Що стосується персональних даних: нюанси роботи з персональними даними

У статті розберемося, що стосується персональних даних і як правильно працювати з такою інформацією, щоб не порушувати чинний закон.

Згідно з прийнятим у 2006 році Федеральним законом № 152-ФЗ, організації зобов'язані захищати будь-яку інформацію про своїх співробітників і клієнтів. Оператором персональних даних (ПД) вважається будь-яка організація, яка має хоча б одного співробітника чи клієнта. Відповідальність за порушення цього закону може понести й фізична особа — наприклад, самозайнятий, який працює з приватними клієнтами та зберігає відомості про них. Великі компанії зазвичай містять штат юристів, які знають нюанси роботи з ПД. На які моменти варто звернути увагу невеликій фірмі?

Що таке персональні дані

Відповідно до закону № 152-ФЗ, персональними даними (ПД) вважається будь-яка інформація, яка прямо чи опосередковано відноситься до певної чи визначеної фізичної особи. Дія закону поширюється як у громадян РФ, і на іноземців. Персональними даними є лише ті відомості, на основі яких можна зрозуміти, про яку саме фізичну особу йдеться. Наприклад, компанія, що управляє, може вивісити в під'їзді список квартир, що мають борги за комунальні платежі. А ось вказувати в ньому прізвища боржників та суму заборгованості вже не можна: це буде розголошенням конфіденційних відомостей.

Які дані є персональними

• Загальні. Це основні відомості про фізичну особу: П. І. О., дата народження, номери документів, що підтверджують особу, місця роботи або навчання, адресу та телефон, громадянином якої країни є людина, чи одружена.
• Спеціальні. Тут йдеться про особистість суб'єкта: його расу і національність, релігійні та політичні погляди, особисте життя. Сюди належить інформація про особливості фізичного здоров'я.
• Біометричні. Такими даними є всі біологічні особливості: зовнішність, результати дактилоскопії, колір шкіри та очей, ріст, вага, група крові.
• Інші. Це всі дані, які не можна зарахувати до попередніх груп: наприклад, належність до певного соціуму, захоплення, відомості про фінансове становище.

Будь-яка комбінація понять, що входять до цього переліку та дозволяють визначити конкретного суб'єкта, є ПД та охороняється законом. Але все не так однозначно. Наприклад, серед не лише юристів, а й навіть чиновників Роскомнагляду немає однозначної думки, чи вважати просто прізвище, ім'я та по батькові людини персональними даними. Все залежить від цілей, контексту та того, з якими ще даними використовуються ПІБ.

У яких випадках потрібно збирати персональні дані

Найчастіше компаніям доводиться збирати відомості про своїх співробітників та замовників. Відомості про працівників необхідні ведення діяльності підприємства, інформація про клієнтів зазвичай необхідна реалізації маркетингових кампаній. Інколи ж для вдосконалення процесів потрібно знати більше про представників партнерських організацій. У будь-якому випадку суб'єкти повинні надати згоду на всі дії з персональними даними, до яких належать збір, передача, запис та зберігання.

Таким чином, левова частка компаній, які ведуть свою діяльність, стає операторами ПД. Реєстр операторів веде Роскомнагляд, порядок потрапляння туди – заявний. Організація сама повідомляє регулятору, що веде обробку ПД.Але відсутність компанії у реєстрі не звільняє її від виконання закону.

ПД співробітників потрапляють до компанії ще до підписання трудового договору: робота менеджера з персоналу в тому числі має на увазі ведення бази кандидатів, де є відомості про професію, номер телефону та імена. Сервіси з пошуку роботи іноді захищають роботодавців, включають пункт про використання інформації з резюме користувальницька угода, однак вважається, що краще взяти згоду на обробку ПД у кандидата ще раз, на етапі співбесіди.

Що стосується збору відомостей про клієнтів, необхідно знайти баланс між бажанням компанії дізнатися якнайбільше про своїх замовників, щоб робити їм релевантні пропозиції, та вимогами законодавства Правові відносини можуть вважатися розпочатими вже в момент, коли людина вперше зайшла на сайт компанії та схвалила cookies (Це файли, де зберігається інформація про поведінку користувача у мережі.

