Регистрационный номер в реестре операторов персональных данных

Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Регистрационный номер в реестре операторов персональных данных». Также Вы можете бесплатно проконсультироваться у юристов онлайн прямо на сайте.

Содержание:

Нюанс справка передана в бухгалтерию в январе 2020 года, а женщина выходит в декрет в феврале. Коэффициент инфляции соответствует уровню инфляции за год, предшествующий году назначения пособия. Работодателем вместе с пособием по беременности и родам.

Реестр операторов, осуществляющих обработку персональных данных (Роскомнадзор)

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) Согласно закону № 152-ФЗ (О персональных данных), любая организация (или физическое лицо), имеющая дело с персональными данными, обязана соблюдать правила сбора, обеспечения безопасности, уточнения, блокирования и уничтожения такого рода сведений.

Оператор персональных данных — это государственный или муниципальный орган, юридическое или физическое лицо, которое: самостоятельно или совместно с другими лицами организует и/или осуществляет обработку ПД; определяет цели работы с личной информацией, ее состав, а также действия (операции) с ней. Реестр операторов, осуществляющих обработку персональных данных ведет ФЕДЕРАЛЬНАЯ СЛУЖБА ПО НАДЗОРУ В СФЕРЕ СВЯЗИ, ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ И МАССОВЫХ КОММУНИКАЦИЙ (Роскомнадзор).

В реестре указывается дата и основание включение в реестр, наименование оператора и его данные, цель обработки персональных данных, правовые основания, ответственное лицо оператора и другие данные.

На портале ЗАЧЕСТНЫЙБИЗНЕС, Вы можете бесплатно получить информацию, является ли организация оператором, осуществляющим обработку персональных данных, дату включения в реестр и цель обработки.

В карточке компании, полученной при поиске по ИНН/ОГРН, содержится вся открытая официальная информация о компаниях и предпринимателях РФ, в том числе является ли Юридическое лицо или Индивидуальный предприниматель Оператором, осуществляющим обработку персональных данных.

Чтобы получить информацию введите ИНН или ОГРН организации:

Согласно ч. 2 ст.6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» согласия субъекта персональных данных не требуется в следующих случаях:

обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
1. обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;(п. 1.1 введен Федеральным законом от 25.11.2009 № 266-ФЗ)
обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности

Полная информация об Организациях доступна в Премиум доступе.

Желаем Вам плодотворной, комфортной работы на портале, используя поиск юридических лиц и ИП и получения информации о включении организации в реестр операторов, осуществляющих обработку персональных данных! Ваш ЗАЧЕСТНЫЙБИЗНЕС.РФ.

Возможно Вам будет интересно:

По другим вопросам Вы можете связаться
с администрацией портала
ЗАЧЕСТНЫЙБИЗНЕС.РФ
из Личного кабинета

Источник: https://zachestnyibiznes.ru/lp/rkn

Регистрация в реестре Роскомнадзора: когда требуется и как ее провести?

Снятие обременения с недвижимости
Снятие обременения через суд
Собственность через суд
Споры с застройщиком о качестве
Спорт
Трудовые споры спортсменов с клубами
Юридическая экспертиза контрактов
Банкротство физических лиц
Банкротство физических лиц
Судебные споры
Взыскание долгов с физических лиц
Взыскание задолженности по заработной плате
Взыскание компенсации в связи с увольнением
Восстановление на работе
Защита ответчика в суде по гражданским делам
Защита прав потребителей
Обжалование дисциплинарного взыскания
Представительство интересов в судах общей юрисдикции

Представительство компаний в судах общей юрисдикции
Таможенные споры
Интеллектуальная собственность
Регистрация договоров в Роспатенте
Регистрация программ для ЭВМ, баз данных
Регистрация товарных знаков в Роспатенте
Юридические обслуживание бизнеса
Абонентское юридическое обслуживание бизнеса
Юридическое сопровождение бизнеса
Банкротство
Включение в реестр денежных требований
Признание банкротом организации
Спорт
Защита спортивных организаций в трудовых и арбитражных спорах
Регистрация и аккредитация спортивных федераций
Юридическое обслуживание спортивных организаций

Оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Фактически любое действующее юридическое лицо по смыслу Закона № 152-ФЗ является оператором персональных данных (компании обрабатывают данные клиентов, работников и т.д.). Однако далеко не любая компания, являющаяся оператором персональных данных, обязана включаться в реестр операторов персональных данных (уведомлять Роскомнадзор об обработке персональных данных.

Закон содержит исчерпывающий перечень случаев, когда оператор персональных данных вправе осуществлять обработку персональных данных, не уведомляя об этом Роскомнадзор. К таким случаям относятся:

персональные данные обрабатываемых в соответствии с трудовым законодательством
персональные данные получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных
обрабатываются персональные данные членов (участников) общественного объединения или религиозной организации для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных
субъект персональных данных сделал свои данные общедоступными
персональные данные включают в себя только фамилии, имена и отчества субъектов персональных данных
персональные необходимы в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях
персональные данные включены в государственные автоматизированные информационные системы персональных данных либо информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка
персональные данные обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных
персональные данные обрабатываются в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства

Если ваша ситуация подпадает под одну из вышеперечисленных, то вам не нужно направлять уведомление в Роскомнадзор о том, что вы являетесь оператором персональных данных. В случае, если Роскомнадзор направит вам уведомление о нарушении законодательства в связи с невключением в реестр ПД, вам необходимо направить мотивированные возражения. К сожалению, в последнее время направление подобных уведомлений является обычной практикой Роскомнадзора в сфере обработки и защиты персональных данных, особенно, в отношении представительств и филиалов иностранных компаний. Однако компания, зная свои права, может их защитить и избежать негативных последствий признания ее нарушителем в сфере персональных данных.

Включение компании в реестр операторов персональных данных Роскомнадзора может нести следующие негативные последствия для деятельности компаний:

увеличивается риск проведения в компании плановых и внеплановых проверок со стороны Роскомнадзора
увеличивается вероятность блокировки интернет-сайта компании в случае обнаружения нарушений законодательства о персональных данных
возникает вероятность наложения штрафов за нарушение законодательства об обработки персональных данных

Таким образом, если исходя из нормы закона, компания вправе не уведомлять Роскомнадзор об обработке персональных данных, мы рекомендуем не направлять такое уведомление по своей инициативе, а при предъявления соответствующего требования Роскомнадзором — оспаривать его законность.

