Сбор персональных данных – теперь это мрак. Коснется всех!

Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Сбор персональных данных – теперь это мрак. Коснется всех!». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.

Общий термин, определяющий персональные данные, звучит как «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу». Термин присутствует в законе «О персональных данных», а также упоминается в других нормативных актах. Так, закон «О связи» относит к сведениям об абонентах – физических лицах – фамилию, имя, отчество или псевдоним, а также домашний адрес и другие данные, позволяющие идентифицировать личность.

В каких случаях ФИО относятся к персональным данным

Регулятор склонен считать ПД любые сведения, обрабатываемые оператором и предоставляемые ему субъектом при условии подписания согласия на обработку. Такой информацией будут и полные анкетные данные, и краткие сведения в интернет-магазине, по которым невозможно установить их реального обладателя. В любом случае все сведения должны защищаться с применением организационных, программных и технических способов обеспечения конфиденциальности.

Часто оператор, считая фамилию, имя, отчество общеизвестной информацией, хочет сократить расходы, связанные с их обработкой. Но в итоге такие манипуляции не приводят к достижению соглашения с регулятором. При проверке организация будет оштрафована, если защита имен граждан обеспечена программными решениями низкого уровня.

В инструкции об обработке ПД, с которыми работает Центробанк, это сведения о сотрудниках, аудиторах, руководстве коммерческих банков и других категориях лиц. В п. 5.1. четко указано: такие сведения, как фамилия и имя, отчество при его наличии, пол, являются персональными данными. На качество и степень обработки категория сведений не влияет. При этом Банк России уточняет, что только фамилии и имени для идентификации недостаточно, они должны быть использованы совместно с реквизитами паспорта или другой идентифицирующей информацией.

Позиция регулятора и судов

Роскомнадзор не видит прямой возможности исключить ФИО из общего перечня ПД, несмотря на мнения экспертов о том, что только эти данные, без наличия иного идентифицирующего признака, не дают однозначной возможности определить личность. Этой же позиции придерживается Центробанк.

Хотя Роскомнадзор выпустил несколько разъяснений, где однозначно ответил на вопрос, являются ли фамилия, имя, отчество персональными данными, иногда ведомство выражает двойственную позицию. Так, в 2012 году в письме территориального управления по Республике Карелия отмечено, что фамилия и инициалы гражданина – это, несомненно, персональные данные субъекта. С другой стороны, без применения других сведений определить принадлежность ПД частному лицу затруднительно. Фамилия, имя, отчество наряду со многими другими способами используются для идентификации отдельного человека среди других.

По своей природе это составной ключ, идентификатор, основанный на комбинациях трех параметров (фамилии, имени и отчества), на самом деле не идентифицирующий человека однозначно, а лишь сильно сокращающий выборку из тех, кому они могут принадлежать. При этом очевидно, что, если у заинтересованного злоумышленника есть иные данные об объекте, предоставление ему данных ФИО позволит определить субъект, например, по номеру машины узнать данные о ее владельце.

В более поздних разъяснениях, предоставленных в 2017 году в ответ на обращение Казначейства России, регулятор, опираясь на нормы федерального закона о персональных данных, отметил, что ФИО, без сомнения, относятся к этой категории. Он сообщил, что среди полномочий ведомства нет права давать разъяснения по вопросам толкования норм закона, эта задача относится к сфере компетенции Минсвязи.

Тем не менее из прямого прочтения текста закона вытекает понимание, что имя и инициалы относятся к персональным данным без каких-либо изъятий, за исключением прямо приводимых в законе:

• если сведения относятся к общедоступным;
• если они используются в целях статистики.

Обработка персональных данных

Любой договор с физлицом, содержащий его личные данные (а он и будет их содержать, если это не публичная оферта), должен в обязательном порядке содержать раздел о персональных данных. Без письменного согласия человека, обработка персональных данных оператором, а также их передача третьим лицам — запрещена.

Вообще, обработка персональных данных — это вообще любые действия, которые с ними делают. Сюда входит:

В свою очередь, обработка может осуществляться тремя путями:

После того, как персональные данные обработаны они отправляются на хранение в архив. Это может быть и отдельное специализированное помещение (если речь о бумажных документах) и электронное хранилище (например, облачное). В любом случае вам впоследствии нужно иметь возможность оперативно найти данные и уничтожить их (по требованию субъекта) или передать (в силу закона).