Збір інформації про юридичних осіб не входить до тексту закону № 152-ФЗ. Проте часто компанії ведуть бази, в яких містяться особисті відомості про представників їхніх партнерів. теж відноситься до ситуацій, коли потрібно отримати дозвіл від суб'єктів ПД або хоча б не зберігати цю інформацію у робочих програмах.

Обробка персональних даних та її особливості

Організація може збирати, передавати, записувати, зберігати, вилучати та знеособлювати відомості про своїх клієнтів та співробітників.

Усі ці операції мають здійснюватися згідно із законом. Це означає, що суб'єкт ПД повинен підписати згоду на кожну з перерахованих вище операцій.Наприклад, якщо ви практикуєте передачу списків співробітників для оформлення перепусток адміністрації бізнес-центру, в якому розташований офіс, потрібно врахувати цей факт під час підготовки паперів на працевлаштування.

При отриманні згоди важливо визначити цілі, для яких будуть використані ПД. Відступати від них не можна. Якщо ви зберегли телефони клієнтів виключно для надсилання повідомлень про статус замовлення, не варто надсилати на них рекламні розсилки. І, очевидно, не можна надавати базу даних партнерським організаціям: це вважається грубим порушенням. Щоправда, донедавна штрафи за це були мізерними. Але в грудні 2023 року Путін підписав закон №589, який вносить зміни до КОАП та встановлює штраф до 1 млн рублів за порушення при поводженні з біометричними персональними даними та за обробку ПД без згоди до 700 тис. рублів для юросіб.

Персональні дані

Історія питання захисту особистих (персональних) даних починається в 1976 році, коли комітет міністрів Ради Європи ухвалив рішення розробити Конвенцію «Про захист фізичних осіб при обробці персональних даних, що здійснюється на міжнародному рівні», яка в 1981 році була відкрита для підписання країнами Європи. У Росії її Конвенція була підписана і ратифікована лише на початку двохтисячних років, після чого почалося формування нормативно-законодавчої бази у сфері використання та захисту персональних даних. У 2006 році Державною думою РФ було прийнято базовий закон - Федеральний закон № 152-ФЗ «Про персональні дані», який чітко регламентував усі питання, що стосуються отримання, використання, передачі та інших дій з персональними даними, а також питання їх захисту.

Згідно з базовим законом персональними даними є абсолютно будь-яка інформація, яка відноситься до певної або визначеної (прямо чи опосередковано) фізичної особи. Основними персональними даними, що зустрічаються у повсякденному житті, є прізвище, ім'я, по батькові суб'єкта (фізичної особи), дата народження, адреса місця проживання або реєстрації, соціальний, майновий, сімейний стан, відомості про доходи, освіту, професію тощо.

Існує чотири види персональних даних, які поділяються за ступенем інформативності:

Перший вигляд - Спеціальні категорії персональних даних, які включають інформацію про національну і расову приналежність суб'єкта, про релігійні або філософські переконання, інформацію про здоров'я та інтимне життя суб'єкта.

Другий вигляд містить інформацію, за якою можна ідентифікувати людину та отримати про неї додаткові відомості, наприклад, ПІБ, адресу та відомості про заробітки.

Персональні дані третього виду — це інформація, яка дозволяє лише визначити суб'єкта, тобто, наприклад, прізвище, ім'я та дата народження.

До четвертому виду відносяться загальнодоступні чи знеособлені персональні дані. Загальнодоступними є ПДН, які відповідно до законодавства не можуть піддаватися прихованню, тобто не можуть бути конфіденційними, наприклад, відомості про доходи представників органів державної та муніципальної влади, або ПДН, доступ до яких надано з дозволу самого суб'єкта. Знеособленими персональними даними є інформація, за якою неможливо визначити її приналежність до конкретної фізичної особи.

Розібратися в тому, що таке персональні дані, Які вони бувають і як використовуються на підприємствах, надзвичайно важливо як для суб'єктів, відомості про які збираються та обробляються, так і для організацій, які виконують ці операції. Першим це необхідно, щоб відповідально давати згоду на зберігання та передачу ПДН, а також захищати свої інтереси у разі несанкціонованого використання та розголошення. Підприємствам розуміння того, яка інформація відноситься до персональних даних, необхідно для правильної організації їх обробки, побудови системи збирання та зберігання ПДН та підбору ефективних заходів щодо забезпечення їх безпеки.

