Реестр операторов персональных данных роскомнадзора: что это, кто должен быть внесен, как зарегистрироваться

В данной статье вы узнаете о том, кто такой оператор, как он осуществляет обработку персональных данных, какие полномочия у него имеются, а также детально ознакомитесь с его правами и обязанностями. Помимо этого вы узнаете как стать таким специалистом и чем отличается работа ОПД в городе и поселке.

Скрыть содержание

Кто это?

ОПД – это муниципальный орган, физическое или юридическое лицо, которое обрабатывает информацию и определяет цели и содержание данных.

Больше информации о том, кто такой оператор ПД, найдете в специальном материале.

Требования

Главное состоит в обеспечении конфиденциальности всей информации. По статье 7 ФЗ РФ от 27 июля 2006 года можно узнать, что оператор не защищает информацию, если он не обладает ею в полной мере. А значит, такая информация может быть общедоступной и обезличенной.

Также согласие субъекта не обязательно в том случае, если исполняется договор, в котором кто-то является субъектом персональных данных. Примером может быть договор между фирмой и юридическим лицом на оказание услуг. Оператор не может обрабатывать информацию без получения письменного согласия от субъекта.

Множество информации по этой теме можно найти в специализированной литературе. Он также обязан обеспечивать технические меры с целью пресечь какие-либо попытки незаконного получения доступа к данным.

Статья 7 ФЗ РФ. Конфиденциальность персональных данных

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Права и обязанности

Согласно ФЗ-№152, ОПД имеет следующие права и обязанности:

Обеспечить безопасную обработку информации значит принять все технические и организационные меры, которые помогут защитить от случайного или неправомерного доступа. Сюда можно отнести изменение, уничтожение, копирование, блокировка и распространение информации, а также проведение других неправомерных действий с ней.
Обработка данных должна носить уведомительный характер. Согласно статье 2 ФЗ-№152, до начала обработки информации, он должен уведомить орган по защите прав субъектов и намерении провести обработку информации.
Роскомнадзор вносит сведения об операторе в специальный реестр. Информация, которая содержится в реестре за исключением сведений о безопасности полностью общедоступна.
При получении данных он должен получить письменное разрешение на их обработку. Исключением могут быть случаи, когда данные предоставляются оператору на основании закона. Субъект всегда может отозвать разрешение, не объясняя причин.
Он должен предоставить субъекту сведенья с целью защитить персональные данные.
Он должен уничтожить или заблокировать всю информацию, а также внести изменения о предоставлении субъектом ПД незаконных сведений, подтверждающих, что данные представлены не в полном объёме, они устарели или больше не достоверны.

Права ОПД следующие:

Общее описание используемых способов и перечень действий

По закону предусматриваются следующие способы обработки:

Сбор. Собирать данные можно как от физического, так и от юридического лица.
Обработка. Переработка информации не занимает много времени. Но она позволяет содержать только достоверные данные в системе.
Накопление. Накапливаются данные со временем – здесь всё зависит от того, как долго вы работаете оператором ПД и как много людей к вам обращается.
Хранение. Хранить информацию нужно так, чтобы посторонние лица не смогли получить доступ к персональным данным того или иного человека.
Уточнение. Если у человека что-либо поменялось, данные становятся неактуальными. Поэтому с определённой периодичностью их нужно уточнять.
Применение. Использование данных доступно оператору для того, чтобы подтвердить или принять решения в юридической сфере. Они могут применяться в случае, если были затронуты права и свободы объекта.
Распространение и передача информации обозначает дать возможность неограниченному кругу людей ознакомиться с данными, обнародовать персональную информацию, разместить её в информативных сетях или предоставить доступ к обработке тем или иным способом.
Обезличивание представляет собой действия, при которых определить принадлежность персональных конкретному субъекту просто невозможно.
Блокирование можно объяснить, как временное прекращение сбора информации, а также накопление, распространение данных и их последующая передача.
Уничтожение информации – это проведение особых мероприятий, после которых восстановить содержание данных в системе будет невозможно.

Как стать таким специалистом?

Чтобы стать ОПД, вы или ваша компания должны пройти регистрацию в системе Роскомнадзора. После чего вы можете приступить к исполнению обязанностей.

