Что такое персональные данные и как с ними работать
Персональные данные, или ПД, — любая информация, которая помогает идентифицировать конкретного человека. Это не только фотографии, имя и фамилия, адрес, номер паспорта и счета в банке, но и политические взгляды, религиозные убеждения и национальность.
С персональными данными работают бухгалтеры, когда проверяют информацию в счетах на оплату, кадровики, когда заключают договор с работником, руководители, когда все это собирают и хранят. Все перечисленные действия с ПД считаются их обработкой и требуют письменного согласия владельца данных. Если HR-менеджер запросил у нового сотрудника фотографию без согласия на обработку данных, менеджер может получить штраф от 1,5 тысячи до 18 миллионов рублей.
Чтобы случайно не нарушить закон и не получить штраф, читайте статью.
Какие штрафы за нарушение согласия о неразглашении / За что можно получить штраф при обработке ПД
Размер штрафа — от 1,5 тысячи рублей до 18 миллионов. Точная сумма зависит от правонарушения, какое оно по счету и кто несет ответственность за него. Это может быть юридическое лицо — компания; индивидуальный предприниматель — руководитель; назначенный ответственным рядовой сотрудник — кадровик или бухгалтер.
| Какое по счёту правонарушение | Размер штрафа для нарушителя, рублей | ||
|---|---|---|---|
| Сотрудник | Предприниматель | Компания | |
| Первичное | 1500–50 000 | 10 000–100 000 | 30 000–6 млн |
| Повторное, в течение года | 4000–100 000 | 50 000–1 млн | 100 000–18 млн |
Помимо этого, человек, чьи данные были распространены, может потребовать возмещение морального вреда. Такой штраф можно получить, если Роскомнадзор придет с проверкой или пострадавший обратится в суд.
Рассмотрим действия, которые могут привести к штрафу, на примере Николая — водителя в компании грузоперевозок.
Нарушение № 1. Обработка данных без согласия человека
«Николаю исполнилось 43 года!» — опубликовала компания на внутреннем сайте, чтобы коллеги поздравили водителя. Тем самым распространила персональные данные сотрудника — дату рождения — неограниченному кругу лиц. В такой ситуации нужно было заранее оформить письменное согласие Николая с указанием персональных данных и цели их сбора — даты рождения для размещения на сайте. Собирает такие согласия ответственный за организацию обработки персональных данных в компании.
| Какое по счёту правонарушение | Размер штрафа для нарушителя, рублей | ||
|---|---|---|---|
| Сотрудник | Предприниматель | Компания | |
| Первичное | 10 000–15 000 | — | 300 000–700 000 |
| Повторное, в течение года | 15 000–30 000 | 500 000–1 млн | 1–1,5 млн |
Нарушение № 2. Неправомерная обработка данных
Компания запросила у Николая справку об отсутствии судимости. Но это влечет за собой штраф как обработка не предусмотренной законом информации. А вот справку с водителя о том, что он не получал штрафов за употребление наркотиков, компания грузоперевозок вправе запросить, потому что работа связана с транспортной безопасностью.
| Какое по счёту правонарушение | Размер штрафа для нарушителя, рублей | ||
|---|---|---|---|
| Сотрудник | Предприниматель | Компания | |
| Первичное | 2000–6000 | — | 60 000–100 000 |
| Повторное, в течение года | 4000–12 000 | 50 000–100 000 | 100 000–300 000 |
Нарушение № 3. Данные получены для одной цели, а использованы — для другой
Работодатель попросил Николая приложить фотографию для оформления пропуска. Но опубликовал ее на сайте в разделе «Трезвые водители». Николай подал в суд на компанию за то, что его персональные данные использовали для цели, отличной от цели сбора. В результате компанию оштрафовали.
| Какое по счёту правонарушение | Размер штрафа для нарушителя, рублей | ||
|---|---|---|---|
| Сотрудник | Предприниматель | Компания | |
| Первичное | 2000–6000 | — | 60 000–100 000 |
| Повторное, в течение года | 4000–12 000 | 50 000–100 000 | 100 000–300 000 |
Нарушение № 4. Политика обработки персональных данных опубликована с нарушениями или не опубликована вовсе
У компании, в которой работает Николай, все хорошо: политика опубликована на сайте и доступна всем людям, чьи данные фирма обрабатывает, в том числе кандидатам на вакантные места. Если бы политика обработки ПД была опубликована только на внутреннем сайте, доступном исключительно сотрудникам, или не была опубликована вовсе, это привело бы к штрафу.