Що таке особисті дані, і хто має право ними розпоряджатися?

Поняття максимально докладно розкрито у Федеральному Законі № який діє з 27 січня 2006 року, при цьому ПДН підпадає під дію цілої низки нормативних актів, включаючи Конституцію Російської Федерації. Відповідно до персональних даних є абсолютно будь-яка інформація, яка відноситься до певної або визначеної (прямо чи опосередковано) фізичної особи. При цьому кожен громадянин має гарантоване право на дотримання таємниці особистого життя, а державні структури та треті особи не мають права здійснювати контроль у цій сфері, якщо це не передбачено законодавством. Суб'єкти можуть самі приймати рішення про надання ПДН та розраховувати на захист від держави при порушенні їх прав. Формат надання згоди на отримання та обробку може бути різним, наприклад, у вигляді письмової заяви або проставленої галочки в онлайн-анкеті.

У ФЗ-152 чітко прописано, хто та на яких умовах має право отримувати персональну інформацію окрім її власника. Виконувати операції з приватними даними з дозволу суб'єкта може бути роботодавець, фінансово-кредитна організація, інтернет-магазин, медичний центр тощо. Але є важливий момент — після досягнення результату, заради якого здійснювався збір ПДН, оператор втрачає легальну можливість їх використання та несе відповідальність за їх навмисне розголошення. Спеціальні вимоги щодо роботи з ПДН діють, якщо:

• інформація становить державну таємницю;
• відбувається врегулювання особистих та сімейних питань, при цьому права інших осіб не обмежуються;
• йдеться про архівні відомості;
• є судовий акт про їхнє надання.

Закон не лише встановлює, що стосується особистих даних, але й зобов'язує операторів ПДН виконувати низку вимог щодо забезпечення їхньої безпеки, а у разі виявлення порушень передбачає штрафи та інші санкції. Вживати технічних та організаційних заходів захисту необхідно як юридичним, так і приватним особам, якщо вони мають справу з конфіденційною інформацією про співробітників, клієнтів, ділових партнерів тощо.

Які дані відносяться до персональних даних: основні види ПДН

Для спрощення регулювання законодавство РФ диференціює ПДн залежно від складності отримання, ступеня таємності та прав на використання третіми особами. Основні різновиди:

1. Загальні персональні дані - Ті, які повідомляють ключову інформацію про суб'єкта: П.І.Б., дата народження, адреса (регіон, місто, вулиця, будинок, квартира), паспортні відомості, освіта, місце роботи, рівень доходу і т.д. Якщо використовувати їх окремо, то не можна говорити, що це відомості, що стосуються персональних даних, оскільки ідентифікувати особистість, наприклад, за одним лише прізвищем неможливо. У категорію ПДн вони потрапляють у комбінованому варіанті, зокрема П.І.Б. у поєднанні з місцем реєстрації.
2. Біометричні - дозволяють визначити біологічні та фізіологічні відмінні риси конкретної фізичної особи, які можуть використовуватися для встановлення її особистості. Що входить до списку таких персональних даних? Відбитки пальців, ДНК людини, райдужна оболонка очей, індивідуальні анатомічні особливості. Найбільш затребувані подібні ПДН на митниці та в державних органах, які здійснюють видачу віз та закордонних паспортів, а також у сучасних системах ідентифікації.
3. Загальнодоступні персоніфіковані дані — найчастіше це інформація про добробут відомих людей (представників влади та шоу-бізнесу, керівників великих підприємств тощо). Вони є у відкритих джерелах і можуть бути отримані без додаткових дозволів.
4. Знеособленими персональними даними є інформація, за якою неможливо визначити її приналежність до конкретної фізичної особи.
5. Спеціальні - ПДн, присутні у особистих справах, медичних книжках, закритих реєстрах тощо. Йдеться про філософські та політичні переконання, сексуальні уподобання, хронічні захворювання, расову та національну приналежність, віросповідання. Щоб з ними працювати, потрібно попередньо забезпечити санкціонований доступ, а саме отримати офіційну згоду власника письмово.

Велике значення має правильна класифікація оператором виду ПДн та вжиття відповідних заходів для того, щоб законно їх збирати, зберігати та передавати третім особам.