Для того, чтобы попасть в реестр операторов, необходимо действовать согласно этому плану:

Войти на сайт Роскомнадзора и заполнить форму.
После выбрать название территориального органа, тип ОПД и внести информацию о юридическом лице.
Заполненная форма распечатывается, а после подписывается и отправляется по почте в орган Роскомнадзора.
Здесь информация об организации вносится в реестр операторов, которые обрабатывают их на протяжении 1-1,5 месяцев. Выписку из реестра легко получить в печатном виде или же на портале Роскомнадзора.

О том, как зарегистрироваться в Роскомнадзоре в качестве ОПД, читайте тут.

Как зарегистрироваться на сайте в качестве ОПД?

Для того, чтобы зарегистрироваться на сайте в качестве ОПД нужно:

Подать уведомление в Роскомнадзор. Сделать это можно в интернете или в самой организации.
В заявлении указывают текущее местонахождение и перечень данных, которые будут обрабатываться.
Ожидание одобрения.
Получение согласия на ведение деятельности уже через несколько дней. Оно выступит как подтверждение на деятельность ОПД.

Как внести изменения?

Для того, чтобы внести изменения, нужно:

Подать заявление в Роскомнадзор.
В нём указать, какая информация устарела, а какая является достоверной.
Ждать подтверждения не обязательно. Можно продолжать работать и дальше.

Важно не забывать о внесении изменений, поскольку, если этого не сделать вовремя, будет назначен штраф.

О правилах внесения изменений в реестр ОПД мы рассказываем тут.

Где можно посмотреть реестр?

Реестр ОПД доступен к просмотру на портале государственных услуг Роскомнадзора. Вы можете скачать и распечатать документ для более детального ознакомления или же просто просмотреть его в электронном виде. Обновление реестра проводится каждый месяц.

Что означает: “операция отменена из-за отсутствия вашей актуальной информации”?

Если операция была отменена по причине отсутствия у оператора ваших актуальных персональных данных, то для того, чтобы решить такую проблему, нужно обратиться в отделение Роскомнадзора. Причиной может быть частично устаревшая и неактуальная информация. В таком случае, её нужно обновить, подав специальное заявление.

Чтобы как можно быстрее разъяснить такую проблему, можно также написать оператору. Он поможет составить жалобу и решить вашу проблему с отменой операции в максимально короткие сроки.

Отличия в работе ОПД в городе и посёлке

Персональные данные, размещаемые на ресурсе оператора, доступны лишь узкому кругу людей. В городе управлять информацией могут несколько лиц, а в посёлке всего один, поскольку данных в разы меньше.

Информация, указанная при регистрации на сайте, может быть доступна сотрудника оператора и иным лицам, имеющим полномочия работать с ней. Вполне естественно, что помощников у оператора в городе будет больше, чем в посёлке из-за большого объёма работы.

Объединяет оператора ПД в городе и посёлке тот факт, что хранится вся собранная информация в специальной электронной базе данных.

Перечень документов

К основным документам, сопровождающим работу ОПД, можно отнести такие:

Учредительные бумаги.
Уведомления об обработке.
Должностные регламенты.
Планы мероприятий для последующей защиты ПД.
Приказы назначения ответственных лиц.
Реестры с ПД.
Договоры с субъектами.
Выписки из ЕГРЮЛ.
Распечатки шаблонов.
Приказы о созданиях комиссии.
Акты об уничтожении ПД.

Политика

Политика ОПД включает в себя такие особенности:

Обработка данных не автоматизирована, она может проводиться вручную.
Обработка данных проводится в процессе передачи информации по телекоммуникативным и информационным сетям или же другим доступным способом.
Обработка смешанного типа. Она проводится на усмотрение действующего оператора.

Больше информации о политике оператора в отношении обработки ПД найдете в специальной статье.

Положения

В настоящий момент положение является определением политики ОПД по отношению к обработке принятой информации от физических лиц. Он может использовать средства автоматизации или устанавливать процедуры, которые направлены на то, чтобы предотвратить нарушения законодательства РФ.

Положения созданы с целью обеспечить защиту прав и свобод субъектов данных при невыполнении норм и требований, которые регулируют обработку информации.

Действие положения не распространяется на такие отношения:

Заключение

В заключении стоит отметить, что быть оператором ПД не так просто, как кажется. Нужно разобраться в том, как работает система и брать в помощники только тех людей, которым можно довериться.

