216 юристов сейчас на сайте

Консультируйтесь с юристом онлайн

216 юристов готовы ответить сейчас
Ответ за 15 минут
  1. Интеллектуальная собственность
  2. Интернет и право

Как правильно заполнить заявку в Роскомнадзор на включение в реестр операторов, осуществляющих обработку персональных данных?

Добрый день! Я являюсь индивидуальным предпринимателем, вид деятельности "Информационные услуги". Отправляю заявку в Роскомнадзор по Костромской области на включение в реестр операторов, осуществляющих обработку персональных данных. Имею собственные сайты. Трижды отправляла, не принимают заявку, не проходят три первых пункта, а именно: 1 . Правовое обоснование обработки персональных данных; 2). Описание мер, предусмотренных статьями 18.1 и 19 Федерального закона "О персональных данных" ;3). Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством РФ. Помогите, пожалуйста, правильно заполнить эти пункты. Спасибо.

23 Августа 2017, 13:36, вопрос №1732165 Ольга, г. Шарья
Свернуть
Консультация юриста онлайн
Ответ на сайте в течение 15 минут
Задать вопрос

Ответы юристов (3)

Юрист - Алексей
7,0
Рейтинг Правовед.ru
1321
ответ
624
отзыва
Общаться в чате
Бесплатная оценка вашей ситуации
Юрист
Общаться в чате
Бесплатная оценка вашей ситуации

Здравствуйте, Ольга.

1. Смотря чем вы занимаетесь — обработка данных работников или клиентов?

ст.ст. 23, 24 Конституции Российской Федерации, ст.ст. 85-90 Трудового кодекса Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации», Положением о защите персональных данных работников и Политика

2.

Статья 18.1. Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам могут, в частности, относиться:

Нужны приказы о назначении ответственных лиц, комплекты документов.

3.

утверждены инструкции и положения, регламентирующие порядок обработки персональных данных, с которыми ознакомлены все работники организации (предприятия) под роспись, ограничен доступ в помещение(я), где обрабатываются персональные данные, передача информации осуществляется по защищенным каналам связи (в соответствии с договорами или лицензией), предоставление необходимого помещения (помещений) для хранения документов, содержащих персональные данные, организация режима обеспечения безопасности в этом(их) помещении(ях).

Если у вас остались вопросы, задавайте, с радостью отвечу. Также вы можете написать мне в чате и заказать персональную консультацию или подготовку документа по вашему вопросу.


23 Августа 2017, 13:49
q Отблагодарить
0 0
Ольга
клиент, г. Шарья

Алексей, обработка данных клиентов, работников нет.

23 Августа 2017, 14:21
7,0
Рейтинг Правовед.ru
1321
ответ
624
отзыва
Общаться в чате
Бесплатная оценка вашей ситуации
Общаться в чате

Исключите из моего ответа данные трудового кодекса. Включите политику обработки, положение, приказ о назначении ответственного лица и проч. 

23 Августа 2017, 14:23
Ольга
клиент, г. Шарья

Спасибо, попробую отправить еще раз.

23 Августа 2017, 14:26
Юрист - Давид
320
ответов
147
отзывов
Общаться в чате
Бесплатная оценка вашей ситуации
Юрист, г. Москва
Общаться в чате
Бесплатная оценка вашей ситуации

1) Зачем отправляйте уведомление? В смысле вы читали п.2 ст. 22 ФЗ о ПД там нет Вашего случая?

