Что нужно знать бизнесу о персональных данных?

Последний год ведется бурное обсуждение законопроекта об оборотных штрафах за утечки персональных данных (ПДн), принятого в декабре 2023 года в 1-ом чтении в Госдуме. Однако масштабные утечки чаще всего случаются у крупных операторов и их количество не превышает несколько сотен в год. Операторов, не подавших уведомление в Роскомнадзор до начала обработки ПДн, – тысячи, если не десятки тысяч.

Оборотные штрафы за утечки, но не только

Данным законопроектом штраф для юридических лиц за неподачу уведомления увеличивается с 5 000 руб. до 300 000 руб.

Если вы еще не выполнили требования ст. 22 Федерального закона «О персональных данных» от 27.07.2006 № 152-ФЗ (152-ФЗ), то возможно самое время систематизировать ПДн, обрабатываемые в компании, сделать реестр ПДн и уведомить регулятора. Наша компания разработала сервис Privacy Box для автоматизации ведения реестра процессов обработки персональных данных, который может вам освободить более 40% рабочего времени на сбор документации и поддержание процессов в соответствии с 152-ФЗ.

Касательно утечек, проверьте, как минимум, выполняются ли у вас требования Приказа ФСТЭК России от 18.02.2013 № 21 и Постановления Правительства РФ от 01.11.2012 № 1119. От наказания это не освободит, но, возможно, позволит снизить сумму штрафа.

Проверки сайтов и новые индикаторы риска для внеплановых проверок

Пока действует мораторий Роскомнадзор продолжает осуществлять проверочные мероприятия без взаимодействия с операторами.

Проверьте, что у вас на сайте:

опубликована Политика по обработке ПДн и доступна на каждой странице, где производится сбор ПДн. (Более подробно с требованиями к Политике можете ознакомиться в нашей статье)

отдельные согласия на обработку ПДн с целью направления рекламы (осознанное принятие риск-ориентированного подхода тоже возможно)

распространяются ПДн с согласия лица, полученного в порядке ст. 10.1 152-ФЗ

Если штраф за непубликацию Политики уже не в новинку, то стоит обратить внимание на новые индикаторы риска, установленные Приказом Минцифры России от 15.11.2021 № 1187 в декабре 2023 г. Согласно данному документу регулятор может прийти с внеплановой проверкой, если установит более 3 различий между уведомлениями, поданными в порядке ст. 22 152-ФЗ, о трансграничной передаче (ст. 12 152-ФЗ), и Политикой.

К примеру, если на сайте используется Google Analytics, а Роскомнадзор не уведомлен о такой передаче – это расхождение.

Использование персональных данных для направления рекламы

Пропорционально повышению уровню правовой грамотности граждан-субъектов ПДн, увеличивается количество требований о прекращении обработки ПДн в целях продвижения услуг.

При этом за соблюдением требований о добровольности получения рекламы следит не только Роскомнадзор, но и ФАС. Учитывая новые поправки к статье 14.3 КоАП РФ, обратить на себя внимание второго регулятора даже страшнее: штраф от 300 000 руб. до 1 млн за неполученные/неправомерно полученные согласия.

Документальное оформление обработки ПДн

В 2024 году все-еще есть вопросы о том, какое количество документов должно быть, чтобы соответствовать 152-ФЗ.

В рамках последних изменений следует обратить внимание на корректное оформление согласий сотрудников на передачу персональных данных в формате одна цель – одно согласие. Прошлой зимой штрафы за несоблюдение обязательной письменной формы (ст. 9 152-ФЗ) были увеличены и теперь составляются от 300 до 700 000 руб. (ч. 1 ст. 13.11 КоАП РФ).

Обязательная письменная форма также установлена для согласий на обработку биометрических ПДн и специальных категорий ПДн.

Оставить заявку на консультацию по разработке необходимых документов по 152-ФЗ

ЗАПИСАТЬСЯ НА КОНСУЛЬТАЦИЮ

Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе последних новостей и событий!

бизнес

юридические вопросы

маркетинг

Материалы по теме