Что будет, если нарушить законодательство о персональных данных

Следит за соблюдением законодательства в этой сфере организация, которая у многих на слуху — Роскомнадзор. Применяемая статья — 13.11 КоАП.

Если собирать персональные данные о гражданах РФ на серверы, расположенные за пределами РФ — штраф до 6 миллионов.

В процессе установления уровня защищенности и организации мероприятий, направленных на нейтрализацию угроз безопасности, приоритетное значение имеет классификация ПДн, предусмотренная ФЗ-152 и Постановление Правительства № 1119. В них прописано четыре категории ПДн, которые обрабатываются в ИС:

1. Общедоступные — те, которые опубликованы в открытых источниках с согласия владельца (если субъект хочет удалить сведения, он может подать заявление оператору либо обратиться в суд). К таким относятся дата, место рождения, адрес прописки и проживания, профессия и место работы, адрес электронной почты, телефонный номер, образование.
2. Специальные — ПДн, которые касаются сексуальной жизни субъекта, его политических, философских и религиозных воззрений, а также расовой и половой принадлежности. Доступ к такой информации предоставляется только по решению суда, в рамках работы органов правосудия, при реализации международных соглашений либо после получения письменного разрешения владельца.
3. Биометрические — любые биологические либо физиологические особенности, которые дают возможность определить личность субъекта, к примеру, ДНК, фотографии, группа крови, рисунок сетчатки глаза, отпечатки пальцев и т.д. Оператору для обработки подобных ПДн нужно предварительно получить разрешение (за исключением случаев, когда есть судебное решение либо речь идет о расследовании преступлений). Однако если хранение осуществляется не с целью установления личности, то сведения не относятся к категории биометрических ПДн (в зависимости от ситуации их можно определить как специальные либо общедоступные).
4. Иные — ПДн, которые нельзя определить ни в одну из других групп. Фактически, это дополнительная информация о человеке, которая часто меняется: размер зарплаты, социальный статус, рабочий стаж, длительность и даты отпуска и т.д.

Помимо того, можно выделить несколько разновидностей персональных данных в зависимости от целей и способа их обработки:

• сведения в муниципальных и государственных ИС;
• личные сведения в полностью автоматизированных системах;
• ПДн, необходимые для агитации политических сил, раскрутки товаров и услуг;
• трансграничная передача данных (когда информация передается за пределы страны).

Сколько согласий запрашивать?

В статье 9 Закона № 152-ФЗ уже установлена обязанность работодателей запрашивать у работника согласие на обработку персональных данных. Эта статья содержит и требования к оформлению такого согласия. В частности, оно должно быть конкретным, информированным и сознательным. Работник может дать его в любой позволяющей подтвердить факт получения такого согласия форме (письменно или в виде электронного документа, подписанного электронной подписью), если иное не предусмотрено федеральным законом.

Это согласие работодатели уже давно должны были запросить у работников.

К сведению: отдельное письменное согласие оформляется на обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ст. 10 Закона № 152-ФЗ).

В новой ст. 10.1 Закона № 152-ФЗ прямо указано, что согласие на обработку персональных данных, разрешенных их субъектом для распространения, оформляется отдельно от иных согласий субъекта ПД на обработку его данных.

Таким образом, ранее составленные согласия на обработку персональных данных в соответствии со ст. 9 Закона № 152-ФЗ продолжают свое действие, в отношении них никаких изменений нет. А для размещения ПД работников в общем доступе работодатели должны запросить у работников отдельное согласие.

Обратите внимание: если работник сам раскроет свои личные данные, но не предоставит согласие, доказывать правомерность их распространения придется всем лицам, которые распространили эти сведения. Доказывать это понадобится и в случае, если ПД оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы.

Особенности для юридических лиц

Информация, принадлежащая юридическим лицам, распространяется иначе. Любой гражданин имеет возможность получить доступ к ведомостям, которые в случае с физическим лицом, считались бы конфиденциальными. Например, узнать адрес или телефон фирмы. Дело в том, что юридические лица не являются субъектами ПДн, к ним такой термин не применяется. Согласно закону «О персональных данных» №152 правительства РФ, подобные обязательства по конфиденциальности возникают только в отношении физических лиц.

В российском законодательстве нет четкого перечня персональных данных, поскольку такие ведомости должны обладать сразу двумя характеристиками – не только принадлежать субъекту информации (например, физическому лицу) но и позволять идентифицировать его. Второй параметр определяется в каждой ситуации отдельно, в зависимости от оператора, характера данных и их количества.

В юридической практике случаи по разглашению конфиденциальной информации рассматриваются по-разному, и решения принимаются в зависимости от степени обезличивания данных и потенциального или фактического ущерба в адрес субъекта данных.

Это приводит к тому, что одни и те же сведения в разных случаях могут как относиться к ПДн, так и не быть их частью.

Далее рассмотрим, являются ли персональными данными следующие примеры сведений о человеке.

О том, что считается персональными данными физических и юридических лиц, мы более подробно рассказывали тут.

Понятие и виды персональных данных

Не все из них по отдельности можно отнести к ПД. Например, закон точно не определяет, является ли номер телефона персональными данными. Роскомнадзор в ответе на обращения граждан пояснил, что только по номеру невозможно точно идентифицировать человека. Сам по себе он не персонален, а в связке с ФИО владельца и городом проживания относится к ПД. Поэтому неперсонифицированная рассылка смс-сообщений не считается нарушением ФЗ № 152.

Подтвердить разрешение на обработку персональных данных сейчас просят при заключении договоров, заполнении анкет, регистрации на сайтах. Большинство граждан соглашаются автоматически, хотя личная информация о человеке в руках недобросовестных лиц — мощное и опасное оружие. Статья рассказывает о том, что нужно знать о персональных данных, открывая доступ к ним 3-м лицам.

Что такое персональные данные

Судебная практика отвечает на этот вопрос так: «. в совокупности имя, отчество, улица и номер дома не позволяют достоверно установить, о каком именно человеке идет речь на страницах форума . Разрешая заявленные требования, суд пришел к обоснованному выводу об отказе в удовлетворении исковых требований, поскольку сведения, размещенные в Интернете по ссылке. не являются персональными данными истца, так как не содержат персонифицированных и детализированных данных, позволяющих определить в отношении какой квартиры, какого населенного пункта идет речь, а также отсутствует указание на фамилию, что не позволяет идентифицировать лицо, о котором идет речь . » (Определение судебной коллегии по гражданским делам Приморского краевого суда от 9 сентября 2022 г. по делу № 33-7063).

• фамилия, имя, отчество;
• пол, возраст;
• дата и место рождения;
• паспортные данные;
• адрес регистрации по месту жительства и адрес фактического проживания;
• номер телефона (домашний, мобильный);
• данные документов об образовании, квалификации, профессиональной подготовке, сведения о повышении квалификации;
• семейное положение, сведения о составе семьи, которые могут понадобиться работодателю для предоставления мне льгот, предусмотренных трудовым и налоговым законодательством;
• отношение к воинской обязанности;
• сведения о трудовом стаже, предыдущих местах работы, доходах с предыдущих мест работы;
• СНИЛС;
• ИНН;
• информация о приеме, переводе, увольнении и иных событиях, относящихся к моей трудовой деятельности в ООО » Ромашка «;
• сведения о доходах в ООО » Ромашка «;
• сведения о деловых и иных личных качествах, носящих оценочный характер.

Нюансы в отношении физических лиц

Субъект (носитель) персональных данных (ПДн) обладает рядом характеристик, относящихся к нему.

Каждый гражданин имеет паспорт с серией и номером, свидетельство о рождении, личный телефон, адрес проживания и так далее. В законе Российской Федерации № 152 сказано, что к ПДн относятся такие данные физического лица как:

• семейное;
• социальное;
• материальное положение;
• информация об образовании;
• доходах;
• профессиональном статусе и профессиональных связях;
• другая идентификационная информация личного характера.

Одним словом, сведения о конкретном человеке, его работе или личной жизни.

Когда вы строите ИТ-инфраструктуру, надо понимать, являются ли ваши данные персональными или нет. Классов персональных данных уже нет, есть таблица вот отсюда (в посте больше про сертификацию). Если ваши данные всё же персональные, то надо понять, что у вас за типы данных, какие угрозы для них возможны и сколько у вас будет записей. Дальше из таблицы вычисляется нужный уровень защищённости — и для этого уровня реализуются меры защиты в соответствии с требованиями законодательства.
Следуя духу закона и правоприменительной практике, почти во всех ситуациях можно определить, речь идёт про ПДн или нет. Крайне редкие случаи обычно рассматриваются отдельно юристами, которые выполняют оценку и делают запросы в контролирующие органы.

Это материал начальника отдела правового консалтинга Ильи Григорьева, а это — блог Техносерв Cloud.

Несмотря на то, что в России услуги сотовой связи предоставляются по договору абонента и оператора (что дает теоретическую возможность третьему лицу установить, кому принадлежит номер), числовой идентификатор, опубликованный без сопровождающей информации, считается обезличенной ПДн. К нему не предъявляются требования по конфиденциальности.

Относится ли номер телефона к персональным данным узнаете тут.

Понятие ПДн в России, несмотря на наличие отдельного законодательного акта (ФЗ №152), остается расплывчатым. В законе нет четкого перечня и не описаны конкретные ситуации, когда одни и те же данные квалифицируются по-разному. К личным данным относится вся информация о физическом лице, при этом только на ее часть закон налагает ограничения по распространению и обработки (подробнее о том, какая информация считается ПД, читайте здесь).

Главным требованием является возможность идентификации лица, если ПДн дают возможность это сделать, их необходимо отнести к конфиденциальным личным данным. Сама формулировка остается актуальной только для физического лица, юридически зарегистрированные предприятия не являются субъекта ПДн в Российской Федерации.

Какими бывают персональные данные

Личная информация не сводится к столь строгому перечню, как приведенный выше список. Используемое в законе понятие опирается на Европейскую конвенцию по защите персональных данных, а федеральные органы не обладают достаточными полномочиями для уточнения или подробной трактовки. Вот почему под такой информацией часто понимают гораздо более широкий перечень персонализированных сведений.

Поскольку организациям для работы необходима информация о сотрудниках и/или клиентах, ее собирают, изучают и обрабатывают. Для каждого предприятия или ведомства набор важных данных собственный, но при этом все систематизированные базы подчиняются единому законодательству, ведь информацию из них легко связать с определенными лицами.

Российское федеральное законодательство разбило сведения о гражданах на категории для удобства обработки и дальнейшего анализа. В итоге получились четыре обширные группы персональных данных:

1. общие;
2. специальные;
3. биометрические;
4. иные.

К первой относятся данные из паспорта, информация об образовании, трудоустройстве, а также способы связи. Сюда не входит информация о личности, только способы выделить конкретного человека из общей массы сведений.

А вот группа специальных данных уже касается сугубо личной сферы, так как здесь уже раскрывается информация об:

1. этнической принадлежности;
2. политических воззрениях;
3. религиозных убеждениях;
4. медицинских показателях;
5. личной жизни (семейное положение, финансовое и имущественное состояние);
6. наличии судимостей и т.п.

По мнению Минфина России, ИНН физлица не относится к его персональным данным

Ценные данные предоставляются через IP или веб-службы. Данные сведения позволяют компаниям, связанным с рекламной деятельностью, структурировать информацию и передавать ее третьим лицам. Получить доступ к данным такие компании могут с помощью специализированного программного обеспечения.

Персонализация веб-страниц преследует цель подробного изучения интересов пользователей и потенциальных клиентов. С помощью программного обеспечения специалисты могут отслеживать активность каждого пользователя, находящегося на веб-ресурсе, что помогает определить область его интересов. Отслеживание активности пользователя позволяет повышать конверсию продаж.

Закон № 152 указывает, что к ПД можно отнести любые данные, с помощью которых определяется физическое или юридическое лицо. Зачастую предоставление ПД необходимо для оформления документов, в том числе гражданского паспорта, ИНН и т.д.
Закон позволяет вести обработку персональных данных физическим, юридическим лицам, муниципальным органам и государственным учреждениям.

