Когда предприниматель нарушает закон о персональных данных и не знает этого

Весна – время цветови

Только за 2022 год Роскомнадзор оштрафовал операторов персональных данных за нарушения в работе более чем на 50 млн. рублей. Некоторые предприниматели даже не догадываются, что нарушают закон.

В данной статье мы рассмотрим самые распространенные ошибки, которые допускают предприниматели из-за незнания закона о персональных данных.

Прочитайте и проверьте — не грозит ли вам штраф.

Ошибка 1: недостаточное знание законодательства

Меня зовут Татьяна Никонорова, я работаю ведущим консультантом по информационной безопасности и занимаюсь разработкой организационно-распорядительных документов. Проще говоря, перевожу сложный юридический язык на понятный русский -))

Когда я говорю, что занимаюсь защитой персональных данных, один из самых частых вопросов ко мне звучит примерно так: Как мне отказаться от обработки моих персональных данных?. Я решила рассмотреть данный вопрос не только с точки зрения требований законодательства, но и опираясь на свой практический опыт.

Надеюсь, в моей колонке вы найдете ответы на все свои вопросы. А если нет, давайте общаться в комментариях.

Как прекратить обработку персональных данных?

Случай 1: клиент по договору

Если вы являетесь клиентом по договору и на основании договора уже передали оператору персональные данные в большем объеме, чем вам хотелось бы, вам необходимо:

1. Изучить персональные данные, необходимые для исполнения договора.
2. Написать оператору об прекращении обработки ненужных для исполнения договора данных.
3. Оператор должен ответить на ваше обращение в течение 10 рабочих дней.

Случай 2: соискатель или работник

Если ваши персональные данные обрабатываются исключительно на основании Трудового кодекса РФ, работодатель не имеет права требовать от вас предоставление персональных данных, превышающих необходимый объем.

Вы также имеете право на полную информацию об обработке ваших персональных данных. Если работодателю нужны дополнительные данные, не связанные с трудоустройством, необходимо оформить согласие на их обработку.

При расторжении трудового договора вы имеете право отозвать согласие на обработку персональных данных.

Случай 3: использование данных в рекламных целях

Если ваши данные используются без вашего согласия в рекламных или прочих целях, вам необходимо обратиться к оператору с требованием о прекращении такой обработки.

Надеемся, что эта информация поможет вам защитить свои права и избежать штрафов за нарушение закона о персональных данных. Если у вас остались вопросы, не стесняйтесь задавать их в комментариях.

Данный текст представляет собой общую информацию и не может использоваться в качестве юридического совета. Для решения конкретных вопросов рекомендуется обратиться к квалифицированному юристу.

## Предотвращение незаконной обработки персональных данных

Предположим, вам систематически называются с предложениями услуг или присылают персональные предложения на скидку. А может звонят коллекторы, чтобы заставить кого-то заплатить долг. Нужно уточнить, откуда получены ваши персональные данные.

Если данные получены от третьих лиц или из открытых источников, то вы можете подать жалобу в Роскомнадзор на незаконную обработку персональных данных, потому что право предоставлять ваши персональные данные имеете только вы или ваш законный представитель, оформленный соответствующим образом. Например, для несовершеннолетних детей – родители; для всех – человек, действующий на основе доверенности с правом совершать действия от имени субъекта персональных данных.

## Изменения в законодательстве

В начале мая, как раз, появился законопроект, предусматривающий повышение административного штрафа за незаконную обработку персональных данных без согласия субъекта (в случаях, когда оно необходимо).

## Полезные советы от Роскомнадзора

Роскомнадзор опубликовал в августе 2023 года Рекомендации операторам персональных данных. Что он советует:

- Проведите инвентаризацию всех бизнес-процессов
- Оцените, какие персональные данные вам нужны для работы, а какие — нет
- У вас должен быть Акт оценки вреда при утечке данных

## Пример

Пример. Клиент интернет-магазина покупает товар с самовывозом из пункта выдачи заказов. Владелец магазина при оформлении заказа запрашивает с него: Ф.И.О., мобильный телефон, дату рождения, домашний адрес, паспортные данные, адрес электронной почты.

