Кто такой оператор обработки персональных данных
Кто такой оператор обработки персональных данных
О персональных данных
Вопрос: Что такое Уполномоченный орган по защите прав субъектов персональных данных и на кого возложена реализация этих функций?
Вопрос: Кто может являться оператором персональных данных?
Вопрос: В каких случаях для обработки персональных данных не требуется согласия субъекта персональных данных?
Ответ: Согласно ч. 2 ст. 6. Федерального закона 27.07.2006 г. № 152-ФЗ «О персональных данных» согласия субъекта персональных данных не требуется в следующих случаях:
1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
1.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
(п. 1.1 введен Федеральным законом от 25.11.2009 N 266-ФЗ)
2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
3) обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
4) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
5) обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
6) обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
7) осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.
Вопрос: Возможно ли получение согласия на обработку персональных данных по телефону? Что является доказательством получения согласия на обработку персональных данных при покупке товаров в интернет-магазинах?
Ответ: При заполнении вэб-формы заявки на покупку товара на сайте интернет-магазина в информационно-телекоммуникационной сети «Интернет» критерием, свидетельствующим о получении оператором согласия субъекта персональных данных на обработку его персональных данных является файл электронной цифровой подписи.
Кроме того, предложения оператора о продаже товара в отдельных случаях может рассматриваться как публичная оферта.
Таким образом, субъект персональных данных, акцептируя указанную оферту, тем самым осуществляет конклюдентные действия, выражающие его волю и согласие на обработку его персональных данных, предоставленных при заполнении заявки на покупку товаров.
Получение согласия на обработку персональных данных по телефону, посредством СМС-сообщений действующим законодательством Российской Федерации не установлено.
Вопрос: Вправе ли кредитная организация обрабатывать персональные данные физических лиц, получивших отказ в предоставлении кредита? Возможно ли хранить формы анкет-заявок на получение кредита в формате цифровых копий?
Ответ: Персональные данные субъектов персональных данных, полученные кредитной организацией при рассмотрении заявок на получение кредита, в случае отрицательного решения кредитной организации, подлежат уничтожению в срок, не превышающий трех рабочих дней с даты принятия соответствующего решения.
Обращаем Ваше внимание, что типовые формы документов, характер информации в которых предполагает или допускает включение в них персональных данных, могут храниться в формате цифровых копий при соблюдении требований к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 01 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Вопрос: В соответствии со ст. 22 Федерального Закона «О персональных данных» Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 указанной статьи. Оператор осуществляет обработку лишь тех персональных данных, которые он вправе обрабатывать без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку. Однако оператор по ошибке направил уведомление в уполномоченный орган. Каким образом оператор может отозвать свое уведомление и попросить исключить его из реестра операторов? Административный регламент Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по предоставлению государственной услуги «Ведение реестра операторов, осуществляющих обработку персональных данных» не предусматривает случаи исключения оператора из реестра в случае ошибочного направления уведомления.
Ответ: Существующий сегодня Административный регламент предусматривает исчерпывающий перечень оснований для исключения Оператора из Реестра, и действительно, такое основание как ошибочное направление уведомления им не предусмотрено. Административный регламент в этой части требует изменений, однако решение о внесении таких изменений будет приниматься Роскомнадзором.
Тем не менее, возникает вопрос, почему Оператор хочет исключиться из реестра. В среде операторского сообщества существует мнение, что организации, находящиеся в реестре, подлежат обязательно проверке уполномоченным органом, хотя на деле мы большее внимание уделяем тем организациям, кого нет в реестре, и учитываем этот факт при составлении плана проверок. Факт нахождения в реестре говорит о добропорядочности оператора и о прозрачности его деятельности. Многие жалобы начинаются со слов, что некого оператора нет в реестре, и далее звучит просьба его проверить. Поэтому, прежде чем исключаться из реестра, советую хорошенько подумать, а если ещё не внесены в реестр и имеются какие-то сомнения о необходимости подачи соответствующего уведомления, рекомендую сомнения оставить и уведомление подать, от этого больше плюсов, чем минусов.