К перечню основных персональных данных относятся:

• ФИО субъекта;
• место постоянного (временного) проживания;
• дата рождения;
• любые данные о семейном, финансовом положении;
• любые данные, связанные с родом деятельности, заработком, образованием.

Все персональные данные принято делить на четыре группы:

1. К первой относятся сведения общего характера, – национальность, приверженность к религии, наличие инвалидности и т.п. Такую информацию часто вносят при заполнении анкет для приема на работу, она также может содержаться в медицинских справках.

2. Ко второй относятся данные, позволяющие выполнить идентификацию лица. К ним причисляют ФИО, адрес, занимаемую должность, место работы и т.д.

3. Третья группа ПД включает биометрику: снимок сетчатки глаза, отпечатки пальцев, данные анализа ДНК.

4. В четвертую входят общедоступные персональные данные. Это сведения, которые не позволяют идентифицировать лицо. Согласно закону, их нельзя причислять к конфиденциальным данным. Например, уровень дохода представителей муниципалитетов, государственных учреждений.

Персональными данными физических лиц по закону считаются:

• ФИО;
• ИНН и дата рождения;
• гражданство согласно гражданскому паспорту и место рождения;
• данные о регистрации и фактическом месте жительства;
• данные о родственниках и супругах;
• данные о дееспособности, свидетельство о смерти;
• сведения о наличии образования;
• сведения о пенсионных доходах;
• данные о наличии заболеваний, связанных с профессиональной деятельностью, страховки, выплатах по страховым случаям;
• данные о налоговых платежах;
• информация о воинской обязанности.

Персональными данными юридических лиц по закону считаются:

• наименование юрлица;
• юрадрес и организационно-правовая форма;
• местоположение юрлица;
• ОГРН;
• ИНН и КПП;
• номер расчетного счета.

Для того чтобы классифицировать ИСПД, необходимо знать степень (категорию), к которой относятся данные и определить их объем.

По объему ПД системы делят на три типа:

1. К первому относятся ИСПД, насчитывающие свыше 100 000 субъектов в пределах Российской Федерации.

2. Ко второму – ИСПД, в которых ведется обработка ПД более 1 000 субъектов, которые живут в конкретном муниципальном образовании. Сюда также входят субъекты, занятые в экономике или конкретном органе государственной власти.

3. К третьему – информационные системы с данными не более 1 000 СПД, занятых в конкретной компании.

Проанализировав исходные данные, можно присвоить системе соответствующий класс:

• В ИС первого класса нарушения безопасности хранения и обработки ПД опасны, поскольку могут привести к серьезным пагубным последствиям для их обладателей.
• Второй класс присваивают системам, нарушение обработки и хранения ПД в которых способно привести к ощутимым нежелательным последствиям.
• Третий объединяет ИСПД, нарушения в которых способны привести к незначительным последствиям.
• К четвертому принадлежат ИСПД, в которых в случае нарушения параметров безопасности обрабатываемым данным ничего не угрожает.

Классы принято условно обозначать буквой «К». Порядок проведения классификации ИСПД регламентирован приказом ФСТЭК.

Для ИСПД четвертого класса все мероприятия, направленные на обеспечение защиты ПД, устанавливаются оператором.

Системы третьего класса должны пройти процедуру декларирования или аттестацию, а также получить лицензию ФСТЭК по техзащите конфиденциальных данных, если такие системы являются распределенными.

ИСПД второго класса должны обязательно проходить аттестацию, для них должны проводиться мероприятия, направленные на обеспечение защиты данных от побочных электромагнитных излучений и наводки. Соответственно, для реализации подобных мер могут потребоваться специальные средства защиты информации. Для распределенных систем также необходимо получать лицензию ФСТЭК.

ИСПД первого класса должны обязательно проходить аттестацию, и также подвергаются мероприятиям, направленных на защиту от побочных электромагнитных излучений и наводок. Обязательно получение лицензии ФСТЭК для осуществления деятельности по техзащите конфиденциальных сведений.