Використання особистої інформації в компанії

Часто виникає питання про те, що входить до склад персональних даних працівника юридичної особи та як здійснювати зберігання подібної інформації. Згідно з Трудовим Кодексом, до ПДН співробітника відноситься інформація, що дозволяє скласти уявлення про нього як про працівника, тобто стаж діяльності, рівень кваліфікації та зарплати, пенсійні та податкові відрахування тощо. Обов'язок підприємства — подбати про їх захист та використання для створення оптимальних умов розвитку професійних навичок та підвищення кваліфікації. Крім того, роботодавець повинен повідомити, як саме використовуватимуться персональні дані фізичної особи. Попередньо створюються та впроваджуються спеціальні розпорядчі документи внутрішнього використання, зокрема, потрібна Інструкція або Положення про ПДН.

Збір даних проводиться для виконання наступних завдань:

• профілактики розголошення корпоративної таємниці та забезпечення збереження майна;
• прийому на роботу та документального закріплення цієї події;
• одержання підстав для встановлення тієї чи іншої заробітної плати;
• перевірки виконання персоналом покладених на них обов'язків;
• виявлення та підтвердження причин для переведення співробітника на вищу посаду.

При порушеннях законодавства чи витоку персональних даних (навмисної чи через недостатньо ефективної системи захисту) підприємство то, можливо притягнуто до адміністративної відповідальності як штрафу до 18 мільйонів рублів.Виявити недоробки та своєчасно їх виправити дозволить аудит, проведений фахівцями нашого Центру – наші фахівці допоможуть встановити, наскільки захищені приватні дані, і складуть рекомендації щодо оптимізації.

Що таке персональні дані

Поговоримо про те, що таке персональні дані та що до них належить.

Персональні дані (ПДн) - це інформація, яка стосується конкретної людини та дозволяє її ідентифікувати.

Що вважається персональними даними, визначено у N 152-ФЗ РФ.

Бізнес збирає персональні дані, щоб робити клієнтам вигідніші пропозиції.

Наприклад, якщо ми знаємо історію покупок чи середній чек, то запропонуємо покупцеві знижки та цікаву добірку товарів.

Інший приклад - через додаток у смартфоні компанія знає як мінімум ПІБ клієнта, номер його телефону та адресу електронної пошти. А ще — адреси доставки, транзакції по карті, дату народження, склад сім'ї і купу всього.

Третій приклад – компанія проводить опитування, використовуючи наші квізи. Запитує різне – від смаків у їжі та одязі до періодичності відвідувань стоматолога.

А що з перерахованого є ПД?

Що стосується персональних даних, а що ні

Тут визначимо, що персональними даними.

Персональні дані, що до них належать

У законі N 152-ФЗ немає точного визначення, що стосується персональних даних людини, є лише вказівка ​​на можливість ідентифікації людини за цими даними.

Те, що точно дозволяє ідентифікувати клієнта, це:

- реквізити банківського рахунку,

Деякі дані про людину, наприклад номер телефону або його ім'я, окремо не дозволяють його ідентифікувати, проте якщо компанія має доступ до них у сукупності, це зробити просто.На ім'я «Іван Петров» не можна визначити особистість, але якщо ми знаємо його місце роботи, наприклад, ТОВ «Альянс Плюс», ми зможемо знайти його серед співробітників цієї компанії.

Далі розповімо, що найчастіше входить до персональних даних фізичної особи.

Що входить до персональних даних

➕ Ім'я, прізвище, по батькові

➕ Контактна інформація: адреса, номери телефонів, електронна пошта, поштові адреси.

➕ Ідентифікаційні номери: номери паспорта, ІПН, СНІЛЗ та інші ідентифікаційні коди.

➕ Інформація про місцезнаходження людини: GPS-координати.

➕ Фінансова інформація: банківські реквізити, номери карток, інформація про доходи, витрати, кредити.

➕ Медична інформація: дані про здоров'я та медична історія.

➕ Інформація про роботу та освіту: місце роботи, посада, освіта.

Ось так виглядає персональна інформація, зібрана за допомогою квізу з підбору заміського будинку в оренду. Клієнт витратив на проходження квиза лише одну хвилину, і залишив багато корисних відомостей.

