Пн-Пт: 09:30–18:30
Виктория Меньшова
Консультант по ИБ в «КИТ»
Направление законодательства, связанное с защитой персональных данных (далее — ПДн), является одним из наиболее устоявшихся в мире информационной безопасности. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) вступил в силу еще в 2007 году и до сих пор определяет основные требования к процессам сбора, обработки и хранения ПДн. Однако, несмотря на кажущуюся легкость и устоявшуюся практику, многие организации допускают грубые ошибки при обработке ПДн.
Ошибки при сборе согласий на обратку ПДн
Практика показывает, что многие организации допускают ошибку на этапе получения согласия субъекта ПДн.
Что необходимо сделать при сборе согласий на обротку ПДн?
1. В первую очередь необходимо понять:
- для каких целей обработки необходим сбор ПДн;
- какой именно состав ПДн действительно нужно собирать для определенных целей;
- каким образом собранные данные планируется обрабатывать;
- какой срок обработки и хранения ПДн необходим и достаточен.
На данном этапе важно избегать избыточности: перечень ПДн должен отвечать целям обработки. Собирать нужно только те данные, которые действительно необходимы.
2. Далее необходимо организовать сбор согласий на обработку ПДн:
- согласия должны быть оформлены отдельно от иных документов;
- согласия должны включать в себя информацию, предусмотренную частью 4 статьи 9 152-ФЗ;
- в согласиях нужно обязательно указывать сроки обработки ПДн.
На данном этапе важно учесть, что:
- сроки обработки ПДн должны быть не дольше, чем этого требуют цели обработки;
- действия с ПДн, указанные в согласии на обработку ПДн, могут включать «распространение», если оно действительно осуществляется и, если отдельно оформляется согласие на «распространение» согласно статье 10.1 152-ФЗ.
Важно помнить, если для выполнения целей обработки ПДн необходима передача ПДн третьим лицам, то субъект должен дать согласие на такую передачу ПДн. При этом важно донести до субъекта конкретную информацию: кому и какие именно ПДн будут передаваться. С третьими лицами необходимо заключить поручение на обработку и (или) соглашение о конфиденциальности.