Если вы осуществляете обработку персональных данных, при этом ваша деятельность не подпадает под перечисленные выше случаи, вам необходимо до начала обработки персональных данных направить в Роскомнадзор уведомление.

Уведомление в Роскомнадзор должно содержать:

наименование (фамилия, имя, отчество), адрес оператора
цель обработки персональных данных
категории персональных данных
категории субъектов, персональные данные которых обрабатываются;
правовое основание обработки персональных данных
перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных
описание мер по обеспечению безопасности персональных данных, предусмотренных законом, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
ФИО физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты
дату начала обработки персональных данных
срок или условие прекращения обработки персональных данных
сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки
сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации
сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации

Уведомление подается на бумажном носителе или в электронном виде.

За непредставление или несвоевременное представление уведомления предусмотрена административная ответственность: предупреждение или штраф для должностных лиц — от 300 до 500 руб.; для юридических лиц — от 3 000 до 5 000 руб. (ст. 19.7 КоАП РФ).

Роскомнадзор на основании предоставленного уведомления вносит сведения в реестр операторов персональных данных в течение 30 дней с даты поступления уведомления.

Пошлина за регистрацию в реестре операторов персональных данных Роскомнадзора не уплачивается.

Реестр операторов персональных данных Роскомнадзора

В случае предоставления неполных или недостоверных сведений в уведомлении Роскомнадзор вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов (отказ во внесении в реестр законом не предусмотрен).

Юридическая фирма «Двитекс» предлагает услуги по подготовке и подаче в Роскомнадзор уведомления об обработке персональных данных, а также услуги по подготовке возражений на уведомление Роскомнадзора о необходимости включения в реестр. Вы также можете заказать комплексные услуги по регистрацию программы для ЭВМ (базы данных) в Роспатенте, в реестре отечественного ПО Минкомсвязи и в реестре операторов персональных данных Роскомнадзора со скидкой 20 %.

персональные данные обрабатываемых в соответствии с трудовым законодательством
персональные данные получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных
обрабатываются персональные данные членов (участников) общественного объединения или религиозной организации для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных
субъект персональных данных сделал свои данные общедоступными
персональные данные включают в себя только фамилии, имена и отчества субъектов персональных данных
персональные необходимы в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях
персональные данные включены в государственные автоматизированные информационные системы персональных данных либо информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка
персональные данные обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных
персональные данные обрабатываются в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства

увеличивается риск проведения в компании плановых и внеплановых проверок со стороны Роскомнадзора
увеличивается вероятность блокировки интернет-сайта компании в случае обнаружения нарушений законодательства о персональных данных
возникает вероятность наложения штрафов за нарушение законодательства об обработки персональных данных

Уведомление в Роскомнадзор должно содержать:

наименование (фамилия, имя, отчество), адрес оператора
цель обработки персональных данных
категории персональных данных
категории субъектов, персональные данные которых обрабатываются;
правовое основание обработки персональных данных
перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных
описание мер по обеспечению безопасности персональных данных, предусмотренных законом, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
ФИО физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты
дату начала обработки персональных данных
срок или условие прекращения обработки персональных данных
сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки
сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации
сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации

Уведомление подается на бумажном носителе или в электронном виде.

Пошлина за регистрацию в реестре операторов персональных данных Роскомнадзора не уплачивается.

Реестр операторов персональных данных Роскомнадзора

119180, пер. 1-й Голутвинский, д. 3-5, стр. 1, 1 этаж

1.2. Настоящая Политика конфиденциальности определяет политику Оператора в отношении обработки персональных данных, принятых на обработку, порядок и условия осуществления обработки персональных данных физических лиц, передавших свои персональные данные для обработки Оператору (далее – субъекты персональных данных) с использованием и без использования средств автоматизации, устанавливает процедуры, направленные на предотвращение нарушений законодательства Российской Федерации, устранение последствий таких нарушений, связанных с обработкой персональных данных.

1.3. Политика конфиденциальности разработана с целью обеспечения защиты прав и свобод субъектов персональных данных при обработке их персональных данных, а также с целью установления ответственности должностных лиц Оператора, имеющих доступ к персональным данным субъектов персональных данных, за невыполнение требований и норм, регулирующих обработку персональных данных.

1.4. Персональные данные Субъекта персональных данных – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.

1.5. Оператор осуществляет обработку следующих персональных данных Пользователей:

Фамилия, Имя, Отчество;
Адрес электронной почты;
Номер телефона;
иные данные, необходимые Оператору при оказании услуг Пользователям, для обеспечения функционирования Сайта.

1.6. Оператор осуществляет обработку персональных данных Субъектов персональных данных в следующих целях:

обеспечение возможности обратной связи от Специалистов Оператора по запросам Пользователей;
обеспечение возможности онлайн оплаты заказанных на Сайте услуг;
обеспечения исполнения обязательств Оператора перед Пользователями;
в целях исследования рынка;
информирования Субъекта персональных данных об акциях, конкурсах, специальных предложениях, о новых услугах, скидок, рекламных материалов и других сервисов, а также получения коммерческой или рекламной информации и бесплатной продукции, участия в выставках или мероприятиях, выполнения маркетинговых исследований и уведомления обо всех специальных инициативах для клиентов;
статистических целях;
в иных целях, если соответствующие действия Оператора не противоречат действующему законодательству, деятельности Оператора, и на проведение указанной обработки получено согласие Субъекта персональных данных.

1.7. Оператор осуществляет обработку персональных данных субъектов персональных данных посредством совершения любого действия (операции) или совокупности действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств, включая следующие:

сбор;
запись;
систематизацию;
накопление;
хранение;
уточнение (обновление, изменение);
извлечение;
использование;
передачу (распространение, предоставление, доступ);
обезличивание;
блокирование;
удаление;
уничтожение.

2. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. При обработке персональных данных Оператор руководствуется следующими принципами:

2.2. Обработка персональных данных Оператором осуществляется с соблюдением принципов и правил, предусмотренных:

3. ПОЛУЧЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ.

