Куда следует обращаться за защитой персональных данных

Куда следует обращаться за защитой персональных данных?

Согласно подпункту 5.1 Постановления Правительства РФ от 16 марта 2009 г. N 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций», федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций осуществляет следующие полномочия: государственный контроль и надзор: за соблюдением законодательства Российской Федерации в сфере средств массовой информации и массовых коммуникаций, телевизионного вещания и радиовещания; в сфере связи: за соблюдением требований к построению сетей электросвязи и почтовой связи, требований к проектированию, строительству, реконструкции и эксплуатации сетей и сооружений связи; за соблюдением операторами связи и владельцами сетей связи специального назначения требований к пропуску трафика и его маршрутизации; за соблюдением порядка распределения ресурса нумерации единой сети электросвязи Российской Федерации; за соответствием использования операторами связи и владельцами сетей связи специального назначения выделенного им ресурса нумерации установленному порядку использования ресурса нумерации единой сети электросвязи Российской Федерации; за исполнением организациями федеральной почтовой связи и операторами связи, имеющими право самостоятельно оказывать услуги подвижной радиотелефонной связи, а также операторами связи, занимающими существенное положение в сети связи общего пользования, которые имеют право самостоятельно оказывать услуги связи по передаче данных и оказывают услуги связи на основании договоров с абонентами — физическими лицами, Федерального закона «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» в части фиксирования, хранения и представления информации об операциях, подлежащих обязательному контролю, а также за организацией и осуществлением ими внутреннего контроля; за соблюдением пользователями радиочастотного спектра порядка, требований и условий, относящихся к использованию радиоэлектронных средств или высокочастотных устройств, включая надзор с учетом сообщений (данных), полученных в процессе проведения радиочастотной службой радиоконтроля; за выполнением правил присоединения сетей электросвязи к сети связи общего пользования, в том числе условий присоединения; за обеспечением доступности для инвалидов объектов, предусмотренных абзацем первым части 1 статьи 15.1 Федерального закона «О социальной защите инвалидов в Российской Федерации», и предоставляемых услуг; в сфере информационных технологий: за соблюдением требований обязательной сертификации или декларирования соответствия информационных технологий, предназначенных для обработки государственного банка данных о детях, оставшихся без попечения родителей; в сфере защиты детей от информации, причиняющей вред их здоровью и (или) развитию, — за соблюдением требований законодательства Российской Федерации в сфере защиты детей от информации, причиняющей вред их здоровью и (или) развитию, к производству и выпуску средств массовой информации, вещанию телеканалов, радиоканалов, телепрограмм и радиопрограмм, а также к распространению информации посредством информационно-телекоммуникационных сетей (в том числе информационно-телекоммуникационной сети «Интернет») и сетей подвижной радиотелефонной связи (за исключением контроля и надзора за соответствием требованиям законодательства Российской Федерации в сфере защиты детей от информации, причиняющей вред их здоровью и (или) развитию, информационной продукции, реализуемой потребителям, в части указания в сопроводительных документах на информационную продукцию сведений, полученных в результате классификации информационной продукции, и размещения в соответствии с указанными сведениями знака информационной продукции с соблюдением требований технических регламентов, а также за соблюдением образовательными и научными организациями требований законодательства Российской Федерации в сфере защиты детей от информации, причиняющей вред их здоровью и (или) развитию, к информационной продукции, используемой как в образовательном процессе, так и при предоставлении образовательными и научными организациями доступа к информационно-телекоммуникационным сетям, в том числе информационно-телекоммуникационной сети «Интернет»); обеспечивает, организует и осуществляет государственный контроль и надзор за соответствием обработки персональных данных требованиям Федерального закона «О персональных данных» и принятых в соответствии с ним нормативных правовых актов; присвоение (назначение) радиочастот или радиочастотного канала для радиоэлектронных средств на основании решения Государственной комиссии по радиочастотам; регистрацию присвоения (назначения) радиочастот и радиочастотных каналов; лицензирование деятельности, в том числе контроль за соблюдением лицензиатами лицензионных условий и требований: в области телевизионного вещания и радиовещания; в области оказания услуг связи; по изготовлению экземпляров аудиовизуальных произведений, программ для электронных вычислительных машин (программ для ЭВМ), баз данных и фонограмм на любых видах носителей (за исключением случаев, если указанная деятельность самостоятельно осуществляется лицами, обладающими правами на использование указанных объектов авторских и смежных прав в силу федерального закона или договора) в соответствии с законодательством Российской Федерации; присвоение позывных сигналов для опознавания радиоэлектронных средств гражданского назначения и регистрацию присвоения позывных сигналов; аккредитацию экспертов и экспертных организаций для проведения экспертизы информационной продукции в целях обеспечения информационной безопасности детей; создание, формирование и ведение единой автоматизированной информационной системы «Единый реестр доменных имен, указателей страниц сайтов в сети «Интернет» и сетевых адресов, позволяющих идентифицировать сайты в сети «Интернет», содержащие информацию, распространение которой в Российской Федерации запрещено» (далее — единый реестр); принятие мер по ограничению доступа к информационным ресурсам в информационно-телекоммуникационных сетях, в том числе в информационно-телекоммуникационной сети «Интернет», в пределах компетенции, установленной Федеральным законом «Об информации, информационных технологиях и о защите информации»; направление в Евразийскую экономическую комиссию предложений, содержащих сведения о радиоэлектронных средствах и (или) высокочастотных устройствах гражданского назначения, в том числе встроенных либо входящих в состав других товаров, при ввозе которых на таможенную территорию Евразийского экономического союза не требуется представление лицензии или заключения (разрешительного документа), а также рассмотрение полученных из Евразийской экономической комиссии предложений от государственных органов государств — членов Евразийского экономического союза, содержащих сведения о радиоэлектронных средствах и (или) высокочастотных устройствах гражданского назначения, в том числе встроенных либо входящих в состав других товаров, при ввозе которых на таможенную территорию Евразийского экономического союза не требуется представление лицензии или заключения (разрешительного документа).

Таким образом, защиту прав субъектов персональных данных осуществляет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Выясним куда следует обращаться за защитой персональных данных

Личные (персональные) данные всегда играли важную роль. Во времена бурного расцвета информационных технологий актуальность защиты персональных данных выросла на порядки. Без их предоставления не совершить покупки в интернет-магазине, не воспользоваться банковскими услугами, не получить ответ на обращение к государственным службам.

