Если у вас есть сайт с формой заявки или регистрации, вы становитесь оператором персональных данных (ПДн). О том, что это означает и как корректно действовать, чтобы избежать проблем, расскажем в статье.
Что такое ПДн
Это такая информация, которая напрямую относится к конкретному лицу, с помощью которой его можно идентифицировать. К таким данным относятся ФИО, дата и место рождения, место проживания, телефон, e-mail, фотография человека и др. Соответственно, если ваш сайт использует данные геолокации, если там есть регистрация через e-mail или форма заявки, куда следует вводить номер телефона, то это всё будет считаться сбором персональных данных. Также это значит, что на вас распространяется закон 152-ФЗ «О персональных данных».
Вот основной список ПДн с сайта Роскомнадзора:
Помимо этого, персональными считаются такие данные, как национальность, религия, политические воззрения, регистрация по месту жительства, медицинская информация, биометрия (отпечатки пальцев, звук голоса), судимости, номер СНИЛС, ИНН, куки.
Здесь очень важен один момент. Исходя из определения, к персональным данным относится та информация, которая позволяет идентифицировать человека. То есть адрес, включающий город, улицу и дом, является абстрактными данными, а вот если Иван Макарович Фёдоров проживает по определённому адресу, тогда мы имеем дело с персональными данными. Людей с одинаковым ФИО много, а вот любое уточнение, которое указывает именно на этого человека, уже переводит данные в категорию персональных.
Существует несколько типов персональных данных. Подробнее об этом мы писали в нашей статье. Если коротко, то их 4:
- общедоступные;
- специальные;
- биометрические;
- иные.
Участники процесса
В законе о персональных данных фигурируют две сущности: субъект и оператор.
Первый из них, субъект, - это тот, чьи данные обрабатываются. Например, это может быть физическое лицо, зарегистрированное на сайте.
Оператором может быть физ. Лицо или организация, которая собирает, хранит и обрабатывает ПДн. Оператором, в том числе, является компания, в которой трудоустроены работники.
Работа с ПДн
Операторы ПДн выполняют следующие действия с данными:
Сбор
По закону 152-ФЗ его можно осуществлять только с согласия с субъекта. Для оффлайн процессов нужно подписать соответствующий документ, а в онлайне согласие можно получить подтверждающим действием (например, поставить галочку в специальной форме).
Согласие включает описание того, какие именно данные будут собраны, зачем и как будут использоваться. Всё это должно быть прописано в политике конфиденциальности, а под каждой формой сбора информации присутствовать галочка, подтверждающая, что пользователь прочёл «Политику конфиденциальности и даёт согласие на сбор и обработку.
Обработка
Сюда входят практически все действия, которые выполняются с персональными данными. Сбор, запись, хранение, изменение, анализ и тому подобное. Обработка бывает:
- Автоматизированная (компьютерами и другой вычислительной техникой),
- Неавтоматизированная (человеком)
- Смешанная (человек + вычислительная техника)
Заниматься обработкой ПДн можно только в случае согласия субъекта.
Хранение
Данные могут храниться в бумажном виде, на серверах, в облаке. По закону нужно хранить только необходимое для цели количество данных и делать это не дольше, чем требуется. После нужно удалить все данные.
Если данные неактуальны или собраны не в полном объёме, их следует удалить.
Также нельзя объединять ПДн, которые были собраны для разных целей.
Защита
Всю ответственность за хранимые персональные данные несёт оператор. Поэтому базы должны быть защищены. А именно, соответствовать уровню защищенности обрабатываемых данных (УЗ) для конкретной категории ПДн.
За невыполнение требований закона 152-ФЗ несёт ответственность оператор данных.
