Персональные данные. Актуальные изменения

Работа с персональными данными граждан РФ

ст. 3, Федеральный закон от 21.07.2014 № 242-ФЗ (ред. от 31.12.2014) «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях» {КонсультантПлюс}

С 1 сентября 2015 года вступают в силу изменения, внесенные в  Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных», которые обязывают компании обеспечить при сборе персональных данных россиян их обработку с использованием баз данных, расположенных на территории РФ.

Закон не имеет экстерриториального действия и не распространяется на нерезидентов, собирающих персональные данные россиян за границей (если они не ведут деятельность в Интернете, направленную на РФ).

Действие во времени: требование о локализации распространяется на персональные данные, собранные или обрабатываемые после 1 сентября 2015 г. (если данные были собраны до 1 сентября 2015 г. и больше не обрабатываются, на такие «архивные» базы данных требование не распространяется).

Определение гражданства субъекта: каждый оператор может самостоятельно выбрать способ определения гражданства субъекта персональных данных. По умолчанию требование о локализации распространяется на персональные данные, собранные на территории РФ.

Способ исполнения требования:

• сбор, запись, систематизация, накопление, хранение, уточнение, извлечение данных должны, в первую очередь, осуществляться с использованием базы данных в РФ, все остальные действия могут осуществляться за границей;

• база данных может быть в любой форме, в том числе бумажной, поэтому требование о локализации будет исполнено, если в РФ в бумажном виде хранятся персональные данные, которые затем в электронном виде передаются за границу;

• обработка данных может осуществляться за границей, если база в РФ содержит больший объем персональных данных или равный находящемуся за пределами РФ (недопустимо нахождение за пределами РФ данных, которые одновременно не находятся в РФ).

Предусмотренные исключения:

• обработка персональных данных работников может быть исключена из сферы действия требования о локализации (на основании ч. 1 ст. 6 ФЗ «О персональных данных») как обработка, необходимая для осуществления возложенных законодательством на оператора функций, полномочий и обязанностей, однако корректность такой квалификации в каждом конкретном случае будет проверяться Роскомнадзором;

• требование о локализации распространяется на данные, полученные при целенаправленном сборе от субъектов персональных данных (т.е. оператор не должен предпринимать никаких действий в отношении персональных данных, случайно к нему попавших, например, по электронной почте, или в отношении полученных им от другого юридического лица контактных данных работников, необходимых для осуществления деятельности).

Ограничение доступа к информационным ресурсам в сети Интернет

ст. 1, Федеральный закон от 21.07.2014 № 242-ФЗ (ред. от 31.12.2014) «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях» {КонсультантПлюс}

С 1 сентября 2015 года доступ к информационным ресурсам в сети Интернет, в том числе к сетевому адресу, доменному имени, указателю страниц, позволяющим идентифицировать информацию, обрабатываемую с нарушениями законодательства, может быть ограничен.

Это будет возможно на основании вступившего в силу судебного акта при соблюдении процедуры, предусмотренной ст. 15.5 Закона об информации в редакции рассматриваемого Закона. Для ограничения доступа будет создан реестр нарушителей прав субъектов персональных данных. После устранения нарушений или вступления в силу судебного решения об отмене ранее принятого судебного акта доменное имя, указатель страницы или сетевой адрес исключаются из этого реестра.

Кроме того, действующим законодательством предусмотрена административная ответственность за нарушение установленного порядка сбора, хранения, использования или распространения информации о гражданах. Такое нарушение влечет предупреждение или штраф, размер которого для юрлиц составляет от 5 тыс. до 10 тыс. руб.

О мерах по ограничению доступа информации, обрабатываемой с нарушением законодательства о персональных данных

Приказ Роскомнадзора от 22.07.2015 № 85 «Об утверждении формы заявления субъекта персональных данных о принятии мер по ограничению доступа к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных» {КонсультантПлюс}

Утвержденная форма заявления субъекта персональных данных о принятии мер по ограничению доступа к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных начинает применяться с 1 сентября 2015 года.

В заявлении о принятии мер по ограничению доступа к информации, обрабатываемой с нарушением законодательства о персональных данных, указываются сведения о судебном акте и исполнительном листе, на основе которого ограничивается доступ.