Многим, наверное, знакома ситуация: как только данные где-то появились, через некоторое время на почту посыпался спам, на телефон постоянные рекламные звонки, а то и угрозы. Все это (и многое другое) произошло из-за неправомочной утечки персональных данных. Тому, как защитить себя от подобных случаев и куда жаловаться онлайн на разглашение личных данных и посвятим данный материал.

Куда следует обращаться за защитой персональных данных?

Федеральным законом (N 152-ФЗ «О персональных данных») учрежден специальный Уполномоченный орган по защите субъектов прав, связанных как раз с персональными данными. Постановлением правительства РФ №228 исполнять функции данного органа возложено на Роскомнадзор.

Таким образом, именно Роскомнадзор сегодня является главным учреждением, куда нужно подавать жалобу о нарушении законодательства в области персональных данных. Запрос в этот орган мы и будем подробно рассматриваться далее, однако существуют и другие службы (ведомства), которым можно сообщить о нарушении:

• Прокуратура РФ.
• Управление «К» МВД РФ.

Рассмотрим возможности обращения и в эти организации. При этом сделаем акцент именно на онлайн-отправке заявлений.

Как подать жалобу в прокуратуру?

Заявление в прокуратуру отправляется по месту совершения правонарушения. Для этого можно использовать сайты региональных отделений, разделы «Обращения граждан». Есть и общий для всех граждан России интерфейс, предоставляемый порталом Госуслуг. Его мы и рассмотрим.

Для обращения через Госуслуги на портале необходимо быть авторизованным. При формировании заявления на распространение персональных данных будут использованы сведения, внесенные в личный кабинет (Ф. И. О., паспортные данные и пр.).

Дмитрий Константинович
Эксперт сайта «Юрист-консультант»

Надо помнить, что предоставление заведомо ложных сведений ведет к ответственности в соответствии с законодательством РФ. Обращение может привести к открытию дела по предоставленной информации, в том числе, к передаче данных в другие правоохранительные ведомства, если этого потребуют процессуальные нормы.

Чтобы пожаловаться выполните следующие шаги:

1. Перейдите на эту страницу портала Госуслуг.
2. Проверьте автоматически внесенные данные и добавьте отсутствующие сведения. Обязательно проверьте правильность написания e-mail – именно на него поступит ответ на письмо.
3. Выберите регион обращения.
4. На открывшейся карте укажите конкретное подразделение (Прокуратура региона). Появится информация с контактными данными и кнопкой «Выбрать» — кликните по ней.
5. Заполните поля Раздела 4: Обращение общего характера, регион нарушения, тематика обращения.
6. Введите текст обращения и необходимые файлы. Текст должен быть составлен на русском языке. Смысл должен быть ясен и однозначен. Непонятное чиновникам обращение будет возвращено отправителю.
7. Осталось указать на желание получить ответ бумажным письмом, и подтвердить ознакомление с ответственностью за предоставление заведомо ложных сведений. Далее все проверяем еще раз и нажимаем кнопку «Подать заявление».

Обращение в Управление «К»

Это подразделение МВД занимается непосредственно преступлениям в области информационных технологий (не путать с Департаментом информационных технологий МВД РФ). Соответственно, в Управление «К» и можно отправлять обращение, если речь идет о защите персональных данных на сайтах, онлайн-порталах и т.п.

Для подачи сведений:

1. Зайдите на страницу обращений МВД.
2. В списке подразделений выберите Управление «К».
3. Ознакомьтесь с открывшейся информацией и еще раз убедитесь, что ваш случай соответствует именно этому подразделению.
4. Нажмите кнопку «Продолжить» внизу.
5. Прочтите информацию на открывшейся странице, поставьте внизу «галочку» об ознакомлении, нажмите кнопку «Подать обращение».
6. Заполните поля обращения, понимая, что символом «*» отмечена обязательная информация. Введите текст обращения.
7. Нажмите кнопку «Отправить».

В течение 3 дней обращение должно быть зарегистрировано. Если Управление «К» посчитает, что обращение отправлено не по адресу или увидит другие поводы не реагировать на сведения, информация об этом должна прийти заявителю в течение 7 дней. Если обращение принято к рассмотрению, ответ поступит в течение месяца.

Жалоба в Роскомнадзор

Раскроем маленькую тайну. Юристы больше любят обращение в Прокуратуру, так как это одновременно может инициировать несколько различных процессов. Однако обычным гражданам лучше написать жалобу в Роскомнадзор, т.к. именно на него возложены функции уполномоченного органа. Этот способ обращения мы и рассмотрим более подробно.

Сделать это еще проще, чем вышеуказанными методами:

Шаг 1. Переход на официальный сайт

Перейдите на эту страницу Роскомнадзора. Обратите внимание, что регистрация не требуется, однако личные данные далее необходимо указывать реальные.

Шаг 2. Заполнение обращения

Введите / выберите необходимые данные:

• Тематика обращения – Обработка персональных данных (в обоих полях).
• Ф. И. О.
• Адрес электронной почты для ответа.
• Регион нарушения.
• Текст обращения с понятным изложением ситуации.
• Файлы (при необходимости). Обратите внимание, что заархивированные файлы (RAR, ZIP и пр.) не принимаются.
• Капча.

Остается перепроверить все еще раз и, если информация соответствует, кликнуть «Отправить». Как видите, этот способ прост и понятен.

Шаг 3. Сроки рассмотрения заявления в Роскомнадзор

При регистрации обращения ему будет присвоен уникальный идентификатор (номер регистрации).

Обязательно запомните его, т.к. с помощью номера можно будет отслеживать статус заявления о распространении персональных данных. Функция доступна на данной странице.

Так как обращение в Роскомнадзор осуществляется на основании Закона «О порядке рассмотрения обращений…» (№59-ФЗ), то и сроки реагирования на него общие:

• 3 дня на регистрацию обращения.
• Ответ, если не соблюдена компетенция – 7 дней.
• Ответ на обращение – до 30 дней.

Ответ, по умолчанию, направляется в виде электронного сообщения. Желающие получить бумажный носитель должны заранее оповещать Роскомнадзор об этом, и дополнительно указывать почтовый адрес.

Последствия нарушения закона «О персональных данных»

Юридическая логика последствий за незаконное использование персональных данных следующая:

• Статья 24 Закона №152-ФЗ устанавливает наличие ответственности за нарушение, в т.ч. компенсацию морального вреда.
• Статья 13.11 КоАП РФ прямо устанавливает размер штрафных санкций для физических лиц – до 3 000 рублей, для юридических – до 50 000. Однако особо выдающиеся случаи могут привести и к многомиллионным штрафам.
• Если в результате нарушений в области защиты персональных данных произошло нарушение неприкосновенности личной жизни. То применена может быть и ст.137 УК РФ, а это уже многотысячные штрафы и/или заключение.