Вопрос: Является ли обработкой персональных данных поступление телефонных звонков с целью проведения телефонных опросов граждан?
Вопрос: Является ли обработкой персональных данных поступления СМС сообщений и телефонных звонков с предложениями рекламного или информационного характера?
Абонентский номер (номер телефона) это выделяемый абоненту номер, (совокупность цифровых знаков) при заключении с абонентом договора об оказании услуг телефонной связи. Данный номер служит для обозначения и возможности идентификации конечного оборудования абонента в сети связи при соединении с ним абонентских устройств из чего следует, что номер телефона без указания на его владельца не является информацией, на основании которой это лицо (субъекта персональных данных) можно однозначно идентифицировать и его использование не может подразумевать обработку персональных данных его владельца. Вопросы, связанные с поступлением сообщений (звонков) рекламного характера (предоставления услуг), входят в компетенцию органа, осуществляющего государственный контроль по вопросам распространения рекламы в сетях электросвязи, Федеральной антимонопольной службы (ФАС). Для прекращения дальнейшего использования номера телефона в рекламных целях (в частности, распространения рекламы в сетях электросвязи), целесообразно обратиться в ФАС. Рассмотрение обращений граждан, поступивших в ФАС, осуществляется в соответствии с требованиями Административного регламента ФАС по исполнению государственной функции по рассмотрению дел, возбужденных по признакам нарушения законодательства Российской Федерации о рекламе, утвержденного приказом ФАС России от 23.11.2012 № 711/12.
Время публикации: 26.12.2013 10:36
Последнее изменение: 26.12.2013 10:36
Кто является оператором персональных данных?
Кто является оператором персональных данных?
Общим признаком оператора персональных данных для всех организаций является обработка персональных данных работников. Организации, оказывающие услуги населению, обрабатывают еще и персональные данные клиентов. То есть, по сути, операторами персональных данных являются все без исключения организации.
Однако не все операторы должны исполнять требования Закона N 152-ФЗ в полном объеме. Так, не все операторы должны исполнять обязанность по уведомлению уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных согласно ст. 22 Закона N 152-ФЗ. Исключения, в частности, установлены для организаций, осуществляющих обработку персональных данных:
обрабатываемых в соответствии с трудовым законодательством;
полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если они не распространяются, не предоставляются третьим лицам без согласия субъекта данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими объединением или организацией, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
сделанных субъектом персональных данных общедоступными;
включающих в себя только фамилии, имена и отчества субъектов персональных данных;
необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;
обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Все остальные операторы такие уведомления направляют, после чего включаются в реестр операторов.
Обратите внимание! Сведения об операторе, содержащиеся в реестре, являются общедоступными. Они размещаются для ознакомления на официальном сайте и портале персональных данных Роскомнадзора.
Соответственно, организации, не подающие уведомления, в реестр операторов не включаются.
Что же касается обязанности по составлению Политики и других локальных документов, здесь исключений никаких не установлено. Соответственно документ, определяющий политику в отношении обработки персональных данных, должен быть в каждой организации.
Причем если организация осуществляет сбор персональных данных граждан с использованием Интернета (регистрация на сайте, форма обратной связи, куда необходимо внести персональные данные), этот документ должен быть размещен на сайте организации. К таким организациям, в первую очередь, относятся интернет-магазины, социальные сети и другие сайты, государственные и муниципальные органы, а также медицинские учреждения, образовательные организации, налоговые и другие регистрирующие органы, организации в сфере социальных услуг, банки, турагентства. Это могут быть и просто организации, которые проводят конкурсы на занятие определенных должностей и на своих сайтах выставляют имеющиеся вакансии и предлагают кандидатам заполнить анкету.
