Как избежать штрафов, работая с персональными данными?

В эпоху цифровых данных утечка личной информации клиентов и нарушение правил обработки персональных данных грозит компании дополнительными расходами. В статье разбираемся с последними законодательными обновлениями в данной сфере.

Согласно российскому законодательству, персональными данными является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Иными словами, это личная информация, по которой можно идентифицировать человека.

Взаимодействовать с персональными данными, то есть осуществлять их сбор, хранение, передачу или распространение, можно только в установленных законом случаях или с согласия их владельца (ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). В целом при работе с персональными данными следует запомнить два основных правила:

1. Не совершайте никаких действий с личной информацией гражданина без его согласия или законных оснований (ст. 6, 9 Федерального закона № 152-ФЗ);

2. Если вы не уверены в необходимости получения согласия со стороны гражданина, лучше обязательно его получить — излишняя предосторожность в этом случае не помешает.

Кроме того, важно отметить, что объем собираемых персональных данных должен соответствовать целям их обработки (ч. 2 ст. 5 Федерального закона № 152-ФЗ). Компания не вправе требовать от гражданина избыточную личную информацию. Например, для доставки еды необходимы телефонный номер и адрес клиента, в то время как требование предоставления им паспортных данных будет нарушением законодательства.

Ввиду распространения ситуаций с утечкой персональных данных последние годы происходит ужесточение административных последствий для компаний. Например, с декабря 2023 года существенно вырос штраф за обработку персональных данных без письменного согласия субъекта персональных данных. Он составляет от 100 тыс. до 300 тыс. рублей для должностных лиц; от 300 тыс. до 700 тыс. рублей для юридических лиц.

Согласно обновленным требованиям Роскомнадзора и Закона № 152-ФЗ "О персональных данных, для обеспечения качественного функционирования сферы персональных данных, компания обязана:

1. Выстроить систему обработки, записи и хранения персональных данных в соответствии с последними требованиями законодательства;

2. Назначить ответственное за надзор в данной сфере лицо;

3. Иметь внутреннюю политику, регулирующую обработку персональных данных;

4. Обеспечить внутренний контроль в этой сфере и надежное хранение персональных данных;

5. Разработать необходимую документацию для процессов обработки персональных данных организации, охватывающую обработку, запись и хранение.

6. Своевременно представлять отчеты в Роскомнадзор.

Таким образом, тема персональных данных имеет критическое значение для современной компании. Соблюдение норм законодательства и своевременное включение законодательных нововведений в работу организации поможет ей сохранить высокую репутацию и не допустить потери собственных средств.