При этом существуют исключение, когда обработка данных может осуществляться без согласия.

В современном обществе стоит знать свои права и уметь их защищать. Относится это и к защите персональных данных. Существует множество государственных инструментов, с помощью которых любой человек может оставить обращение, но в особо сложных ситуациях без профессионального юриста не обойтись.

Напомним, что первая консультация, по которой можно будет судить о дальнейших действиях, совершенно бесплатна. Для отправки сообщения воспользуйтесь формой под данной статьей.

Куда следует обращаться за защитой персональных данных

В сфере защиты прав субъектов персональных данных

Вопрос: как оператору подать Уведомление об обработке (о намерении осуществлять обработку) персональных данных в Уполномоченный орган?

Ответ: для подачи уведомления об обработке (о намерении осуществлять обработку) персональных данных необходимо заполнить электронную форму (https://pd.rkn.gov.ru/operators-registry/notification/form/) на Портале персональных данных (https://rkn.gov.ru/). После заполнения формы уведомления об обработке (о намерении осуществлять обработку) персональных данных и отправки ее в информационную систему Уполномоченного органа по защите прав субъектов персональных данных, необходимо распечатать заполненную форму и заверить ее надлежащим образом, скрепив подписью и печатью организации, после чего направить в Управление Роскомнадзора по Челябинской области.

Рекомендации по заполнению формы уведомления об обработке (о намерении осуществлять обработку) персональных данных (https://pd.rkn.gov.ru/operators-registry-documents/).

Методические рекомендации по заполнению полей, предусмотренных формами Уведомления и Информационного письма (https://74.rkn.gov.ru/directions/pers_data/p21830/p29456/).

Вопрос: какие документы должны быть разработаны оператором в соответствии с законодательством о персональных данных?

Ответ: в соответствии со ст.18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами.

К таким мерам могут, в частности, относиться:

1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных;

2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;

3) применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 настоящего Федерального закона;

4) осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;

5) оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом;

6) ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.

Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.

Правительство Российской Федерации устанавливает перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами.

Таким образом, если оператор является государственным или муниципальным органом, то необходимо обратить внимание на Постановление Правительства Российской Федерации от 21 марта 2012 г. № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами».

Вопрос: Какие сведения необходимо представить в адрес Управления для удаления неправомерно размещенных персональных данных в сети «Интернет»?

Ответ: Для реализации Управлением полномочий, определенных ст. 23 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а именно направления в адрес администратора интернет-ресурса требования об удалении персональных данных, необходимо волеизъявление субъекта персональных данных, а также проведение его идентификации в целях определения принадлежности размещенных персональных данных ему как физическому лицу. Для этого необходимо представить в адрес Управления точный URL-адрес интернет — страницы, на которой размещены персональные данные в нарушение требований Федерального закона, а также копию паспорта (3 страница).

Вопрос: Что необходимо сделать, чтобы в поисковых системах браузера не отображалась информация о человеке?

Ответ: Законодательством Российской Федерации предусмотрено право гражданина обратиться к оператору поисковых систем в сети «Интернет» с требованием о прекращении выдачи ссылок на информацию о пользователе.

Так, с 1 января 2016 года вступила в силу статья 10.3 Федерального закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – Закон № 149-ФЗ), согласно которой оператор поисковой системы, распространяющий в сети «Интернет» рекламу, которая направлена на привлечение внимания потребителей, находящихся на территории Российской Федерации, по требованию гражданина (физического лица) (далее — заявитель) обязан прекратить выдачу сведений об указателе страницы сайта в сети «Интернет», позволяющих получить доступ к информации о заявителе, распространяемой с нарушением законодательства Российской Федерации, являющейся недостоверной, а также неактуальной, утратившей значение для заявителя в силу последующих событий или действий заявителя, за исключением информации о событиях, содержащих признаки уголовно наказуемых деяний, сроки привлечения к уголовной ответственности по которым не истекли, и информации о совершении гражданином преступления, по которому не снята или не погашена судимость. Требование заявителя должно содержать:

1) фамилию, имя, отчество, паспортные данные, контактную информацию (номера телефона и (или) факса, адрес электронной почты, почтовый адрес);

2) информацию о заявителе, указанную в части 1 данной статьи Закона № 149-ФЗ, выдача ссылок на которую подлежит прекращению;

3) указатель страницы сайта в сети «Интернет», на которой размещена информация, указанная в части 1 указанной статьи Закона № 149-ФЗ;

4) основание для прекращения выдачи ссылок поисковой системой;

5) согласие заявителя на обработку его персональных данных.

Оператор поисковой системы после обращения, в свою очередь, направляет заявителю уведомление об удовлетворении указанного в части 1 статьи 10.3 Закона № 149-ФЗ требования заявителя или мотивированный отказ в его удовлетворении в той же форме, в которой было получено указанное требование.

Заявитель, считающий отказ оператора поисковой системы необоснованным, вправе обратиться в суд с исковым заявлением о прекращении выдачи ссылок на информацию, указанную в требовании заявителя.

В соответствии с частью 1.1 статьи 17.15 Кодекса Российской Федерации об административных правонарушениях (далее – КоАП РФ) за неисполнение должником — оператором поисковой системы содержащихся в исполнительном документе требований о прекращении выдачи ссылок, позволяющих получить доступ к информации о гражданине в информационно-телекоммуникационной сети «Интернет», в срок, установленный судебным приставом-исполнителем после вынесения постановления о взыскании исполнительского сбора, установлена административная ответственность.

Дополнительно информируем, на Управление не возложены полномочия по осуществлению контроля за выполнением операторами поисковых систем требований Закона № 149-ФЗ в части соблюдения требований о прекращении выдачи ссылок, позволяющих получить доступ к информации о гражданине в сети «Интернет».

Вопрос: Возможно ли установить лицо, неправомерно разместившее персональные данные в сети Интернет?

Ответ: Управление в соответствии с полномочиями, установленными в Положении об Управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Челябинской области, утвержденное приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 25.01.2016 № 37, не правомочно осуществлять оперативно-разыскные мероприятия по установлению лиц, разместивших в сети Интернет Ваши персональные данные. Данные полномочия относятся к исключительной компетенции органов МВД России.