Предприниматель может собирать только те персональные данные, которые совместимы с целями их обработки. Запрашивая избыточную личную информацию с граждан, он нарушает ст. 5 закона о персональных данных. В примере c доставкой самовывозом домашний адрес клиента, e-mail и дата рождения продавцу не нужны.

За такое нарушение оператор ПД получит штраф по ч. 1 ст. 13.11 КоАП РФ. Для индивидуального предпринимателя он составит:

## Куда обратиться

Что делать и куда обратиться, если обработка персональных данных не прекращается после вашего запроса? Вы всегда можете подать жалобу на незаконную обработку ваших персональных данных через электронную приемную Роскомнадзора: [ссылка](https://rkn.gov.ru/treatments/ask-question/)

Если вам направляют рекламу, несмотря на отказ от нее, вы можете обратиться.

Обработка персональных данных в отсутствие согласия

В отсутствие согласия субъекта персональных данных оператор может обрабатывать конфиденциальную информацию о гражданах лишь в случаях, перечисленных в п. 2-11 ч. 1 ст. 6 Закона № 152-ФЗ.

Отметим, данный перечень сформулирован исчерпывающим образом и расширительному толкованию не подлежит.

Основания для обработки без согласия

В статье установлены основания, освобождающие оператора от получения согласия граждан на обработку персональных данных:

• В п. 2 ч. 1 ст. 6 Закона № 152-ФЗ
• Пункты 3 и 3.1 ч. 1 ст. 6 Закона № 152-ФЗ

Примеры обработки без согласия

Пункты 3 и 3.1 ч. 1 ст. 6 Закона № 152-ФЗ позволяют обработку персональных данных без согласия граждан в случаях участия лица в различных судопроцессах, как конституционных, гражданских, административных, так и уголовных.

Также, обработка персональных данных, необходимая для исполнения полномочий различных органов (например, федеральных органов исполнительной власти, органов местного самоуправления) и функций организаций, участвующих в предоставлении государственных и муниципальных услуг, также не требует согласия субъекта (п. 4 ч. 1 ст. 6 Закона № 152-ФЗ).

Необходимость обработки для исполнения договора

Не требуется согласие гражданина на обработку его персональных данных, если она необходима для исполнения договора, стороной которого является субъект данных. Также не требуется согласие для заключения договора по инициативе самих данных субъектов или договора, по которому они будут выгодоприобретателями или поручителями (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ).

Обработка персональных данных при заключении и исполнении договоров

Это основание применимо лишь в тех случаях, когда субъект персональных данных либо выступает стороной договора, либо является выгодоприобретателем или поручителем по договору.

Выгодоприобретатель и поручитель

Под выгодоприобретателем гражданское законодательство подразумевает лицо, в пользу которого заключен договор (ст. 430 Гражданского кодекса). Это может быть лицо, в пользу которого застраховано имущество по договору страхования (ст. 930 ГК РФ); лицо, в интересах которого осуществляется доверительное управление имуществом (ст. 1012 ГК РФ); лицо, в пользу которого открыт банковский вклад (ст. 842 ГК РФ), и др.

Поручитель – это лицо, заключившее договор поручительства, по которому он обязывается перед кредитором другого лица отвечать за исполнение последним его обязательства полностью или в части (п. 1 ст. 361 ГК РФ).

Ограничения обработки данных

Обработка персональных данных в подобных случаях должна строго ограничиваться целями заключения и исполнения договора. Не допускается в отсутствие согласия участника договорного правоотношения передача его персональных данных третьим лицам в рекламных или маркетинговых целях.

Хранение и передача информации

Хранение же и передача необходимой информации, содержащей персональные данные, в уполномоченные органы (например, налоговые, органы валютного контроля и т. п.) могут осуществляться оператором без согласия субъекта на основании соответствующего законодательства.

