Персональные данные: Ответы на часто задаваемые вопросы. Часть 1

1. Требуется ли согласие на обработку персональных данных для оформления пропуска сотрудникам субподрядчиков?

При оформлении пропусков на территорию предприятия для сотрудников субподрядчиков согласие на обработку их персональных данных, как правило, не требуется. Правовым основанием для такой обработки служит пункт 7 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Этот пункт позволяет обрабатывать ПДн без согласия субъекта, если такая обработка необходима для осуществления прав и законных интересов оператора или третьих лиц, при условии, что при этом не нарушаются права и свободы самого субъекта.

2. Какие средства защиты информации (СЗИ) необходимо использовать самозанятым при обработке персональных данных на домашних компьютерах?

Объем необходимых средств защиты информации (СЗИ) для самозанятого лица, обрабатывающего персональные данные на домашнем ПК, напрямую зависит от категорий данных, с которыми Вы работаете. Если Ваша деятельность связана с обработкой специальных категорий персональных данных (например, сведений о состоянии здоровья, таких как больничные листы или информация об инвалидности), то Вам потребуется комплексный подход. В этот комплекс должны входить: антивирусное программное обеспечение, межсетевой экран (фаервол), средства защиты от несанкционированного доступа и сканер уязвимостей. В случае, если Вы не обрабатываете сведения о здоровье или иные специальные категории ПДн, использование сканера уязвимостей может быть необязательным. Всегда ориентируйтесь на актуальные требования законодательства и степень риска для субъектов данных.

3. Как часто рекомендуется проводить аудит обработки персональных данных?

Регулярность проведения аудита обработки персональных данных определяет сам оператор. Однако, для поддержания высокого уровня соответствия требованиям законодательства и оперативного выявления возможных нарушений, рекомендуется проводить такой аудит не реже одного раза в три месяца. Это позволяет своевременно корректировать процессы и минимизировать риски.

4. Считается ли размещение фото с именем и датой на доске почёта или в поздравлении обработкой персональных данных, требующей согласия?

Да, размещение фотографий с изображением конкретного лица, а также его имени и даты рождения на доске почета или в поздравительных материалах, является обработкой персональных данных, а именно их распространением. В соответствии со статьей 7 Федерального закона № 152-ФЗ, операторы и иные лица, получившие доступ к ПДн, обязаны не раскрывать и не распространять их без согласия субъекта, если иное не предусмотрено федеральным законом. Поэтому в большинстве случаев для таких действий Вам потребуется получить согласие от физического лица.

5. На какой период предоставляется демо-доступ к сервису 152DOC?

На текущий момент демо-доступ к сервису "152DOC для 1С" предоставляется бессрочно, что дает Вам достаточно времени для ознакомления со всеми возможностями платформы.

6. Какой обязательный набор персональных данных (ПДн) от субъекта нужно указывать в шапке согласия об обработке ПДн?

Общие правила не определяют строгого объема персональных данных, которые необходимо указывать в шапке согласия. Однако, рекомендуется включать такой объем сведений, который позволит однозначно идентифицировать конкретное лицо. В случаях, когда законом предусмотрена необходимость получения письменного согласия, перечень сведений, которые оно должно содержать, строго регламентирован частью 4 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». К таким сведениям, в частности, относятся ФИО, адрес, паспортные данные, цель обработки, перечень ПДн и другие.

7. Как Роскомнадзор может выявить самозанятого, который не зарегистрировался как оператор персональных данных?

Роскомнадзор использует различные механизмы для выявления операторов персональных данных, не уведомивших о своей деятельности, включая самозанятых:

• Жалобы от субъектов ПДн: Это один из наиболее частых способов выявления нарушений. Если гражданин считает, что его данные обрабатываются без надлежащих оснований, он может обратиться с жалобой в Роскомнадзор.
• Межведомственное взаимодействие: Роскомнадзор может получать информацию о деятельности самозанятых от других государственных органов при необходимости.
• Мониторинг сайтов: Если самозанятый ведет собственный сайт, который собирает и обрабатывает персональные данные (например, через формы обратной связи, подписки), он может попасть в плановую или внеплановую проверку сайта.
• Целевые проверки: В случае возникновения стратегических задач по контролю в области ПДн среди самозанятых, могут быть разработаны специализированные методы выявления нарушений.

8. Какие опции доступны в демо-доступе к сервису 152DOC?

В демо-доступе к сервису 152DOC для 1С Вам доступны все основные функции, за исключением выгрузки сформированных документов, доступа к онлайн-чату со специалистом по персональным данным и возможности импорта/экспорта списка работников. Это позволяет оценить основной функционал сервиса до принятия решения о покупке.

9. Ответственный за обработку ПД должен быть штатным сотрудником или допускается любое лицо, с которым заключен соответствующий договор?

Да, ответственным за организацию обработки персональных данных может быть как штатный сотрудник Вашей организации, так и третье лицо, с которым заключен соответствующий договор. Главное, чтобы это лицо обладало необходимыми компетенциями и полномочиями для эффективного выполнения своих обязанностей.

10. Какой объем персональных данных мы вправе собирать с клиента, если для оказания услуг СНИЛС не требуется, а для обращения в суд на должника – необходим?

Объем обрабатываемых персональных данных должен строго соответствовать заявленным целям обработки. Согласно части 5 статьи 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», содержание и объем обрабатываемых персональных данных не должны быть избыточными по отношению к заявленным целям их обработки.

Если для оказания услуги СНИЛС не требуется, Вы не вправе его запрашивать на этом этапе. Для обращения в суд, когда СНИЛС необходим, Вы можете запросить эти данные дополнительно, например, через ходатайство в суде. Важно помнить, что каждый сбор данных должен иметь четкое правовое основание и цель.