В таком заявлении указывается:

• наименование субъекта персональных данных (его представителя);
• СНИЛС;
• адрес регистрации по месту жительства субъекта персональных данных;
• сведения о судебном акте, на основе которого принято решение об ограничении доступа информации, обрабатываемой с нарушением законодательства РФ в области персональных данных (в том числе номер дела, наименование суда, дата принятия акта);
• реквизиты исполнительного листа (его номер и дата);

Приказ Роскомнадзора от 22.07.2015 № 84 «Об утверждении Порядка взаимодействия оператора реестра нарушителей прав субъектов персональных данных с провайдером хостинга и Порядка получения доступа к информации, содержащейся в реестре нарушителей прав субъектов персональных данных, оператором связи» {КонсультантПлюс}

С 1 сентября начинают применяться разработанные механизмы взаимодействия оператора реестра нарушителей прав субъектов персональных данных с провайдером хостинга и операторами связи.
Регулирование процесса осуществляется следующим образом:

• оператор реестра направляет провайдеру хостинга уведомления о нарушении законодательства РФ в области персональных данных;
• провайдер хостинга направляет оператору реестра обращения об исключении информации о доменном имени и (или) указателях страниц сайтов в сети «Интернет», сетевом адресе, позволяющем идентифицировать сайты в сети «Интернет», содержащие информацию, обрабатываемую с нарушением прав субъектов персональных данных из реестра;
• оператор реестра направляет провайдеру хостинга уведомление об исключении из реестра доменного имени и (или) указателя страницы сайта в сети «Интернет», а также сетевого адреса.

Внимание! Уведомления составляются на русском и английском языках, подписываются усиленной квалифицированной электронной подписью и передаются с использованием электронных адресов.

Постановление Правительства РФ от 19.08.2015 № 857 «Об автоматизированной информационной системе «Реестр нарушителей прав субъектов персональных данных» (вместе с «Правилами создания, формирования и ведения автоматизированной информационной системы «Реестр нарушителей прав субъектов персональных данных») {КонсультантПлюс}

С 1 сентября 2015 года создается АИС «Реестр нарушителей прав субъектов персональных данных».

Приняты правила создания, формирования и ведения реестра нарушителей прав субъектов персональных данных с целью ограничения доступа к информации в сети Интернет, обрабатываемой с нарушением законодательства в области персональных данных.

Создание, формирование и ведение системы будет осуществлять Роскомнадзор. К формированию и ведению реестра может быть привлечена организация, имеющая технические возможности для приема обращений субъектов персональных данных о принятии мер по ограничению доступа к информации и ведения АИС «Реестр нарушителей прав персональных данных».

Реестр будет включать в себя, в частности, доменные имена и (или) указатели страниц, содержащих информацию, обрабатываемую с нарушением законодательства о персональных данных, сетевые адреса (сайты), содержащие такую информацию.

ст. 13.11, «Кодекс Российской Федерации об административных правонарушениях» от 30.12.2001 № 195-ФЗ (ред. от 13.07.2015, с изм. от 14.07.2015) {КонсультантПлюс}

Размеры административных штрафов за нарушение порядка сбора, хранения, использования или распространения персональных данных пока сохранились в ст. 13.11 КоАП РФ в неизменном виде и могут налагаться на юридических лиц в размере от 5000 до 10000 рублей за каждое выявленное нарушение. Роскомнадзор также вправе выдать предписание об устранении выявленных нарушений, в том числе и путем блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных.

Операторы информационных систем, осуществляющие обработку персональных данных с нарушением требований об использовании баз данных на территории Российской Федерации, могут столкнуться с блокированием доступа к своему веб-сайту по жалобе физического лица на основании вступившего в силу решения суда по делу о нарушении законодательства о персональных данных.

Статья: Локализация персональных данных россиян: последние новости (Юридическая фирма «Гольцблат БЛП», Практика по разрешению споров / Практика трудового права) (Подготовлен для системы КонсультантПлюс, 2015) {КонсультантПлюс}

Статья: Хранение персональных данных за рубежом с точки зрения российского права (Иванов А.А.) («Закон», 2015, № 1) {КонсультантПлюс}

Статья: Изменения в порядке обработки персональных данных в информационно-телекоммуникационных сетях в 2015 году (Юридическая фирма «Гольцблат БЛП», Антимонопольная практика / Антимонопольное законодательство) (Подготовлен для системы КонсультантПлюс, 2015) {КонсультантПлюс}

Путеводитель по кадровым вопросам. Образцы заполнения форм документов {КонсультантПлюс}Подраздел Персональные данные

Путеводитель по кадровым вопросам. Персональные данные работников {КонсультантПлюс}

Путеводитель по кадровым вопросам. Особенности работы госслужащих {КонсультантПлюс}Подраздел Персональные данные и ведение личного дела государственного гражданского служащего