3.1. Персональные данные субъектов персональных данных получаются Оператором:

путем предоставления субъектом персональных данных при регистрации на Сайте, при подаче заявок, заявлений, анкет, бланков, заполнении регистрационных форм на сайте Оператора или направления по электронной почте, сообщения по телефону службы поддержки Оператора;
иными способами, не противоречащими законодательству РФ и требованиям международного законодательства о защите персональных данных.

3.2. Оператор получает и начинает обработку персональных данных Субъекта с момента получения его согласия.

3.4. Субъект персональных данных может в любой момент отозвать свое согласие на обработку персональных данных. Для отзыва согласия на обработку персональных данных, необходимо подать соответствующее заявление Оператору по доступным средствам связи. При этом Оператор должен прекратить их обработку или обеспечить прекращение такой обработки и в случае, если сохранение персональных данных более не требуется для целей их обработки, уничтожить персональные данные или обеспечить их уничтожение в срок, не превышающий 30 (Тридцати) дней с даты поступления указанного отзыва.

3.5. В случае отзыва Субъектом персональных данных согласия на обработку персональных данных, Оператор вправе продолжить обработку персональных данных без согласия Субъекта персональных данных только при наличии оснований, указанных в Законе о персональных данных.

3.6. Субъект персональных данных вправе выбрать, какие именно персональные данные будут им предоставлены. Однако, в случае неполного предоставления необходимых данных Оператор не гарантирует возможность субъекта использовать все сервисы и продукты Сайта, пользоваться всеми услугами Сайта.

3.7. Субъект персональных данных в любой момент может просматривать, обновлять или удалять любые персональные данные, которые включены в его профиль. Для этого он может отредактировать свой профиль в режиме онлайн в личном кабинете или отправить электронное письмо по адресу [email protected].

4. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Оператор принимает технические и организационно-правовые меры в целях обеспечения защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.

4.2. При обработке персональных данных Оператор применяет правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со ст. 19 Федерального закона «О персональных данных», Постановлением Правительства РФ от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденной ФСТЭК РФ 14.02.2008 г., Методическими рекомендациями по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации, утвержденных ФСБ РФ 21.02.2008 г. № 149/54-144.

4.4. При передаче персональных данных Оператор соблюдает следующие требования:

не сообщает персональные данные субъекта персональных данных третьей стороне без выраженного согласия, за исключением случаев, когда это необходимо в целях обработки персональных данных, предупреждения угрозы жизни и здоровью субъекта персональных данных, а также в случаях, установленных законодательством;
не сообщает персональные данные в коммерческих целях без выраженного согласия субъекта персональных данных;
информирует лиц, получающих персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требует от этих лиц принятия надлежащих мер по защите персональных данных. Лица, получающие персональные данные Пользователя, обязаны соблюдать режим конфиденциальности;
разрешает доступ к персональным данным только уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретных функций.

4.5. Оператор вправе раскрыть любую собранную о Пользователе данного Сайта информацию, если раскрытие необходимо в связи с расследованием или жалобой в отношении неправомерного использования Сайта, либо для установления (идентификации) Пользователя, который может нарушать или вмешиваться в права Администрации сайта или в права других Пользователей Сайта, а также для выполнения положений действующего законодательства или судебных решений, обеспечения выполнения условий настоящего Соглашения, защиты прав или безопасности иных Пользователей и любых третьих лиц.

4.6. Третьи лица самостоятельно определяют перечень иных лиц (своих сотрудников), имеющих непосредственный доступ к таким персональным данным и (или) осуществляющих их обработку. Перечень указанных лиц, а также порядок доступа и(или) обработки ими персональных данных утверждается внутренними документами Третьего лица.

4.7. Оператор не продаёт и не предоставляет персональные данные третьим лицам для маркетинговых целей, не предусмотренных данной Политикой конфиденциальности, без прямого согласия субъектов персональных данных. Оператор может объединять обезличенные данные с иной информацией, полученной от третьих лиц, и использовать их для совершенствования и персонификации услуг, информационного наполнения и рекламы.

4.9. Личная информация, собранная онлайн, хранится у Оператора и/или поставщиков услуг в базах данных, защищенных посредством физических и электронных средств контроля, технологий системы ограничения доступа и других приемлемых мер обеспечения безопасности.

4.10. Субъект персональных данных осознаёт, подтверждает и соглашается с тем, что техническая обработка и передача информации на Сайте Оператора может включать в себя передачу данных по различным сетям, в том числе по незашифрованным каналам связи сети Интернет, которая никогда не является полностью конфиденциальной и безопасной.

4.11. Субъект персональных данных также понимает, что любое сообщения и/или информация, отправленные посредством Сервера Оператора, могут быть несанкционированно прочитаны и/или перехвачены третьими лицами.

5. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

5.1. В случае возникновения любых споров или разногласий, связанных с исполнением настоящих Правил, Субъект персональных данных и Оператор приложат все усилия для их разрешения путем проведения переговоров между ними. В случае, если споры не будут разрешены путем переговоров, споры подлежат разрешению в порядке, установленном действующим законодательством Российской Федерации.

5.2. Настоящие Политика конфиденциальности вступают в силу для Субъекта персональных данных с момента начала использования Сайта Оператора и действует в течение неопределенного срока.

5.3. Настоящие Политика конфиденциальности могут быть изменены и/или дополнены Оператором в любое время в течение срока действия Правил по своему усмотрению без необходимости получения на то согласия Субъекта персональных данных. Все изменения и/или дополнения размещаются Оператором в соответствующем разделе Сайта и вступают в силу в день такого размещения. Субъект персональных данных обязуется своевременно и самостоятельно знакомиться со всеми изменениями и/или дополнениями. При несогласии Субъекта персональных данных с внесенными изменениями он обязан отказаться от доступа к Сайту, прекратить использование материалов и сервисов Сайта.

Источник: https://www.dvitex.ru/poleznoe/biznes/intellektualnaya-sobstvennost/registratsiya-v-reestre-roskomnadzora-kogda-trebuetsya-i-kak-ee-provesti/

Как подготовиться к проверке РКН по персональным данным: полное руководство

О нас

Доброго времени суток, Хабр! Мы компания «Информационный центр». Наше основное направление – информационная безопасность (она же – ИБ). В ИБ мы занимаемся практически всем: аудитом, проектированием систем защиты, аттестацией, комплаенсом, пентестами, есть свой SOC, даже с гостайной работаем. Поскольку мы базируемся во Владивостоке, изначально мы работали больше в Приморском крае и в дальневосточных регионах страны, но в последнее время география наших проектов все дальше раздвигает немыслимые нами в момент основания границы.

