Персональные данные: между реальностью и заблуждениями

Тема персональных данных сегодня пронизана слухами и фейками. Недобросовестные компании часто используют это в своих интересах, нарушая законы и извлекая прибыль. Рассмотрим несколько примеров распространённых фейков о персональных данных

Фейк 1

Персональные данные всегда включают паспортные данные, СНИЛС и фотографии.

Правда

Под понятием «персональные данные» понимается любая информация, которая может быть использована для непосредственной или косвенной идентификации конкретного человека. Примером такой информации может служить даже просто адрес электронной почты. Стоит отметить, что индивидуальные данные могут рассматриваться как персональные только в контексте их сочетания. Например, сам по себе адрес электронной почты, как правило, не является персональными данными, так как представляет собой абстрактную информацию. Однако, когда мы имеем дело с конкретным адресом электронной почты, таким как, например, ivanov2222@yandex.ru, который принадлежит Иванову Ивану Ивановичу, в этом случае он считается персональными данными.

Фейк 2

Ответственный за персональные данные в организации обязательно должен иметь специальное образование, сертификаты и быть экспертом в информационной безопасности.

Правда

Закон 152-ФЗ не устанавливает конкретных обязательных критериев наличия образования или сертификации лица, ответственного за управление персональными данными. Эту роль может выполнять любой сотрудник при условии, что он ознакомлен с процессами работы с персональными данными внутри компании, понимает, как ведётся работа с данными и соблюдает законодательные требования. Положения о назначении ответственного лица и требованиях к нему определены в ст. 18.1 152-ФЗ, а ст. 22.1 содержит перечень обязанностей и полномочий такого лица. Например, если директор компании не назначит ответственного, он будет нести сам обязанности, связанные с управлением персональными данными в соответствии с ч. 1 ст. 22.1 152-ФЗ.

Фейк 3

Для разработки внутренних документов по работе с персональными данными внутри организации необходимо обязательно обращаться к специализированным лицензированным компаниям. Самостоятельное создание документов запрещено, и за это грозят штрафы до 6 млн рублей.

Правда

Организация вправе самостоятельно разрабатывать внутренние документы, касающиеся обработки персональных данных, без необходимости обращения к лицензированным организациям. Федеральный закон 152-ФЗ не устанавливает жёстких ограничений на возможность создания таких документов организацией самостоятельно. Процесс разработки локальных нормативных актов, связанных с обработкой персональных данных, не подвергается строгому законодательному регулированию, и законодательство не содержит явных инструкций относительно формата и структуры таких актов.
Конкретный порядок разработки и оформления локальных нормативных актов зависит в первую очередь от содержания и потребностей конкретного документа, а также от целей, которые организация ставит перед собой при его создании.

Фейк 4

Неисполнение обязанности подать уведомление в Роскомнадзор приведёт к штрафам в размере от 6 до 18 млн рублей.

Правда

Нарушение требований о представлении уведомления при начале обработки персональных данных может повлечь за собой административную ответственность в соответствии со ст. 19.7 КоАП РФ и подразумевает наложение штрафа, который может достигать 5 000 рублей. Эта норма устанавливает обязанность представлять сведения в государственный орган, ответственный за осуществление государственного контроля и надзора в данной сфере. Необходимо отметить, что контролирующие органы, как правило, начинают взаимодействие с предприятиями с рекомендаций, прежде чем применять административные санкции. Однако важно помнить, что даже если уведомление не было представлено, компании всё равно обязаны строго соблюдать требования законодательства о персональных данных. В противном случае нарушения могут повлечь за собой иные серьёзные штрафы, которые могут достигать значительных сумм, вплоть до 18 млн рублей.

Фейк 5

Оператор персональных данных — это только юридическое лицо.

Правда

Согласно пункту 2, ст. 3 152-ФЗ «О персональных данных», оператором персональных данных считается государственный орган, муниципальный орган, юридическое или физическое лицо, которые независимо или совместно с другими лицами осуществляют организацию и/или проведение процесса обработки персональных данных, а также принимают решения о целях обработки персональных данных, определяют состав персональных данных, подлежащих обработке, и осуществляют действия (операции), связанные с этими персональными данными.
Следовательно, операторами персональных данных могут быть как юридические лица, включая органы государственной власти и местного самоуправления, так и физические лица, включая индивидуальных предпринимателей и самозанятых. Необходимо подчеркнуть, что даже физические лица, когда они обрабатывают персональные данные с определёнными целями и с использованием средств автоматизации, также признаются операторами персональных данных в соответствии с данной нормой.

В заключение следует подчеркнуть, что федеральный закон 152-ФЗ это неотъемлемая часть нашей повседневной работы и жизни, в него вносятся изменения, которые могут серьёзно повлиять на деятельность компаний. Поэтому важно всегда быть в курсе событий и изменений в законодательстве, чтобы избежать возможных штрафов и уберечь себя от недобросовестных организаций.