обработка данных нужна для исполнения обязательств, взятых на себя вами по договору, например, по кредитному договору.

Что еще почитать:

Нужен ли риэлтор для покупки квартиры? ТОП-3 фактов про риэлторов

Опасные квартиры. Рассказываем, какие не стоит покупать

Источник: https://zen.yandex.ru/media/ipotekahouse.ru/soglasie-na-obrabotku-personalnyh-dannyh-mojno-li-ne-davat-5d702f36e3062c00ada5d0f5

Зачем нужно согласие на обработку персональных данных — Право на vc.ru

Согласие на обработку персональных данных у кого требуют

Хотите иметь дело с проверкой Роскомнадзором своего ИТ-продукта или сайта? А потом ещё платить штраф, нести ответственность?

Думаю, что нет. Поэтому, давайте, начнём разбирать что надо делать с персональными данными в Российской Федерации и как не попасть под санкции госорганов.

Немного теории

Согласно положениям статьи 13.11 Кодекса Российской Федерации об административных правонарушениях:

1) нарушение порядка сбора, хранения, использования или распространения информации о гражданах, обработка данных в не установленном законом порядке и использование этих данных не по назначению караются следующими штрафами:

– Физическое лицо: предупреждение или штраф в размере 1 000 – 3 000 рублей;

– Должностное лицо: штраф в размере от 5 000 – 10 000 рублей;

– Юридическое лицо: штраф в размере 30 000 – 50 000 рублей;

2) Обработка персональных данных без согласия гражданина приведет:

– Физическое лицо: штраф в размере 3 000 – 5 000 рублей;

– Должностное лицо: штраф в размере от 10 000 – 20 000 рублей;

– Юридическое лицо: штраф в размере 15 000 – 75 000 рублей;

3) В случае, если оператор персональных данных не опубликовал информацию и не обеспечил доступ к документу, в котором прописаны все условия использования персональных данных или сведения о реализуемых требованиях, ему будет вынесено предупреждение или выписан административный штраф:

– Физическое лицо: штраф в размере 700 – 1 500 рублей;

– Должностное лицо: штраф в размере от 3 000 – 6 000 рублей;

– Индивидуальный предприниматель: штраф в размере от 5 000 – 10 000 рублей

– Юридическое лицо: штраф в размере 15 000 – 30 000 рублей;

Первоначально определимся с основными понятиями и поймём, что же они значат (неформальное объяснение по тексту будет обозначаться “Д”, это от слова description):

Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Д: это любая совокупность информации, через которую можно определить определенного человека. К примеру, абстрактная электронная почта, допустим posledni_kaktus_naokne@bk.

ru – не относится к ПД, однако электронная почта с рабочим адресом допустим, ivan.ivanov@romashka.ru с подписью в письме “Главный инженер” – относятся к персональным данным, т.к.

мы можем однозначно определить, что это Иван Иванов, работающий главным инженером в организации “Ромашка”.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Д: это вы, собирающий персональные данные. Любой контакт с физическим лицом, в том числе в пространстве Интернет, позволяющий однозначно определить человека – и вот вы уже владелец персональных данных в лице оператора.

Обработка персональных данных – любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без них с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Д: это любые действия, которые вы совершаете как оператор.

Самый большой штраф как вы видите – это за сбор ПД гражданина без согласия, поэтому в статье будем говорить в основном об этом.

Определим сразу случаи, когда согласие на обработку ПД не надо собирать в соответствии с законодательством Российской Федерации:

1. Сбор осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора, необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии.

Д: когда законодательством установлено, что физическое лицо должно предоставить персональные данные и иначе никак.

2. Осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных.

Д: когда вы заключили с физическим лицом договор и в рамках этого (только этого) договора вам нужны персональные данные. Сюда подходит и оферты (публичный договор) на сайте и его акцепт, но до покупки товара или услуг, заказа с сайта (к примеру) ещё надо довести пользователя, а значит момент когда собираете ПД – наступает раньше.

3. Осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных.

Д: вы обезличиваете данные физического лица и “размываете” их в море других данных, соответственно определить кому что принадлежит – невозможно даже вам.

4. Необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

Д: данный пункт не относится к интернет-проектам, но для понимания ситуации, пример, когда приезжает частная медицинская бригада и оказывает помощь.

5. Необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи.

Д: если вы организуете почтовую связь, то лицу, которому фактически оказываете услуги – нет необходимости требовать согласия на обработку ПД.

6. Осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

7. Осуществляется в отношении данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Д: не требуется согласие при использовании ПД, если это данные чиновников, предоставленные в соответствии с законодательством Российской Российской Федерации.

