Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Как работать с персональными данными с 1 сентября 2022». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
В Федеральном законе №152-ФЗ произошли изменения. Согласно новой редакции от 14.07.22, оператор больше не вправе осуществлять сбор персональных данных без уведомления уполномоченного органа. С 1 сентября 2022 года юрлица и индивидуальные предприниматели обязаны сообщить в Роскомнадзор о том, что намерены их обрабатывать.
Изменение № 4: сократились сроки реагирования на запросы
Как было раньше. Если Роскомнадзор или субъект ПДн писал компании запрос с просьбой предоставить какие-то сведения, которые касаются обработки личных данных, на ответ давалось 30 дней.
Как сейчас. Время на ответ сократили до десяти дней с возможностью продления этого срока ещё на пять дней, если нужно время на сбор данных. Такой же срок установлен и для запросов о прекращении обработки ПДн. Если человек просит удалить его из базы, это нужно сделать тоже за десять дней.
Что это значит. Реагировать на запросы органов и граждан придётся быстрее. В документах ничего менять не нужно.
Какие есть требования к согласию на обработку ПД
Согласие на обработку персональных данных должно быть предметным и однозначным, в частности, в отношении:
- цели обработки персональных данных;
- перечня персональных данных, на обработку которых даёт согласие их субъект;
- наименования или ФИО и адреса лица, осуществляющих обработку персональных данных по поручению оператора;
- перечня действий с персональными данными, в отношении которых даётся согласие, и описания способов обработки персональных данных, которые использует оператор;
- срока, в течение которого действует согласие субъекта персональных данных и способу его отзыва.
Если субъект ПД отказывается предоставить обязательные персональные данные, ему нужно разъяснить последствия такого отказа (ч. 2 ст. 18 Закона № 152-ФЗ)!
Для каждой цели обработки персональных данных нужно отдельно указывать:
- категории и перечень персональных данных
- категории субъектов, персональные данные которых обрабатываются;
- способы и сроки хранения персональных данных;
- порядок уничтожения персональных данных при достижении целей их обработки (ст. ст. 18.1, 21 Закона № 152-ФЗ).
Что подразумевают под персональными данными
К персональным данным в этом случае относят информацию, которую:
- получают и обрабатывают в рамках ТК РФ и иных федеральных законов, касающихся трудовых отношений;
- получают при заключении договоров с физлицами, используют только внутри компании и не предоставляют данные третьим лицам;
- разрешено распространять с согласия физлица;
- будут использовать в качестве пропуска физлица на территорию компании и аналогичных ситуациях.
К ним также относятся личные сведения:
- содержащие в себе только Ф.И.О. физлица;
- касающиеся участников общественных объединений или религиозных организаций и обрабатываемых соответствующими организациями.
Какие ещё изменения произошли
- Запрещена биометрическая обработка персональных данных несовершеннолетних;
- Работник вправе добровольно отказаться от биометрической обработки персональных данных;
- Обработка персональных данных осуществляется только с согласия;
- Сотрудник вправе запросить сведения о том, как работодатель обрабатывает персональные данные и какая информация о нём хранится. Работодатель обязан ответить в течение 10 рабочих дней. При уважительной причине работодатель вправе увеличить срок ответа ещё на 5 рабочих дней;
- В течение 24 часов работодатель обязан сообщить об утечке персональных данных в Роспотребнадзор, а в течение 72 часов провести расследование инцидента и сообщить о его результатах. Указать виновных и принятые меры.
Что является личной информацией граждан?
Понятие информации о гражданине, относящейся к персональной, дано в ст.3 Закона 152. Это любые сведения, связанные с субъектом (физическим лицом) прямо или косвенно:
- ФИО, пол, возраст;
- семейное положение, а также родственные связи и наличие детей;
- сведения об образовании и наличии квалификационных навыков;
- адрес места жительства и прописки;
- любые фото- и видеоматериалы, используемые оператором и позволяющие точно установить личность гражданина;
- биографические данные, включая наличие судимости, прохождения службы в армии, предыдущих мест работы и т.д.);
- сведения о заработке и финансовом положении;
- иные сведения, позволяющие идентифицировать физическое лицо.
Стоит перечислить и документы, в которых эти сведения содержатся:
- гражданский паспорт, свидетельства о браке, рождении детей;
- документы об образовании, повышении квалификации и т.д.;
- трудовая книжка;
- военный билет.
