20.Правовое регулирование персональных данных

На территории Российской Федерации в отношении любых действий и процессов, связанных с персональными данными граждан, действует Федеральный закон № 152 «О персональных данных». ФЗ № 152 распространяется на все организации, зарегистрированные в России, а также представительства иностранных компаний, находящихся в пределах страны.

Согласно ФЗ № 152, под понятие «персональные данные» попадает любая личная информация о гражданине страны, которая позволяет установить его личность.

Основные требования к операторам персональных данных в России

1. Компания-оператор, работающая с базой персональных данных, обязана сообщить каждому субъекту, с какой целью собираются данные о нем, а также получить его согласие на обработку этих данных.

2. В случае, когда личные данные предоставляются онлайн, например, при заполнении какой-либо контактной формы в интернете, на сайте должен быть предусмотрен раздел с Политикой в отношении обработки персональных данных и их конфиденциальности. В самой форме для сбора персональных данных должен присутствовать дисклеймер, проставляя галочку в котором, посетитель сайта дает свое согласие на отправку и дальнейшую обработку своих данных.

3. В случае, если гражданин не дал своего согласия на использование личной информации, данные для обработки могут быть заимствованы из открытых источников. Однако, в отношении этого пункта следует быть предельно внимательными, так как в России уже были прецеденты, когда суд признавал незаконность подобного способа использования информации.

4. Нельзя собирать персональные данные, которые не соотносятся с конечной целью их обработки, вся лишняя информация также должна быть удалена. Например, интернет-магазины не вправе требовать от покупателей предоставление сканов паспортов.

5. В случае, когда цель обработки данных достигнута, личная информация гражданина должна быть удалена или обезличена так, чтобы он не мог быть идентифицирован по хранящимся данным.

Основные требования к операторам персональных данных в Европе

1. Разрешение на обработку личной информации должно быть получено от субъекта персональных данных. Если такого согласия нет, то дальнейшие действия с персональными данными противозаконны. Понятие «молчание – знак согласия» не имеет законного действия, равно как и бездействие субъекта в ответ на запрос согласия по обработке его данных.

2. Обработка персональных данных должна проводиться с конкретной конечной целью, которая также должна быть доведена до сведения гражданина. Если собранные данные излишне или не отвечают конечной цели, их обработка строго запрещена. После достижения цели обработки персональных данных они должны быть полностью удалены. Сюда же относится необходимость удаления личной информации о пользователе при поступлении соответствующего запроса с его стороны.

3. Компания-оператор, работающая с базой персональных данных пользователей, должна обеспечить их надежную защиту, включая схемы и последовательность шагов, которые будут предприняты в случае возникновения угрозы безопасности данных. При хранении личной информации также должна быть обеспечена ее полная конфиденциальность путем шифрования данных.

4. Компания-оператор, работающая с базой персональных данных, должна назначить ответственное лицо, которое будет контролировать все процессы, связанные с ПД, а также выполнение требований нормативных актов. Пристальное внимание уделяется компаниям, которые работают с большими массивами данных.

5. В случае возникновения факта утечки данных необходимо в обязательном порядке проинформировать регулирующий орган. Подобное уведомление должно быть сделано компанией-оператором в течение 3-х дней с момента возникновения угрозы утечки данных.

В Евросоюзе предусмотрены очень большие штрафы за нарушение требований GDPR, их сумма может достигать 4% от ежегодного оборота компании. Под юрисдикцию регулятора попадают прежде всего такие крупные компании, как Google и Facebook. При этом регулятор действует довольно мягко и последовательно, давая компаниям время на адаптацию к введенным требованиям.

И российское, и европейское законодательство предусматривают возможность передачи персональных данных сторонней организации на хранение и обработку. Сегодня все чаще в этой роли выступают облачные сервис-провайдеры, полностью отвечающие всем требованиям законодательства и обеспечивающие всю необходимую техническую инфраструктуру для хранения и работы с массивами персональной информации.