Вопрос: В каких случаях для обработки персональных данных не требуется согласие субъекта персональных данных?

Ответ: Согласно ч. 1 ст. 6. Федерального закона 27.07.2006 г. № 152-ФЗ «О персональных данных» обработка персональных данных допускается в следующих случаях:

— обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

— обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;

— обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее — исполнение судебного акта);

— обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;

— обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

— обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

— обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях», либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

— обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;

— обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных;

— осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе;

— осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

Вопрос: Является ли обработкой персональных данных размещение в сети «Интернет» фотографии без иной дополнительной информации?

Ответ: Размещение в сети «Интернет» фотографии без дополнительной информации, позволяющей идентифицировать физическое лицо, как субъекта персональных данных, не может свидетельствовать об обработке персональных данных конкретного физического лица.

Вопрос: Возможна ли публикация персональных данных педагогов на официальных сайтах образовательных учреждений без их согласия?

Ответ: В соответствии с ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обработка персональных данных допускается в случае, если персональные данные подлежат опубликованию или обязательному раскрытию в соответствии с федеральным законом.

Статьей 29 Федерального закона от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации» предусмотрено, что образовательные организации формируют открытые и общедоступные информационные ресурсы, содержащие информацию об их деятельности, и обеспечивают доступ к таким ресурсам посредством размещения их в информационно-телекоммуникационных сетях, в том числе на официальном сайте образовательной организации в сети «Интернет». Образовательные организации обеспечивают открытость и доступность, в том числе, о персональном составе педагогических работников с указанием уровня образования, квалификации и опыта работы.

Кроме того, Правилами размещения на официальном сайте образовательной организации в информационно – телекоммуникационной сети «Интернет» и обновления информации об образовательной организации», утвержденными Постановлением Правительства Российской Федерации от 10.07.2013 № 582, конкретизирован характер информации, подлежащей размещению на официальном сайте.

Так, образовательное учреждение вправе без согласия на обработку персональных данных размещать на своем официальном сайте следующее: информацию о руководителе образовательной организации, его заместителях, руководителях филиалов образовательной организации (при их наличии), в том числе: фамилия, имя, отчество (при наличии) руководителя, его заместителей; должность руководителя, его заместителей; контактные телефоны; адрес электронной почты; о персональном составе педагогических работников с указанием уровня образования, квалификации и опыта работы, в том числе: фамилия, имя, отчество (при наличии) работника; занимаемая должность (должности); преподаваемые дисциплины; ученая степень (при наличии); ученое звание (при наличии); наименование направления подготовки и (или) специальности; данные о повышении квалификации и (или) профессиональной переподготовке (при наличии); общий стаж работы; стаж работы по специальности.

Вопрос: Обязан ли банк прекратить обработку персональных данных гражданина в случае, если им направлен отзыв согласия на обработку персональных данных при действующем кредитном договоре?

Ответ: Право отзыва согласия на обработку персональных данных не является безусловным, если правила обработки установлены федеральным законом.

В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Таким образом, банк имеет право продолжить обработку персональных данных и после отзыва гражданином согласия на обработку персональных данных в целях исполнения заключенного кредитного договора.

Вопрос: Необходимо ли оператору, включенному в Реестр операторов, осуществляющих обработку персональных данных, уведомлять Управление об изменениях сведений, ранее представленных в его адрес?

Ответ: В ч. 7 ст. 22 Федерального закона от 27.07.2006 № 152 ФЗ «О персональных данных» определено, что оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения следующих изменений:

наименование (фамилия, имя, отчество), адрес оператора;

цель обработки персональных данных;

категории персональных данных;

категории субъектов, персональные данные которых обрабатываются;

правовое основание обработки персональных данных;

перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;

описание мер, предусмотренных статьями 18.1 и 19 Федерального закона о персональных данных, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;

фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты;

дата начала обработки персональных данных;

срок или условие прекращения обработки персональных данных;

сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;

сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;

сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации.

В случае прекращении обработки персональных данных оператор уведомляет об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты прекращения обработки персональных данных.

Вопрос. Кто является Уполномоченным органом по защите прав субъектов персональных данных и на кого возложена реализация этих функций?

Ответ. Уполномоченный орган — федеральный орган исполнительной власти, осуществляющий функции контроля и надзора в сфере информационных технологий и связи. В соответствии с постановлением Правительства от 16 марта 2009 г. № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций» данная функция возложена на Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). На территории Челябинской области Уполномоченным органом является Управление Роскомнадзора по Челябинской области.

Вопрос. Кто является оператором персональных данных?

Ответ. В соответствии с п. 2 ст. 3 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. При этом операторами указанные органы и лица являются независимо от включения в реестр операторов, осуществляющих обработку персональных данных, который ведет Роскомнадзор.

Вопрос. Куда следует обращаться за защитой субъекту персональных данных, если при обработке персональных данных нарушаются его права?

Ответ. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы, он вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или ближайшее территориальное управление Роскомнадзора, а также в судебном порядке.

Вопрос. Какие отношения, связанные с персональными данными не подпадают под действие Федерального закона от 27 июля 2006 года №152-ФЗ «О персональных данных»?

Ответ. В соответствии с п.2 ст. 1 Федерального закона – это отношения, возникающие при:
1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных (например, в генеалогических целях);
2) организации хранения, комплектования, учета и использования, содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;
3) обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с деятельностью физического лица в качестве индивидуального предпринимателя;
4) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

Вопрос. Кто должен запрашивать о согласии работников предприятия на обработку персональных данных при их передаче для обработки другому оператору?

Ответ. В соответствии с п.3 ст. 9 Федерального закона «О персональных данных», обязанность предоставления доказательств получения согласия субъекта персональных данных на обработку его персональных данных, а в случае обработки общедоступных персональных данных обязанность доказывания того, что обрабатываемые персональные данные являются общедоступными, возлагается на оператора.
В данном случае, получить согласие работника на передачу его персональных данных для обработки другому оператору, должна администрация предприятия, на котором работает субъект персональных данных, то есть сам работник.

Вопрос. Какая ответственность предусмотрена за нарушение оператором требований Федерального закона «О персональных данных»?