Работать ОПД в городе значительно сложнее, поскольку здесь объём информации очень большой. Но, если вы проживаете в посёлке и решили освоить эту профессию, то вам будет гораздо легче сделать это.

В любом случае, нет ничего невозможного, и при большом желании понять, что к чему вам будет легко добиться лучшего результата.

Персональные данные для digital-маркетинга: полный гайд и шаблоны документов

Правильно разработанная юридическая документация поможет свести к минимуму риск, что компанию обвинят в нарушении законодательства о персональных данных. Список необходимых документов включает:

Политику конфиденциальности.
Правила работы с персональными данными.
Согласие на обработку персональных данных.
Обязательство о неразглашении персональных данных.

В разделе мы расскажем об этих документах подробнее.

Политика конфиденциальности и правила работы с персональными данными. В документах многих компаний содержится одна и та же ошибка: правила работы с персональными данными они называют политикой конфиденциальности. Однако это разные документы.

Правила работы с персональными данными должны содержать то, что рекомендует Роскомнадзор и требует 152-ФЗ. Политика конфиденциальности шире: документ описывает работу со всей конфиденциальной информацией, в том числе с персональными данными. В политику добавляют то, что нужно защитить дополнительно. Например, это договоры, переписка с клиентами и партнёрами, внутренняя документация.

Два документа можно объединить в один, это не противоречит законодательству. Когда пользователи регистрируются на сайте, их нужно познакомить с политикой конфиденциальности и правилами работы с персональными данными до процедуры регистрации.

Политику конфиденциальности публикуют в открытом доступе, обычно в подвале (внизу) сайта. Скриншот: сайт Skillbox

Согласие на обработку персональных данных. Форма, которую должен заполнять субъект персональных данных. В ней обязательно должны быть сведения об информационных ресурсах оператора.

Это адрес, состоящий из наименования протокола (http или https), сервера (www), домена, имени каталога на сервере и имени файла веб-страницы.

Нужно указать адреса всех сайтов, которые будут обрабатывать сведения о пользователях.

Согласие должно быть написано чёткими и ясными фразами, чтобы пользователь понял, кому и в каких случаях вы можете передавать его данные.

Ошибкой будет написать что-то вроде «Пользователь ознакомлен и согласен с тем, что передача его персональных данных может осуществляться маркетплейсом в объёме, необходимом для получения Пользователем доступа к Платформе, любым третьим лицам, в том числе осуществляющим техническое обслуживание сайта и поддержку Пользователя».

Если собираете данные только в интернете, достаточно прописать в политике конфиденциальности случаи, в которых пользователь выражает согласие на обработку. Например, если он заполняет чекбокс.

Шаблон Согласия на обработку персональных данных

Пример, как можно прописать согласие на обработку в политике конфиденциальности. Скриншот: сайт Skillbox

Обязательство о неразглашении персональных данных. Документ обязывает работников не разглашать персональные данные, полученные компанией. Его должны подписывать все сотрудники, у которых есть доступ к сведениям о клиентах.

Шаблон Обязательства о неразглашении персональных данных

Приказ о назначении ответственного за работу с персональными данными. Внутренний документ. Его не нужно нигде публиковать, но Роскомнадзор может попросить его при проверке. Как правило, ответственным назначают IT-специалиста или сотрудника службы безопасности.

Важно! Если на сайте можно зарегистрироваться, нужно знакомить пользователей с политикой конфиденциальности и получать согласие на обработку персональных данных перед тем, как он отправит анкетные сведения.

Регистрация в Реестре операторов персональных данных | Министерство цифрового развития и связи Новосибирской области

В соответствии со ст. 22 Федерального закона от 27.07.

2006 № 152-ФЗ «О персональных данных», организации, осуществляющие обработку персональных данных, уведомляют уполномоченный орган по защите прав субъектов персональных данных путем подачи Уведомления об обработке персональных данных (далее – Уведомление) для последующего занесения организации в Реестр операторов, осуществляющих обработку персональных данных (далее – Реестр).
С 01.09.2015 в Уведомлении необходимо указывать сведения о месте нахождения баз данных, содержащих персональные данные граждан Российской Федерации. По сведениям Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Сибирскому федеральному округу, ранее поданные Уведомления об обработке персональных данных не содержат указанных сведений. Рекомендации по внесению изменений в Реестр операторов персональных данных

Поиск организации, внесенной в Реестр операторов, осуществляющих обработку персональных данных (далее – Реестр), осуществляется на Портале персональных данных уполномоченного органа по защите прав субъектов персональных данных http://pd.rkn.gov.ru (далее – Портал): меню «Реестр операторов» «Реестр» или прямая ссылка http://pd.rkn.gov.ru/operators-registry/operators-list. Поиск удобно проводить по ИНН организации.