К сведению. В целях ограничения доступа к информации в сети «Интернет», обрабатываемой с нарушением законодательства РФ в области персональных данных, создается автоматизированная информационная система «Реестр нарушителей прав субъектов персональных данных». Формирует данный реестр Роскомнадзор (ст. 15.5 Федерального закона от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации»).
Актуальная версия заинтересовавшего Вас документа доступна только в коммерческой версии системы ГАРАНТ. Вы можете подать заявку на получение полного доступа к системе бесплатно на 3 дня.
Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.
Оператор персональных данных
Знание законодательной базы для того, кто намерен осуществлять обработку ПДн в рамках своей деятельности, является обязательным, и главным нормативно-правовым актом является Федеральный Закон № 152, принятый в 2006 году. Он регулирует взаимоотношения владельцев личной информации и тех, кто использует эти сведения для коммерческих и иных целей. Детальный анализ ФЗ позволит разобраться, кто признается оператором персональных данных, какие у него права и обязанности, может ли быть обработчиком поручитель, какие требования предъявляются к тем, кто собирает, хранит, копирует, распространяет, уничтожает и блокирует сведения. Особого внимания заслуживает вопрос необходимости исполнения закона о ПДн в полном объеме, например, в отдельных случаях нет необходимости отправлять уведомление Роскомнадзору об осуществлении обработки информации.
Кто является оператором персональных данных в соответствии с ФЗ-152?
В статье 3 четко прописано, что статус оператора ПДн имеют все, кто сами либо с помощью уполномоченных лиц обрабатывают персональные данные, предварительно установив их состав, цели и список выполняемых действий. Под данную категорию попадают как юридические, так и физические лица, а также муниципальные органы и государственные структуры. Фактически это все без исключения компании, реализующие товары или услуги.
В действующем законодательстве РФ указаны организации, которым не нужно дополнительно информировать Роскомнадзор о проведении операций с ПДн. К ним относятся фирмы и ИП, которые получают и используют личные сведения субъектов:
Кроме того, оператор личных данных не должен сообщать в компетентный орган, если обрабатывает исключительно Ф.И.О. гражданина, сведения для выдачи однократных пропусков и ПДн, которые имеют общедоступный характер. Если ваша деятельность не относится ни к одной из перечисленных категорий, то уведомление посылать необходимо, причем сразу после этого вы будете включены в реестр. Каждый человек может в любое время зайти на официальный ресурс Роскомнадзора и узнать наименование и другие сведения об операторе персональных данных. Если в перечне информации нет, это может значить, что фирма или ИП не подали уведомление, соответственно, нарушили закон либо совершают операции, для которых не требуется его предоставлять.
Проконсультироваться, нужно ли в вашем случае контактировать с проверяющей организацией, можно в нашем специализированном центре. Опытные эксперты по защите ПДн изучат ситуацию и дадут конкретные рекомендации по поводу правового урегулирования деятельности согласно ФЗ-152.
Независимо от того, в какой сфере работает компания, насколько большой штат сотрудников и объем обрабатываемой личной информации, в обязательном порядке необходима разработка Политики обработки ПДн и прочей внутренней документации, определяющей порядок совершения всех операций. Для тех, кто ведет бизнес онлайн, предусмотрено требование опубликовать основные документы на сайте. При отсутствии неограниченного доступа к Политике можно получить штраф в пределах от 3 до 30 тысяч рублей, в дополнение к этому организация автоматически попадает в реестр нарушителей, что негативно скажется на деловой репутации.
Права и обязанности оператора персональных данных
Занимаясь обработкой ПДн, предприниматель или фирма должны четко придерживаться законодательных нормативов. Например, есть возможность осуществлять с полученными сведениями такие операции, как:
Но при этом установлены ограничения относительно продолжительности хранения и способа применения. Запрещено продолжать обрабатывать ПДн после достижения изначально поставленных целей и сроков.
Что касается требований к операторам персональных данных, то основными среди них являются:
Что проверяет Роскомнадзор?