Во всех остальных случаях, при контакте и сборе ПД от физического лица – вы должны получать его согласие и иначе никак – закон есть закон!

Что делать

Теперь разберём как собирать ПД и получать согласие.

Вам требуется подготовить текст политики обработки и защиты персональных данных, а также согласие на обработку персональных данных.

Если у вас юридическое лицо или вы – индивидуальный предприниматель – вы должны утвердить политику обработки персональных данных приказом, где также определите ответственное лицо за обработку персональных данных в предприятии.

Хочу обратить внимание, что данная политика как в Российской Федерации, так и в зарубежных странах – относится не только к работе с потребителями, но и с работниками.

Опубликуйте в общий доступ на сайте (и в мобильном приложении) политику обработки и защиты персональных данных.

Самое главное по теме.

Если у вас есть какие-либо формы, где пользователи оставляют свои данные (или в приложении автоматически собираются, используются cookie и иные способы сбора данных), то под каждую форму (или при первом входе в приложение) нужно поставить что-то типа «Даю согласие на обработку своих персональных данных» и чекбокс. Если у вас есть ещё и пользовательское соглашение, то следует сделать чекбокс и с ним.

При этом крайне важно, чтоб донести до пользователя возможность прочитать данные документы и поэтому необходимо сделать гиперссылку или хотя бы текст кликабельным и ведущим на текст самого документа!

Немного юридического обоснования чекбоксов, а как называет Роскомнадзор – “галочек”:

Часть 4 статьи 9 Федерального закона от 27 июля 2006 г. N 152-ФЗ “О персональных данных” устанавливает обязательство собирать персональные данные:

“4. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.

Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью…”.

Но это как-то всё слишком сложно и в хозяйственной деятельности оперативно нельзя реализовать, поэтому наш доблестный Роскомнадзор пошёл навстречу людям и дал разъяснения:

“Получение согласия на обработку персональных данных может быть получено посредством проставления «галочки» пользователем в соответствующей веб-форме.

Однако в случае обработки биометрических и специальных категорий персональных данных, а также при передаче на территорию государства, не обеспечивающего адекватную защиту персональных данных, согласие должно быть оформлено в письменной форме”.

Подать уведомление об обработке ПДн в Роскомнадзор.

В соответствии с частью 1 статьи 22 Федерального закона от 27 июля 2006 г. N 152-ФЗ “О персональных данных”, оператор должен это сделать до начала обработки ПД.

За задержку с уведомлением вас не оштрафуют, санкции последуют только в том случае, если вами заинтересуется Роскомнадзор.

Но даже если вы высылаете уведомление с опозданием, указывайте дату государственной регистрации как дату начала обработки ПД.

Выполнение данного шага напрямую зависит от целей сбора персональных данных. Федеральный закон от 27 июля 2006 г. N 152-ФЗ в статье 22 предусматривает ряд исключений, когда подавать уведомление не требуется (обработка ПД в рамках трудового законодательства, заключенного договора и т.д.).

Итого, чтобы минимально привести в порядок работу с персональными данными вам потребуется:

– политика обработки персональных данных;

– приказ об утверждении вышеуказанной политики;

– согласие на обработку персональных данных;

– чекбокс с гиперссылкой на вышеуказанное согласие.

Всё это требуется опубликовать на сайте и / или в приложении.

И зачем всё это вообще?

Для чего же это вообще нужно? Зачем нужно беспокоиться о персональных данных и о получении согласия пользователя на их обработку?

Конечно, это прежде всего административная (штрафы, блокировка) и гражданская (причинение вреда) ответственность – такие вещи могут очень серьёзно повлиять на бизнес. Но есть ещё такая штука как частная жизнь граждан, как злоупотребление правом и недобросовестная реклама продавцов.

Я на 100% уверен, что каждый из нас не любит, когда на телефон приходит спам, реклама, а посередине ночи будит смс или звонок с просьбой “срочно перевести деньги, а то в тюрьму посадят”. А всё это происходит из-за ненадлежащего исполнения лицами, осуществляющими сбор персональных данных, своих обязательств.

И согласие на обработку ПД – всего лишь часть механизма, который должен обеспечивать нашу с вами защиту как граждан и повышать социальную ответственность.

К сожалению, такие полезные институты и механизмы могут превратиться в инструмент для давления… И мы как юристы должны эффективно использовать законы и максимально обезопасить бизнес от этого.