В случае, если организация не внесена в Реестр, необходимо подготовить и внести сведения на Портале: меню «Реестр операторов» «Электронные формы заявлений» предложение «Перейти к заполнению формы электронного уведомления» либо прямая ссылка http://pd.rkn.gov.ru/operators-registry/notification/form.

При заполнении электронного уведомления следует руководствоваться Рекомендациями по заполнению формы уведомления об обработке (о намерении осуществлять обработку) персональных данных, утвержденными Роскомнадзором 29.01.2016. Данные Рекомендации размещены на странице ниже; также они имеются в СПС «КонсультантПлюс» и размещены на официальном сайте Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Сибирскому федеральному округу (далее – Управление Роскомнадзора): https://54.rkn.gov.ru/protection/processingNotification/p19091.
После заполнения всех полей электронной формы заявления и отправки формы электронного уведомления (кнопка «Отправить электронное уведомление и подготовить форму к распечатке») заполненную форму необходимо сохранить для последующего формирования письма на бланке организации.
В целях проверки корректности внесенных сведений можно обратиться в Управление Роскомнадзора по тел. 349-55-79 (Анастасия Сергеевна), сообщив номер уведомления и ключ, которые будут указаны в заполненной форме.
После подтверждения корректности внесенных сведений необходимо сформировать письмо на бланке организации с заполненной формой, распечатать, скрепить подписью и печатью организации, направить в Управление Роскомнадзора.

В случае, если организация внесена в Реестр, следует открыть форму уведомления об обработке персональных данных (далее – Уведомление), нажав ссылку в наименовании организации, и просмотреть содержание.

Если в Уведомление не внесены сведения о месте нахождения баз данных, содержащих персональные данные граждан Российской Федерации, либо указаны устаревшие сведения (утратившие силу нормативные правовые акты, номера телефонов, иная информация), необходимо внести изменения в сведения об организации в Реестре.

Для этого нужно заполнить информационное письмо: меню «Реестр операторов» «Электронные формы заявлений» предложение «Перейти к заполнению информационного письма о внесении изменений в сведения в реестре операторов, осуществляющих обработку персональных данных» либо прямая ссылка https://rkn.gov.ru/personal-data/forms/p333. В данной форме заполняются все обязательные поля, а также поля, подлежащие изменению.

Обратите внимание, что местом нахождения баз данных межведомственных государственных информационных систем Новосибирской области (ГИС «МАИС», ГИС «Управление персоналом», ГИС «Кадровый учет», РИС «Контингент обучающихся» и т.д.) и многих ведомственных государственных информационных систем (ТИС «СПГ», ГИС «Катарсис», ГИС «Контроль» и т.д.) является Центр обработки данных Правительства Новосибирской области. Данный ЦОД расположен по адресу 630007, г. Новосибирск, ул. Свердлова, д. 14, является собственностью Новосибирской области и сопровождается государственным бюджетным учреждением Новосибирской области «Центр информационных технологий Новосибирской области» (ГБУ НСО «ЦИТ НСО»), ИНН 5406762016, КПП 540601001, ОГРН 1135476155430.
Для указания двух и более мест расположения баз данных используйте кнопку «Добавить ИС». Место нахождения собственных серверов (либо компьютеров, выполняющих роль сервера), содержащих персональные данные граждан Российской Федерации, следует указывать как собственный ЦОД.
После заполнения формы информационного письма необходимо сохранить его для последующего формирования письма на бланке организации; письмо распечатать, подписать и направить в Управление Роскомнадзора.

Рекомендации по заполнению формы Уведомления, а также примеры по заполнению Уведомления и информационного письма можно посмотреть в меню «Реестр операторов» «Документы» либо по прямой ссылке http://pd.rkn.gov.ru/operators-registry/operators-registry-documents.