Регулярные проверки ведомства — мощный стимул для организаций не нарушать положения ФЗ-152. Главное, на что обращают внимание представители госструктуры:
Естественно, если в прошлом оператор персональных данных совершал нарушения, но его будут инспектировать особенно тщательно, так что есть смысл изначально привести деятельность в сфере ПДн в соответствие в требованиями ФЗ-152.
Делегирование обработки ПДн
Осуществлять обработку самостоятельно необязательно — можно поручить организацию обработки и защиту информации специалистам. Это может быть сервис-провайдер либо иное лицо (например, наш Центр безопасности данных), которое возьмет на себя обеспечение технической части согласно условиям подписанного договора и нормативам российского законодательства. Юридическое право выполнять действия с ПДн закрепляется в поручении, где отдельным пунктом прописана необходимость обеспечения безопасности и конфиденциальности обрабатываемых данных граждан.
Чем грозит разглашение личной информации граждан?
Закон предусматривает различные виды ответственности за несоблюдение оператором требований ФЗ-152 в отношении операций с ПДн, а именно:
Правовой статус оператора персональных данных
Согласно ст.3 ФЗ «О персональных данных», оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Данная норма выделяет два критерия, при наличии которых лицо квалифицируется как оператор персональных данных:
— организация и (или) осуществление обработки персональных данных;
— определение целей обработки персональных данных, состав обрабатываемых персональных данных и действия (операции), совершаемые с персональными данным.
При детальном рассмотрении определения оператора персональных данных встает вопрос о том, должно ли лицо для квалификации в качестве оператора соответствовать обоим или одному из данных критериев.
Зачастую организацию и(или) осуществление обработки персональных данных может выполнять лицо, действующее по поручению иного лица (принципала) и не определяющее цели, состав и операции обработки персональных данных. Типичным примером такого лица является хостинг-провайдер, осуществляющий хранение и иную обработку персональных данных по поручению клиента. В подобных отношениях клиент соответствует обоим критериям оператора, в то время как хостинг-провайдер соответствует только критерию организации и (или) осуществления обработки персональных данных, при условии, что клиент самостоятельно определяет цели, состав и операции по обработке персональных данных, и хостинг-провайдер не использует такие персональные данные в собственных целях. В случае же, когда хостинг-провайдер по тем или иным причинам и основаниям (или без таковых) определяет цели, состав и операции по обработке персональных данных независимо от клиента, такая деятельность хостинг-провайдера соответствует обоим критериями оператора.
В отличие от описанного примера, крайне затруднительно представить ситуацию, при которой лицо будет определять цели, состав и операции по обработке персональных данных, без организации и (или) осуществления обработки персональных данных этим же лицом или иными лицами по его поручению. Учитывая, что закон не содержит прямого запрета на определение целей, состава и операций по обработке персональных данных, любое лицо вправе осуществлять такое определение, но такая деятельность не будет входить в сферу регулирования ФЗ «О персональных данных», поскольку согласно ст.1 указанного закона, закон регулирует отношения, связанные с обработкой персональных данных, для наличия которой очевидно недостаточно только определить цели, состав и способы обработки без осуществления самой обработки.
Таким образом, справедливо утверждать, что для квалификации в качестве оператора лицо должно соответствовать обоим указанным критериям. С другой стороны, закон допускает соответствие обоим критериям не только независимо, но и совместно с другими лицами. И если часть предусмотренных статусом оператора действий осуществляется лицом в рамках поручения принципала, то в таких отношениях можно говорить о совместном выполнении обоих критериев обоими участниками процесса обработки.