Ответ. Ст. 24 Федерального закона «О персональных данных» определяет ответственность за нарушение данного Федерального закона, которая выражается в виде уголовной, административной, дисциплинарной и иной предусмотренной законодательством Российской Федерации ответственности.
Административная ответственность за нарушение настоящего Федерального закона наступает за:
— неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, либо несвоевременное предоставление таких документов и материалов, непредставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст. 5.39 КоАП РФ);
— нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных (ст. 13.11 КоАП РФ);
— разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность) (ст. 13.14 КоАП);
— непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде (ст.19.7. КоАП РФ).
Кроме того, за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, и неправомерный доступ к охраняемой законом компьютерной информации российским законодательством предусмотрена уголовная ответственность, предусмотренная ст. 137, 272 УК РФ.

Вопрос. Является ли веб-сайт информационной системой обработки персональных данных?

Ответ. Веб-сайт, являясь информационной системой, может осуществлять обработку различной информации, в том числе персональных данных субъекта. Согласно пункту 9 статьи 3 Федерального закона «О персональных данных» одним из отличительных признаков информационной системы персональных данных (ИСПДн) является содержащаяся в базах данных совокупность персональных данных. Если веб-сайт фактически осуществляет обработку персональных данных, то он является ИСПДн или элементом ИСПДн.

Вопрос. Как документально оформить факт уничтожения персональных данных субъекта?

Ответ. Порядок документальной фиксации уничтожения персональных данных субъекта определяется оператором персональных данных самостоятельно. Уничтожение персональных данных субъекта осуществляется комиссией либо иным должностным лицом, созданной (уполномоченным) на основании приказа Оператора. Наиболее распространенными способами документальной фиксации уничтожения персональных данных субъекта является оформление соответствующего акта о прекращении обработки персональных данных либо регистрация факта уничтожения персональных данных в специальном журнале. Типовая форма акта и журнала утверждаются самим Оператором.

Вопрос. Имеет ли право сотовая компания передавать мои персональные данные долговому агентству (коллекторам)?

Ответ. В договоре о предоставлении услуг операторов связи прописано, что при подписании настоящего договора Абонент выражает безусловное согласие с Правилами оказания услуг связи, являющимися неотъемлемой частью настоящего договора. Если Абонент заключил договор с оператором связи, то Данные Правила Абонентом получены, их условия абоненту известны и понятны.
В соответствии с вышеуказанными Правилами, на период с момента заключения договора и до прекращения обязательств по договору, Абонент выражает свое согласие на передачу Оператором третьим лицам сведений об Абоненте, указанных в ст.53 Федерального закона №126-ФЗ от 07.07.2003 г. «О связи». Также, абонент выражает свое согласие на передачу сведений об абоненте третьим лицам, осуществляющим от имени Оператора взыскание с Абонента задолженности за услуги, или которым передано право требования такой задолженности.

Вопрос. Что делать в случае, если банк/коллекторские агентства осуществляют звонки на номер телефона с информированием о задолженности по кредиту, который не принадлежит владельцу телефонного номера, со ссылкой, что именно этот телефонный номер был предоставлен неизвестным должником в качестве контактного?

Ответ. В данном случае рекомендуется предоставить в организацию, совершающую звонки копию абонентского договора, на номер телефона на который поступают звонки, заключенного на Ваше имя, для подтверждения того, что данный номер телефона принадлежит лицу отличному от того лица, с которым Организации имеет договорные отношения.
Дополнительно разъясняем, что абонентский номер (номер телефона) — это выделяемый абоненту номер, (совокупность цифровых знаков) при заключении с абонентом договора об оказании услуг телефонной связи. Данный номер служит для обозначения и возможности идентификации конечного оборудования абонента в сети связи при соединении с ним абонентских устройств. Из этого следует, что номер телефона без указания на его владельца не является информацией, на основании которой его владельца (субъекта персональных данных) можно однозначно идентифицировать и его использование не может подразумевать обработку персональных данных его владельца.

Вопрос. Являются ли биометрическими персональными данными видеозаписи с камер видеонаблюдения, расположенных на территории предприятий или организаций, многоквартирных домов?

Ответ. В соответствии с ч. 1 ст. 11 Федерального закона «О персональных данных» к биометрическим персональным данным относятся сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных. Таким образом, биометрическими персональными данными не являются материалы видеосъемки в публичных местах и на охраняемой территории, поскольку они не используются оператором (владельцем видеокамеры или лицом, организовавшим ее эксплуатацию) для установления личности физического лица, а для обеспечения безопасности физических лиц и охраны помещений зданий.

Время публикации: 22.01.2014 14:00
Последнее изменение: 01.12.2022 15:24

• Министерство цифрового развития, связи и массовых коммуникаций РФ
• РСпектр
• Единый реестр запрещенной информации
• Реестр нарушителей авторских прав
• Публичный реестр инфраструктуры связи и телерадиовещания РФ
• Портал персональных данных

Персональные данные: ответы на популярные вопросы

Кто и как может получить доступ к персональным данным, в каких случаях не нужно разрешение на их использование и передачу, могут ли не продать товар или не оказать услугу при отказе дать согласие на обработку данных, какие данные собирают владельцы сайтов и как отказаться от рекламной рассылки?

Что такое персональные данные?

Персональные данные (ПД) – это любая информация о человеке. ПД бывают трех видов: общие, специальные и биометрические.

Это Ф.И.О., паспортные данные, СНИЛС, ИНН, дата и место рождения, e-mail, адрес, семейное, социальное и имущественное положение, место учебы и работы, образование, профессия, доходы и т.д.

С номером телефона сложнее. Сам по себе номер как набор цифр – это не ПД, поскольку он не может персонифицировать субъекта данных, он обезличен. Но ситуация меняется, когда помимо номера есть информация о человеке. В этом случае он может быть признан ПД. То есть записанный номер телефона без указания на человека, которому он принадлежит, не относится к персональным данным. Но если, например, на сайте вы нашли номер телефона и Ф.И.О. его владельца, он будет считаться ПД.

Не являются персональными данными: госномер транспортного средства, так как он относится не к человеку, а к автомобилю; лицевой счет ЖКХ, поскольку он относится к квартире.

Перечисленные выше ПД могут обрабатываться только с вашего согласия и лишь в некоторых случаях без него (об этом ниже).

2. Специальные ПД

Это данные о расовой и национальной принадлежности, политических, религиозных и философских убеждениях, состоянии здоровья, интимной жизни и т.д.

