Загружаем 1ОПД
Подготавливаем страницу…
Главная / Обработка персональных данных
Требования 152-ФЗ
Обработка персональных данных: что это и как делать правильно
Обработка персональных данных охватывает любые действия с данными о людях: сбор, запись, хранение, использование, передачу. Совершая хотя бы одно из них, компания подпадает под 152-ФЗ.
Что 152-ФЗ относит к обработке ПДн
Согласно ст. 3 152-ФЗ обработка персональных данных охватывает любое действие (операцию) или совокупность действий, совершаемых с персональными данными с использованием средств автоматизации или без таковых.
Сбор и запись
Систематизация
Накопление и хранение
Уточнение и обновление
Извлечение и использование
Передача и распространение
Блокирование и удаление
Обезличивание
Уничтожение
Правовые основания для обработки ПДн
для большинства сайтов
Согласие субъекта
Самое распространённое основание для сайтов и маркетинга. Согласие субъекта должно быть конкретным, информированным и добровольным, а оператор обязан его зафиксировать.
для e-commerce, B2B
Исполнение договора
Если данные необходимы для исполнения договора с субъектом (оказание услуг, доставка товара), отдельное согласие не требуется.
для HR, бухгалтерии
Требование закона
В ряде процессов оператор обрабатывает персональные данные в силу закона: бухгалтерия, кадры, медицина, образование. Основанием служит конкретная норма федерального закона.
ограниченное применение
Законные интересы
Основание применяют ограниченно: оператор доказывает, что его интересы перевешивают интерес субъекта в защите данных.
Обязанности оператора ПДн
01 Уведомить Роскомнадзор о начале обработки персональных данных
02 Разработать и опубликовать политику обработки персональных данных
03 Получать согласие субъекта в случаях, предусмотренных законом
04 Обеспечивать защиту данных техническими и организационными мерами, включая требования к ИСПДн
05 Не передавать персональные данные третьим лицам без правового основания и договора поручения
06 Отвечать на обращения субъектов о доступе, уточнении и уничтожении персональных данных в сроки, установленные ст. 20 152-ФЗ
07 Уведомлять Роскомнадзор о неправомерной передаче персональных данных в течение 24 и 72 часов
08 Хранить данные на серверах, расположенных на территории РФ (для первичного сбора)
09 Уничтожать персональные данные по достижении цели обработки или при отзыве согласия
Проверка обработки на соответствие 152-ФЗ
Аудит покажет, корректны ли правовые основания обработки, есть ли обязательные документы и согласия субъектов.
Частые вопросы
Что считается персональными данными?
Любая информация, которая прямо или косвенно относится к определяемому физическому лицу: фамилия, имя и отчество, email, телефон, адрес, IP-адрес в сочетании с другими данными, cookie-идентификаторы, сведения о местонахождении.
Кто является оператором персональных данных?
Лицо или организация, которые самостоятельно либо совместно с другими определяют цели и способы обработки персональных данных. Компания, которая собирает контактные данные клиентов или ведёт CRM, является оператором.
На каких основаниях можно обрабатывать данные?
152-ФЗ предусматривает несколько оснований: согласие субъекта, исполнение договора, требование закона, защита жизни, осуществление правосудия, выполнение государственных функций. В бизнесе чаще всего применяют согласие субъекта и исполнение договора.
Что такое поручение обработки?
Передавая персональные данные подрядчику (CRM, колл-центр, облачный сервис), оператор поручает обработку по ч. 3 ст. 6 152-ФЗ. Стороны заключают договор поручения, в котором обработчик принимает на себя требования 152-ФЗ к защите данных.
Нужно ли хранить данные только в России?
Первичную запись, систематизацию и накопление персональных данных граждан России оператор ведёт в базах данных на территории РФ (ч. 5 ст. 18 152-ФЗ). Последующая трансграничная передача допустима при соблюдении требований закона.
Как долго можно хранить персональные данные?
Оператор хранит персональные данные не дольше, чем требуется для достижения целей обработки. По достижении цели или при отзыве согласия оператор уничтожает данные в течение 30 дней, если иное не предусмотрено законом.