2) А заполнять примерно так можно (естественно надо на базе вашего собственного положения об обработке ПД там информацию заполнять, а не просто «скопировать»):

Правовое основание обработки персональных данных: 

«руководствуясь Трудовым кодексом РФ, Налоговым кодексом РФ; Федеральным законом РФ ФЗ-152 «О персональных данных», а также пользовательским соглашением об использовании сервиса «_______________» (_____________.ru)»

Цель обработки персональных данных:

с целью оказания услуг по предоставлению пользователям за плату доступа в сети Интернет к ___________________________

Описание мер, предусмотренных статьями 18.1. и 19 Федерального закона «О персональных данных»:

— осуществляется внутренний контроль соответствия обработки персональных данных Федеральному закону ФЗ-152 и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных;
— на сайте Сервиса в сети интернет через который осуществляется непосредственное оказание услуг опубликован и размещен документ, определяющий политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных;
— определены угрозы безопасности персональных данных при их обработке в информационных системах Сервиса;
— осуществляется применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
— осуществляется применение прошедших в установленном порядке процедур оценки соответствия средств защиты информации;
— осуществляется оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы Сервиса;
— производятся проверки для обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
— ведется работа по восстановлению персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
— установлены правила доступа к персональным данным, обрабатываемым в информационной системе, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе Сервиса;
— осуществляется контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем Сервиса.

Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством РФ:

Определен перечень лиц, осуществляющих обработку персональных данных и имеющих к ним доступ. Средства защиты информации, предназначенные для обеспечения безопасности персональных данных при их обработке в информационных системах, учтены в соответствующих журналах. Исключена возможность неконтролируемого проникновения или пребывания посторонних лиц в помещения, где ведется работа с персональными данными. Обеспечена сохранность носителей персональных данных и средств защиты информации. В случае обработки персональных данных на материальных носителях, обеспечивается раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях


24 Августа 2017, 12:04
q Отблагодарить
0 0
Ольга
клиент, г. Шарья

Давид, здравствуйте. Как Вы считаете, в сооответствии с каким пунктом Части 2 ст. 22 ФЗ о ПД я не обязана подавать заявку на включение в реестр операторов? Все мои коллеги, которых огромное количество, подали заявки, многие пользовались образцом, составленным согласованно с юристами, у всех заявки прошли, у меня в Костроме не принимают. Кто-то может дать квалифицированную консультацию и составить мне для отправки эти три пункта ? Но я не готова платить, пока у меня не приняли.

24 Августа 2017, 14:19
320
ответов
147
отзывов
Общаться в чате
Бесплатная оценка вашей ситуации
юрист, г. Москва
Общаться в чате

Добрый день!

Как Вы считаете, в сооответствии с каким пунктом Части 2 ст. 22 ФЗ о ПД я не обязана подавать заявку на включение в реестр операторов? 

Я не считаю — я, к сожалению, за неимением хрустального шара, просто не могу это установить. Если речь идет об обработке (сборе) ПД ваших клиентов (я предполагаю по предыдущим вашим комментариям, что это так) — то в случае «если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных» и вы их собираете и обрабатываете «исключительно для исполнения договора и заключения договоров с субъектом персональных данных» — договора на Ваш сервис — то в соответствии с подп.2 п.2. ст. 22 это может быть.

Или если Вы собираете ПД «включающие в себя только фамилии, имена и отчества субъектов персональных данных»  это в соответствии с подп.5 п.2. ст. 22 это может быть.

Надо смотреть, что у Вас там в реальности происходит и делать аудит этих процессов.

Все мои коллеги, которых огромное количество, подали заявки, многие пользовались образцом, составленным согласованно с юристами, у всех заявки прошли, у меня в Костроме не принимают.

Вам же не просто «заявку надо оправить» — а обеспечить чтобы Ваше положение об обработке ПД размещенное на сайте соответсвовало реальным Вашим процессам и все что там было описано выполнялось. Если просто чего-то «по образцу» направлять потом РКН придет с проверкой, скажет ну хорошо, вот Вы тут написали скажем «установлены правила доступа к персональным данным, обрабатываемым в информационной системе, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе Сервиса» — а где это у Вас есть, покажите журнал там или приказ на ответственного и т.д.