Що не є персональними даними

➖ Анонімні дані: інформація не може бути пов'язана з конкретною людиною. Наприклад, ми проводимо анонімне опитування щодо якості обслуговування серед наших клієнтів

➖ Агреговані дані: дані узагальнені та не можуть бути використані для ідентифікації окремої людини. Приклад - компанія використовує дані CRM, щоб скласти середній портрет цільової аудиторії

➖ Загальні контактні дані: загальні адреси електронної пошти або телефонні номери компаній, як правило, не вважаються персональними даними, якщо вони не пов'язані з конкретними людьми

☝ А як же дані із соціальних мереж? Користувачі вказують багато особистої інформації, але вона є загальнодоступною, навіть якщо доступ відкритий всім. Збирати досьє на людину із соцмереж не дозволяється

Навіщо бізнесу збирати персональні дані

Бізнес збирає персональні дані з різних причин, і це може бути корисним як для самих компаній, так і для клієнтів.

Ось деякі основні цілі збору персональних даних бізнесом:

1. Персоналізація — для створення персоналізованих пропозицій, послуг та рекомендацій на основі переваг та інтересів клієнтів.

За допомогою квіза клієнти легко діляться планами про покупку квартири.

2. Маркетинг та реклама — для налаштування таргетованої реклами та маркетингових кампаній на певну аудиторію на основі даних про користувачів та їх інтереси.

Угода на використання cookie з'являється у вигляді спливаючого вікна на головній сторінці Марквіз

3. Управління відносинами із клієнтами - для покращення взаємодії з клієнтами, кращого обслуговування та підтримки.

Дізнатися у покупців, що вони про вас думають – це корисно для бізнесу та приємно для клієнта. Щоб зібрати всі відповіді в одному місці та залучити більше респондентів, скористайтесь готовим шаблоном квіза

4. Аналіз даних та дослідження — для розуміння споживчих тенденцій та розробки нових стратегій.

Як дізнатися зворотний зв'язок про захід, якщо учасників було понад тисячу? Щоб покращувати продукт відповідно до запитів клієнтів, можна провести онлайн-опитування за допомогою готового шаблону квиза для збирання думок

5. Безпека та захист — для забезпечення безпеки та автентифікації користувачів.

При повторному вході в конструктор Марквіз система підставить пошту та пароль автоматично

6. Дослідження та розробка продуктів — для аналізу даних про переваги та потреби клієнтів.

Для стартапу важливо з'ясувати, чи потрібен людям новий продукт і що вони від нього чекають. Тут підійде шаблон квиза для дослідження ринку

7. Надання послуг - для доставки товарів чи медичного обслуговування.

Який косметичний догляд рекомендувати клієнтам? Щоб дізнатися, які проблеми вони хочуть вирішити, можна запропонувати квіз та персональну добірку косметики. Готовий шаблон є у Галереї

8. Освіта та навчання - для аналізу успішності учнів чи студентів.

Навчання іноземної мови починається з визначення знань студента. За допомогою квіза можна зробити це в ігровій формі, якщо скористатися готовим шаблоном

9. Контроль працівників компанії можуть збирати дані для контролю робочої активності та оцінки продуктивності співробітників.

Важливо інформувати клієнтів про цілі збору даних та отримати від них згоду на обробку персональних даних.

Що таке згоду на обробку персональних даних?

Згода на обробку персональних даних - це однозначний дозвіл від конкретної людини на те, щоб компанія могла обробляти його персональні дані.

Згода на обробку персональних даних повинна відповідати таким критеріям:

✅ Повинно бути чітко вказано, для яких цілей дані використовуватимуться. Це може бути надання певних послуг, розсилання чи реклама.

✅ Людина має явно висловити згоду на обробку своїх персональних даних.

✅ Потрібно вказати, які дані будуть збиратися: ім'я, адреса, номер телефону, адреса електронної пошти тощо. буд.

✅ Вказано терміни обробки персональних даних.

✅ Прописані права користувача на доступ до даних, право на виправлення неточностей, право на видалення даних та ін.

✅ Якщо дані передаватимуться третім особам, це також має бути зазначено у згоді.

✅ Потрібно отримати окрему згоду на маркетингові комунікації.

Якщо дані будуть використовуватися для маркетингових цілей, користувач повинен надати окрему згоду на це. Те саме стосується згоди на використання «cookies».

✅ Вказано можливість скасувати згоду.

✅ Вказано контактну інформацію оператора.