В первой своей статье мы хотели бы рассмотреть такую сторону ИБ, как комплаенс (англ. complience – соблюдение, соответствие). И поговорим мы о том, что нужно сделать, чтобы полностью соответствовать российскому законодательству о персональных данных.

Чего там нового в законодательстве?

По теме проверок по защите персональных данных было написано немало статей и многие из них вышли раньше 2015 года. Чтобы как-то въехать в настоящие реалии, в первую очередь необходимо проанализировать, что же поменялось за последние годы в законодательстве.

Сначала давайте вспомним небезызвестный 242-ФЗ. В 2015 году он наделал много шуму в связи с необходимостью локализации персональных данных граждан РФ на территории РФ. Спустя четыре года единственным крупным пострадавшим от этого закона является социальная сеть Linkedin.

Но была в 242-ФЗ и другая сторона, не растиражированная так активно в СМИ.

В 242-ФЗ были очень важные в контексте проводимых РКН проверок по персональным данным изменения: на деятельность Роскомнадзора в сфере защиты прав субъектов персональных данных с 1 сентября 2015 года не распространяется федеральный закон №294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля».

Что это значит? Для операторов персональных данных, как можно догадаться, – ничего хорошего. Теперь, как уже показала практика, — сильно уменьшилось количество плановых проверок и соразмерно увеличилось количество внеплановых. Об этом говорят и планы проверок Роскомнадзора, опубликованные в конце 2015 года (и в последующих годах) на сайте ведомства. Плановых проверок по персональным данным там — раз, два и обчелся, в отличие от предыдущих годов.

Основная проблема внеплановых проверок в том, что о них нельзя узнать с хорошим временным запасом и, как следствие, — нельзя как можно лучше подготовиться. Например, раньше, когда публиковался план проверок, каждый мог скачать его и узнать, находится ли организация в нем или нет. И врасплох можно было застать только те немногие организации, дата проверки у которых значилась январем-февралем. Остальные имели возможность нормально подготовиться, даже если до этого момента в организации по защите персональных данных совсем ничего не делалось. Сейчас лучше, конечно же, быть готовым к проверке Роскомнадзора по персональным данным в любой момент, то есть всегда держать наготове актуальный комплект документации по защите персональных данных.

Другое важное законодательное изменение это изменение статьи 13.11 КоАП РФ «Нарушение законодательства Российской Федерации в области персональных данных». Эти изменения полностью преобразовали наказание за нарушение законодательства в сфере защиты персональных данных. Ранее статья 13.11 не разбивалась на части, и максимальный штраф был предусмотрен в размере 10 тысяч рублей для юридических лиц. Сейчас же здесь имеется 7 частей (да еще и планируется расширение), по одной из которых (нарушение правил обработки специальных категорий персональных данных) предусмотрен максимальный штраф для юридических лиц – 75 000 рублей. К тому же, при выявлении проверяющими разных нарушений – наказания по разным частям статьи КоАП теоретически могут складываться. Почему «теоретически»? Раньше на сайтах региональных управлений РКН в разделе «Новости» постоянно публиковались новости о том, что регулятор проверил условно 3 организации на выполнение законодательства о персональных данных, у организации №1 все хорошо, организацию №2 оштрафовали на 3 тысячи рублей, организацию №3 оштрафовали на 5 тысяч рублей. Можно было собрать такие новости в кучу за год и подбить некоторую статистику по штрафам. Сейчас же таких новостей нет. Если у кого-то имеются данные по штрафам за нарушение 152-ФЗ после изменений в 13.11 КоАП РФ, то можете поделиться такой информацией в комментариях.

Здесь стоит сразу отметить, что в первоначальном тексте законопроекта по изменению статьи 13.11 КоАП РФ изначально фигурировали более значительные суммы штрафов, например, там где в итоге максимальный штраф был установлен в 75 000 рублей, изначально планировалось наказывать аж на 300 000 рублей. Солидно, но до сумм за нарушение GDPR все равно далеко. Но, несмотря на то, что суммы штрафов в итоге сильно уменьшились, к сожалению, некоторые продавцы услуг по защите персональных данных до сих пор пытаются запугать цифрой «300 000». Будьте бдительны.

Итак, мы убедились, что возросшая вероятность внеплановой проверки и многократно возросшие штрафы за нарушение 152-ФЗ неплохо так стимулируют быть готовыми к проверке в любой момент. Давайте же разбираться, что нам нужно для этого сделать.

Виды проверок

Прежде чем мы перейдем к непосредственным шагам по подготовке к проверкам, давайте посмотрим, какие виды проверок бывают и как проходит типичная проверка.

В целом, проверки можно разделить на 2 вида: документарные и выездные.

Документарная проверка чаще всего начинается с того, что в организацию приходит письмо из местного управления РКН с каким-либо требованием. Если в вашей организации, например, не подавали уведомление о её внесении в реестр операторов персональных данных, то вам могут напомнить, о том, что неплохо бы это уведомление все-таки подать. Закон ведь требует. Или обосновать, почему ваша организация может обрабатывать персональные данные без уведомления (в 152-ФЗ предусмотрен ряд исключений). Если уведомление ваша организация всё же подавала, то вам могут напомнить о том, что в реестре время от времени появляются новые поля и их тоже необходимо заполнять. Например, необходимо указать местонахождение ЦОДа и то, является ли он арендуемым или собственным. И да, база данных 1С на компьютере главбуха в понимании Роскомнадзора это ЦОД.

Вас также могут попросить прислать по почте копии документов, регламентирующих защиту персональных данных в организации — приказы, инструкции, модель угроз и вот это все.

Итак, вы получили такое письмо от Роскомнадзора, что делать?

На самом деле тут проще сказать чего категорически не следует делать — игнорировать эти письма. К сожалению, на практике многие поступают именно так. Кто-то забывает ответить, кто-то не знает, что писать в ответ и не отвечает, а кто-то надеется, что про них забудут и все спустится само собой на тормозах. Нет, не забудут, не в этом случае.