Другие основания для обработки данных

Кроме того, с 1 сентября 2022 г. приведенный пункт дополнен требованием о том, что договор с гражданином не может содержать положения, ограничивающие права и свободы субъекта персональных данных, а также условия, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.

Обработка данных для защиты жизни и здоровья

Одно из оснований допускает возможность обрабатывать персональные данные физического лица без его согласия, если это необходимо для защиты жизни, здоровья или других жизненно важных интересов субъекта, и получить его согласие невозможно. Например, передача информации о малолетних детях, находящихся в трудной жизненной ситуации.

Эти правила должны соблюдаться операторами при обработке персональных данных в контексте заключения и исполнения договоров с физическими лицами.

Обработка персональных данных возможна без согласия субъекта, если она необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 Закона № 152-ФЗ).

По сути данное основание позволяет оператору оправдать осуществляемую им обработку персональных данных собственными законными правами и интересами или законными интересами и правами иных лиц либо публичными интересами. Но при этом он должен подтвердить, что подобная обработка не имеет отрицательных последствий для субъекта персональных данных. Заметим, что риск возможного несогласия с такой оценкой как со стороны субъекта, так и контролирующих органов несет оператор, поскольку бремя доказывания перечисленных условий возлагается на него.

Не требуется согласие лица, если обработка его персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации (СМИ) либо научной, литературной или иной творческой деятельности (п. 8 ч. 1 ст. 6 Закона № 152-ФЗ). Данное основание гарантирует профессиональным журналистам и СМИ реализовать предоставленное им право на свободу слова (ст. 29 Конституции РФ), право на свободу литературного, художественного, научного, технического и других видов творчества, преподавания (ст. 44 Конституции РФ), но только в той мере, в которой не нарушаются права и законные интересы субъектов персональных данных.

Закон допускает обработку персональных данных без согласия субъекта в статистических или иных исследовательских целях, при условии обязательного обезличивания этих данных (п. 9 ч. 1 ст. 6 Закона № 152-ФЗ). Под обезличиванием понимается действие, в результате которого становится невозможным определить принадлежность персональных данных конкретному субъекту персональных данных.

В силу прямого указания закона такая обработка не должна использоваться в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации (ст. 15 Закона № 152-ФЗ). Подчеркнем также, что это основание не распространяется на специальные категории персональных данных.

Приказом Роскомнадзора от 5 сентября 2013 г. № 996 утверждены требования и методы по обезличиванию персональных данных. Однако данный документ предназначен для операторов, являющихся государственными или муниципальными органами. Какой-либо иной нормативно-правовой акт, регламентирующий процедуру обезличивания персональных данных, в настоящее время отсутствует.

С 1 июля 2020 года Федеральным законом от 24 апреля 2020 г. № 123-ФЗ ч. 1 ст. 6 Закона № 152-ФЗ дополнена п. 9.1, в силу которого в отсутствие согласия возможна обработка личных данных физических лиц, полученных в результате обезличивания персональных данных, которая осуществляется в целях повышения эффективности государственного или муниципального управления, а также в иных целях, предусмотренных данным законом.

Отметим, что Закон № 123-ФЗ создает правовую основу для разработки и внедрения технологий искусственного интеллекта и последующего возможного использования его результатов. Согласно его нормам с 1 июля 2020 года в Москве на пять лет установлен специальный экспериментальный режим, в рамках которого осуществляется нормативное правовое регулирование для создания технологий искусственного интеллекта. При этом под искусственным интеллектом понимается комплекс технологических решений, позволяющий имитировать когнитивные функции человека (включая самообучение и поиск решений без заранее заданного алгоритма) и получать при выполнении конкретных задач результаты, сопоставимые, как минимум, с результатами интеллектуальной деятельности человека. Комплекс технологических решений включает в себя информационно-коммуникационную инфраструктуру, программное обеспечение, процессы и сервисы по обработке данных и поиску решений (ст. 2 Закона № 123-ФЗ).

Целями установления такого режима являются обеспечение повышения качества жизни населения; повышение эффективности государственного или муниципального управления; повышение эффективности деятельности хозяйствующих субъектов в ходе внедрения технологий искусственного интеллекта; формирование комплексной системы регулирования общественных отношений, возникающих в связи с развитием и использованием технологий искусственного интеллекта, по результатам установления экспериментального правового режима (ч. 1 ст. 3 Закона № 123-ФЗ).

Безусловно, технологии искусственного интеллекта представляют потенциальную угрозу для неприкосновенности частной жизни, а зачастую сознательно проектируются для идентификации физических лиц. Поэтому разработчикам искусственного интеллекта важно не нарушать право граждан на защиту их персональных данных. Участники эксперимента несут ответственность за соблюдение прав субъектов персональных данных в соответствии с Законом № 152-ФЗ в течение всего срока проведения эксперимента и после прекращения их участия в эксперименте (ч. 6 ст. 4 Закона № 123-ФЗ).

И, наконец, последнее основание для обработки персональных данных без согласия субъекта касается случаев, когда эти данные подлежат опубликованию или обязательному раскрытию в соответствии с федеральным законом (п. 11 ч. 1 ст. 6 Закона № 152-ФЗ). Примерами требований законодательства являются положения, обязывающие граждан, претендующих на замещение должностей государственной или муниципальной службы, представлять работодателю сведения о своих доходах, об имуществе и обязательствах имущественного характера, а также о доходах, об имуществе и обязательствах имущественного характера своих супруги (супруга) и несовершеннолетних детей (ст. 8 Федерального закона от 25 декабря 2008 г. № 273-ФЗ "О противодействии коррупции"); требования законодательства о банкротстве об опубликовании идентифицирующих сведений о должнике-гражданине (ст. 213.7 Федерального закона от 26 октября 2002 г. № 127-ФЗ "О несостоятельности (банкротстве)"), медицинская организация обязана информировать граждан в доступной форме, в том числе с использованием Интернета, о своих медицинских работниках, уровне их образования, квалификации (п. 7 ч. 1 ст. 79 Федерального закона от 21 ноября 2011 г. № 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации") и др.

В частности, применительно к медицинским работникам, Конституционный Суд Российской Федерации указал, что, реализуя право свободно распоряжаться своими способностями к труду, выбирать род деятельности и профессию (ч. 1 ст. 37 Конституции РФ), лицо тем самым выражает и свое согласие с установленными законодателем условиями и требованиями, обеспечивающими повышенную открытость сведений о деятельности и компетенции представителей отдельных профессий (Постановление КС РФ от 25 мая 2021 г. № 22-П).

Последняя актуализация: 23 июня 2023 г.

Что делать, если я хочу отозвать согласие на обработку персональных данных?

Вы имеете право отозвать свое согласие на обработку персональных данных в любое время (п. 2 ст. 9 152-ФЗ). Вам не требуется даже указывать причину такого решения.

Достаточно направить в адрес оператора уведомление в письменной форме об отзыве согласия на обработку ваших персональных данных. Обычно в политике обработки персональных данных, которая должна быть на каждом сайте, или в согласии, которое вы подписывали, будет указан порядок отзыва согласия на обработку персональных данных. После получения отзыва оператор обязан прекратить обработку и уничтожить персональные данные не позднее чем через 30 дней (п. 5 ст. 21 152-ФЗ), если он не имеет иных оснований обработки ваших персональных данных. Если оператор не имеет возможности уничтожить персональные данные в этот срок, то он осуществить блокирование данных и обеспечить уничтожение в срок не более чем 6 месяцев.

Что требуется для законной обработки персональных данных?

Для того, чтобы законно обрабатывать персональные данные оператор (организация, ИП, работодатель и т.д) должен иметь хотя бы одно из правовых оснований обработки, определённых в ч.1 ст.6 152-ФЗ:

Таким образом только в одном из 10 случаев вы можете отказаться от обработки ваших персональных данных — при обработке на основании согласия на обработку. В других случаях требовать прекращения обработки данных можно при несоответствии или избыточности перечня данных по отношению к основанию обработки.

При этом согласие – самое частое основание для обработки персональных данных в России. Его собирают и работодатели, и компании, заключающие договора в интересах субъектов, для подстраховки. Согласно практике проверок Роскомнадзора, в России проще всего показать подписанное субъектом согласие, а не доказывать иные основания обработки. Российское законодательство, в отличии от европейского, не запрещает иметь несколько оснований обработки.

Берут одно согласие на все случаи обработки

Пример. Владелец сервиса «Муж на час» публикует на своём сайте данные своих работников с фото, номерами мобильных телефонов, а также отзывы клиентов с указанием их e-mail, ссылок на профиль в соцсетях. Отдельного согласия на распространение персональных данных он не получает. У него есть одно согласие на обработку ПД, которое подписывают работники у кадровика, и одно общее согласие от клиентов на обработку ПД при входе на сайт.

Публикация телефонов, e-mail и имён своих сотрудников или клиентов в интернете, в рекламных буклетах либо на корпоративной доске при входе в офис — это распространение персональных данных. В этом случае доступ к ним получает любой желающий, то есть «неопределённый круг лиц».

На распространение ПД нужно получать отдельное согласие в письменной форме, чтобы не нарушать ст. 10.1 закона от 27.07.2006 № 152-ФЗ «О персональных данных». Иначе предприниматель может заплатить штраф по ч. 2 ст. 13.11 КоАП РФ:

Если данные граждан публикуются на сайте с иностранным доменом, то наказание будет ещё строже — по ч. 8 и 9 ст. 13.11 КоАП РФ. Это штраф для ИП от 100 000 до 800 000 рублей.

Проверьте, где вы размещаете в открытом доступе данные работников и клиентов. На все эти случаи получите согласие на распространение ПД. Для формы этого документа есть свои требования.

Так, гражданин должен по каждому виду ПД указать, что он разрешает с ними делать. Например, он согласен дать свой e-mail оператору ПД, но против его публикации на сайте.

На сайте Роскомнадзора есть специальный сервис для подготовки шаблона согласия на распространение ПД. Для авторизации нужна подтверждённая учётная запись на Госуслугах. Вы можете составить шаблон согласия и при желании направить его в Роскомнадзор на проверку.

С 1 сентября 2022 года согласие на обработку персональных данных должно быть «конкретным, предметным, информированным, сознательным и однозначным». В идеале на одну цель обработки нужно одно согласие. Например, для интернет-магазина могут потребоваться:

Что относится к Вашим персональным данным?

Согласно Федеральному Закону №152-ФЗ «О персональных данных» (далее 152-ФЗ) к персональным данным может быть отнесена любая информация, прямо или косвенно определяющая человека (субъекта персональных данных).

Персональные данные – это очень широкое понятие. 152-ФЗ, судебная практика, Роскомнадзор и другие ведомства признает разный перечень персональных данных. Например, все признают, что ФИО, паспортные данные относятся к персональным данным. А вот по номеру телефона возникают споры: Роскомнадзор считает, что не относится, поскольку можно изменить номер, купив новую симку. А суды и вынесенные ими решения говорят об обратном – в современном мире номер телефона тесно связан с субъектом персональных данных и в определенный момент времени по одному номеру телефона можно определить физическое лицо (прямо или косвенно).

Чтобы понять персональные данные это или просто информация, необходимо ответить на вопросы:

«Идентифицирует ли данная информация субъекта персональных данных?»

«Можно ли на основании данной информации выделить человека из группы людей?»

Нужно понимать, что не обязательно идентифицировать субъекта полностью, т.е. знать его ФИО, должность и место работы. Достаточно выделить его по характерным признакам из общности.