Повинні бути надані контактні дані відповідальної особи, щоб користувач міг звернутися до запитань або запитів.

✅ Оформлено поінформовану згоду.

Згода має бути запропонована після того, як людина отримала всю необхідну інформацію і повністю розуміє, як її дані використовуватимуться.

Усі ці пункти збирають у два окремі документи — Політику конфіденційності та Згоду на обробку персональних даних.

☝ Правила щодо отримання згоди на обробку ПД прописані в Загальному регламенті про захист даних (GDPR) у Європейському Союзі та Федеральному законі РФ «Про персональні дані» від 27.07.2006 N 152-ФЗ.

Суб'єкти та оператори

Розберемо терміни, що використовуються у законодавстві захисту персональних даних.

Суб'єкти персональних даних – це користувачі, у яких запитують якісь дані.

Оператори персональних даних - це компанії, які збирають та обробляють отримані дані.

Наприклад, дівчина Маша – суб'єкт ПД – вирішує зробити покупку у нашому інтернет-магазині. Для цього їй необхідно зареєструватися на сайті магазину та оформити замовлення.

Наш інтернет-магазин — оператор ПД — збирає інформацію про Машу:

Маша читає та приймає політику конфіденційності, перевіряє на сайті угоду про обробку персональних даних.

Інтернет-магазин обробляє дані Маші для оформлення замовлення та доставки товарів.

Маша отримує підтвердження про замовлення та інформацію про доставку на свою пошту. Вона також може ставити запитання про замовлення або попросити видалити дані після завершення угоди.

Як оператору працювати з персональними даними

Як правильно працювати з персональними даними, зазначено у 5 статті ФЗ 152.

Визначимо основні етапи:

1. Збір персональних даних.

Наприклад, коли користувач реєструється в соціальній мережі та вказує своє ім'я та адресу електронної пошти, це збирання персональних даних.

2. Обробка персональних даних.

На цьому етапі дані аналізуються чи перетворюються. Так, якщо програма рекомендує музику на основі того, що клієнт слухав раніше, це обробка даних.

3. Зберігання персональних даних.

Після збору та обробки дані мають десь зберігатися. Можна зберігати на серверах або базах даних.

4. Захист персональних даних.

Компанії зобов'язані піклуватися про безпеку даних та запобігати витоку або зламам. Це включає прогноз погроз безпеки та шифрування.

5. Знайомство з документами та правилами.

Компанія має надавати документи, які визначають, як вони працюють із даними. Це політика конфіденційності та процедури для дотримання законів про захист даних.

Оператори персональних даних несуть відповідальність за правильну та законну обробку інформації.

☝ Що вимагає Європейське законодавство у сфері захисту персональних даних, розповідаємо у статті Що таке GDPR

Зібрали в таблицю найпоширеніші випадки, коли виникає питання про правильність збору ПД:

Яких умов зобов'язаний дотримуватись оператор при обробці персональних даних

Компанія зобов'язана подати заяву до Роскомнагляду до початку збору ПД. Це можна зробити через держпослуги, подати заяву особисто чи через сайт відомства. Після подання заяви протягом 30 днів компанію включать до реєстру операторів, що здійснюють обробку персональних даних.

☝ Також заяву потрібно подавати, якщо відомості з минулої заяви зміняться або якщо збір ПД буде припинено.

Перед поданням заяви слід визначити відповідального співробітника, а потім вказати її в заяві.

Марквіз є оператором персональних даних та включений до Реєстру операторів.

Ще потрібно скласти Політику конфіденційності для користувачів та Положення про обробку та забезпечення безпеки персональних даних для внутрішнього користування.

Також знадобиться форма згоди на обробку ПД.

У квізах ми вказуємо чекбокс із положенням про обробку ПД та політикою конфіденційності, щоб збирати дані про клієнтів законно.

Дотримання цих умов і правил є важливим для захисту приватного життя людей.

Висновок

Квізи збирають ті персональні дані, які потрібні компанії для просування своїх товарів або послуг. За допомогою цього інструменту люди самі розповідають про себе важливу інформацію.

Ми дбайливо зберігаємо отриману інформацію. За останні 6 років роботи у нас не трапилося жодного витоку.

Реєструйтеся в конструкторі Марквіз та спробуйте зібрати квіз для вашого бізнесу.