Чего не требует от операторов закон "О персональных данных"?
Проблемы, возникающие при попытке выполнить требования Федерального закона №152-ФЗ "О персональных данных" слишком часто переоцениваются. Со стороны компаний, предлагающих свои услуги в данной области, здесь просматривается умысел. Со стороны же самих операторов ПДн - невнимательное чтение первоисточников и трудности с интерпретацией хитросплетений российской нормативной базы в области защиты информации.
Попробуем же разобраться с существующей мифологией. С этой целью рассмотрим наиболее распространенные заблуждения насчет обязанностей операторов ПДн.
Заблуждение 1. Закон требует от операторов получения согласий на обработку ПДн от субъектов ПДн
Во многих случаях это не так.
Многим операторам ПДн вовсе не требуется получение согласий от субъектов ПДн на обработку данных. Часть 2 Статьи 6 ФЗ-152 определяет для этого довольно много случаев, включая статистическую и научную деятельность; защиту жизни, здоровья или иных жизненно важных интересов субъекта; доставку почтовых отправлений; расчеты с пользователями услуг связи; журналисткую, литературную деятельность и прочие виды творческой деятельности и т.д.
Если обработка ПДн осуществляется в целях исполнения договора, одной из сторон которого является субъект ПДн (очень распространенный случай), то никаких согласий также не требуется. Не стоит беспокоится о получении согласий туристическому бизнесу, операторам связи и всем кто предоставляет услуги физическим лицам по договору. Излишне напоминать и о том, что не требуется никаких согласий от ваших собственных сотрудников и прочих лиц, состоящих с вами в трудовых отношениях.
Не требуется также получения согласий, если обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов ПДн. Законов таких, я подозреваю, довольно много: об оперативно-розыскной, врачебной, адвокатской, благотворительной, банковской и прочих видах деятельности. Если какой-либо ФЗ, регулирующий ваш вид деятельности, например, в качестве профессионального участника рынка ценных бумаг, предусматирвает получение ПДн от субъектов и их обработку в целях осуществления вашей деятельности, то никаких согласий вам для этого не требуется. Есть еще законы о бухгалтерском учете, об акционерных обществах, об ООО и много чего еще...
Не требуется получение согласий на обработку персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, кандидатов на выборные государственные или муниципальные должности и т.п.
Кроме этого, Часть 3 Статьи 6 делает исключение и для специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни. В частности, п. 4 Части 2 Статьи 10 разрешает обработку персональных данных, которая "осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну", при этом никаких согласий не требуется. Выходит зря так переживают представители медицинских учреждений на этот счет: Персональные данные в медицине: лечить или собирать согласия?
Согласно той же Статье 10 не стоит также беспокоиться о согласиях и органам правосудия и органам правопорядка и МЧС, общественным и религиозным организациям и многим государственным органам.
Заблуждение 2. Оператор обязан уведомить Роскомнадзор об обработке персональных данных
Во многих случаях это не так.
Часть 2 Статьи 22 определяет случаи, в которых уведомление об обработке ПДн не является обязательным:
- если субъекта ПДн связывают с оператором трудовые отношения
- если обработка ПДн осуществляется лишь для исполнения договора, заключенного с субъектом ПДн
- если персональные данные относятся к членам общественных объединений или религиозных организаций
- если персональные данные являются общедоступными
- если персональные данные включают только ФИО
- если персональные данные необходимы только для однократного пропуска субъекта ПДн на территорию организации или в аналогичных целях
- если речь идет о федеральных АИС, а также государственных АИС, созданных для обеспечения безопасности государства и защиты общественного порядка
- если обработка персональных данных осуществляется без использования средств автоматизации в соответствии с законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных
Рассмотрим чуть более сложный случай, который в законе явным образом не обозначен.
Во всех организациях есть системы электронной почты, в которых содержаться персональные данные представителей внешних сторон (партнеров, клиентов, поставщиков, подрядчиков и т.п.). Эти персональные данные обычно включают в себя ФИО, адрес электронной почты, почтовые адреса, рабочий и мобильный телефоны. Если даже не ведутся адресные книги в Outlook, то все равно эта информация содержиться в почтовой базе в виде подписей к сообщениям. К сожалению этот случай не подпадает под рассмотренные исключения. Казалось бы, это означает, что по закону здесь необходимо уведомлять Роскомнадзор об обработке персональных данных?
Однако этого можно избежать, если признать эти данные общедоступными. Часть 12 Статьи 3 дает следующее определение: "Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных". Если подпись, содержащая контактную информацию субъекта ПДн, автоматически проставляется во всех его электронных сообщениях, как это имеет место быть на практике, то эти данные фактически являются общедоступными, т.к. предоставляются с согласия субъекта потенциально неограниченному кругу лиц. Значит и здесь операторам не стоит сильно беспокоиться.
Зеркало этого блога на https://protektiva.blogspot.com/
Re
1.Все организации передают данные третьим лицам - головным организациям (при условии что они разные юрлица), в фонд ДМС, для оформления зарплатных карт.И это не подходит в части согласия с субъектом под рассматриваемые вами случаи.
2. С общедоступными ПДн вообще все сложно.
В приведенном примере ПДн в подписи предоставляются с целью контакта с ограниченным кругом респондентов, как бы велик он не был. Этот круг никак нельзя назвать неограниченным.
Вообще сложность и различия в понимании почти любых понятий законодательства о ПДн даже специалистами дает повод крайне скептически от носиться к реализации защиты прав субъектов.