Так что, если вы выполнили все условия и шаги из настоящей статьи, то поздравляем – вы не только уменьшили вероятность быть оштрафованным и привлеченным к ответственности (работа с ПД физических лиц лишь небольшая часть правовой политики ИТ-продукта), но и сделали шаг к социально-ориентированному Интернет-пространству, уважающему личные данные пользователей!

Источник: https://vc.ru/legal/46868-zachem-nuzhno-soglasie-na-obrabotku-personalnyh-dannyh

Персональные данные: обработка, защита, согласие на обработку

Согласие на обработку персональных данных у кого требуют

Под персональными данными, как следует из ст. 3 №152- ФЗ, подразумевается любая информация, имеющая отношение к физлицу: информация, указанная в паспорте (ФИО, дата рождения, адрес регистрации, семейное положение и др.), а также сведения об образовании, занимаемой должности, зарплате и даже росте, весе, цвете глаз и др.

Закон распространяется абсолютно на все организации. Поскольку в каждой организации есть работники, то их данные так или иначе используются при заключении трудового договора, начислении зарплаты и в других случаях. Персональные данные вносятся в личные дела сотрудников, которые хранятся у кадровиков.

Под обработкой персональных данных подразумеваются действия по сбору, систематизации, накоплению, хранению, уточнению, использованию, передаче, обезличиванию, блокированию и уничтожению персональных данных.

Распространение персональных данных — это действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

2. Компании могут использовать данные различных категорий субъектов

С каждой из категорий субъектов персональных данных компанию связывает определенный тип правоотношений. Некоторые компании обрабатывают персональные данные не только работников, но и клиентов, например, производственные компании.

Так, компании из сферы услуг (автошколы, салоны красоты, парикмахерские, туристические агентства и др.) взаимодействуют с клиентами-физлицами, обрабатывая их персональные данные с целью предоставления, например, дисконтных карт.

Интернет-магазины собирают данные физлиц, чтобы осуществлять доставку товаров.

Существует определенная категория лиц, которая не является ни клиентами, ни работниками компании, однако она передает свои данные в организацию, где они хранятся и обрабатываются. К такой категории относятся соискатели, принимающие участие в конкурсе на вакансию и передающие потенциальному работодателю свои персональные данные в виде резюме или анкеты на сайте компании.

Сотрудники могут работать в организации по договору подряда. Оформляя человека по такому договору, компания может не запрашивать у него сведений о семейном положении или ограничений по здоровью. В случае с работником, оформленным по трудовому договору, компания должна это делать.

У товариществ собственников жилья нет ни работников, ни клиентов. Это сообщество, в котором состоят члены. Существуют и другие виды организаций с подобной структурой и без трудовых или гражданских правоотношений: общественные организации, политические партии, религиозные организации и др.

3. Обработке подлежат персональные данные, отвечающие целям их обработки

Важно понимать, какие данные каких субъектов используются, чтобы устанавливать цель обработки персональных данных.

Организациям необходимо иметь представление не только о том, данные каких категорий субъектов они обрабатывают, но и с какой целью они это делают, исходя из специфики деятельности. Например, у интернет-магазина и автошколы цель обработки данных может заключаться в выполнении условий договора с клиентами.

4. Необходимо знать, какие именно данные нужно использовать

Закон требует от компаний понимания, какие именно персональные данные в отношении каждой категории субъектов они обрабатывают.

Очевидно, что если в случае с работником необходимо знать об ограничениях по здоровью для начисления социальных выплат, имеются ли у него дети до 18 лет, чтобы предоставить ему налоговый вычет, то в отношении клиента интернет-магазина, который заказал товар, эти сведения не нужны. В этом случае достаточно знать имя, адрес и телефон покупателя.

Закон запрещает обрабатывать персональные данные, которые не требуются для достижения цели их обработки.

Достигнув цели обработки данных, компания должна прекратить обработку этих данных. Так, если интернет-магазин осуществил доставку товара клиенту, то в дальнейшем ему уже не потребуются его номер мобильного телефона и адрес доставки.

5. Необходимо понимать, когда требуется согласие на обработку данных

Для каждой категории субъектов (работников, клиентов, соискателей и др.) определяется цель обработки данных. Порой эта цель заключается в выполнении требований определенных законов.

В этом случае организация может абсолютно спокойно собирать данные соответствующей категории и обрабатывать их.

Так, в отношении работников организации выполняют трудовое законодательство, многие кредитные и финансовые организации обязаны на своем официальном сайте публиковать сведения об аффилированных лицах, ОАО должно размещать у себя на сайте информацию о структуре акционеров.

