Памятка организации по соблюдению законодательства о персональных данных

Скачайте памятку по правилам работы с персональными данными согласно новым требованиям Роскомнадзора и ФЗ №152

Последствия заказа документов для работы на непроверенных порталах

Большое количество скрытых платежей, которые намерено утаиваются при заключение договора

Не полный пакет документов сделает работу бесмысленной и приведет к нарушениям и штрафам

Некорректно составленные документы от некомпетентных специалистов не пройдут проверки Роскомнадзора

Огромный объем работы и документов придется исправлять колоссальными временными затратами

Административная ответственность по статье 13.11 КоАП РФ в виде штрафа от 60 000 до 18 000 000 рублей

Ответственность за нарушение законодательства о персональных данных по ст. 13.11 КоАП РФ

Штрафы за нарушение закона о персональных данных	Должностное лицо	ИП	Юридическое лицо
Обработка персональных данных без согласия в письменной форме субъекта персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством	40 000 повторно 100 000	300 000	150 000 повторно 500 000
Невыполнение оператором обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных	12 000	20 000	60 000
Невыполнение оператором обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных	12 000	30 000	80 000
Невыполнение оператором в сроки, установленные законодательством требования субъекта персональных данных либо уполномоченного органа об уточнении персональных данных, их блокировании или уничтожении	20 000 повторно до 50 000	40 000 повторно до 100 000	90 000 повторно до 500 000
Невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих в соответствии с законодательством сохранность персональных данных при хранении материальных носителей персональных данных и исключающих несанкционированный к ним доступ, если это повлекло неправомерные действия в отношении персональных данных	20 000	40 000	100 000
Невыполнение оператором, являющимся государственным или муниципальным органом, предусмотренной законодательством обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов по обезличиванию персональных данных	12 000	–	–
Невыполнение оператором при сборе персональных данных, в том числе сети «Интернет», предусмотренной законодательством обязанности по обеспечению записи, систематизации, накопления, хранения, уточнения или извлечения персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ	200 000 повторно до 800 000	40 000 повторно до 100 000	6 млн. повторно до 18 млн.

Для чего каждой организации необходим пакет документов для работы с персональными данными?

Для соблюдения требований к организации работы оператора по обработке персональных данных согласно новым требованиям Роскомнадзора и ФЗ №152

В 2023 году для всех юридических лиц ужесточились требования Роскомнадзора в отношении персональных данных, а также значительно усложнилась сама процедура обработки персональных данных. Теперь для соблюдения требований ФЗ №152 “О персональных данных” потребуется не только внедрение десятков новых внутренних документов, регламентов и отчетов, необходимых для правильной организации системы обработки, учета и хранения персональных данных, но и найм соответствующих специалистов. Ответственность за нарушение закона о персональных данных предусмотрена для юридических лиц в виде штрафа по статье 13.11 КоАП РФ в размере от 60 000 до 6 000 000 рублей, а при повторном нарушении от 300 000 до 18 000 000 рублей.

