- ФЗ-152 распространяется на любой бизнес, который собирает данные физических лиц
- Персональные данные — это любая информация, позволяющая прямо или косвенно определить человека
- Компания становится оператором ПД автоматически при начале обработки данных
- Закон требует согласия, защиты данных и соблюдения прав субъектов
- За нарушение ФЗ-152 предусмотрены крупные штрафы и проверки Роскомнадзора
Что такое ФЗ-152 и зачем он нужен
Федеральный закон №152-ФЗ «О персональных данных» — основной закон, регулирующий сбор, хранение, использование и передачу персональных данных в России.
Он действует для:
- компаний;
- ИП;
- интернет-магазинов;
- SaaS-сервисов;
- работодателей;
- любых организаций, работающих с данными физических лиц.
Если ваш бизнес собирает телефоны, email, заявки, резюме или данные клиентов — вы уже работаете с персональными данными и подпадаете под требования ФЗ-152.
Главная цель закона — защитить права граждан и ограничить незаконное использование личной информации.
Кто такой оператор персональных данных
Оператор ПД — это лицо или организация, которые самостоятельно организуют обработку персональных данных.
Компания становится оператором автоматически, если:
- собирает заявки через сайт;
- ведёт CRM;
- отправляет рассылки;
- использует аналитику;
- хранит данные сотрудников;
- принимает онлайн-оплату.
Многие считают, что ФЗ-152 касается только крупных IT-компаний. На практике оператором персональных данных становится практически любой бизнес с клиентской базой.
Что относится к персональным данным
По закону персональные данные — это любая информация, относящаяся к человеку прямо или косвенно.
| Категория | Примеры | |---|---| | Базовые | ФИО, дата рождения, адрес | | Контактные | Телефон, email, мессенджеры | | Цифровые | IP-адрес, cookie, Device ID | | Финансовые | Банковские реквизиты, ИНН | | Биометрические | Фото, голос, отпечатки | | Специальные | Здоровье, религия, политические взгляды |
Основные обязанности оператора
1. Уведомление Роскомнадзора
Во многих случаях оператор обязан подать уведомление в РКН до начала обработки данных.
2. Получение согласия
Согласие должно быть:
- добровольным;
- конкретным;
- информированным;
- оформленным до начала обработки.
3. Публикация политики конфиденциальности
На сайте должна быть размещена актуальная политика обработки персональных данных.
4. Защита данных
Оператор обязан принимать меры против:
- утечек;
- несанкционированного доступа;
- уничтожения данных;
- незаконной передачи информации.
5. Локализация данных
Первичная запись персональных данных граждан РФ должна происходить на серверах, расположенных в России.
Формулировки вроде «продолжая пользоваться сайтом, вы соглашаетесь» обычно недостаточны. Требуется активное действие пользователя: чекбокс, кнопка подтверждения или подпись.
Права субъекта персональных данных
Любой гражданин имеет право:
- узнать, какие данные о нём обрабатываются;
- запросить исправление;
- отозвать согласие;
- потребовать удаление данных;
- пожаловаться в Роскомнадзор или обратиться в суд.
Что чаще всего нарушают компании
На практике наиболее распространены:
- отсутствие согласия;
- неправильные формы на сайте;
- устаревшая политика конфиденциальности;
- отсутствие уведомления РКН;
- хранение данных за пределами РФ;
- отсутствие внутренних документов.
Во многих случаях поводом для проверки становится жалоба клиента, сотрудника или пользователя сайта.
Ответственность за нарушение ФЗ-152
За нарушение закона предусмотрены:
- административные штрафы;
- предписания РКН;
- блокировка отдельных сервисов;
- гражданские иски;
- репутационные потери.
Размер штрафов зависит от нарушения и может достигать миллионов рублей.
- Направлено уведомление в РКНобязательно
- Политика конфиденциальности опубликованаобязательно
- Настроены корректные формы согласияобязательно
- Данные размещаются на серверах в РФ
- Назначен ответственный за обработку ПД
- Сотрудники ознакомлены с правилами обработки данных
- Есть порядок ответа на обращения субъектов
С чего начать соблюдение ФЗ-152
Практичный минимальный план:
- Проверить, какие данные собирает бизнес
- Подготовить политику конфиденциальности
- Настроить согласия на сайте
- Подать уведомление в РКН
- Организовать хранение и защиту данных
- Назначить ответственного сотрудника