Я это к тому, что правильная последовательность действий по разработке всего этого дела (по порядку):

— аудит 

— создание механизмов, подписание всех внутренних процедурных документов;

— описание всего этого дела в положении;

— размещение положения на сайте;

— и только потом на базе всего описанного уведомление в РКН (а не наоборот).

24 Августа 2017, 14:52
Адвокат - Дмитрий
10,0
Рейтинг Правовед.ru
10408
ответов
4501
отзыв
эксперт
Общаться в чате
Бесплатная оценка вашей ситуации
Адвокат, г. Москва
Общаться в чате
Бесплатная оценка вашей ситуации

Добрый день.

Коллеги в целом уже ответили на Ваш вопрос, я бы хотел дополнительно от себя еще раз обратить внимание на полный перечень требований законодательства по персональным данным.
Действующее законодательство, и в первую очередь 152-ФЗ устанавливает ряд требований, касающихся обработки персональных данных. 
Основные требования:
1. На своем сайте Вы должны разместить Политику конфиденциальности. При этом нужно обратить внимание, что подойдет не каждая политика, то есть вариант «взять у конкурента» (который, как правило, сам откуда-то «взял») или просто «с интернета» не самый лучший, поскольку многие политики сделаны некачественно и основное — Вам нужна Политика, которая конкретно будет подходить под Вас.

К Политике есть ряд требований. Если говорить о самых общих моментах (перечень не исчерпывающий), то Политика должна содержать:

1.1. Перечень персональных данных, которые Вы обрабатываете.
1.2. Сведения о способах обработки персональных данных.
1.3. Должно быть прописано, что, проставляя галочку о согласии с политикой конфиденциальности Пользователь тем самым Пользователь дает свое согласие на обработку его персональных данных, указанных в Политике конфиденциальности.
1.4. Цели использования персональных данных.
1.5. Принципы обработки персональных данных, которыми Вы руководствуетесь.
1.6. Меры, применяемые для защиты персональных данных.
1.7. Очень важный момент, про который многие забывают – если в процессе использования персональных данных, эти данные становятся доступны третьим лицам, в том числе в автоматическом режиме, например, лицам, которые просто помогают Вам в управлении сайтом, маркетинговому партнеру и т.д., то об этом обязательно (!) должно быть указано в политике. Это частая ошибка, которая приводит к тому, что Вам могут вменить незаконное разглашение персональных данных, несмотря на то, что Вы даже не думали ничего не нарушать. С этим мне неоднократно приходилось сталкиваться лично, Роскомнадзор за это активно штрафует.
1.8. Также в политику конфиденциальности нужно обязательно включить положение о том, что Вы вправе в любой момент изменить условия политики конфиденциальности в одностороннем порядке. Про это тоже часто забывают.
1.9. Еще нужен ряд положений, которые касаются того, что мол проставлением отметки Пользователь подтверждает, что он согласен со всеми условиями Политики конфиденциальности, что положения ему ясны и т.д.
1.10. Также в Политике отдельное внимание должно быть уделено файлам cookie, про это тоже часто забывают, хотя это тоже важный момент.
Это самый общий ряд требований, при этом стоит отметить, что каждый пункт должен быть сформулирован грамотно и должен учитывать конкретно Ваши нюансы. 

2. На сайте должно быть Пользовательское соглашение (либо договор-оферта, либо лицензионное соглашение – в принципе это все одно и тоже).
Стоит отметить, что с одной стороны ничто не мешает «запихать» положения о персональных данных (политику конфиденциальности) в пользовательское соглашение. Однако лично я рекомендую эти документы разделять, поскольку мне лично уже приходилось сталкиваться с тем, что Роскомнадзор при проверке сайта нескольких моих клиентов просто не разглядел положения про персональные данные в пользовательском соглашении и повесил штраф. И хотя все это дело мы успешно оспорили, но лишний раз «давать повод» я не рекомендую, лучше перестраховаться.  