Консультация по персональным данным

Перечень документов, необходимый для организации работы с персональными данными

№ п/п	Наименование документа	Основание
1	Акт о выявлении нарушений в сфере защиты персональных данных	ч. 6 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г. п. 8.14 Приказа ФСТЭК России № 21 от 18.02.13 г.
2	Акт об уничтожении машинных носителей персональных данных	ч. 5 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г. п. 8.14 Приказа ФСТЭК России № 21 от 18.02.13 г.; п. 5 Приказа ФСБ РФ № 378 от 10.07.14 г.; п. 13 приложения к Постановлению Правительства РФ № 1119 от 01.11.12 г.
3	Акт об уничтожении персональных данных	п.2 Приказа Роскомнадзора № 179 от 28.10.22 г.
4	Акт определения необходимого уровня защищенности информационной системы персональных данных	ч. 9 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.
5	Акт оценки вреда, который может быть причинен субъекту персональных данных	ч. 5 п. 1 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
6	Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных	п. 2 приложения к Постановлению Правительства РФ № 1119 от 01.11.12 г.; п. 9 Приказа ФСБ РФ № 378 от 10.07.14 г.
7	Журнал сдачи и приема под охрану помещений	п. 2 приложения к Постановлению Правительства РФ № 1119, п. 8.12 Приказа ФСТЭК России № 21 от 18.02.13 г.; п. 6 Приказа ФСБ РФ № 378 от 10.07.14 г.
8	Журнал учета лиц, допущенных к работе с персональными данными в информационных системах	ч. «в» п. 13 приложения к Постановлению Правительства РФ № 1119 от 01.11.12г.; п. 13 Постановления Правительства РФ № 687 от 08.09.08 г.
9	Журнал учета машинных носителей персональных данных	ч. 5 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г. п. 8.14 Приказа ФСТЭК России № 21 от 18.02.13 г.; п. 5 Приказа ФСБ РФ № 378 от 10.07.14 г.; п. 13 приложения к Постановлению Правительства РФ № 1119 от 01.11.12 г.
10	Журнал учета мероприятий по контролю выполнения требований по обеспечению безопасности ПДн при их обработке в ИСПДн	п. 1 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
11	Журнал учета нештатных ситуаций, фактов вскрытия и опечатывания АРМ выполнения профилактических работ	п. 6 Приказа ФСБ РФ № 378 от 10.07.14 г.
12	Журнал учета обращений субъектов ПДн	п. 1 ст. 14 и ч. 3 п. 2 ст. 22.1. ФЗ № 152-ФЗ от 27.07.06 г.
13	Журнал учета процедур резервного копирования	8.5 Приказа ФСТЭК России № 21 от 18.02.13 г.
14	Журнал учета средств защиты информации	п. 4 Приказа ФСБ РФ № 378 от 10.07.14 г.
15	Журнале учета прохождения первичного инструктажа работниками, допущенными к работе с персональными данными	ч. 6 п. 1 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
16	Заявление о предоставлении выписки из реестра операторов	Приказ Роскомнадзора № 94 от 30.05.17 г.
17	Инструкция администратора информационной безопасности	п. 14 приложения к Постановлению Правительства РФ № 1119 от 01.11.12 г.
18	Инструкция ответственного за организацию обработки персональных данных	ч. 1 п. 1 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
19	Инструкция по применению антивирусных средств защиты	п. 8.6 Приказа ФСТЭК России № 21 от 18.02.13 г.;
20	Инструкция по работе с машинными носителями, содержащими персональные данные	ч. 5 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г. п. 8.14 Приказа ФСТЭК России № 21 от 18.02.13 г.; п. 5 Приказа ФСБ РФ № 378 от 10.07.14 г.; п. 13 приложения к Постановлению Правительства РФ № 1119 от 01.11.12 г.
21	Инструкция по учету лиц, допущенных к работе с персональными данными	ч. «в» п. 13 приложения к Постановлению Правительства РФ № 1119 от 01.11.12г.; п. 13 Постановления Правительства РФ № 687 от 08.09.08 г.
22	Инструкция по физической охране и контролю доступа в помещения	п. 8.2 Приказа ФСТЭК России № 21 от 18.02.13 г.; п. 13 Постановления Правительства РФ № 687 от 08.09.08 г.
23	Инструкция работников обслуживающих информационные системы персональных данных	ч. 2 и 6 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.
24	Инструкция по проведению инструктажа работников, допущенных к работе с персональными данными	6 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.
25	Лист ознакомления	ст. 22 ТК РФ
26	Матрица доступа к ИСПДн	п. 1 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.; п. 8.2 Приказа ФСТЭК России № 21 от 18.02.13 г.
27	Обязательство о неразглашении персональных данных работников	ст. 7 ФЗ № 152-ФЗ от 27.07.06 г.
28	Отзыв согласия на обработку персональных данных	п. 2 ст. 9 ФЗ № 152-ФЗ от 27.07.06 г.
29	Отказ от согласия на обработку персональных данных	п. 1 ст. 9 ФЗ № 152-ФЗ от 27.07.06 г.;
30	План контроля выполнения требований по обеспечению безопасности ПДн при их обработке в ИСПДн	п. 3 ст. 18.1 и п. 1 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.