| Какое по счёту правонарушение | Размер штрафа для нарушителя, рублей | ||
|---|---|---|---|
| Сотрудник | Предприниматель | Компания | |
| Первичное | 1500–3000 | 10 000–20 000 | 30 000–60 000 |
Нарушение № 5. Не отвечают или отвечают с опозданием на запрос работника о его персональных данных
Николай перед увольнением запросил у работодателя информацию об обрабатываемых данных, в том числе о целях, способах и источниках их получения. А работодатель не ответил на запрос в течение 30 дней и получил штраф по ч. 4 ст. 13.11 КоАП РФ.
| Какое по счёту правонарушение | Размер штрафа для нарушителя, рублей | ||
|---|---|---|---|
| Сотрудник | Предприниматель | Компания | |
| Первичное | 2000–4000 | 20 000–30 000 | 40 000–80 000 |
Нарушение № 6. Не уничтожают персональные данные работника по его требованию
Чтобы персональные данные не хранились в компании долгие годы и никто не мог их использовать, при увольнении Николай потребовал уничтожить информацию. Работодатель обязан прекратить обработку этих данных и уничтожить их в течение 30 дней после требования Николая. Если это не сделают в установленный срок — получат штраф.
| Какое по счёту правонарушение | Размер штрафа для нарушителя, рублей | ||
|---|---|---|---|
| Сотрудник | Предприниматель | Компания | |
| Первичное | 2000–4000 | 20 000–40 000 | 50 000–90 000 |
| Повторное, в течение года | 20 000–30 000 | 50 000–100 000 | 300 000–500 000 |
Нарушение № 7. Хранят данные не в России
Николай знает, что персональные данные россиян должны накапливаться и храниться только на территории РФ. Неважно, это бумажные носители информации в офисе или электронные документы в облачном хранилище. В 2022 году Apple оштрафовали на 2 млн рублей за отказ разместить базы данных российских пользователей в России. В том же году WhatsApp получил максимальный штраф в 18 млн рублей за уже повторное правонарушение.
| Какое по счету правонарушение по ч. 8 ст. 13.11 КоАП РФ |
Размер штрафа для нарушителя, рублей | ||
|---|---|---|---|
| Сотрудник | Предприниматель | Компания | |
| Первичное | 30 000–50 000 | — | 1–6 млн |
| Повторное, в течение года | 50 000–100 000 | — | 6–18 млн |
Когда не нужно согласие на обработку персональных данных
Рассмотрим подробнее исключения, когда для обработки данных не требуется согласие субъекта:
- Таможенникам не требуется согласие на обработку ПД человека, который пересекает границы РФ. А сотрудникам миграционных служб не нужно согласие иностранных граждан для их регистрации в России.
- Юристам, судьям и адвокатам, которые участвуют в судопроизводстве, не требуется согласие на обработку персональных данных свидетелей и подсудимых.
- Врачи имеют право обрабатывать медицинскую историю человека и контактные данные близких без его согласия, когда он попал в аварию и нуждается в срочной медицинской помощи.
- Журналистам и СМИ, при условии, что не нарушаются права и интересы носителя ПД. Если СМИ опубликовали недостоверную информацию, субъект ПД вправе потребовать опровержение или дать официальный ответ в том же издании.
- Статистикам и исследователям, когда ПД используют обезличенно: по ним невозможно определить конкретного человека. Например, до 2025 года в Москве будут обрабатывать обезличенные данные для создания технологий искусственного интеллекта.
- Полицейские вправе указывать персональные данные преступников без их согласия: фотографии, имена и особые приметы.
Сколько хранят согласие на обработку персональных данных и сами данные
Согласие хранят 3 года после его отзыва или истечения срока действия. А сами персональные данные сохраняют от 3 до 75 лет в зависимости от характера информации и требований законодательства.
Если сотрудник скажет, что больше не хочет, чтобы его данные использовались, согласие на обработку ПД удалят и с данными ничего больше делать не будут. Но собранную до этого информацию продолжат хранить.
Может ли согласие на обработку ПД быть электронным
Может. Электронный документ с электронной подписью равнозначен бумажному документу с собственноручной подписью в соответствии с федеральным законом. Трудовой кодекс разрешает подписывать электронно не только согласие на обработку персональных данных, но и трудовые договоры, приказы об отпусках и должностные инструкции.
В сервисе электронного документооборота СБИС можно безопасно обрабатывать персональные данные. Можно ограничить доступ к конфиденциальным документам, чтобы с ними работали только определенные сотрудники. Кроме этого, прямо внутри сервиса можно запросить и отправить согласие на обработку данных и подписать его электронной подписью — удобно для сотрудников, которые работают удаленно.
Чтобы посмотреть на работу сервиса изнутри, попробовать бесплатную версию или заказать установку ЭДО — напишите нам в WhatsApp или позвоните по телефону 8 800 222 80 94