Я ИП, вид деятельности: доп образование. Провожу онлайн вебинары и мастер-классы. Перед вебинарами я собираю данные участников (фио, телефон, электронная почта), чтобы им был возможен просмотр веинара на онлайн платформе. В связи с изменениями в законодательстве, как мне организовать сбор персональных данных, чтобы не попасть под штраф.
как мне организовать сбор персональных данных, чтобы не попасть под штраф.
Здравствуйте
Тут у вас происходит обработка перс. данных -так как идет использование и фио и телефона и эл. почты одновременно.
Поэтому необходимо встать в реестр операторов перс. данных.
В обязательном порядке нужно согласие на клиентов на обработку перс. данных (можно галочкой на сайте) и необходимо создать и соблюдать политику обработки персональных данных и их защиты. Вот этот документ во многом технический, потому что мало его просто написать, необходимо принимать именно технические меры защиты.
Подается уведомление в роскомнадзор по установленной форме.
Федеральный закон от 27.07.2006 N 152-ФЗ
«О персональных данных»
Статья 22. Уведомление об обработке персональных данных
1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.+
Приказ Роскомнадзора от 28.10.2022 N 180
«Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных»
Добрый день, Людмила!
Вы осуществляете обработку персональных данных поэтому прежде всего вам нужно подать уведомление об этом (ст. 22 Закона от 27.07.2006 № 152-ФЗ). ИП без работников или самозанятый должны подать уведомление в Роскомнадзор, если планируют обрабатывать или уже обрабатывают персональные данные физлиц.
Уведомление можно отправить на бумаге или в электронном виде — через сайт Роскомнадзора. Удобнее подать уведомление в электронном виде. https://pd.rkn.gov.ru/operators-registry/notification/form/
Когда специалисты Роскомнадзора проводят проверку, они в первую очередь просят представить документы с правилами обработки персональных данных. Конкретного перечня документов в законе нет. Зато закон устанавливает три цели, которые должны решать локальные акты компании (п. 2 ч. 1 ст. 18.1 Закона от 27.07.2006 № 152-ФЗ). Цели:
— определять политику обработки персональных данных;
— отражать категории и перечень данных, их владельцев, способы, сроки обработки и хранения, порядок уничтожения;
— регулировать процедуры предотвращения, выявления и устранения последствий нарушений обработки данных.
Исходя из этих целей должно быть разработано внутреннее положение.
Здравствуйте, Людмила.
Политика об обработке персональных данных разработанная есть?
Если нет, нужно начать с разработки политики, в соответствии с требованиями Федерального закон «О персональных данных» от 27.07.2006 N 152-ФЗ.
К ней следует сделать локальные нормативные акты, назначить ответственное лицо, завести журнал лиц, допущенных к обработке ПД.
Также — разработать форму согласия об обработке ПД, по которой Вы будете собирать эти ПД.
Это может быть, например, в электронной форме, с проставляемой галочкой.
Одновременно с этим — следует подать заявление в РКН о включении в реестр операторов.
Статья 13.11 Коап, причем с 30.05.2025 штрафы дополняются частями 10 -18, там будут очень существенные штрафы в случае утечек персональных данных
www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/?ysclid=mamhc6lqpm162348289
Примечание. За административные правонарушения, предусмотренные частями 8 и 9 настоящей статьи, статьями 13.31, 13.35 — 13.37, 13.39, 13.40 и 13.46 настоящего Кодекса, лица, осуществляющие предпринимательскую деятельность без образования юридического лица, несут административную ответственность как юридические лица.
Если вы собираете фио и телефон или фио и эл. почту, — то есть сведения, которые позволяют установить конкретное лицо- то да, вы получаетесь оператор персональных данных, со всеми вытекающими. И должны быть и в реестре операторов перс данных и выполнять меры по их защите, их на самом деле довольно много и не только юридических (согласие на обработку перс данных в рамках ст. 9 и политику обработки иметь). Очень много мер там- технические.
Статья 19 закона отсылает уже к
Постановление Правительства РФ от 01.11.2012 N 1119
«Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»
Приказ ФСТЭК России от 11.02.2013 N 17
«Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»
Приказ ФСТЭК России от 18.02.2013 N 21
«Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»
Приказ ФСБ России от 10.07.2014 N 378
«Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности»
Приказ ФСБ России от 13.02.2023 N 77
«Об утверждении порядка взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных»
В рамках постановления правительства 1119 необходимо так же установить уровни защищенности таких данных -
Получение согласий на обработку персональных данных установлено в фз 152
форма может быть как письменной, так и галочкой на сайте, НО — вы всегда должны иметь возможность подтвердить по конкретному человеку получение такого согласия
если согласия нет- это тоже штраф
согласие должно быть конкретным- то есть в нем перечисляются и сами перс данные, какие вы будете их обрабатывать и способы обработки, а так же цели обработки перс данных