31	Политика конфиденциальности персональных данных пользователей сайта	ст. 7 и п. 2 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
32	Политика оператора в отношении обработки персональных данных	п. 2 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
33	Положение о комиссии по обеспечению безопасности персональных данных	п. 3 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.; п. 2 Постановления Правительства РФ № 687 от 08.09.08 г.
34	Положение о парольной защите при обработке персональных данных	п. 8.1 и 8.11 Приказа ФСТЭК России № 21 от 18.02.13 г.
35	Положение о порядке уничтожения персональных данных	ч. 5 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г. п. 8.14 Приказа ФСТЭК России № 21 от 18.02.13 г.; п. 5 Приказа ФСБ РФ № 378 от 10.07.14 г.; п. 13 приложения к Постановлению Правительства РФ № 1119 от 01.11.12 г., п.2 Приказа Роскомнадзора № 179 от 28.10.22 г.
36	Положение об обработке персональных данных	ч. 3 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.
37	Положение об организации видеонаблюдения	п. 13 приложения к Постановлению Правительства РФ № 1119 от 01.11.12 г.
38	Положение об ответственности работников, допущенных к обработке персональных данных	ст. 90 ТК РФ
39	Правила выявления инцидентов информационной безопасности информационных систем персональных данных	п. 8.14 Приказа ФСТЭК России № 21 от 18.02.13 г.
40	Правила оборудования помещений используемых для обработки персональных данных	ч. 8 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.; п. 8.12 Приказа ФСТЭК России № 21 от 18.02.13 г., п. 6 Приказа ФСБ РФ № 378 от 10.07.14 г.
41	Правила оценки вреда, который может быть причинен субъекту персональных данных	ч. 5 п. 1 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
42	Правила рассмотрения обращений субъектов персональных данных	п. 1 ст. 14 и ч. 3 п. 2 ст. 22.1. ФЗ № 152-ФЗ от 27.07.06 г.
43	Приказ о назначении администратора информационной безопасности	п. 14 приложения к Постановлению Правительства РФ № 1119 от 01.11.12 г.
44	Приказ о назначении ответственного за организацию обработки персональных данных	ч. 1 п. 1 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
45	Приказ о создании комиссии по уничтожению персональных данных	ч. 5 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г. п. 8.14 Приказа ФСТЭК России № 21 от 18.02.13 г.; п. 5 Приказа ФСБ РФ № 378 от 10.07.14 г.; п. 13 приложения к Постановлению Правительства РФ № 1119 от 01.11.12 г., п.2 Приказа Роскомнадзора № 179 от 28.10.22 г. ч. 3 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.
46	Приказ об утверждении комиссии по обеспечению безопасности персональных данных	п. 3 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.; п. 2 Постановления Правительства РФ № 687 от 08.09.08 г.
47	Приказ об утверждении локальных нормативных актов	п. 3 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
48	Приказ об утверждении перечня должностей работников, доступ которых к персональным данным, обрабатываемым в ИСПДн, необходим для выполнения трудовых обязанностей	п. 1 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.; п. 8.2 Приказа ФСТЭК России № 21 от 18.02.13 г.
49	Приказ об утверждении политики оператора в отношении обработки персональных данных	п. 2 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.
50	Приказ об утверждении списка помещений, предназначенных для обработки персональных данных	ч. 8 п. 2 ст. 19 ФЗ № 152-ФЗ от 27.07.06 г.; п. 8.12 Приказа ФСТЭК России № 21 от 18.02.13 г., п. 6 Приказа ФСБ РФ № 378 от 10.07.14 г.
51	Протокол заседания комиссии по обеспечению безопасности персональных данных	п. 3 ст. 18.1 ФЗ № 152-ФЗ от 27.07.06 г.; п. 2 Постановления Правительства РФ № 687 от 08.09.08 г.
52	Регламент резервного копирования и восстановления информации в ИСПДн	8.5 Приказа ФСТЭК России № 21 от 18.02.13 г.
53	Согласие на обработку персональных данных	ст. 9 ФЗ № 152-ФЗ от 27.07.06 г.
54	Согласие на обработку персональных данных несовершеннолетнего	ст. 9 ФЗ № 152-ФЗ от 27.07.06 г.
55	Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения	ст. 9 и 10.1 ФЗ № 152-ФЗ от 27.07.06 г.
56	Согласие на передачу персональных данных работника третьей стороне	ст. 9 ФЗ № 152-ФЗ от 27.07.06 г.
57	Согласие на получение персональных данных от третьих лиц	ст. 9 ФЗ № 152-ФЗ от 27.07.06 г.
58	Согласие сотрудника на осуществление видеонаблюдения на рабочем месте	ст. 9 ФЗ № 152-ФЗ от 27.07.06 г.
59	Уведомление о намерении осуществлять обработку персональных данных	Приказ Роскомнадзора № 180 от 28.10.22
60	Уведомление о прекращении обработки персональных данных	Приказ Роскомнадзора № 180 от 28.10.22
61	Уведомление об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных	Приказ Роскомнадзора № 180 от 28.10.22