В ситуации же когда Политика сделана отдельно, то ее пропустить уже невозможно и соответственно риск того, что кто-то просто не разглядит эти пункты в пользовательском соглашении, отпадают. Плюс ко всему если делать нормальную качественную политику конфиденциальности, то она получается не на 1 и не на 2 страницы, не говоря уже о пользовательском соглашении и если все совмещать, то Пользовательское соглашение вполне вероятно получится чрезмерно раздутым, что не очень удобно и при этом не стоит также забывать, что на Вас лежит обязанность по доведению до клиентов всей необходимой информации о реализуемых товарах/услугах и для целей выполнения этой обязанности делать плохо читаемые раздутые и неструктурированные документы не самая лучшая идея (например, по банкам есть судебная практика когда суды не признают написанное в документах мелким шрифтом, что мол нельзя в таком виде доводить информацию до клиентов, здесь может быть применена та же логика).
Что касается требований к Пользовательскому соглашению (договору-оферте, лицензионному соглашению), то это предмет отдельного разговора, требований очень много и здесь они уже полностью зависят конкретно от Вашей ситуации и как следствие их нужно каждый раз обсуждать отдельно. Общая цель Пользовательского соглашения – расписать условия предоставления доступа к сервису и/или условия продажи товаров/услуг, описать предмет договора, права и обязанности сторон, порядок расчетов, порядок разрешения споров, ограничить Вашу ответственность (настолько, насколько это позволяет закон, частая ошибка – вопросам ответственности в Пользовательском соглашении изначально уделяют очень мало внимания и возвращаются к ним только после того как столкнутся с конкретной претензией от клиента или еще хуже с судебным иском, я всегда рекомендую все риски (настолько насколько это позволяет закон) закрывать изначально при подготовке документации).
Также в Пользовательском соглашении можно прописать условие о договорной подсудности по месту Вашего нахождения (кстати в способе описания условия о договорной подсудности очень часто допускаются ошибки, и суды потом признают пункт о договорной подсудности не согласованным, если хотите, чтобы в случае чего судебные споры были по месту Вашего нахождения (не во всех случаях применимо), то нужно к описанию этого пункта подойти максимально ответственно и с учетом судебной практики).

3. Помимо непосредственно наличия самих документов, есть требования к самому сайту, а именно: 

3.1. На сайте на абсолютно всех формах обратной связи, через которые может быть осуществлена передача персональных данных, должно быть окошечко, в котором Пользователи проставляют отметку о согласии с политикой конфиденциальности и пользовательским соглашением. Частая ошибка – делается политика конфиденциальности, а в окошечке Пользователь просто дает согласие с «обработкой персональных данных», а не с условиями Политики конфиденциальности и как следствие в этом случае фактически у Вас не будет подтверждения, что Пользователь согласился соблюдать условия политики конфиденциальности. Надо понимать, что цель политики конфиденциальности – в том числе получение от Пользователя согласия с обработкой его персональных данных, поэтому еще отдельно брать с него согласие на саму обработку уже не нужно, только согласие с политикой конфиденциальности.
3.2. Без проставления отметки о согласии с политикой конфиденциальности и пользовательским соглашением Пользователь не должен иметь возможности отправить Вам свои персональные данные. Это касается в том числе случаев даже если он Вам передает только имя, номер телефона или адрес электронной почты (это все относится к персональным данным – ст. 3 152-ФЗ).
4. Политика конфиденциальности и Пользовательское соглашение касаются урегулирования вопросов обработки персональных данных Ваших клиентов/Пользователей сервиса. Однако если у Вас есть работники, то дополнительно также нужно, чтобы был комплект документов, регулирующих вопросы обработки персональных данных Ваших сотрудников. Основным документом, который выполняет эту задачу является положение об обработке персональных данных, либо часто его называют положением о коммерческой тайне (хотя коммерческая тайна это другое, многие называют его именно так, а в содержании все равно прописывают вопросы обработки персональных данных), название тут не принципиально, строгих требований к нему нет, главное содержание. Я как правило предпочитаю объединять эти документы в один общий и именовать его «Положение о коммерческой тайне и обработке персональных данных» и в нем сразу урегулировать как вопросы коммерческой тайны, так и вопросы обработки персональных данных. Что касается требований к содержанию положения, то оно должно включать в себя:
4.1. Информацию о том, какие данные сотрудников обрабатываются.
4.2. Цели обработки персональных данных.
4.3. Порядок ознакомления сотрудников компании с положением.
4.4. Порядок и сроки уведомления работниками работодателя об изменении своих персональных данных.
4.5. Меры по защите персональных данных.
4.6. Порядок доступа отдельных работников к персональных данным сотрудников компании.
4.7. Порядок хранения персональных данных.
4.8. Условия предоставления третьим лицам персональных данных сотрудников компании.