Обработка таких ПД не допускается, за исключением следующих случаев:

• вы дали письменное согласие на обработку, т.е. подписали документ, в котором выразили свое согласие;
• обработка в целях оказания медицинской помощи; при этом вам не могут отказать в медпомощи, если вы отказываетесь подписать согласие на обработку специальных ПД;
• обработка в целях страхования;
• обработка ПД госорганами в целях борьбы с коррупцией, терроризмом и для обеспечения транспортной безопасности, а также иные исключения, предусмотренные ч. 2 ст. 10 Закона о персональных данных.

3. Биометрические ПД

Это данные о физиологических и биологических особенностях человека, которые позволяют установить его личность. К биометрическим ПД относятся: ДНК, голос, радужная оболочка глаза, отпечатки пальцев, изображение лица, рост, вес и т.д.

Такие ПД могут обрабатываться только с письменного согласия, за исключением случаев, когда обработка осуществляется госорганами в целях борьбы с коррупцией, терроризмом и для обеспечения транспортной безопасности; а также в иных случаях, предусмотренных ч. 2 ст. 11 Закона о персональных данных.

Например, следуя в свой офис, вы проходите пункт охраны. Там вас просят приложить к сканеру палец, что позволяет службе охраны на компьютере видеть ваши ПД на основании взятого отпечатка. Так они могут установить вашу личность. Для использования отпечатка пальца охранная организация должна взять у вас письменное согласие на обработку биометрических ПД.

Что такое обработка персональных данных?

Обработка ПД – это любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

• работодатель заключил с вами трудовой договор, и вы передали в отдел кадров свои документы, где была создана папка с вашим личным делом, – работодатель осуществил сбор, запись и хранение ПД;
• работодатель передал ваши данные типографии для печати визитки – он осуществил передачу ПД;
• продавец сжег документы, в которых содержались данные покупателей, – он уничтожил ПД;
• покупатель при покупке товара через интернет передал владельцу сайта свои ПД – указал Ф.И.О., адрес, почту и телефон. Данные были сохранены в электронной базе сайта – его владелец осуществил сбор, запись и хранение ПД.

Из примеров видно, что ваши ПД могут храниться как на бумажных носителях, так и на электронных.

Кто такой оператор персональных данных?

Оператор ПД – любой человек, ИП, компания, органы и учреждения государственной и муниципальной власти, которые осуществляют действия с ПД.

• работодатель, обрабатывающий ПД своих работников;
• продавец, обрабатывающий ПД клиентов-граждан;
• госорганы, обрабатывающие ПД граждан при предоставлении государственных услуг;
• владельцы сайтов, собирающие ПД пользователей сайта.

Какие условия обязан соблюдать оператор при обработке персональных данных?

Главное условие – наличие вашего согласия. При этом в ст. 6 Закона о персональных данных предусмотрены случаи, когда оператор может обрабатывать ПД при отсутствии согласия:

• в целях, предусмотренных международным договором России, например договором, позволяющим выдавать преступников другой стране (экстрадиция);
• в целях, предусмотренных законами РФ, когда на оператора возложены определенные обязанности; например, работодатель обязан передать ПД в налоговые органы;
• в связи с вашим участием в суде; например, при подаче документов в суд вы должны указать свои Ф.И.О. и адрес;
• для исполнения судебного акт; например, суд по результатам рассмотрения дела выдает исполнительный документ, в котором указываются Ф.И.О., адрес, ИНН и иные данные должника;
• в целях получения госуслуг – в таких случаях мы всегда подписываем согласие на обработку ПД. В недавнем определении Верховный Суд РФ подтвердил, что отказ лица от подписания согласия не может являться основанием для отказа в предоставлении услуги органом власти 1 ;
• для исполнения договора, в котором вы являетесь стороной, выгодоприобретателем (например, в вашу пользу застраховано имущество) или поручителем.

Например, вы заключили с риелтором договор, согласно которому он ищет покупателя для вашей квартиры. Риелтору нужно знать ваши ПД: Ф.И.О., контактный телефон и e-mail. Так как он использует эти данные только для оказания услуг, ему не нужно ваше согласие на обработку ПД. Если же риелтор желает присылать вам рекламные материалы, которые, естественно, не связаны с оказанием услуг по заключенному договору, то он обязан будет получить ваше согласие на обработку ПД в рекламных целях;

Что такое согласие на обработку персональных данных?

Согласие на обработку ПД – это добровольно принятое вами решение о предоставлении своих данных оператору для обработки в тех целях, которые им определены.

Согласие на обработку ПД должно быть оформлено:

• письменно, если того требует закон (см. выше);
• в остальных случаях закон допускает оформление согласия в любой иной форме, позволяющей подтвердить факт его получения оператором, например проставление галочки напротив текста о предоставлении согласия на сайте при регистрации (☑).

Пункты, которые обязательно должно содержать письменное согласие:

• Ф.И.О., адрес, реквизиты паспорта или иного документа, удостоверяющего личность;
• название организации или Ф.И.О. и адрес оператора;
• цель обработки ПД – вы должны понимать, для чего вы даете согласие на обработку данных; если оператор станет обрабатывать ПД в иных целях, это будет считаться нарушением закона;
• перечень ПД, которые будет обрабатывать оператор;
• информация о лице, которое будет обрабатывать ваши ПД по поручению оператора. Например, работодатель передает ваши данные сторонней организации, которая оказывает бухгалтерские или кадровые услуги, – для этого вы должны предоставить свое согласие;
• перечень действий, которые будет осуществлять оператор, т.е. что конкретно он может делать с ПД: собирать и хранить или собирать, хранить и передавать и т.д.;
• срок, на который выдано согласие;
• способ отзыва согласия;
• подпись.

Можно ли не давать согласие на обработку ПД?

Можно. Предоставление согласия – дело добровольное. Исключением являются те случаи, когда оператор может обрабатывать ПД без вашего согласия (см. выше).

Могут ли отказать в предоставлении товаров, оказании услуг или выполнении работ, если я не хочу давать согласие на обработку ПД?

На практике отказывают довольно часто. Насколько это законно? Рассмотрим конкретные ситуации.

• Госорганы не могут отказывать вам в предоставлении услуг, поскольку у них есть право на обработку ПД без вашего согласия.
• Коммерческие организации, с которыми вы заключили договор оказания услуг (выполнения работ и т.д.), не должны вам отказывать, поскольку имеют право обрабатывать ваши ПД в целях исполнения договора без вашего согласия.