Обработка персональных данных согласно новым требованиям Роскомнадзора и ФЗ №152 «О персональных данных»

С 1 сентября 2022 года законодательство России о персональных данных претерпело значимые изменения. Сейчас действует мораторий на проведения проверок Роскомнадзором, но скоро новые правила обработки персональных данных привлекут внимание всех сфер бизнеса. В первую очередь внимание будет обеспечено значительными штрафами, которые достигают 18 млн. руб.

Что такое обработка персональных данных?

Речь идет о любых действиях с информацией, которая позволяет идентифицировать гражданина. Сюда относятся не только сбор и распространение, но и уничтожение или обезличивание персональных данных. В рамках правоотношений граждане являются субъектами обработки персональных данных, а лица, их обрабатывающие – операторами.

Законодатель выделяет несколько видов персональных данных, каждый из которых имеет особенности при обработке. К ним относятся:

общедоступные (например: ФИО, дата рождения);
биометрические (например: цвет глаз, группа крови, фотографическое изображение);
специальные (например: политические взгляды, состояние здоровья);
иные (например: трудовой стаж, социальный статус).

В ходе обработки персональных данных может происходить их передача или распространение. В первом случае речь идет о представлении сведений о субъекте конкретному оператору, во втором – неограниченному кругу лиц. Отдельно выделена трансграничная передача персональных данных, то есть передача сведений на территорию иностранного государства. К такой передаче относится не только прямое направление информации иностранному контрагенту, данные можно просто загрузить на сервер, находящийся не в России. Таким образом, даже использование зарубежных сервисов для электронной почты, таких как @gmail, от компании Гугл, может привести к многомиллионным штрафам.

Новые требования к обработке

Одним из основных изменений, коснувшимся большинства компаний, является обязанность уведомления Роскомнадзора об обработке персональных данных. Можно с уверенностью сказать, что каждый оператор обработки персональных данных должен уведомлять Роскомнадзор. Уведомления обязаны направлять не только юридические лица, но и индивидуальные предприниматели и обычные граждане, обрабатывающие персональные данные.

Следующие немаловажные изменения затронули трансграничную передачу персональных данных. Теперь компании, передающие информацию о субъектах персональных данных за рубеж, обязаны заблаговременно получать согласие у Роскомнадзора. Ранее для передачи было достаточно согласования внутри компании. Нарушение порядка передачи информации грозит оператору наиболее крупными штрафами.

С прошлого года изменились требования к документообороту. При обработке персональных данных оператор и ранее должен был вести документацию, но из-за бесконтрольности со стороны Роскомнадзора компании ограничивались получением согласий на обработку персональных данных, и то не всегда. Теперь подход изменится: организации, внесенные в реестре, будут проверять по-прежнему, однако больше внимания уделят незарегистрированным компаниям и наличию у них требуемой документации.

Уведомление об обработке персональных данных

На основании уведомлений формируется реестр операторов, осуществляющих обработку персональных данных. Сейчас в реестре содержится около 1 млн. записей об операторах, которые внесены в него за последние 15 лет. Уведомления бывают трех видов:

об обработке (намерении обрабатывать);
об изменении сведений, содержащихся в реестре;
о прекращении обработки.

Первое уведомление подается компанией один раз и содержит все сведения, требуемые для внесения информации об операторе в реестр. Далее подаются только уведомления об изменении сведений. Каждый раз, когда меняются информация, внесенная в реестр, будь то объем обрабатываемых данных или ответственный за их обработку, оператор уведомляет Роскомнадзор не позднее 15 числа следующего месяца. Уведомление о прекращении обработки направляется исключительно в случае прекращения деятельности компании.

Подать уведомления можно на бумажном носителе или в электронном виде через сайт уполномоченного органа. Там же можно найти формы уведомлений для заполнения и образец заявления о предоставлении выписки из реестров операторов. После направления сведений в Роскомнадзор рекомендуем запросить выписку, поскольку встречаются случаи невнесения компаний в реестр, что в будущем может стать проблемой.

Документы, требуемые оператору для обработки

Анализируя законы и подзаконные нормативные правовые акты, можно найти прямое указание на десятки документов, обязательных для ведения. Еще больше документов, необходимых оператору, следует из смысла закона, но прямо не названы. Рассмотрим основные.

