Что мы имеем в отношении обязанности ИП и организаций уведомлять Роскомнадзор о начале, изменении и окончании обработки персональных данных? Жуть, что имеем. Но надо выполнять. Иначе…
фото freepik.com
1. Почему?
Закон от 27.07.2006 за №152-ФЗ о персональных данных со всеми изменениями к нему.
2. Что это?
Персональные данные – личные сведения о физических лицах: ФИО человека, дата и место рождения, адрес жительства, семейное положение, образование, профессия, доходы и другая личная информация.
3. Что такое обработка?
Раньше речь шла только об автоматизированной обработке данных. Теперь под обработкой персональных данных понимаются любые действия с такими данными, включая сбор, запись, систематизацию, хранение, обновление, распространение, уничтожение в любых видах.
4. А если я не собираю персональные данные?
Если у ИП есть сотрудники, то собираете. И в этом случае ИП становится оператором ПД.
5. И что надо делать?
Уведомлять о том, что вы начинаете собирать ПД (о намерении), уведомлять о том, что вы изменили сбор ПД, уведомлять о том, что прекратили быть оператором ПД. Можно не уведомлять только тогда, когда вы используете ручной труд для обработки. Например, бумагу и шариковую ручку. На бумаге храните, обрабатываете, утилизируете, уничтожаете ПД своих сотрудников, покупателей, подрядчиков и т.д.
Если сведения, которые содержались в первичном уведомлении, поменялись, то надо и об этом уведомить РКН. Сделать это до 15 числа следующего месяца.
А если собирал, обрабатывал, а потом передумал?
При прекращении обработки ПД надо уведомить РКН в течение 10 дней. Рабочих. Тыкаем сюда в таком случае.
А какие это бывают случаи? У РКН есть ответ на этот вопрос:
ликвидация оператора ПД,
прекращение деятельности оператора в результате его реорганизации,
аннулирование лицензии на осуществление лицензируемой деятельности оператора, если условием лицензии на осуществление такой деятельности является запрет на передачу ПД третьим лицам без согласия в письменной форме субъекта ПД,
наступление для оператора срока или условия прекращения обработки ПД, указанных им в предыдущем уведомлении (о начале или изменении обработки ПД),
вступившее в законную силу решение суда о прекращении оператором деятельности по обработке ПД.
7. А что дальше?
А дальше — реестр. Куда ж без него?! После того, как данные попали в РКН, их внесут в течение 30 дней вот сюда.
8. А еще что делать надо?
Вы должны сделать всё, чтобы предотвратить утечку ПД. А чтобы доказать, что вы сделали всё, чтобы предотвратить утечку ПД, вам надо издать комплект документов, включая положение об обработке ПД, назначить ответственных, обеспечить техническую возможность сохранности ПД.
9. А если это всё не делать?
Есть статьи в КоАП и про суммы штрафов можно почитать вот здесь.
Что еще почитать по этой теме, если оказалось мало?
👉Про то, какие документы должны быть про обработку ПД, я писала здесь.