С другой стороны, если договор еще не подписан, то обязать коммерческую организацию заключить его с вами получится только в том случае, если она продает свои товары, работы или услуги по публичной оферте (это предложение продавца заключить договор купли-продажи с каждым, кто примет условия его предложения).Например: продавец реализует товар через интернет и готов продать его на условиях, изложенных в опубликованной на сайте публичной оферте. Он обязан заключить договор купли-продажи с каждым, кто пожелает купить этот товар.

• считают, что формально вы даете согласие на обработку ПД в момент предоставления своих паспортных данных; данный вывод они делают на основе указания закона о том, что согласие может быть дано не только в письменной форме;
• считают, что могут не брать у вас согласие, так как обработка осуществляется в целях безопасности лиц, находящихся в здании.

Однако оба довода являются спорными.

Почему организация может требовать оформления согласия на обработку ПД?

Причин может быть несколько:

• оператор хочет получить возможность обрабатывать ПД в целях, не связанных с выполнением договора; самый распространенный случай – нужно согласие на рассылку рекламных материалов;
• оператор не понимает или не знает о случаях, в которых не требуется получение согласия;
• оператор хочет перестраховаться.

Может ли оператор передать кому-нибудь персональные данные?

Оператор может передавать ПД третьим лицам только с вашего согласия, если иное не предусмотрено законом.

Примеры, когда согласие нужно: работодатель передает ваши ПД сторонней организации для бронирования отелей, покупки авиабилетов или оформления пропуска.

Примеры, когда согласие не нужно:

• управляющая организация или правление товарищества собственников жилья вправе предоставить ваши ПД (Ф.И.О., номер квартиры, сведения о размере доли) организатору созыва общего собрания собственников жилья;
• работодатель вправе передавать ваши ПД в ФСС, ПФР, налоговые органы, по запросу в суд, прокуратуру, правоохранительные органы и т.д.

Предоставление такого согласия является добровольным. Оператор не может принуждать вас это сделать.

(Банк передал вашу личную информацию посторонним лицам, и теперь вы вынуждены отвечать на ежедневные звонки с неизвестных номеров и опасаетесь, что ваши данные попадут в руки мошенников? О том, как действовать в такой ситуации, читайте в статье «Битва за персональные данные».)

Какие персональные данные оператор собирает через сайт и зачем?

ПД, которые могут быть собраны оператором через сайт, условно можно разделить на две группы.

1. ПД, которые вы передаете сами, заполняя формы обратной связи на сайте: Ф.И.О., адрес, номер телефона, e-mail.

В этом случае объем переданных ПД вы можете определить сами. Согласие на обработку таких данных обычно можно предоставить путем:

• проставления галочки в специальном окне («Я даю свое согласите на обработку персональных данных» ☑);
• принятия условий публичной оферты, опубликованной на сайте; обычно оплата товара означает согласие с условиями.

2. ПД, которые оператор собирает без предоставления вами информации.

В основном это файлы куки (cookie) – небольшие текстовые файлы со служебной информацией с сайта (сведения о программном обеспечении, которым вы пользуетесь, IP вашего компьютера, информация о вашем браузере).

Ваше согласие на обработку этих ПД оператор получает, если вы остаетесь на сайте после того, как появилось всплывающее окно с информацией примерно следующего содержания: «Продолжая использовать настоящий сайт, вы даете согласие на обработку файлов cookie в целях функционирования сайта. Если вы против обработки ваших данных, незамедлительно покиньте сайт».

Владелец сайта вправе обрабатывать ваши ПД только в тех целях, которые были указаны при получении вашего согласия, чаще это направление вам рекламных материалов. Файлы куки обычно используются для сбора статистики и информации о ваших предпочтениях.

Законно ли направление мне рекламы без моего согласия?

Прежде чем направить вам рекламные материалы, оператор обязан взять у вас согласие:

• на получение рекламных материалов, т.е. вы должны разрешить ему высылать их;
• на обработку ПД в целях продвижения товаров, работ или услуг, т.е. вы должны разрешить ему обрабатывать ваши данные (Ф.И.О., номер телефона, e-mail) для получения рекламной рассылки.

Обычно мы не замечаем, как даем эти согласия. Например, в магазине вы заполняете анкету для получения бонусной карты, что влечет согласие на рекламную рассылку; на сайте при заполнении формы обратной связи или при оформлении заказа вы ставите галочку напротив текста, который выражает ваше согласие (☑).

Если вы не хотите сталкиваться со спамом, рекомендую внимательно следить за тем, что вы подписываете или оформляете на сайте.

Как отказаться от назойливой рекламной рассылки?

Обычно в конце рекламного сообщения есть активная ссылка, которая позволяет отказаться от рассылки. Если это не помогло, вы должны обратиться к оператору, от которого получаете рекламу, с требованием прекратить обработку ПД в целях продвижения товаров, работ или услуг. Вы можете обратиться к нему лично, придя в офис, направить по почте письменное требование или через e-mail отправить электронный документ, подписанный усиленной квалифицированной подписью.

При оформлении отказа рекомендую указать свои контактные данные и четко сформулировать свое требование (отказ от получения рекламных материалов и от обработки ПД в целях продвижения товаров, работ, услуг). Тут же следует сослаться на ч. 2 ст. 15 Закона о персональных данных, в которой сказано, что по требования субъекта ПД оператор обязан немедленно прекратить обработку его данных.

Лучше направить письменное требование обычной почтой (ценным письмом с описью вложения). Почтовая квитанция и опись будут являться подтверждением факта обращения к оператору. Получив такое требование, он обязан будет прекратить обработку ПД.

Если вам направляют рекламу, несмотря на отказ от нее, вы можете обратиться:

• в территориальный орган Роскомнадзора с жалобой на действия оператора;
• в территориальный орган Федеральной антимонопольной службы с жалобой на действия предпринимателя, осуществляющего рассылку рекламных материалов без вашего согласия на их получение;
• в суд.

Какие права у меня есть при обработке моих персональных данных?

1. Право на получение у оператора информации, касающейся обработки ваших ПД.