Первый документ, с которым придется столкнуться – согласие на обработку персональных данных. Образцов согласия должно быть несколько (для работников, клиентов, соискателей и т.д.), в зависимости от особенностей субъекта и обрабатываемых данных. Например, иногда можно избежать необходимости получения согласия по обработке общедоступных ПДн, а вот для биометрических ПДн согласие обязательно всегда. Не стоит смешивать согласие на обработку и распространение персональных данных, это два разных документа, каждый из которых должен у Вас быть.

Политика оператора по обработке персональных данных – это главный документ компании, который содержит основные принципы работы с информацией о гражданах. Если раньше политика в компании должна была быть одна, то теперь закон прямо указал, что для каждого вида персональных данных может издаваться отдельная политика. Политика должна быть обнародована путем опубликования на сайте, информационной доске или иным способом, обеспечивающим ознакомление с ней.

Поскольку все операторы используют средства автоматизации, в компании должна быть принята модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. На основании модели составляется акт оценки вреда, который может быть причинен субъектам персональных данных, необходимый для определения необходимого уровня защищённости информационной системы персональных данных, которое также актируется.

Это лишь часть базовых документов, у оператора должны быть матрица доступа к ИСПДн, планы контроля, обязательства о неразглашении и многое другое. Положения, регламенты, инструкции, порядки, принятые к ним акты и журналы, утверждающие их приказы, мы также разбирать не будем.

Ответственность за нарушения законодательства о персональных данных

Основные санкции содержатся в статье 13.11 КоАП РФ, которая предусматривает единственный вид ответственности в виде штрафа. С одной стороны, отсутствие таких мер воздействия как дисквалификация или приостановление деятельности радует, с другой это, с лихвой компенсируется размерами штрафов.

Не опубликование политики и непредставление сведений субъекту будет стоить компании 60 и 80 тыс. руб. соответственно. Нарушение порядка обработки персональных данных, например, обработка, несовместимая с целями, грозит штрафом до 300 тыс. руб., а отсутствие согласия на обработку может обойтись в 500 тыс. руб. Неисполнение требований об исправлении, уничтожении или блокировке ПДн, обойдется в ту же сумму. Разглашение персональных данных при обработке без средств автоматизации наказывается штрафом в 100 тыс. руб., а нарушения при сборе персональных данных, в том числе через «Интернет», обойдется в вышеупомянутые 18 млн. руб.

При выявлении нарушения к ответственности привлекаются не только организации, но и должностные лица, такие как генеральный директор или ответственный за обработку персональных данных. Для них верхняя планка штрафа составляет 800 тыс. рублей. Срок привлечения к ответственности – 2 месяца с момента выявления нарушения, но, если с момента нарушения прошло больше года, к ответственности уже не привлекут. Однако не стоит забывать о длящихся правонарушения, здесь штраф могут наложить в любой момент.

Организация работы по обработке персональных данных и формирование необходимого минимума документов для работы займет даже у квалифицированного сотрудника не одну неделю. Сэкономьте время своего персонала и обратитесь к наработкам профильных компаний, предлагающих готовые решения для обработки персональных данных. Такой подход не только придаст уверенность в правильности выстроенных процессов, но и поможет сберечь средства фирмы в случае проверки, ведь даже минимальный штраф значительно превышает стоимость готового пакета документов.

Получить пакет документов для соблюдения всех требований законодательства в части обработки и защиты персональных данных вы можете на нашем сайте – просто оставьте заявку в любой форме обратной связи.

ПОЧЕМУ ВЫГОДНО И УДОБНО РАБОТАТЬ С АО «КОНСАЛТИНГ ОНЛАЙН»?

В штате: корпоративные юристы, действующие налоговые консультанты, арбитражные управляющие

Широкий спектр услуг, позволяющий получить всё в одном месте, экономит до 30% времени и затрат

Более 5 лет на рынке, проведено
10 000+ процедур в консалтинге компаний

Разрешение всех сопутствующих проблем, связанных с ЕГРЮЛ, ФНС, судебными спорами, имуществом

Индивидуальный подход и подбор оптимальной процедуры

Уникальный опыт проведения сложных процедур (в т.ч для компаний с иностранным участием)

Оптимизированные бизнес-процессы обеспечивают быстрое и эффективное выполнение процедур

Официальные партнер сервисов «Федресурс Онлайн», «Вестник Онлайн», «Бизнес Мониторинг»

График работы

Документы для организации работы с персональными данными