Новые штрафы за персональные данные что сделать кадровикам чтобы компания не потеряла полмиллиона

Обновлено: 24.04.2024

Переход в цифру увеличивает риски

С учетом активного перехода компаний в цифру и на удаленную работу, вероятность утечки или хищения персональных данных (ПДн) возрастает, возрастают и репутационные риски и риски внеплановых проверок Роскомнадзора, прокуратуры и ФСБ.

Причина тому — ежегодный рост утечек ПДн граждан. Способов использования похищенных данных достаточно много, от банальных рассылок спама до продуманных схем социальной инженерии. Вот наиболее частые:

По данным отчета Центрального банка, за первые шесть месяцев 2020 года было зафиксировано более 300 тысяч несанкционированных операций со средствами граждан, совершенных без их согласия. Их объем составил порядка 4 млрд рублей. Это на 39% больше того же периода 2019 года.

Ежегодный рост утечек ПДн налицо. Законодатели призывают к ответственности путем повышения штрафов, увеличения числа проверок для того, чтобы компании принимали меры по обеспечению безопасности обрабатываемых ими ПДн.

15 топ-менеджеров , которые вывели свои компании на лидирующие позиции в рейтинге ESG.

О законодательстве и штрафах

Основным документом, определяющим порядок ответственности и штрафов за административные нарушения, является КоАП — Кодекс об административных правонарушениях.

Последнее принятое изменение в КоАП ужесточило ответственность за нарушение требований по локализации ПДн: теперь серверы с данными российских пользователей должны находиться на территории России.

С декабря 2019 года первичный штраф для организаций, нарушивших это требование, составляет от 1 до 6 млн рублей, за повторный — от 6 до 18 миллионов. Вспомним о назначении штрафа Twitter в размере 4 млн рублей за отказ о переносе серверов в Россию.

Изменения в российском законодательстве, которые нас ждут

Сейчас Госдума совместно с Правительством готовит не просто поправки в КоАП, а принятие нового кодекса. В части про персональные данные нас ждут два изменения.

Изменение №1

Появляется новое основание, за несоблюдение которого могут оштрафовать (раньше за это не наказывали рублем). Невыполнение обязанности по соблюдению конфиденциальности ПДн влечет наложение штрафа:

на граждан — в размере от 10 до 20 тысяч рублей;
на должностных лиц — от 40 до 100 тысяч рублей;
на индивидуальных предпринимателей — от 100 до 300 тысяч рублей;
на юридических лиц — от 300 до 500 тысяч рублей.

Организация, физическое или юрлицо, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия владельца ПДн, если это не предусмотрено федеральным законом.

Любая передача ПДн (распространение, предоставление, доступ) является незаконной без согласия владельца ПДн и является нарушением конфиденциальности его ПДн.

Если ПДн сотрудников были переданы без их письменного согласия, то во-первых, это противозаконно, а во-вторых, за подобные действия будут штрафовать.

Вот типовые ситуации, которые будут подпадать под данную статью:

1. Передача ПДн работников третьим лицам:

в банк для целей выплаты заработной платы и иных материальных выплат, а также перечисления подотчетных средств;
в охранное предприятие в целях взаимодействия и реагирования;
в медицинские организации в целях проведения медицинских осмотров;
в страховые компании по договорам добровольного медицинского страхования;
в образовательные организации в объеме превышающем требования закона об образовании;
в целях организации командировок и участия в выставках;
в других целях, напрямую не связанных с должностными обязанностями сотрудника.

2. Передача ПДн клиентов, представителей клиентов, поставщиков, партнеров третьим лицам в целях:

организации мероприятий, маркетинговых акций, рекламы;
размещения отзывов, рекламных акций на сайте компании и других общедоступных источниках;
сбор персональных данных через онлайн-каналы (мессенджеры, социальные сети, формы обратной связи на сайте, онлайн-консультанты) без применения средств защиты, обеспечивающих их конфиденциальность при передаче через интернет.