Если цель обработки данных какой-то категории субъектов установлена компанией самостоятельно, исходя из специфики деятельности, то она должна взять согласие об обработке персональных данных у субъекта данных (ст. 9 №152- ФЗ).

Например, если компания принимает на работу сотрудника по трудовому договору, то по трудовому законодательству она должна знать, как его зовут, где он прописан, какое у него образование. И эти сведения компания может получать у человека без его согласия.

Если же компания собралась выплачивать сотруднику зарплату на банковскую карту и планирует передавать сведения о нем в банк, то она обязана взять на это согласие, так как прямого требования передавать персональные данные в банк для выплаты заработной платы в законе нет.

Если интернет-магазин после доставки товара планирует рассылать клиентам SMS-сообщения о скидках, то он должен заранее сформулировать эту цель и взять с клиентов согласие на использование данных именно с этой целью. В ч.1 ст.15 №152- ФЗ есть упоминание о том, что рекламные контакты с клиентами совершаются только с их согласия.

Закон отдельно выделяет требования для данных, неправомерные действия с которыми могут нанести вред субъекту персональных данных. Речь идет о специальной категории персональных данных (ст. 10 №152- ФЗ) и биометрических персональных данных (ст. 11 №152-ФЗ).

К биометрическим данным относятся сведения, которые отражают физиологические особенности человека и необходимы для установления его личности (например, если в компании используются системы контроля доступа).

К специальной категории данных относятся сведения о национальной, расовой принадлежности, философских, политических и религиозных убеждениях, состоянии здоровья и интимной жизни.

Эти данные выделяются в отдельную категорию, так как закон прямо запрещает их использовать, за исключением ряда случаев (один из них — если субъект дал на то свое письменное согласие).

Отдельно закон говорит о передаче данных за границу (ст. 12 №152- ФЗ).

С учетом всех базовых принципов, описанных выше, требования к обработке данных можно разделить на три больших блока (ст. 19 №152- ФЗ):

1. Правовые меры

Организация решает, как будет соблюдать законодательство, оформляет решение в виде внутренних документов, например, «Политики в отношении обработки персональных данных», издает приказ, в котором назначает ответственного за организацию процесса обработки персональных данных и т д.

2. Организационные меры

Эти меры связаны с деятельностью компании. Закон требует, чтобы «Политика в отношении обработки персональных данных» была доступна для всех категорий субъектов персональных данных. Ее рекомендуется размещать на информационном стенде, где с ней смогут ознакомиться не только работники, но и клиенты.

По закону любой субъект персональных данных может написать в компанию письмо с требованием уточнить, обрабатывает ли она его данные. Если обрабатывает, то какие данные, с какой целью и на каком основании. Также любой субъект имеет право потребовать прекратить обработку своих персональных данных.

Рассмотрение этого письма и подготовка ответа на него — деятельность, относящаяся к организационным мерам. О том, как отвечать на такие письма, уточняется в ст. 20-21 №152-ФЗ.

3. Технические меры

Связаны с использованием средств защиты информации. Это могут быть как примитивные средства — сургучовые печати, решетки на окнах, так и высокотехнологичные способы — антивирусы, межсетевые экраны, средства защиты от несанкционированного доступа, средства криптографической защиты и др.

При обработке персональных данных организации следует:

  1. Разобраться, с данными каких категорий субъектов она имеет дело, на каком основании и с какой целью она их использует.
  2. Ознакомиться с законом и решить, как будут выполняться требования, отразить это в локальных нормативных актах.
  3. Принять соответствующие организационные меры.

    Например, опубликовать «Политику в отношении обработки персональных данных» и  быть готовой выполнять те организационные требования, которые необходимы в ходе операционной деятельности.

  4. Позаботиться о технических мерах, понять, какие технические меры должны быть приняты, обеспечить принятие этих мер.

Существенное дополнение: в рамках текущего законодательства ни у одного контролирующего органа нет полномочий на то, чтобы контролировать выполнение технических мер у коммерческих частных организаций.

Роскомнадзор может контролировать только выполнение правовых и организационных мер у частных компаний. Поэтому о четвертом шаге можно говорить формально: закон предоставляет возможность коммерческим компаниям большую свободу в выборе технических мер. Что касается государственных организаций, то для них требования по использованию средств защиты информации четко определены и подробно описаны.

Игорь Луканин, руководитель продукта «Контур.Персональные данные»

Источник: https://kontur.ru/articles/1293

Все о правах
Добавить комментарий

;-) :| :x :twisted: :smile: :shock: :sad: :roll: :razz: :oops: :o :mrgreen: :lol: :idea: :grin: :evil: :cry: :cool: :arrow: :???: :?: :!: