Передача сведений об обработке персональных данных – неформальность, а установленные требования законодательства, нарушение которых грозит административной ответственностью. Оператор обязан сообщать конкретную информацию в Роскомнадзор до начала обработки или при изменении параметров обработки, включая цели, категории данных, меры защиты, а также сведения о трансграничной передаче.
Согласно статье 22 Федерального закона № 152-ФЗ, уведомление направляется в форме, утверждённой уполномоченным органом. В нем указывается точное наименование оператора, правовое основание обработки, категории субъектов и используемые способы обработки. При отсутствии уведомления либо при указании недостоверных сведений оператор может быть привлечён к ответственности по статье 13.11 КоАП РФ.
Особое внимание следует уделить передаче данных третьим лицам и трансграничной передаче. В этих случаях оператор обязан указывать сведения о принимающих странах, а также обеспечении ими адекватного уровня защиты прав субъектов. Передача возможна только при наличии согласия либо на основании международного договора, ратифицированного РФ.
Рекомендуется вести внутренний реестр операций обработки и регулярно актуализировать информацию, направляемую в Роскомнадзор. При внесении изменений в цели или состав обрабатываемых данных, оператор обязан направить новое уведомление в течение 10 рабочих дней. Несвоевременное обновление – нарушение режима обработки, за которое предусмотрены штрафы до 60 000 рублей.
Какие сведения об обработке персональных данных оператор обязан раскрывать
Оператор персональных данных обязан предоставить субъекту персональных данных исчерпывающую информацию об условиях и целях обработки. В первую очередь указывается наименование и адрес оператора, включая контактные данные ответственного за организацию обработки персональных данных.
Обязательно раскрываются правовые основания обработки. Например, это может быть согласие субъекта или исполнение договора, стороной которого он является. Также указывается перечень персональных данных, которые собираются и обрабатываются, и способы их получения – от самого субъекта или из открытых источников.
Оператор должен информировать о целях обработки, таких как исполнение трудовых обязанностей, ведение бухгалтерского учёта, выполнение обязательств перед государственными органами. Каждая цель должна быть конкретизирована – обобщённые формулировки недопустимы.
Дополнительно раскрываются сведения о сроках обработки и порядке уничтожения данных. Если обработка осуществляется с использованием информационных систем, необходимо указать, применяется ли автоматизированная обработка, в том числе профилирование.
Если данные передаются третьим лицам, оператор обязан сообщить, кому именно и с какой целью они передаются. В случаях трансграничной передачи раскрывается информация о стране получателя и обеспечиваемом уровне защиты персональных данных.
Также предоставляются данные об установленной политике в отношении обработки персональных данных и о правах субъекта – в частности, о праве отозвать согласие, требовать уточнения, блокирования или уничтожения данных, а также о порядке обращения с соответствующими требованиями.
Когда оператор обязан уведомить Роскомнадзор о начале обработки
Оператор обязан уведомить Роскомнадзор до начала обработки персональных данных в случаях, предусмотренных частью 1 статьи 22 Федерального закона № 152-ФЗ. Уведомление требуется, если хотя бы одно из условий соблюдается:
– предполагается обработка персональных данных с использованием средств автоматизации;
– осуществляется обработка специальных категорий данных (например, биометрических или о состоянии здоровья);
– обработка затрагивает персональные данные несовершеннолетних;
– планируется передача данных третьим лицам, включая трансграничную передачу;
– создаются базы данных, содержащие персональные данные более 1000 субъектов;
– осуществляется обработка, не соответствующая целям, указанным при сборе данных;
– оператор входит в реестр организаторов распространения информации в интернете;
– данные обрабатываются для продвижения товаров, работ и услуг по каналам связи (телемаркетинг, рассылки и т.п.).
Уведомление подается через онлайн-сервис Роскомнадзора. В нем указываются сведения об операторе, цели и категории обрабатываемых данных, способы обработки, меры защиты и контактные данные ответственного лица. Без подачи уведомления обработка данных в вышеуказанных случаях считается незаконной.
Если обработка осуществляется исключительно в рамках трудовых или договорных отношений без передачи третьим лицам и не применяется автоматизация, то уведомление не требуется. Однако при малейшем отклонении от этих условий регистрация обязательна.
Рекомендуется документально зафиксировать правовые основания для отказа от уведомления, чтобы при проверке подтвердить легальность обработки.
Какую информацию оператор указывает при регистрации в реестре
При подаче уведомления в Роскомнадзор оператор обязан предоставить строго определённый перечень сведений, предусмотренный пунктом 3 статьи 22 Федерального закона № 152-ФЗ. Неполное или искажённое указание информации может стать основанием для отказа в регистрации.
Оператор указывает полное наименование юридического лица или фамилию, имя, отчество (при наличии) индивидуального предпринимателя, а также их ИНН и ОГРН/ОГРНИП. Обязательно указывается местонахождение, почтовый адрес и фактический адрес ведения деятельности, связанной с обработкой персональных данных.
Необходимо обозначить цель обработки персональных данных в формулировке, позволяющей однозначно определить, зачем собираются данные. Примеры: исполнение трудового договора, предоставление образовательных услуг, организация пропускного режима и т.д.
Указывается категория персональных данных, в том числе специальные и биометрические, если они обрабатываются. Также необходимо отметить наличие трансграничной передачи и страну-получателя, если такая передача осуществляется.
Оператор сообщает правовое основание обработки: договор, закон, согласие субъекта и т.п. При наличии согласия – указывается его форма (письменная, электронная, иная) и способ получения.
Обязательным является указание категории субъектов персональных данных (например, сотрудники, клиенты, контрагенты) и описание мер, принимаемых для обеспечения безопасности данных, включая сведения о применяемых системах защиты и наличии угроз.
Отдельно указывается срок обработки или критерии его определения. Если оператор планирует передавать данные третьим лицам, необходимо указать их категории и цели передачи.
Ответственным за организацию обработки персональных данных должен быть назначен сотрудник, чьи контактные данные также подлежат указанию в уведомлении.
В каких случаях оператор обязан обновлять данные в реестре
- Изменение целей обработки персональных данных. Если оператор пересматривает назначение сбора и использования данных – необходимо направить обновленное уведомление.
- Добавление или исключение категорий персональных данных. Это включает переход к обработке биометрических или специальных категорий данных, ранее не указанных.
- Назначение нового лица, ответственного за организацию обработки. Фамилия, имя, отчество и контактные данные ответственного должны быть актуальными в реестре.
- Изменение правовых оснований обработки. Например, при переходе с согласия субъекта на исполнение договора или законное обязательство.
- Изменение используемых способов обработки. Переход с автоматизированной на смешанную или неавтоматизированную обработку требует корректировки сведений.
- Обновление перечня трансграничных передач. При установлении новых направлений передачи данных за рубеж – сведения необходимо актуализировать.
- Изменение наименования или адреса оператора, включая изменение организационно-правовой формы.
Изменения необходимо направить в Роскомнадзор не позднее чем в течение 10 рабочих дней с момента их наступления. Несвоевременное обновление влечёт административную ответственность по статье 19.7 КоАП РФ.
Что включают уведомления об изменении условий обработки
При изменении условий обработки персональных данных оператор обязан направить уведомление в Роскомнадзор, содержащее конкретизированную информацию по изменённым параметрам. В первую очередь указывается дата внесения изменений и их правовое основание – например, изменение цели обработки или состава обрабатываемых данных.
В уведомление включается уточнённая цель обработки, если она была пересмотрена. Например, если ранее данные собирались только для оказания услуг, а теперь – и для маркетинговой рассылки, это должно быть отражено. Также необходимо сообщить о дополнении или изменении категории персональных данных, включая переход к обработке специальных или биометрических данных.
Если произошла смена правового основания обработки – например, с согласия субъекта на исполнение договора, это также подлежит указанию. Аналогично, при изменении состава операторов или совместных операторов, уведомление должно содержать сведения о новых участниках обработки с полными реквизитами.
Дополнительно указывается информация об изменении места хранения данных, технических и программных средствах, а также о новых трансграничных передачах, если такие появились. В случае прекращения ранее заявленных трансграничных операций, это также фиксируется в уведомлении.
При изменении сроков обработки или новых основаниях для уничтожения данных после достижения цели, оператор обязан отразить новые условия хранения. Если осуществляется передача данных третьим лицам, сведения о них уточняются: наименование, ИНН, цель передачи.
Все обновления вносятся не позднее семи рабочих дней с момента вступления изменений в силу. Нарушение сроков или неполнота сведений может привести к административной ответственности по ч. 7 ст. 13.11 КоАП РФ.
Как и в какие сроки оператор обязан предоставлять информацию субъекту
Оператор обязан предоставить субъекту персональных данных исчерпывающую информацию о факте и условиях обработки данных по его запросу. Запрос может поступать в любой форме, в том числе устно или письменно, через электронные средства связи.
Срок предоставления информации установлен не позднее 30 календарных дней с момента получения запроса. При необходимости, если запрос содержит большой объем информации или требует дополнительного изучения, срок может быть продлен, но не более чем на 30 календарных дней с обязательным уведомлением субъекта.
