Персональные данные

Персональные данные и 152-ФЗ на практике

Практика для оператора персональных данных: что требует 152-ФЗ, какие сроки и документы нужны, как отвечать на запросы и что делать при утечке. Тексты опираются на закон и позицию регулятора. Они не заменяют консультацию юриста.

Базовый минимум

Сроки, запросы и инциденты

Технические меры защиты данных разбираются в разделе направлении «Безопасность данных» и в направлении «Управление доступом».

Персональные данные (сокр. ПДн) или личностные данные — сведения, относящиеся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных), которые могут быть предоставлены другим лицам.

Хотя концепция персональных данных довольно стара, развитие сетей связи и автоматизированного анализа данных позволило централизованно собирать и массово продавать данные о человеке, в некоторых случаях — даже воровать. Эти данные помогают выследить человека, спланировать преступление против него или постороннему выдать себя за другого; более мирное применение таким персональным данным — реклама.

Персональные данные — это юридическое, а не техническое понятие, тем не менее современные технологии анализа данных позволяют отличить одного человека от другого по косвенным признакам.

 

Правоотношения, связанные с персональными данными, регулируются Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Персональные данные − это любая информация, относящаяся к человеку, с помощью которой его можно идентифицировать, т.е. опознать: фамилия, имя, отчество, дата и место рождения, телефон, паспортные данные, ИНН, СНИЛС, место работы и должность, сведения об образовании, имуществе и здоровье, семейное и социальное положение, а также изображение человека, и даже cookie файлы в браузере пользователя, – это всё персональные данные.

Для идентификации необходима совокупность таких данных (например, не просто имя и фамилия, а в совокупности с фотографией или с названием должности).

Исчерпывающего перечня персональных данных не существует.

Действия, которые совершаются с персональными данными, называются их обработкой. Это сбор, хранение, распространение, систематизация, использование и т.д.

Во многих случаях манипуляции с персональными данными могут осуществляться только с согласия субъекта персональных данных на их обработку.

Без согласия персональные данные могут быть использованы, например:

1. При распространении общественно-значимой информации.

2. При осуществлении профессиональной деятельности журналиста.

3. Если персональные данные общедоступны (картотеки судебных дел, государственные реестры) либо сам субъект сделал их общедоступными (выложил в социальных сетях).

4. Если персональные данные содержатся в документах, подлежащих обязательному опубликованию в соответствии с законом: например, декларации чиновников о доходах.

Но такое использование персональных данных не должно нарушать права и свободы субъекта персональных данных.

Есть такое понятие, как «специальные персональные данные».

Это указание на расу, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимную жизнь, судимость. Обработка таких сведений допускается только по письменному согласию человека – кроме случаев, когда такие данные являются общедоступными, и случаев, предусмотренных трудовым, пенсионным или страховым законодательством.

Под биометрическими персональными данными понимают сведения, характеризующие физиологические и биологические особенности человека, с помощью которых можно установить его личность: отпечатки пальцев, радужная оболочка глаза, анализы ДНК, рост, вес, фото и видеоизображение человека.

Фотография сама по себе не является персональными данными, но если рядом с ней есть указание на имя и фамилию и/или должность, и это в совокупности позволяет идентифицировать человека, то фото становится «биометрическими персональными данными».

Субъект персональных данных имеет право:

– на доступ к его персональным данным, вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными или незаконно полученными;

– на получение информации, касающейся обработки его персональных данных;

– на обжалование действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных (в Роскомнадзор) или в судебном порядке;

– на возмещение морального вреда и имущественного вреда, и понесенных субъектом персональных данных убытков.

Согласие, данное на обработку персональных данных, может быть отозвано субъектом персональных данных в любое время.

За нарушение законодательства о персональных данных предусмотрена гражданско-правовая, административная и уголовная ответственность.

Гражданско-правовая ответственность наступает за причинение имущественного ущерба или морального вреда, взыскивается в добровольном или судебном порядке.

Административная ответственность предусмотрена по статье 13.11 Кодекса Российской Федерации об административных правонарушениях за нарушение законодательства о персональных данных: выделены семь составов таких правонарушений, размер штрафов по отдельным из них достигает 75 тыс. рублей.

Уголовная ответственность наступает, например, за незаконное распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или СМИ, совершенные лицом с использованием своего служебного положения (ч. 2 ст. 137 УК РФ).

Принимать меры к охране своих персональных данных должен как сам субъект персональных данных, так и оператор, который их обрабатывает. Контроль защиты персональных данных осуществляет Роскомнадзор.

Социальные сети не являются общедоступными источниками информации по смыслу ст. 8 Федерального закона № 152-ФЗ «О персональных данных», вместе с тем, сами субъекты персональных данных делают свои персональные данные общедоступными. То есть, публикация человеком данных о самом себе в социальных сетях или блоге делает их доступными для неограниченного круга лиц, поэтому они могут быть использованы без согласия субъекта персональных данных.

Чтобы сохранить в безопасности свои персональные данные и предотвратить их кражу необходимо быть внимательным и осмотрительным, при передаче кому-либо личной информации.

Следует избегать использования каких-либо личных данных, таких как ИНН, номер телефона или что-либо подобное в пароле или его части.

Нужно как можно меньше публиковать личной информации в социальных сетях и установить двухфакторную аутентификацию, чтобы в случае попытки взлома аккаунта на телефон приходило сообщение. Необходимо использовать антивирусное программное обеспечение для работы в локальных сетях и сети Интернет, а при загрузке на личные устройства программ, проверять репутацию компании, которая их продает.