Вас могут проконсультировать специалисты Управления Роскомнадзора, отвечающие за ведение Реестра, по телефону 349-55-79.

Рекомендации по заполнении формы Уведомления об обработке ПДн

Ответы Роскомнадзора на вопросы о персональных данных

В сентябре Роскомнадзор дал разъяснения по закону о персональных данных в форме вопросов и ответов. Публикуем их.

Уполномоченный орган — федеральный орган исполнительной власти, осуществляющий функции контроля и надзора в сфере информационных технологий и связи.

В настоящее время, в соответствии с постановлением Правительства от 16 марта 2009 года № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций» данная функция возложена на Роскомнадзор.

В соответствии с п. 2 ст.3 Федерального закона от 27.07.

2006 № 152-ФЗ «О персональных данных» оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.При этом операторами указанные органы и лица являются независимо от включения в реестр операторов, осуществляющих обработку персональных данных, который ведет Роскомнадзор.

В соответствии с ч. 2 ст.7 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обеспечения конфиденциальности персональных данных не требуется:

1) в случае обезличивания персональных данных;

2) в отношении общедоступных персональных данных.

Согласно ч. 2 ст.6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» согласия субъекта персональных данных не требуется в следующих случаях:

1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;

1.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;(п. 1.1 введен Федеральным законом от 25.11.2009 № 266-ФЗ)

2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
3) обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
4) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
5) обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
6) обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
7) осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Получить согласие работника на передачу его персональных данных для обработки другому оператору должна администрация предприятия, на котором работает субъект персональных данных.

В соответствии с ч.1 ст.22 Федерального закона от 27.07.

2006 № 152-ФЗ «О персональных данных» оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных. Исключение составляют случаи, предусмотренные ч.2 комментируемой статьи, при обработке персональных данных:

1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;
2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
4) являющихся общедоступными персональными данными;
5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.Уведомление должно быть направлено в письменной форме и подписано должностным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации

.Образец формы уведомления об обработке персональных данных и методические рекомендации по его заполнению размещены на официальном сайте Роскомнадзора.

Кроме того, на портале Персональные данные реализована функция по заполнению уведомлений об обработке персональных данных в электронной форме.

Предоставление физическим лицом оператору персональных данных близких родственников возможно только при наличии письменного согласия указанных лиц либо в случаях, установленных федеральными законами.

Вы вправе обратиться в ближайшее территориальное управление Роскомнадзора. Адреса и контактные телефоны указаны на официальном сайте Роскомнадзора.

Ст.24 Федерального закона «О персональных данных» определяет ответственность за нарушение данного Федерального закона, которая выражается в виде уголовной, административной, дисциплинарной и иной предусмотренной законодательством Российской Федерации ответственности.Административная ответственность за нарушение настоящего Федерального закона наступает за:

— неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, либо несвоевременное предоставление таких документов и материалов, непредставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст.5.39 КоАП РФ);

— нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) (ст.13.11 КоАП РФ);

— разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность) (ст.13.14 КоАП);

— непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде (ст.19.7 КоАП РФ).

Кроме того, за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, и неправомерный доступ к охраняемой законом компьютерной информации российским законодательством предусмотрена уголовная ответственность, предусмотренная ст.137, 272 УК РФ.

Персональные данные субъектов персональных данных, полученные кредитной организацией при рассмотрении заявок на получение кредита, в случае отрицательного решения кредитной организации подлежат уничтожению в срок, не превышающий трех рабочих дней с даты принятия соответствующего решения.

Обращаем Ваше внимание, что типовые формы документов, характер информации в которых предполагает или допускает включение в них персональных данных, могут храниться в формате цифровых копий при соблюдении требований к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 17 ноября 2007 года № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».

Получение согласия на обработку персональных данных по телефону, посредством СМС-сообщений действующим законодательством Российской Федерации не установлено.

При заполнении вэб-формы заявки на покупку товара на сайте интернет-магазина в информационно-телекоммуникационной сети «Интернет» критерием, свидетельствующим о получении оператором согласия субъекта персональных данных на обработку его персональных данных, является файл электронной цифровой подписи.

Кроме того, предложение оператора о продаже товара в отдельных случаях может рассматриваться как публичная оферта. Таким образом, субъект персональных данных, акцентируя указанную оферту, тем самым осуществляет конклюдентные действия, выражающие его волю и согласие на обработку его персональных данных, предоставленных при заполнении заявки на покупку товаров.