Для обеспечения защиты ИСПД необходимо сделать следующее:

1. Уведомить уполномоченные органы о намерении проводить обработку ПД.
2. Собрать исходные данные.
3. Присвоить класс.
4. Спрогнозировать угрозы для структуры и составить модель.
5. Спроектировать систему защиты ПД.
6. Выполнить реализацию и интеграцию системы.
7. Выполнить все требования к инженерной защите, охране, пожарной безопасности, экологические требования и т.д.
8. Пройти аттестацию.
9. Позаботиться о квалификации персонала, который будет вести обработку ПД.

Аттестацию нужно выполнять в отношении ИСПД, если персональные данные входят в государственный информационный ресурс. Такими ресурсами признаются системы, в которых хранится информация и документы, находящиеся в распоряжении государства. Также аттестация необходима для ИСПД первого, второго и третьего классов.

Оператор в праве заменить процедуру аттестации для ИСПД третьего класса на декларирование соответствия. Однако такая процедура достаточно сложна в прохождении, так как не имеет четкого регламента.

Используемые в системах 1 и 2 классов средства должны пройти процедуру оценки соответствия, в том числе сертификацию. Для ИСПД 3 класса проводится декларирования соответствия требованиям безопасности. Для ИСПД 4 класса проверку на соответствие выполняют по решению оператора.

05.03.2020

Идентификационный номер налогоплательщика (ИНН) используется налоговыми органами для учета. Государственные службы не нуждаются в согласии субъекта, а сам ИНН не относится к ведомостям персонального характера и не попадает под действие закона «О персональных данных».

Несмотря на то, что граждане, обращаясь за справкой ИНН, предоставляют информацию о себе (ФИО, дату и место рождения, паспорт), сам документ не несет личной информации.

ИНН представляет собой технический цифровой код:

1. Код налогового органа, выдавшего ИНН.
2. Номер записи о лице в Едином государственном реестре налогоплательщиков.
3. Личное контрольное число, рассчитанное по алгоритму ФНС.

Его используют в ФНС, остальным же физическим лицам знание числового кода не позволит узнать о субъекте что-то еще.

Информация, принадлежащая юридическим лицам, распространяется иначе. Любой гражданин имеет возможность получить доступ к ведомостям, которые в случае с физическим лицом, считались бы конфиденциальными. Например, узнать адрес или телефон фирмы. Дело в том, что юридические лица не являются субъектами ПДн, к ним такой термин не применяется. Согласно закону «О персональных данных» №152 правительства РФ, подобные обязательства по конфиденциальности возникают только в отношении физических лиц.

В российском законодательстве нет четкого перечня персональных данных, поскольку такие ведомости должны обладать сразу двумя характеристиками – не только принадлежать субъекту информации (например, физическому лицу) но и позволять идентифицировать его. Второй параметр определяется в каждой ситуации отдельно, в зависимости от оператора, характера данных и их количества.

Исключения из общего правила

Если организация захочет поспорить с регулятором и счесть ФИО сведениями, прямо не относящимися к ПД, она может привести ряд аргументов:

Однако эти аргументы не всегда принимаются, поскольку прямое прочтение закона относит к ПД любую информацию о человеке. Такая позиция связана с одномерным принятием требований международного законодательства, которые нужно было отразить в национальном для вступления в ВТО. Существующее в среде экспертов мнение о том, что имя относится к категории обезличенных данных, неверно. Закон под обезличиванием понимает определенный процесс, происходящий при помощи программных и технических средств и позволяющий превратить конкретные записи в общий массив информации, из которого невозможно вычленить сведения, относящиеся к конкретному лицу. Существуют разъяснения регулятора (Приказ Роскомнадзора № 996), которыми определяются требования к методам проведения обезличивания. Они предельно конкретны, очевидно, что само по себе отсутствие возможности идентифицировать лицо по кратким сведениям о нем не делает эти данные обезличенными.

Среди характеристик методов преобразования сведений:

Регулятор называет четыре типа методов устранения высокой степени идентифицированности персональных данных, не отказывая оператору в возможности предложить собственное решение:

Вне зависимости от выбранного метода обезличивания ФИО хранятся и защищаются на тех же основаниях, что и другие категории ПД.

Похожие записи:

• Ответственность за нелегальных работников
• Сроки осенней охоты в Новосибирской области опубликовало Минприроды
• Где можно получить удостоверение многодетной