Остальные документы, содержащие сведения о гражданах, хранятся у работодателя и необходимы для кадрового учета. Это, например, характеристики, личные карточки, анкеты и т.д.
В ряде ситуаций требуется предоставление справки о доходах, полученных в определенный временной период. Гражданину следует знать, что без его согласия эти сведения не подлежат обработке.
В каких случаях потребуется уведомление Роскомнадзора
С 1 сентября 2022 года компании обязаны уведомлять Роскомнадзор о намерении осуществлять обработку следующих персональных данных (новая редакция ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ):
- получаемых и обрабатываемых в рамках трудового законодательства;
- получаемых при заключении договора с физлицом, по которому персональные данные не распространяются и не предоставляются третьим лицам без согласия самого физлица и используются компанией исключительно для исполнения заключаемого договора;
- относящихся к членам и участникам общественных объединений или религиозных организаций и обрабатываемых соответствующими организациями и объединениями;
- разрешенных физлицом для распространения;
- включающих в себя только фамилии, имена и отчества физлиц;
- необходимых в целях однократного пропуска физлица на территорию, на которой находится компания, или в иных аналогичных целях.
Как уведомить Роскомнадзор о сборе персональных данных
Конкретный срок направления уведомления законодательством не установлен. Главное – уведомить Роскомнадзор до начала обработки тех или иных персональных сведений. Уведомление представляется по форме, утв. приказом Роскомнадзора от 30.05.2017 № 94. Представить его нужно в управление Роскомнадзора по субъекту РФ по месту регистрации компании в налоговом органе. В уведомлении нужно указать (ч. 3 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ):
- наименование компании (ФИО ИП) и ее адрес;
- цель обработки персональных данных (например, заключение трудовых договоров);
- категории персональных данных (в частности, персональные данные, необходимые для оформления трудовых правоотношений);
- категории субъектов, персональные данные которых обрабатываются (работники компании, покупатели и т.д.);
- правовое основание обработки персональных данных;
- перечень действий с персональными данными, общее описание используемых способов обработки персональных данных (например, автоматизированная обработка персональных данных с передачей полученной информации по сети или без таковой, смешанная обработка персональных данных и т.д.);
- сведения о наличии у компании шифровальных (криптографических) средств и наименования этих средств;
- ФИО сотрудника, ответственного за организацию обработки персональных данных, номер его контактного телефона, почтовый адрес и адрес электронной почты;
- предполагаемая дата начала обработки персональных данных;
- срок или условие прекращения обработки персональных данных;
- сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;
- сведения о месте нахождения базы данных информации, содержащей собираемые персональные данные;
- сведения об обеспечении безопасности персональных данных.
Направить уведомление можно следующими способами:
- в бумажном виде,
- в электронном виде с использованием усиленной квалифицированной электронной подписи,
- в электронном виде с использованием средств аутентификации ЕСИА.
Что такое согласие на обработку персональных данных
Вместе с предоставлением необходимых документов при заключении трудового договора подписывается согласие работника на обработку персональных данных работника. Согласно ст. 3 ФЗ №152, к таким данным относятся все сведения о человеке — от имени и фамилии до записей в трудовой книжке.
Персональные данные делятся на 3 категории:
- Общедоступные — основные анкетные данные, включая ФИО, пол, дату и место рождения.
- Биометрические — информация о внешности и некоторых физиологических особенностях, если они определяются визуально.
- Специальные — национальность, вероисповедание, состояние здоровья, судимости, частично — сведения о работе (причины увольнения и др.).
Что конкретно изменится для бизнеса и покупателей.
Если раньше обращение с персональными данными регулировалось «Законом о персональных данных», теперь добавился ещё и закон «О защите прав потребителей».
Покупатель может запросить, с какой целью собираются его персональные данные. Если обращение устное, продавец обязан дать ответ немедленно, если подано письменно, в электронной или иной форме, на разъяснение даётся семь дней. Контролем вопроса займётся Роспотребнадзор.
Когда можно требовать ПД.
Персональные данные для заключения договора можно потребовать в двух случаях.
- Если без них продавец не может выполнить свои обязательства по договору. Например, необходимы адрес и телефон для доставки товара или адрес электронной почты, чтобы отправить на него билеты на мероприятие, если скачать их напрямую с сайта нельзя.
- В установленных законом случаях. Например, при заключении договора с мобильным оператором, банком, микрофинансовой организацией, при продаже ювелирных украшений на сумму свыше 40 000 рублей.