Вы можете обратиться к оператору с требованием о предоставлении следующей информации:

• подтверждение факта обработки ваших ПД оператором – он должен подтвердить или опровергнуть информацию об этом;
• правовые основания и цели обработки ваших ПД – если вы дали свое согласие на обработку, то оператор должен сослаться на него. Если он вправе осуществлять обработку без вашего согласия, то должен сослаться на конкретное положение закона. Также оператор должен перечислить цели, для которых осуществляется обработка ПД;
• способы обработки ваших ПД – возможны два способа: автоматизированный – обработка с помощью средств вычислительной техники; без использования средств автоматизации – обработку осуществляет человек;
• наименование и место нахождения оператора; сведения о лицах (за исключением работников оператора), которые имеют доступ к ПД или которым эти данные могут быть раскрыты на основании договора с оператором или на основании федерального закона – здесь речь идет об органах госвласти, которым оператор передает ваши ПД, а также об иных третьих лицах, которым оператор передает ваши ПД на основании договора;
• перечень обрабатываемых ПД и источник их получения – оператор должен указать, какие именно ваши данные он обрабатывает и как их получил;
• сроки обработки и хранения ПД;
• порядок осуществления вами прав, предусмотренных Законом о персональных данных, – информация о том, каким образом вы можете реализовать свои права у данного оператора;
• о трансграничной передаче ПД – информация о том, передаются ли ваши ПД за границу;
• сведения о лице, осуществляющем обработку ваших ПД вместо оператора, – например, сторонняя организация вместо работодателя обрабатывает ПД работников для предоставления кадровых и бухгалтерских услуг;
• иные сведения, предусмотренные законодательством.

Право на получение такой информации не распространяется на случаи обработки ПД в целях обороны страны, безопасности государства, охраны правопорядка, в рамках законодательства о противодействии отмыванию доходов, полученных преступным путем, и т.д.

Как получить от оператора необходимую информацию?

Вы вправе обратиться к оператору лично, придя в офис. Можно направить запрос по почте в виде письменного документа или на e-mail в виде электронного документа, подписанного усиленной квалифицированной электронной подписью.

Самый надежный способ обращения – направление по обычной почте ценного письма с описью вложения. Оставьте у себя почтовые квитанции и опись – так вы сможете подтвердить факт направления запроса оператору.

В запросе обязательно нужно указать:

• паспортные данные;
• если ваши ПД обрабатываются оператором на основании договора, то укажите дату его заключения и номер;
• если вы не заключали договор с оператором, укажите иные сведения, подтверждающие ваши взаимоотношения с ним; например, если вы купили товар на сайте оператора, можете сослаться на адрес сайта, номер вашего заказа и т.д.;
• иные сведения, подтверждающие факт обработки ваших ПД оператором; например, ссылка на электронное письмо с рекламными материалами;
• ваша подпись.

При личном обращении информация об обработке ПД должна быть предоставлена вам незамедлительно. Если запрос был направлен по почте, то ответ должен поступить в течение 30 дней с даты получения оператором запроса.

Повторно обратиться к оператору вы можете не ранее чем через 30 дней после первоначального обращения. Отправить второй запрос, не дожидаясь истечения 30-дневного срока, вы можете, только если оператор предоставил не всю информация, которую вы требовали. Но вы должны будете обосновать свое обращение. В случае несоблюдения этих условий оператор вправе отказать в выполнении повторного запроса.

2. Право на предъявление иных требований к оператору, обрабатывающему ваши ПД.

Вы можете требовать от оператора:

• уточнить ваши ПД;
• блокировать ПД – временно прекратить обработку данных. Например: вы обратились к оператору с требованием уточнить ПД и, пока вносятся изменения, заблокировать их, чтобы приостановить обработку неточных данных;
• уничтожить ПД. Например: вы просите оператора уничтожить паспортные данные, которые не нужны ему для направления вам рекламных материалов.

Такие требования можно предъявить, если ПД, которые обрабатывает оператор:

• неполные, например вместо Ф.И.О. указана только фамилия;
• устаревшие, например если вы поменяли паспорт;
• неточные, например ваша фамилия указана с ошибкой;
• получены незаконно;
• не являются необходимыми для заявленной цели обработки. Например: продавец обрабатывает ваши паспортные данные, хотя получал ПД для направления рекламных материалов, для чего ему достаточно знать ваши имя и e-mail или номер телефона.

Как обратиться к оператору с одним из требований?

Порядок обращения может быть таким же, как и при запросе информации об обработке ПД (см. выше пункт 1). При оформлении обращения рекомендую указать свои контактные данные и четко сформулировать свое требование (об уточнении, блокировании или уничтожении ПД). Тут же нужно сослаться на ч. 1 ст. 14 и ч. 3 ст. 20 Закона о персональных данных.

Отказать в выполнении требования оператор не может. Он обязан сделать это в течение 7 дней и уведомить об этом вас и тех, кому были переданы ваши ПД. Если оператор не выполнил ваши требования, имеет смысл обратиться в контролирующий орган – Роскомнадзор.

3. Право на отзыв согласия на обработку ПД.

После отзыва согласия оператор не может обрабатывать ваши ПД, за исключением случаев, когда обработка может быть продолжена по закону. Например: вы заключили с оператором договор оказания услуг и подписали согласие. После его отзыва оператор вправе продолжить обработку ваших ПД только в том объеме, который необходим для оказания вам услуг по договору.

Как отозвать согласие на обработку персональных данных?

Порядок обращения может быть таким же, как и при запросе информации об обработке ПД (см. выше пункт 1). При оформлении отзыва рекомендую указать свои контактные данные и четко сформулировать свое требование (отзыв ранее выданного согласия на обработку ПД). Сослаться нужно будет на ч. 2 ст. 9 и ч. 5 ст. 21 Закона о персональных данных.

Оператор не может вам отказать и должен будет прекратить обработку ПД в течение 30 дней с даты поступления отзыва.

4. Право принимать предусмотренные законом меры по защите своих прав.

Если вы считаете, что оператор:

• осуществляет обработку ваших ПД с нарушением требований закона, например обрабатывает биометрические данные без письменного согласия;
• иным образом нарушает ваши права, например игнорирует ваши требования об уничтожении ПД, отзыве согласия, отказе от обработки ПД в целях продвижения товаров, работ или услуг и т.д.

В таких случаях вы можете обратиться:

• в территориальный орган Роскомнадзора с жалобой на действия или бездействие оператора;
• в суд с требованием о восстановлении нарушенных прав, а также с требованием о взыскании убытков (причиненный вам имущественный вред) и компенсации морального вреда (причиненные нравственные страдания).

Вы можете обратиться за защитой своих прав в любой из этих органов. Однако наиболее быстрый и надежный способ – направление жалобы в территориальный орган Роскомнадзора. Это позволит сэкономить время и силы. При обращении в суд дело может рассматриваться очень долго, нужно будет посетить не одно судебное заседание, представить доказательства и т.д.

1 Кассационное определение Судебной коллегии по административным делам Верховного Суда РФ от 22 января 2020 г. № 5-КА19-56.