Информация должна быть передана в доступной форме, понятной для субъекта данных. В случаях, когда субъект обратился устно, оператор может предоставить ответ устно или в письменном виде по запросу субъекта. При письменном обращении ответ направляется в той же форме, если иное не оговорено субъектом.
Оператор не вправе взимать плату за предоставление информации, кроме случаев, предусмотренных законом, например, если запрос носит явно необоснованный или повторяющийся характер. В таких ситуациях оператор вправе потребовать оплату, но с обязательным уведомлением субъекта.
Предоставляемая информация должна включать основания и цели обработки, перечень передаваемых третьим лицам данных, срок хранения, а также способы и условия реализации субъектом прав в сфере персональных данных.
В случае отказа в предоставлении информации оператор обязан сообщить субъекту мотивированный отказ в течение того же 30-дневного срока, с указанием причин и порядка обжалования.
Ответственность оператора за непредоставление или искажение сведений
Оператор персональных данных несет прямую юридическую ответственность за непредоставление, сокрытие или искажение сведений, связанных с обработкой персональных данных. Нарушение требований законодательства в этой сфере ведет к следующим последствиям:
- Административная ответственность: предусмотрена штрафами согласно статье 19.7 КоАП РФ. Размер штрафа для должностных лиц может достигать 50 тысяч рублей, для юридических – до 500 тысяч рублей.
- Гражданско-правовая ответственность: при наличии доказанной причинно-следственной связи между искажением сведений и ущербом субъекту данных оператор обязан компенсировать убытки в полном объеме.
- Уголовная ответственность: в случае злостного нарушения, повлекшего серьезные последствия, предусмотрена статья 137 УК РФ (нарушение неприкосновенности частной жизни) с наказанием вплоть до лишения свободы.
Для снижения рисков оператору рекомендуется:
- Внедрить внутренние процедуры контроля достоверности и полноты предоставляемой информации.
- Обеспечить своевременное обновление данных при любых изменениях в процессах обработки.
- Документировать все обращения субъектов данных и результаты их обработки.
- Проводить регулярные аудиты и обучение сотрудников по требованиям законодательства о персональных данных.
Нарушение обязанностей по предоставлению точной и полной информации создает предпосылки для привлечения к ответственности и подрывает доверие субъектов персональных данных к оператору.
Вопрос-ответ:
Какие сведения оператор обязан передавать субъекту персональных данных при обработке?
Оператор должен предоставить информацию о целях обработки данных, основаниях для обработки, категориях обрабатываемых персональных данных, получателях данных, сроках хранения и правах субъекта данных. Эти сведения нужны для того, чтобы субъект мог понять, каким образом и для чего используются его данные, и имел возможность контролировать этот процесс.
В какие сроки оператор обязан предоставить информацию субъекту после запроса?
После получения запроса субъекту персональных данных оператор должен предоставить необходимую информацию не позднее одного месяца. При необходимости срок может быть продлен еще на два месяца, но при этом оператор обязан уведомить субъекта о причинах задержки в течение первого месяца.
Какие меры ответственности применяются к оператору за непредоставление или искажение сведений о обработке данных?
В случае непредоставления информации или предоставления ложных данных оператор может быть привлечен к административной ответственности, включая штрафы. Кроме того, такие действия могут привести к ущербу для репутации и судебным искам от субъектов персональных данных.
Как оператор должен информировать субъектов об изменениях в условиях обработки персональных данных?
Изменения в условиях обработки оператор обязан довести до сведения субъектов данных путем уведомления, которое должно содержать подробную информацию об изменениях, их причинах и последствиях. Уведомление должно быть направлено до начала применения новых условий и должно быть легко доступно для субъектов.
В каких случаях оператор обязан обновлять данные в реестре обработки персональных данных?
Оператор обязан обновлять сведения в реестре при изменении ключевых параметров обработки: например, при смене цели обработки, изменении категорий данных, расширении круга получателей, изменении адресов и контактных данных, а также при прекращении обработки. Обновления должны вноситься своевременно, чтобы информация оставалась актуальной.
Какие конкретные сведения оператор обязан предоставить субъекту данных при запросе информации об обработке?
Оператор должен сообщить субъекту данных точный перечень целей, для которых осуществляется обработка его персональных данных, а также описать категории собираемой информации. Кроме того, требуется указать правовые основания обработки, сроки хранения данных и лица, которые могут иметь к ним доступ. Также важно проинформировать о способах защиты информации и возможностях субъекта в части контроля и управления своими данными, например, о праве на внесение изменений или удаление.
Загрузка...