В соответствии с ч.3 ст.10 Федерального закона «О персональных данных» обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.

До начала осуществления трансграничной передачи персональных данных оператор, осуществляющий обработку персональных данных (далее — Оператор) на территории Российской Федерации, обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных.

Критериев, определяющих адекватность защиты прав субъектов персональных данных на территории иностранного государства, действующим законодательством Российской Федерации не предусмотрено.

Оператору, осуществляющему трансграничную передачу персональных данных, необходимо руководствоваться законодательством иностранного государства, на территорию которого осуществляется передача персональных данных, законодательством Российской Федерации в области защиты прав субъектов персональных данных, а также международными нормативными актами, в том числе Конвенцией о защите прав физических лиц при автоматизированной обработке персональных данных от 28 января 1981 года ETS № 108 с учетом перечня стран, подписавших и ратифицировавших данную Конвенцию. Это Австрия, Бельгия, Болгария, Дания, Великобритания, Венгрия, Германия, Греция, Ирландия, Испания, Италия, Латвия, Литва, Люксембург, Мальта, Нидерланды, Польша, Португалия, Румыния, Словакия, Словения, Финляндия, Франция, Чехия, Швеция, Эстония.

Вторая группа, которые могут претендовать на статус стран, обеспечивающих адекватную защиту персональных данных, это страны, имеющие общенациональные нормативные правовые акты в области защиты персональных данных и уполномоченный надзорный орган по защите прав субъектов персональных данных. Это Андорра, Аргентина, Израиль, Исландия, Канада, Лихтенштейн, Норвегия, Сербия, Хорватия, Черногория, Швейцария, Южная Корея, Япония.

Требования Федерального закона «О персональных данных» распространяются на представительства юридических лиц иностранных государств, осуществляющих деятельность по обработке персональных данных на территории Российской Федерации.

Согласно пункту 9 статьи 3 Федерального закона «О персональных данных» информационная система персональных данных — информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.В случае соответствия веб-сайта указанным требованиям он является информационной системой.

Порядок документальной фиксации уничтожения персональных данных субъекта определяется оператором персональных данных самостоятельно. Уничтожение персональных данных субъекта осуществляется комиссией либо иным должностным лицом, созданной (уполномоченным) на основании приказа Оператора.

Наиболее распространенными способами документальной фиксации уничтожения персональных данных субъекта является оформление соответствующего акта о прекращении обработки персональных данных либо регистрация факта уничтожения персональных данных в специальном журнале.

Типовая форма акта и журнала утверждаются самим Оператором.

Да, такие документы, разработанные отдельными представителями операторского сообщества, существуют:
— стандарты и рекомендации в области стандартизации Банка России;
— концепция защиты персональных данных в информационных системах персональных данных оператора связи;
— методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости.

Источник: Информация Роскомнадзора от 25.09.2015

Поможем подать уведомление об обработке персональных данных — ООО "ЦБИС"

Закон вступил в силу 7 июня 2006 года и требует, чтобы каждый оператор уведомил Роскомнадзор о намерении обрабатывать персональные данные до начала их обработки. Сам порядок уведомления и перечень сведений, которые оператор должен сообщить в Роскомнадзор, указаны в статье 22 закона.

В теории все просто: уведомление подается на бумажном носителе или в электронной форме за подписью руководителя организации. Роскомнадзор рассматривает уведомление в течение 30 дней и принимает решение о регистрации оператора в реестре.

Если сведения в уведомлении не соответствуют требованиям закона, то оператор получает отказ с правом повторной регистрации.

Сведения, содержащиеся в реестре операторов, за исключением сведений об обеспечении безопасности персональных данных, являются общедоступными.

Но на практике все сложнее. Чтобы правильно зарегистрироваться в реестре операторов персональных данных, необходимо сначала выполнить требования: осуществить правовую и техническую подготовку организации в соответствии со статьями 18.1 и 19 закона. А это требует немало времени и средства.