Может у каких-то ведомств и распространена такая практика — написать письмо в организацию «для галочки» и забыть, но только не у РКН. Поэтому отвечать желательно в установленный в письме срок, иначе организация будет наказана по статье 19.7 КоАП РФ «Непредставление или несвоевременное представление сведений информации в государственный орган». Можно зайти на сайт своего регионального управления Роскомнадзора (%номер _региона%.rkn.gov.ru) в раздел «Новости». В 2016 году добрая половина новостей была посвящена привлечению юридических лиц к ответственности по той самой статье КоАП РФ. Причем в каждой новости могло фигурировать до 10-15 организаций. Сейчас такие новости тоже есть, но меньше, связано это, скорее всего с тем, что сам РКН стал менее активно рассылать «письма счастья».

Штраф по 19.7 КоАП РФ небольшой — 3-5 тысяч рублей, но тут нужно помнить, что после того как вы заплатите штраф, затребованные в изначальном письме сведения все равно придется предоставить.

Про документарные проверки, пожалуй, добавить нечего, перейдем к выездным.

Из самого названия уже становится ясно, что проверяющие как минимум два-три раза окажутся на вашей территории. По нашему опыту можем сказать, что процесс проверки выглядит примерно так:

Во-первых, ни в коем случае не нужно идти с проверяющими на конфликт и как-либо препятствовать проведению проверки («терять» ключ от кабинета с документами и тому подобные уловки). Да, проверяющие тоже могут ошибаться. Яркий пример такой ошибки, связанной с чрезмерным увлечением запретами всего и вся случилась у нас в Приморском крае в 2015-2016 годах. Синдром вахтера никто не отменял, и в процессе проверки могут предъявляться совершенно противоправные и необоснованные требования. Но это никак не отменяет простых правил человеческого общения. Если вы с чем-то не согласны, выскажите это спокойно, попросите ссылку на законодательство, чем обусловлено сомнительное требование.

Во-вторых, неважно какие претензии будут высказаны проверяющими во время проверки, важно только то, что будет написано в акте по итогам проведенной проверки. Приведу простой пример, на одной из проверок представители РКН утверждали, что необходимо разделять информационные системы персональных данных «Бухгалтерия» и «Кадры» и в документах соответственно их описывать раздельно. Требование совершенно ничем не подкреплено законодательно, а само определение ИСПДн из 152-ФЗ не запрещает объединять информационные системы и описывать их так, как мы этого сами захотим. Мы можем в лечебном учреждении объединить документально систему с медицинскими данными с теми же кадробухами, и сказать, что это у нас одна ИСПДн. Правда в этом случае нужно помнить, что вероятно кадробухов придется защищать по более высокому уровню защищенности персональных данных, который будет определен для части информационной системы с медициной. Но вот бухгалтерию отделять от кадров и для каждой системы отдельно плодить горы приказов, инструкций и моделей угроз даже с точки зрения здравого смысла совсем не правильно. Так вот, главное в этой истории то, что в акте по итогам проверки было написано «нарушений законодательства не было выявлено». И это перечеркивает все словесные неправомерные замечания проверяющих.

В-третьих, обязательно необходимо проинструктировать всех своих сотрудников, участвующих в обработке каких-либо персональных данных что можно, а что нельзя делать и говорить во время проверки. Например, можно обрабатывать ПДн в соответствии с инструкциями и правилами, но нельзя разбрасывать на рабочем столе копии паспортов сотрудников.

Уведомление оператора персональных данных

Первое место по рейтингу причин, по которым выдаются предписания о нарушении законодательства, по итогам проверок занимает указание неполных или несоответствующих действительности сведений в уведомлении оператора персональных данных на портале персональных данных или отсутствие такого уведомления. А значит первое, что нам нужно сделать — выяснить, попадает ли наш случай обработки персональных данных под случаи, в которых оператор может не подавать уведомление в Роскомнадзор. Такие исключения перечислены в разделе 2 статьи 22 федерального закона № 152-ФЗ «О персональных данных». Все пункты перечислять не будем, так как там есть и весьма экзотические, но вот наиболее применимые из них для большинства организаций:

уведомление можно не подавать, если ПДн обрабатываются только в соответствии с трудовым законодательством;
уведомление можно не подавать, если вы обрабатываете персональные данные клиентов, которые являются стороной договора с вами, и при этом их ПДн не передаются третьим лицам без соответствующего согласия субъекта;
персональные данные обрабатываются только в неавтоматизированном режиме (то есть без использования средств вычислительной техники).

Стоит заметить, что и здесь есть подводные камни. Например, сейчас многие организации, особенно государственные, реализуют зарплатные проекты по перечислению кровнозаработанных рублей сотрудникам прямиком на банковские карты. Это очень удобно и для работодателей и для сотрудников, и банку тоже выгодно. Но при осуществлении такого проекта, как ни крути, приходится передавать данные своих сотрудников в банк. И такая передача персональных данных третьим лицам уже не регламентируется трудовым законодательством, а значит, первое исключение из списка выше не работает, следовательно, нужно подавать уведомление об обработке персональных данных в Роскомнадзор.

Далее, не зависимо от того, какой результат мы получили на предыдущем этапе, нужно проверить, есть ли запись о вашей организации в реестре операторов персональных данных. Здесь легко можно найти запись в реестре по названию или ИНН организации.

Дальше ваши действия должны выглядеть примерно следующим образом.

Если организация попадает под исключения и уведомления нет — отлично, так и должно быть! Ничего не делаем.

Если организация попадает под исключения, но уведомление есть в реестре. Что ж, возможно кто-то несколько лет назад, например, по указанию уже ушедшего на пенсию руководителя, направил это уведомление. Но это можно исправить. Предусмотрена процедура по исключению организаций из реестра операторов ПДн. Для этого нужно просто написать письмо в территориальное управление Роскомнадзора с указанием номера уведомления и описанием причин, почему ваша организация не обязана находиться в реестре операторов персональных данных. Затем в том же письме просим удалить соответствующую запись из реестра. Ждем 30 дней. Проверяем. Если запись осталась в реестре, созваниваемся с Роскомнадзором и уточняем получено ли и отработано ли ваше письмо.

Если организация не попадает под исключения, но уведомления в реестре нет — срочно идем заполнять уведомление! Почему срочно? Да потому что по закону уведомление необходимо заполнять до начала обработки персональных данных, если такая обработка не попадает под все те же исключения из 22 статьи закона №152-ФЗ «О персональных данных». О том, как правильно и грамотно заполнить уведомление с нуля или прокачать уже существующее планируется одна из следующих статей.