Стоит отметить, что данное положение представляет собой локальный нормативный акт работодателя (ст. 8 Трудового кодекса РФ) и к нему применяются соответствующие требования, в частности: 1. Данное положение должно быть утверждено приказом единоличного исполнительного органа (директора) компании. 2. Работники должны быть ознакомлены под подпись с содержанием указанного положения (п.6 ч.1 ст. 18.1 152-ФЗ).

5. Помимо приказа об утверждении положения, регулирующего вопросы обработки персональных данных, также у Вас должен быть принят приказ о назначении ответственного за обработку персональных данных (ст. 22.1 ФЗ № 152-ФЗ). Чаще всего им выступает сам директор компании, но это не обязательно. Каких-либо специфичных требований к приказу здесь нет, требования к нему общие – такие, как и к любому другому внутреннему приказу.
6. Помимо указанных документов также, как правило, Вы должны направить уведомление в Роскомнадзор об обработке персональных данных (не путать с регистрацией в Роскомнадзоре).
Уведомление направляется по онлайн форме — https://pd.rkn.gov.ru/operators-registry/notification/form/и плюс должно быть продублировано в письменном виде по обычной почте. 

Здесь частая ошибка – люди считают, что они подпадают под исключение и им не нужно направлять уведомление в Роскомнадзор.
С точки зрения закона действительно далеко не все компании должны направлять уведомление в Роскомнадзор. Например, если Вы обрабатываете персональные данные только своих контрагентов по договорам, то у Вас нет обязанности по направлению уведомления в Роскомнадзор (это лишь один пример, исключений больше).
Однако на сегодняшний день позиция Роскомнадзора такова, что уведомление нужно направлять практически всегда, поскольку практически всегда компании помимо обработки данных, которые подпадают под исключение о необходимости направления уведомления, также осуществляют иные формы обработки персональных данных. Например, если Вы храните персональные данные потенциальных или бывших клиентов (в маркетинговых, рекламных или иных целях) – то это уже не подпадает под исключение, поскольку у Вас с ними нет действующего договора. Поскольку, как правило, все хранят данные о тех клиентах, которые обратились, но еще не заключили договор или с которыми у Вас уже закончились договорные отношения, то в любом случае с точки зрения закона Вы уже не подпадаете под исключение и как следствие должны направить уведомление в Роскомнадзор по указанной выше форме.
Многие к сожалению, ошибочно полагают, что они подпадают под исключение и им не нужно направлять уведомление в Роскомнадзор, за что потом Роскомнадзор их привлекает к ответственности.

7. Необходимо отметить, что приведенные выше требования касаются ситуации, когда Вы обрабатываете данные граждан РФ в соответствии с 152-ФЗ. Однако не стоит забывать, что если Сервис ориентирован также на международный рынок, в частности на европейских клиентов или клиентов из США, то тут возникают дополнительные требования. Особое внимание следует в этом случае обратить на Регламент №2016/679 Европейского парламента и Совета Европейского Союза «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных» General Data Protection Regulation (GDPR), который вступил в силу с 25.05.2018 г. Описывать все его требования в данном случае я думаю не совсем уместно, так как это тема отдельного полноценного разговора, но суть в том, что если Вы ориентированы на европейский рынок, то Ваша политика конфиденциальности должна быть составлена в полном соответствии со всеми требованиями GDPR. В отношении других стран также следует обратить внимание на местное законодательство, в частности, для работы с гражданами США, например, обязательно следует учесть требования Children's Online Privacy Protection Act (COPPA).  