Работа с персональными данными в рамках поручения принципала не означает, что хостинг-провайдер не определяет самостоятельные, присущие только ему цели и способы обработки персональных данных. Если целью обработки персональных данных принципала является хранение персональных данных в рамках оказания услуг субъектам персональных данных, то целью хостинг-провайдера является исполнение договора с принципалом. И если способом обработки принципала является обмен цифровыми данными с хостинг-провайдером, то хостинг-провайдер при хранении данных на своих серверах может использовать свои независимые способы обработки, о деталях которых принципал может быть и не осведомлен, если способы обработки касаются, например, защиты данных.
Следовательно, в любых подобных отношениях в рамках российского законодательства и клиент, и хостинг-провайдер могут выступать в качестве операторов. Данный вывод является ключевым для определения правового статуса лиц, осуществляющих обработку персональных данных по поручению оператора, существование которых предусмотрено ч.3 ст.6 ФЗ «О персональных данных». Несмотря на то, что данная норма прямо не называет операторами лиц, действующих по поручению оператора, её положения не исключают возможность наличия статуса оператора у такого лица в рамках обработки персональных данных по поручению.
Такая трактовка законодательства вызывает ряд вопросов, которые, впрочем, вполне поддаются решению. Учитывая, что хостинг-провайдер может быть не осведомлен о том, что обрабатываемые им данные являются персональными (что не освобождает его от исполнения обязанностей оператора), встает вопрос об ответственности за соблюдение обязанностей оператора и о возможности такого соблюдения. Несмотря на то, что неосведомленный оператор может быть привлечен к ответственности и понести убытки, закон не запрещает установить в поручении на обработку персональных данных или ином соглашении механизмы ответственности клиента-принципала перед таким оператором за отсутствие факта передачи оператору сведений, необходимых для исполнения его публичных обязанностей.
Справедливость данного подхода подтверждается также тем, что согласно сч.4 ст.6 ФЗ «О персональных данных», лицо, обрабатывающее персональные данные по поручению оператора, освобождается от обязанности получению согласия субъекта на обработку персональных данных. А согласно ч.5 указанной статьи, лицо, действующее по поручению оператора, не несет ответственности перед субъектами персональных данных, которая полностью возлагается на оператора-принципала (что не исключает публичной ответственности лица, действующего по поручению). Данные исключения позволяют оператору, действующему по поручению, в полном объеме соблюдать требования, предъявляемые законом к оператору.
Такие положения закона, на первый взгляд, противоречат мировой практике, в частности – GDPR (Общему регламенту защиты персональных данных (Регламент (Европейский Союз) 2016/679)), статья 4 которого прямо разделяет понятия «контроллера», определяющего цели и способы обработки персональных данных, и «процессора», обрабатывающего персональные данные от имени контроллера, для каждого из которых закон устанавливает свои обязанности. Но фактически использование отдельного термина «процессор» является техническим приемом, который позволяет упростить описание правового статуса оператора, выполняющего функции процессора, в части его отличий от статуса оператора-контроллера. Можно утверждать, что ФЗ «О персональных данных» следует подходам GDPR, но не вводит отдельный термин, аналогичный процессору, а описывает особенности его статуса через исключения из общих положений об обязанностях оператора.
Логика такого подхода также позволяет избежать неопределенности правового статуса лиц, обрабатывающих персональные данные по поручению процессора, которые не состоят в прямых отношениях с изначальным контроллером. В то время как ст.28 GDPR предусматривает особенности правового статуса процессоров, обрабатывающих персональные данных по поручению процессоров верхнего уровня, в ФЗ «О персональных данных» статус таких процессоров напрямую не описан, и единственным способом определения статуса таких процессоров в рамках российского закона является квалификация отношений между двумя процессорами как отношений между контроллером и процессором, что в совокупности с механизмами гражданского-правовой ответственности контроллера перед процессором и исключениями, предусмотренными для операторов, являющихся процессорами, делает описанный подход жизнеспособным и обоснованным, а также расширяющим возможности привлечения процессоров и контроллеров к субсидиарной публичной ответственности, которые позволяют более эффективно защищать интересы субъектов персональных данных, не ущемляя прав контроллеров и процессоров.