Ну и последний вариант: организация не попадает под исключения, но уведомление в реестре есть. Хотел бы я тут написать, как и в первом случае, что ничего не нужно делать, но нет. Не зря я выше сказал, что помимо отсутствия уведомления как такового, одной из частых причин предписания по итогам проверки и выписывания штрафа по статье 13.11 КоАП РФ является несоответствие данных в уведомлении тому, что происходит на самом деле. Например, указаны не все категории обрабатываемых персональных данных или не указаны меры по обеспечению безопасности ПДн. Причин такому несоответствию может быть много, но вот две основные:

уведомление заполнялось давно и в организации действительно с тех пор изменились многие условия обработки персональных данных;
уведомление заполнялось для галочки без должного анализа ситуации и сбора информации.

Для таких случаев на портале персональных данных предусмотрена форма для внесения изменений в существующее уведомление.

После заполнения формы о внесении изменений (или первичного уведомления) необходимо распечатать получившийся на выходе документ, подписать, поставить печать (если есть) и отправить аналоговым письмом в территориальное управление Роскомнадзора. Только на основании бумажного письма будет внесена запись в реестр или внесены изменения в уже существующую запись.

Документация к проверке

Хотелось оставить этот торжественный момент на конец статьи. Но что уж там, раз уже перешли к разговору о комплекте необходимой документации, то вот ссылка на наш комплект шаблонов. В архиве 4 папки и шаблон «Модели угроз». Здесь мы будем говорить только о документах из папок «Общее» и «ПДн». «Общее» — это документы, которые могут применяться плюс-минус для любых информационных систем, а «ПДн» это чисто роскомнадзоровская часть. Полное описание состава документов в архиве можно посмотреть у нас на сайте.

Статья получилась итак достаточно объемная, поэтому разбирать из каких конкретно требований появился тот или иной документ (или раздел документа) здесь не будем. Это тема для отдельной статьи. Давайте пройдемся по общим моментам.

Итак, первым делом перед специалистом, которому поручили подготовиться к грядущей проверке встает вопрос – а какие вообще документы нужны. Специалист обращается к законодательству и… Не находит практически ничего полезного. Ну не то чтобы прям совсем ничего. Да, наверное, специалист наткнется на постановление Правительства РФ от 21.02.2012 №211 и скажет: «Вот, вы были не правы, вот, есть же список документов!». Да, есть. Только специалиста здесь ждет своего рода ловушка. Если обзавестись только документами из этого списка, организация получит предписание по итогам проверки, потому что список не перекрывает и малой части требований законодательства. Плюс в списке встречаются такие несуразности как, например, необходимость отдельно утверждать перечень ИСПДн. Зачем для этого делать отдельный документ, когда можно перечислить ИСПДн в «Положении об обработке и защите ИСПДн» или в «Политике информационной безопасности» — непонятно. Ну и наконец, постановление №211 относится только к государственным и муниципальным органам, поэтому к большинству операторов ПДн – не применимо. И, кстати, в нашем наборе документов по постановлению 211 нет, так как большинство вопросов итак учтены в других документах.

Хорошо, давайте посмотрим, что там у нас есть еще в законодательстве.

В федеральном законе «О персональных данных» напрямую говорится только о необходимости разработки «Модели угроз безопасности» (хотя «напрямую» тоже не совсем верно сказано, в законе написано, что нужно определять угрозы безопасности ПДн) и о публикации «Политики в отношении обработки персональных данных».

О процессе разработки Модели угроз мы, возможно, также подробнее напишем в одной из последующих статей.

Все остальное описано неоднозначно, примерно в таком духе:

Оператор обязан принимать меры… К таким мерам могут, в частности, относиться:

1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных;

2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
…
4) осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;

И так далее. Поскольку прямого указания выпускать тот или иной документ нет, читать и понимать 152-ФЗ следует именно так: если написано про осуществление внутреннего контроля, то для выполнения этого требования должны быть разработаны документы, определяющие план, порядок такого контроля, а также некие акты или журналы, в которых отражены результаты контроля. Проверяющих не устроит рассказ о том, что вы выполнили требование по назначению ответственного за организацию обработки персональных данных просто устно обозначив такую ответственность одному из сотрудников. Должен быть документ! В этом конкретном случае — приказ о назначении такого ответственного.

Если есть ответственный, то ему полагается инструкция – за что он отвечает, и какие у него есть права и полномочия. Часто такую инструкцию называют «должностной», что на наш взгляд в большинстве случаев не совсем правильно. Ведь «ответственный за организацию обработки персональных данных» это, как правило, не отдельная должность, а лишь дополнительная обязанность, которая возлагается на того или иного сотрудника.

В общем и целом нам необходимо досконально изучить законодательство по защите персональных данных, выискивая намеки на необходимость наличия различных документов. При этом можно написать одно «Положение об обработке и защите персональных данных», а можно сделать отдельно «Положение об обработке. » и «Положение о защите. ». Здесь уже как кому больше нравится.

Описания ИСПДн, систем защиты, технологических процессов обработки ПДн и прочих индивидуальных вещей должны быть конкретными, отражающими реальную картину происходящего. Если это все будет описано слишком общими и абстрактными фразами, можно получить претензию от проверяющего.
Различные перечни (субъектов ПДн, самих ПДн) должны соответствовать действительности.
Документы должны быть актуальными. Если ответственным за организацию обработки персональных данных назначен давно уволившийся сотрудник, то это гарантированное предписание.
Журналы должны быть хотя бы минимально заполнены. Хотя бы те журналы, по которым не получится обосновать их абсолютную чистоту. Например, есть журнал учета обращений субъектов ПДн. На самом деле не такая уж и редкая ситуация когда к оператору никто никогда не обращался с подобными запросами. А есть журнал учета инструктажей по информационной безопасности. И вот уже если этот журнал чистый – могут быть вопросы.
Письменное согласие субъекта на обработку его персональных данных должно соответствовать статье 9 закона «О персональных данных». Так, например, многие забывают указать в согласии юридический адрес оператора, которому дается согласие. Также нужно помнить, что согласие должны быть сознательным и конкретным. Раньше многие любили добавлять фразу «даю свое согласие на передачу моих персональных данных третьим лицам». Сейчас такая практика пресекается, необходимо указать какие именно ПДн будут передаваться, кому именно и с какой целью.
Все причастные сотрудники к тому или иному документу должны быть ознакомлены с этим документом. Например, все допущенные к обработке персональных данных должны быть под роспись ознакомлены с приказом, утверждающим соответствующий список.