В целом нюансов и требований в части иностранного законодательства много, но их следует прорабатывать уже индивидуально и смотреть на кого ориентирован сервис.

8. Также еще частной ошибкой является хранение персональных данных граждан РФ на зарубежных сервисах, что запрещено законом (ст. 18 152-ФЗ). Хранить персональные данные граждан РФ можно только на российских серверах, про это ни в коем случае нельзя забывать. 

Что касается ответственности, то за любое нарушение установленного законом порядка сбора, хранения или распространения информации о гражданах (персональных данных) влечет за собой ответственность по ст. 13.11 КоАП РФ (там большой перечень видов нарушений, всего 7 частей в данной статье). При этом каждое нарушение рассматривается отдельно и, соответственно наказание за каждое нарушение также назначается отдельно, максимальный размер штрафа на текущий момент – 75000 руб.
Также если речь идет о нарушении обязанностей по хранению и использованию персональных данных работников, то может грозить ответственность по ст. 5.27 КоАП, здесь помимо штрафа уже предусмотрено административное приостановление деятельности на срок до 90 суток. 
Также непредставление в органы Роскомнадзора уведомления об обработке персональных данных влечет ответственность по ст. 19.7 КоАП РФ. 

Помимо прочего стоит отметить, что Роскомнадзор неоднократно обращал внимание, что существует и уголовная ответственность за нарушение неприкосновенности частной жизни – ст. 137 УК РФ.
Стоит отметить, что в целом это основной набор требований по 152-ФЗ, однако не стоит забывать, что в зависимости от ситуации набор требований может расширяться или наоборот сужаться. При этом стоит обратить внимание, что если, например, есть требование о наличии на сайте политики конфиденциальности, то это не значит, что к нему можно подходить формально и использовать любую политику, так как просто наличие формальной бумажки на сайте с названием «политика конфиденциальности» не имеет ничего общего с выполнением требований законодательства об обработке персональных данных.
(!!!) Также обращаю ваше внимание, что, если что-то останется непонятным БОЛЕЕ ПОДРОБНУЮ УСТНУЮ ИЛИ ПИСЬМЕННУЮ КОНСУЛЬТАЦИЮ по ЛЮБЫМ вопросам обработки персональных данных, в том числе по требованиям 152-ФЗ, GDPR, COPPA, Вы всегда можете получить, обратившись ко мне в чат (кнопка «общаться в чате» возле фотографии аккаунта).

(!!!) Также обратившись в чат ЛЮБОЙ может получить ПОМОЩЬ В РАЗРАБОТКЕ НЕОБХОДИМОЙ ДОКУМЕНТАЦИИ, касающейся исполнения требований российского и/или иностранного законодательства в сфере обработки персональных данных, в том числе помощь в разработке Политики конфиденциальности, Пользовательского соглашения (договора-оферты, лицензионного соглашения), положения о коммерческой тайне и обработке персональных данных, заполнении уведомления в Роскомнадзор, проведении аудита сайта/мобильного приложения на предмет соответствия требованиям законодательства о персональных данных. Буду рад помочь.

С Уважением,

Васильев Дмитрий.

07 Сентября 2018, 13:21
q Отблагодарить
0 0
Все услуги юристов в Москве
Гарантия лучшей цены – мы договариваемся
с юристами в каждом городе о лучшей цене.

Все еще ищете ответ? Спросить юриста проще!

Не хотите ждать?
Звоните бесплатно! 8 499 705-84-25