На основе практического опыта приведу перечень данных, которые относятся к персональным данным:

Фамилия, имя, отчество

Дата, место рождения

Сведения, содержащиеся в документах, удостоверяющих личность

Адрес фактического проживания

Не признается Роскомнадзором, но признается Минкомсвязи России и судебной практикой

Идентификационный номер налогоплательщикаНе признается Министерством финансов, но признается Роскомнадзором

Номер страхового свидетельства обязательного пенсионного страхования

Сведения, содержащиеся в документах воинского учета

Сведения, содержащиеся в документах об образовании, квалификации

Сведения о занимаемой должности

Сведения, содержащиеся в трудовом договоре

Адрес выполнения трудовой функции

Сведения о доходах, заработной плате

Номера банковских счетов

Сведения о наличии водительских прав (категория водительских прав, стаж вождения)

Сведения об отнесении к категориям ветеранов

Сведения о наличии ученой степени, ученого звания

Сведения о наличии (отсутствии) судимости

Сведения о состоянии здоровья (листы о нетрудоспособности и др.)

Файлы cookie и данные пользовательской аналитики Например, собираемые посредством сервисов Яндекс.Метрика, Google Аналитика

История заказов (даже в отсутствие его ФИО, поскольку такие как могут являться основой для профайлинга)

Нужно помнить, что ваши персональные данные могут относится к биометрическим или персональным данным специальной категории, и требования к их обработке имеют особенности.

Что делать, если я не хочу давать согласие на обработку персональных данных?

Если в соответствии с 152-ФЗ предоставление персональных данных или получение оператором согласия на обработку персональных данных являются обязательными, оператор обязан разъяснить вам юридические последствия отказа дать ему персональные данные или согласие на их обработку. Ваш отказ может стать причиной не предоставлять вам услуги.

Но есть статья 16 Федерального Закона «О защите прав потребителей». По ней продавец (тот же оператор) не вправе отказывать потребителю (вам) в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные. За исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем.

Так что получается вы не можете отказаться предоставить адрес проживания и номер телефона, если хотите заключить, например, договор доставки. Но имеете полное право отказаться от предоставления номера ИНН или фотографии, поскольку эти данные не требуются для исполнения договора.

Не уведомляют Роскомнадзор о трансграничной передаче

Пример. Маркетологи интернет-магазина используют в работе для анализа поведения посетителей сайта Google Analytics. На странице есть личные данные клиентов магазина. Google Analytics — это иностранный сервис, без локализации баз данных в России. В данном случае владелец интернет-магазина фактически отправляет персональные данные клиентов иностранной компании в другую страну. Это трансграничная передача ПД (ТППД), о которой нужно уведомлять Роскомнадзор. Но владелец интернет-магазина этого не делает. Он думает, что это обязательно только для тех, у кого есть зарубежные партнёры.

С 1 марта 2023 года передавать иностранцам и иностранным организациям в другой стране личные данные россиян можно только после уведомления Роскомнадзора. Это обязательно по ч. 3 ст. 12 закона о персональных данных.

Как уведомить Роскомнадзор:

Если персональные данные передают в государство с адекватной защитой ПД, можно после уведомления не дожидаться ответа от Роскомнадзора. Список таких стран утверждён приказом Роскомнадзора от 05.08.2022 № 128.

Если личная информация попадает в страну, которой нет в списке, нужно подождать 10 рабочих дней. За это время Роскомнадзор рассмотрит уведомление и примет решение, можно передавать ПД иностранцу или нет. Если ведомство откажет в ТППД, то никакую информацию этому контрагенту отправлять нельзя.

Если Роскомнадзор запретил ТППД, а личные данные россиян к иностранцу уже попали, нужно обеспечить уничтожение ПД. Как это делать, в законе не сказано. Часто ИП может только направить письмо своему партнёру с просьбой уничтожить ПД, и на этом легальные способы заканчиваются.

Если вы используете Google Analytics, направьте уведомление в Роскомнадзор о ТППД или выберите для анализа сайта другие метрики.

Что я могу узнать об обработке своих персональных данных?