В конце раздела хотелось бы еще попросить не вестись на рассылки различных мошенников, которые предлагают «сертифицированный комплект документов по защите персональных данных». Зачастую такие мошенники пытаются выдать себя за госорганизацию и иногда делают это очень правдоподобно. Заплатив им деньги, вы в лучшем случае получите набор болванок хуже качеством, чем у представленных здесь бесплатно.

Заключение

Давайте подытожим, что нам нужно сделать, чтобы подготовиться к проверке РКН по вопросам выполнения законодательства в сфере защиты персональных данных и успешно ее пройти.

Проанализировать необходимость подачи уведомления оператора ПДн. Проверить наличие уведомления, проверить корректность информации в уведомлении. Внести изменение в уведомление, при необходимости.
Провести подробную инвентаризацию обрабатываемых персональных данных, информационных систем персональных данных, законность обработки различных персональных данных, технологические процессы обработки персональных данных и т. д. Эта информация нам понадобится при разработке документов.
Назначить ответственных.
Разработать комплект документации по защите персональных данных. Документация должна быть конкретизированной в отношении определенной организации и/или определенной ИСПДн. Уделяя время разработке документации по защите и обработке ПДн в информационных системах, не забыть о регламентировании неавтоматизированной обработки ПДн.
Опубликовать политику в отношении обработки персональных данных на сайте (хотя допускается и другой вид организации беспрепятственного доступа к документу, если вы не гос- или муниципальный орган).
Ознакомить всех причастных сотрудников с разработанной документацией.
Заполнить журналы.
Проинструктировать своих сотрудников о том, что проверяющим не нужно говорить лишнего и о том, что не нужно разбрасывать документы с ПДн по всему офису.
Вести себя корректно с проверяющими. Выразить свою готовность исправлять мелкие недочеты в процессе проверки.

Вы могли заметить, что в статье практически ничего нет о средствах защиты информации, особенностях технической защиты персональных данных, криптографических средствах. Все верно, тк эти вопросы регулируются другими органами – ФСТЭК России и ФСБ России.

А еще у нас есть учебный центр! Ближайшие курсы состоятся 20 мая и 22 мая по продуктам FortiGate. С полным списком учебных курсов можно ознакомиться здесь. Да, мы находимся во Владивостоке, но у нас есть большой опыт организации выездных курсов.

Источник: https://habr.com/ru/company/ic-dv/blog/451708/

Вся полезная информация о Роскомнадзоре. Регистрация в реестре операторов персональных данных

В современном мире практически каждый может владеть интересующей его информацией. Для этого достаточно воспользоваться информационными технологиями, основными обязанностями которых являются сбор, хранение и передача полученных сведений.

Для организации радиочастотных служб, осуществления контроля по защите персональных данных согласно закону «О персональных данных» и соблюдения законодательства РФ в сфере информационных технологий, связи и СМИ была создана Федеральная служба — Роскомнадзор.

Что это за служба?
Система сертификаций
Кто такие операторы ПДн и чем они занимаются?
Как проверить, есть ли на портале сведения об организации?
Кто должен быть внесен в реестр?
Кому можно не регистрироваться?
Уведомление об обработке ПДн
Регистрация в качестве оператора
Обязанности
Как убрать сведения о компании?
Ответственность за отказ

Что это за служба?

О законе «О персональных данных» мы рассказывали тут.

Подведомственная Минкомсвязи России служба была создана в декабре 2008 года указом президента России от 03.12.2008 г. № 1715 и является органом исполнительной власти. Основными направлениями деятельности являются:

Защита персональных данных.
Надзор за соблюдением лицензионных условий и выполнением соответствующих требований в сферах информационных технологий, массовых коммуникаций, СМИ, телерадиовещания, почтовой и радиотелефонной связей.
Контроль за маркировкой по возрастному критерию информационных продуктов, в целях обеспечения информационной безопасности детей.
Регистрация и выдача сертификатов или лицензий на продукцию, контент или оказание услуг.
Регистрация СМИ, сетей электросвязи и радиоэлектронных средств.
Выдача разрешений на использование франкировальных или маркировальных машин.

В настоящее время участились случаи, когда руководители компаний или предприниматели получают уведомления, в которых организация именующая себя «Системой добровольной сертификации Росконтроль», ссылается на ФЗ № 152 и сообщает об обнаружении нарушений, предлагая помощь в их устранении.

Так вот, такие письма являются обычным предложением услуг, за определённое вознаграждение, так как данная организация органом государственной власти не является, и наименование «Росконтроль» используется для придания значимости.

«СДС Росконтроль» — является коммерческой организацией, которая оказывает юридические услуги. А «Росконтроль» — это СМИ, которое не предоставляет и не присылает письма с предложением оказания каких-либо возмездных услуг.

Кто такие операторы ПДн и чем они занимаются?

Форма собственности и род деятельности при этом никакого значения не имеют. То есть любой, кто запрашивает персональные данные, является оператором, начиная от сайтов с заполнением личных данных и заканчивая банками и другими учреждениями.

Персональные данные (ПДн) – любая информация, которая относится к физическому лицу, при помощи которой он может быть идентифицирован.

Как проверить, есть ли на портале сведения об организации?

Для того чтобы проверить, есть ли запись в реестре операторов, осуществляющих обработку ПДн персональных данных, необходимо выполнить следующие действия:

Зайти на портал персональных данных уполномоченного органа по защите прав субъектов персональных данных.
Заполнить поисковую форму и указать ИНН организации.
Если не знаете ИНН – произвести поиск по названию, при этом достаточно указать только оригинальную часть наименования, без спецсимволов и сокращений.
Подождать результат поиска.

Для быстрого поиска лучше избегать часто встречающихся слов в названиях, таких как: «Федеральный», «Общество», «Российский» и т.п.

Если компания или физическое лицо, а также государственный или муниципальный орган, проводят сбор, хранение или обработку личной информации, и являются оператором персональных данных, то наличие регистрации в реестре Роскомнадзора является обязательным условием для их деятельности.