Камни преткновения

Как правило, операторы персональных данных сталкиваются с тремя основными проблемами при регистрации в реестре Роскомнадзора:

Не знают, как заполнить уведомление: пишут, как думают (отсебятину), или, еще хуже, копируют уведомление у других операторов. В итоге они получают отказ в регистрации. Или все же попадают в реестр, но еще и на штрафные санкции, так как сведения в реестре получаются не соответствующими действительности.
Не знают, как заполнить уведомление, не проведя сначала полноценную подготовку по 152-ФЗ и не имея практики прохождения проверки Роскомнадзора.
Составляют уведомление без конкретики, описывая применяемые меры защиты, цели обработки, правовое основание обработки персональных данных общими словами, без ссылок на конкретные внутренние организационно-распорядительные документы организации, нормы законов и без указания конкретных мер защиты.

Что делать, если вы уже обрабатываете персональные данные?

Если вы уже обрабатываете персональные данные и не знаете как сейчас поступить по поводу регистрации в реестре операторов персональных данных, то следуйте такому плану:

Как зарегистрироваться в реестре Роскомнадзора?

Зарегистрироваться в реестре можно двумя способами: в электронной или бумажной форме.

Для регистрации в бумажной форме нужно скачать и заполнить проект уведомления или заполнить форму на сайте Роскомнадзора: https://rkn.gov.ru/personal-data/register/

Затем документ нужно распечатать, утвердить руководителем организации и отправить заказным письмом с уведомлением в адрес Роскомнадзора: 109074, г.Москва, Китайгородский пр., д.7, стр.2.

Лайфхак по успешной регистрации в реестре Роскомнадзора

Если сроки горят, и нужно зарегистрироваться в реестре с первого раза, то необходимо следовать рекомендациям:

Заполняйте уведомление максимально подробно и точно, ссылаясь на реальные и действующие нормы закона, а также внутренние организационно-распорядительные документы.
Если у вас система защиты персональных данных еще не готова, то нужно писать так, как будто она реализована полностью, с указанием конкретных подсистем и средств защиты (антивирусная подсистема, подсистема обнаружения вторжений, подсистема криптографической защиты, подсистема анализа защищенности, подсистема защиты от несанкционированного доступа и др.).
Если вы подаете уведомление с целью регистрации в реестре как оператор персональных данных «клиентов», то не забудьте указать, что вы обрабатываете и персональные данные сотрудников, так как они есть в любой организации. Это обязательно!
При описании правового основания обработки персональных данных нельзя ссылаться только на 152-ФЗ, так как закон описывает требования к обработке и защите персональных данных, но не описывает правовые основания обработки для тех или иных типов организаций.
При описании правового основания обработки не забудьте базовые документы, которые нужно указывать любому оператору: Конституция РФ, Трудовой кодекс РФ, Гражданский кодекс РФ.

Регистрация в реестре Роскомнадзора: цена вопроса

Госпошлина за внесение в реестр Роскомнадзора не взимается. Оператор может подать уведомление самостоятельно или обратиться за помощью к компетентной организации, которая не только подготовит уведомление, но и поможет выполнить подготовку по требованиям закона.

Помощь коммерческих организаций в регистрации в реестре стоит от 10 до 50 тысяч рублей, а с предоставлением базового набора организационно-распорядительной документации — от 50 до 150 тысяч рублей.

Скачать коммерческое предложение на Внесение в реестр Роскомнадзора

СКАЧАТЬ PDF

Какие сведения указываются в уведомлении?

В уведомлении указываются следующие сведения:

наименование (фамилия, имя, отчество), адрес оператора;
цель обработки персональных данных;
категории персональных данных;
категории субъектов, персональные данные которых обрабатываются;
правовое основание обработки;
перечень действий с персональными данными, описание используемых способов обработки персональных данных;
описание реализации мер, предусмотренных статьями 18.1 и 19 закона;
фамилия, имя, отчество лица ответственного за организацию обработки персональных данных;
дата начала обработки персональных данных;
срок или условие прекращения обработки персональных данных;
сведения о наличии или об отсутствии трансграничной передачи персональных данных;
сведения о месте нахождения базы данных;
сведения об обеспечении безопасности персональных данных.

Что предлагаем мы?

Мы занесем вашу организацию в реестр операторов персональных данных и предоставим типовой набор организационно-распорядительной документации, необходимый для соответствия требованиям ФЗ-152 и прохождения проверки Роскомнадзора, за 45 тысяч рублей с гарантией по договору.