Согласно Федеральному Закону «О защите прав потребителей», вы имеете право требовать предоставление информации о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления персональных данных. Продавец должен предоставить такую информацию в течение семи дней со дня предъявления указанного требования в письменной форме, а в устной форме такая информация должна быть предоставлена незамедлительно.

Положения 152-ФЗ гласят, что вы имеете право запросить у оператора (и получить ответ в срок не более 10 рабочих дней) информацию, связанную с обработкой ваших персональных данных, а именно:

Если после вашего запроса информации, связанной с обработкой ваших персональных данных, вы считаете, что оператор использует их незаконно (например, передает третьим лицам) и/или эти действия ущемляют ваши интересы, то вы можете:

Не берут согласие на передачу персональных данных третьим лицам

Пример 1. ИП торгует через свой интернет-магазин. Для доставки товаров он заключил договор с курьерской службой и передаёт ей Ф.И.О., адрес проживания покупателей. Согласия от клиентов на передачу данных третьим лицам он не получает, думая, что личная информация нужна для исполнения договора купли-продажи.

Пример 2. ИП-работодатель сдаёт отчётность в Социальный фонд через СБИС. Для этого он передаёт в СБИС персональные данные сотрудников: Ф.И.О., СНИЛС. Согласия от работников на передачу личной информации третьим лицам он не получает. Он думает, что раз сдавать отчётность он обязан по закону, об этом не нужно предупреждать сотрудников.

Пример 3. Владелец интернет-магазина делает email-рассылки своим клиентам с новостями по акциям, скидкам, поступлению новых товаров. Для этого он использует почтовый сервис UniSender или аналогичную программу и туда загружает базу контактов. Согласия от клиентов на передачу их данных разработчикам программы он не получает.

В этих ситуациях ИП нарушает ч. 3 ст. 6 закона от 27.07.2006 № 152-ФЗ «О персональных данных». Передавать личную информацию третьим лицам можно только с согласия гражданина. Предпринимателя могут оштрафовать как должностное лицо на сумму от 10 000 до 20 000 рублей по ч. 1 ст. 13.11 КоАП РФ.

Роскомнадзор узнаёт о нарушениях операторов персональных данных в ходе проверок: плановых и внеплановых. Если он получит жалобу от граждан или информацию о возможной утечке личной информации, то придёт с визитом к предпринимателю в любое время. Пожаловаться в Роскомнадзор могут работники, клиенты, сотрудники подрядчиков.

Ответственность за конфиденциальность персональных данных несёт оператор — тот, кто заключил с гражданином договор. Он должен получить согласие, обеспечить защиту личной информации и предотвратить её утечки.

Чтобы разделить ответственность с третьей стороной при возможных «сливах данных», надо включить в договор с ней дополнительные условия:

Третья сторона не обязана получать согласия с клиентов ИП на обработку их персональных данных. Она не несёт ответственности за сохранность ПД, если оператор не позаботится указать это в договоре с ней.

Если не уверены, нужно получать согласие на обработку ПД или нет, всегда получайте согласие. За это не штрафуют.

Не уничтожают персональные данные

Пример. Компания искала бухгалтера через интернет и собирала резюме кандидатов. Кадровик получал от соискателей согласие на обработку персональных данных в целях выбора работника для закрытия вакансии. Бухгалтера нашли и приняли на работу. Но кадровик продолжает хранить «на всякий случай» резюме других кандидатов.

Все персональные данные после достижения целей обработки надо уничтожить или сдать в архив. На архивное дело законодательство о ПД не распространяется.

Если этого не сделать, то будет нарушение требований ч. 4 и ч. 6 ст. 21 закона о персональных данных. ИП может заплатить штраф до 100 000 рублей по ч. 1 ст. 13.11 КоАП РФ.

Проверьте, не храните ли вы лишнюю информацию. Например, данные бывших клиентов или уволенных работников. Посмотрите, что нужно сдать в архив, а что — уничтожить.

Обучите своих работников правилам обработки ПД. Объясните им, что не стоит копить личные данные граждан, если это не нужно по закону.