Физические лица и ИП также должны быть внесены в реестр. Оказывая услуги или занимаясь продажей, многие предприниматели, как правило, предлагают заполнить анкеты с личными данными для получения бонусных карт или акционных рассылок. Интернет-порталы не являются исключением, если на них существует форма подписки или обратной связи, где нужно оставить свою персональную информацию. О защите персональных данных в интернете мы рассказывали тут.

Согласно п. 2 ст. 22 № 152-ФЗ, существует ряд условий, при котором оператор вправе осуществлять обработку без уведомления в Роскомнадзор. Исключением когда нет необходимости о регистрации в реестре является:

Публичность либо общедоступность сведений.
Трудовые отношения, относится только к тем сведениям, которые необходимы при составлении трудового и коллективного договора в рамках трудового законодательства.
Сбор информации, которая содержит в себе только фамилию, имя, отчество.
Получение данных для однократного использования.
Обработка информации только на бумажном носителе, без использования автоматизированных средств (компьютеров).
Оформление организацией потребительского договора, одной из сторон которого является сам субъект ПДн, при условии, что данные будут использоваться только для выполнения условий договора, и не будут распространены широкому кругу.
Приём сведений участников общественных объединений и религиозных общин, если данные не будут обнародованы без согласия в письменном виде лиц, чья информация собиралась.
Получение информации организациями, которые сотрудничают с транспортным комплексом для обеспечения безопасности в транспортной сфере.

Уведомление об обработке ПДн

Одним из основных требований Роскомнадзора к операторам персональных данных, является подача уведомления о начале обработки ПДн. В данном уведомлении нужно указать следующую информацию:

Полное название компании или Ф.И.О. лица, которые будут осуществлять обработку данных.
Адрес регистрации оператора.
Категории собираемых сведений.
Категории лиц, сведения о которых обрабатываются.
С какой целью осуществляется получение информации.
Правовое основание.
Перечень мер защиты, которые будут использоваться при обработке полученных сведений, предусмотренных статьями 18.1 и 19 Закона № 152-ФЗ.
Дата начала деятельности оператора.
Сроки или условия прекращения обработки данных.
Сведения о трансграничной передаче информации в процессе обработки.
Данные о точном месте нахождения базы (страна, адрес).

Во время проверки Роскомнадзор производит проверку соответствия по каждому вышеперечисленному пункту.

О том, что нужно знать об обработке и хранении персональных данных в России, читайте тут.

Регистрация в качестве оператора

Зайти на официальный сайт Роскомнадзора и в меню выбрать вкладку «Реестр операторов».
Затем перейти на «Электронные формы заявлений» и выбрать «Перейти к заполнению формы электронного уведомления».
При заполнении заявления необходимо указывать полные достоверные данные, которые точно соответствуют предоставленными локальными актами. В противном случае, если сведения будут не полными или недостоверными, служащие Роскомнадзора оставляют за собой право не вносить данные в реестр до подтверждения или уточнения представленной информации.
После заполнения электронной формы заявление распечатывают, ставят печать и подпись ответственного лица, направляют в территориальный орган Роскомнадзора в двух экземплярах – на бумажном носителе и в электронном виде.

Регистрация оператора происходит в течение 30 дней с момента подачи уведомления.

Роскомнадзор рекомендует перед подачей уведомления провести аудит соответствия обработки персональных данных, во избежание недостоверности подаваемых сведений.

Обязанности

Как говорилось выше, при обработке персональных данных оператор должен уведомить об этом компетентный орган. Но помимо этого у него ещё есть ряд обязательств, которые он должен соблюдать:

Издать приказ о назначении ответственного лица или группы лиц за обработку ПДн, а также осуществлять контроль или проводить аудит обработки данных в редакции.
Разработать и принять меры для обеспечения конфиденциальности и безопасности полученной информации. Сюда можно отнести установку антивирусных программ и информирование сотрудников об административной и уголовной ответственности в случае разглашения третьим лицам.
Прекратить обработку данных, если цель сбора достигнута или субъект отозвал своё разрешение на обработку.
Соблюдать локализацию и предоставлять данные о месте расположения базы, указывая страну и фактический адрес.
Информировать о сборе ПДн потенциальных и/или действующих клиентов и сотрудников, разъясняя для чего и какая информация обрабатывается, а также о сроках хранения. Для этого создать и опубликовать для общего доступа форму согласия на обработку данных и политику конфиденциальности.
Удалить информацию, если будет доказано, что личные данные были получены незаконно или не являются обязательными для достижения заявленной цели, и лицо, чьи сведения использовались, потребует о её извлечении из базы.

Как убрать сведения о компании?

Существуют ситуации, когда возникает необходимость удаления сведений об организации из реестра Роскомнадзора. Это:

реорганизация компании, а в следствии и прекращение деятельности Оператора;
полная ликвидация Оператора;
анулирование лицензии;
вступившее в силу решение суда о запрете и наступлении срока или условия о прекращении деятельности, согласно указанным данным в уведомлении, которое подавалось в Роскомнадзор.

В этом случае оператор самостоятельно направляет заявление в уполномоченный территориальный орган, приложив документы, подтверждающие исключение. Срок рассмотрения заявления исчисляется с момента регистрации в Роскомнадзоре. По истечении 30 дней данные об организации удаляются из реестра.

Ответственность за отказ

В случае отказа регистрироваться в реестре предусмотрена административная ответственность в виде предупреждения или штрафа. За данное правонарушение, согласно ст. 19.7 КоАП РФ:

физическое лицо может быть оштрафовано на сумму от 100 до 300 рублей;
должностное — от 300 до 500 рублей;
юридическое — от 3000 до 5000 рублей.

Деятельность всех операторов персональных данных регулируется законодательными актами, и любое нарушение наказывается уголовной или административной ответственностью.

Но всё же прежде чем давать согласие на обработку личных данных, не мешало бы убедиться, что организация действительно зарегистрирована в качестве оператора, а соответственно соблюдает все меры безопасности в хранении информации. О том, всегда ли нужно согласие на обработку персональных данных, как отозвать, узнайте здесь.

Роскомнадзор осуществляет контроль за соблюдением всех правовых актов, касающихся обращения с личной информацией граждан и оперативно реагирует на противоправную деятельность.

Источник: https://pravovoi.center/zpp/o-personalnyh-dannyh/roskomnadzor-reestr-operatorov.html