Изменения в законе №152-ФЗ «О персональных данных» действуют с 1.03.2021. Они вводят в оборот определение «персональных данных, разрешенных для распространения», которое заменяет «общедоступные персональные данные». Как поясняют авторы поправок, в первую очередь нововведения касаются информации, которая размещается в свободном доступе, например на интернет-порталах, и может быть получена кем угодно.
Если до конца февраля текущего года оператор, который получил одно согласие субъекта на обработку персданных, мог их опубликовать или передать третьей стороне, теперь этого мало – необходим отдельный документ.
Согласие на обработку означает, что оператор вправе хранить, уточнить, использовать эти сведения. Но если он планирует опубликовать их или передать третьему лицу, потребуется отдельное письменное согласие на распространение. Исключение – запрос из контролирующих органов, полиции, военкомата: им дополнительное разрешение не нужно.
Передать согласие оператору можно двумя способами:
- в бумажном виде, подписав собственноручно (этот способ действует сейчас);
- с помощью системы Роскомнадзора (заработает с 01.07.2021).
Изменяются правила защиты ПДн
Работодатель теперь обязан составить и утвердить положение о защите ПДн. В этом документе прописываются категории риска каждого документа/электронного носителя персданных, а также наличие угроз компрометации информации с этих носителей. Ранее такой документ рекомендовался, теперь он стал обязательным.
Что касается уничтожения персональных данных, то это возможно лишь в конкретных случаях, перечисленных в пункте 3 статьи 21, статье 21 Федерального закона от 14.07.2022 № 266-ФЗ:
- Закончился срок хранения документа
- Цель обработки достигнута или их больше не нужно обрабатывать
- Оператор неправомерно обрабатывает ПДн
- Владелец персональных данных отозвал согласие, потребовав прекратить обрабатывать и распространять его ПДн
Уведомление Роскомнадзора об обработке персональных данных работников
Ранее компании-работодатели вправе были не уведомлять Роскомнадзор об обработке персональных данных работников, в том случае, когда такая обработка происходила в соответствии с трудовым законодательством. Данное исключение было предусмотрено подп. 1 п. 2 ст. 22 Закона 152-ФЗ.
С 1 сентября 2022 года данная норма утратила силу. Соответственно, даже если компания обрабатывает персональные данные своих сотрудников исключительно в целях соблюдения трудового законодательства, необходимо уведомить об этом Роскомнадзор.
Изменился и состав сведений, которые должно содержать уведомление (п. 3.1 ст. 22 закона 152-ФЗ). Оператор должен указать для каждой цели обработки персональных данных (далее – ПДн):
- категории ПДн;
- категории субъектов, персональные данные которых обрабатываются;
- правовое обоснование обработки ПДн;
- перечень действий с ПДн;
- способы обработки ПДн.
Если в компании есть профсоюз, с ним нужно согласовать Положение. Для этого проект положения направляют в выборный орган профсоюза (ст. 372 ТК РФ). Тот должен выразить свое мнение (в письменной форме) не позднее пяти рабочих дней со дня получения проекта. Если профсоюз не согласен с проектом или имеет предложения по его совершенствованию, у администрации есть два выхода. Первый — согласиться. Второй — в течение трех дней после получения мотивированного мнения провести дополнительные консультации с профсоюзом в целях достижения взаимоприемлемого решения. Если и это не поможет, следует оформить протокол разногласий. После этого администрация имеет право принять Положение без учета требований профсоюза. Однако тот сможет обжаловать Положение или начать процедуру коллективного трудового спора в порядке, предусмотренном гл. 61 Трудового кодекса.
Что следует сделать уже сейчас
1. Получите ЭП ФНС.
Она будет гарантированно работать при подаче деклараций в 2023 году и приниматься всеми госорганами.
2. Получите ЭП на полномочного сотрудника.
В случае продления срока действия такой подписи она поможет вам быть более мобильными: сдавать декларации или подписывать первичные документы с нескольких рабочих мест.
3. Получите ЭП на физическое лицо, на которое может быть оформлена МЧД.
Если руководитель организации еще не выпустил ЭП ФНС, но у него есть ЭП от коммерческого УЦ, то уже сейчас можно оформить МЧД, которая продолжит действовать в 2023 году. Если ЭП ФНС у руководителя уже есть, то ЭП физлица также поможет уже сейчас или в 2023 году оформить МЧД для отправки деклараций и подписания документов с разных (нескольких) рабочих мест.