3. Получение ПДн без подтверждения наличия согласия от человека или иных законных оснований у передающей стороны.

4. Предоставление доступа к ПДН внутри организации сотрудникам без должного документального оформления (должностные обязанности и/или локальные нормативные акты).

Изменение №2

Ответственность за не обезличивание персональных данных теперь несут не только государственные и муниципальные органы власти, но и все операторы.

По второму изменению в новом КоАП дело касается обезличивания ПДн. Проще говоря, если персональным данным (паспортным, медицинским, контактным данным и т.п) будет присвоен идентификационный номер, то это обезличивает персональные данные, т.к. по одному номеру нельзя определить человека.

В новом КоАП предполагается распространить ответственность за не обезличивание персональных данных с государственных и муниципальных органов власти на всех операторов. Все операторы будут обязаны обезличивать ПДн, которые обрабатывают.

Невыполнение подобных требований влечет предупреждение или наложение административного штрафа для всех операторов ПДн в размере от 3 до 6 тысяч рублей. Штрафы небольшие, но можно предположить, что это только начало.

Что делать в 2021 году

Новый КоАП еще не принят, но вектор внимания уже определен. Для того чтобы нововведения не стали для вас сюрпризом, необходимо в 2021 году провести оценку соответствия процессов обработки и защиты персональных данных требованиям законодательства.

Проводить ее необходимо не реже, чем раз в три года. Это установлено законом.

Компания должна выполнить следующее:

Изучить все источники поступления ПДн в организацию, цели поступления и состав данных. К примеру, нужно понимать, что источники ПДн клиентов и сотрудников разные, и состав ПДн тоже разный.
Проанализировать, где и как организация получает ПДн — наличие договора, соглашения и/или другого юридически значимого документа, подтверждающего правомерность получения персональных данных, их состав и цели обработки. Получение всех ПДн, которые попадают в организацию, без исключения должны подтверждаться подобными документами: корректно составленное соглашение по обработке ПДн на сайте, с которого компания получает ПДн клиентов, Соглашение по обработке ПДн с сотрудниками.
Изучить, какие и чьи ПДн в организации обрабатываются (в разрезе категорий физических лиц). Ориентируясь на ПДн клиентов и сотрудников, видно, что процесс их обработки и хранения разный. Доступ к ПДн сотрудников имеют отдел кадров, бухгалтерия, а к клиентским данным — та же бухгалтерия и коммерческий отдел.
Проверить наличие утвержденных локальных нормативных актов, определяющих порядок доступа сотрудников к персональным данным. Документы, в которых прописано, кто и за что отвечает.
Проанализировать соответствие процесса обработки локальным нормативным актам. Зачастую на практике бывает несоответствие.
Изучить ваших получателей персональных данных: кому, для каких целей и в каком составе передаются персональные данные. Опять же, практика показывает, что в некоторых организациях к ПДн допускаются сотрудники, не имеющие к ним отношения.
Проанализировать, на каких условиях передаются ПДн третьим лицам — обязательно наличие договора, соглашения и/или другого юридически значимого документа, подтверждающего правомерность передачи персональных данных. Если зачисление зарплаты сотрудникам компании происходит через зарплатный проект банка, то компания обязана с каждым сотрудником, участвующем в зарплатном проекте, подписать соглашение о передаче его ПДн в этот банк.
Определить, какие персональные данные стоит обезличивать. К примеру, это данные, чей срок хранения официально вышел, но при этом характеристики клиента имеют ценность без необходимости идентификации физического лица.
Определить, какие согласия уже не имеют силы и которые надо скорректировать. Отсутствие отлаженной системы работы с ПДн в прошлом означает, что, возможно, часть документов уже не актуальна.
Изучить, как защищаются персональные данные в компании и от кого они реально защищены — только от внешних злоумышленников или от внутренних тоже? Очень часто данные клиентов утекают вместе с увольняющимися сотрудниками коммерческих отделов.
Составить годовой план и реализовать его. Необходимо разработать поэтапный план по реализации этих пунктов с учетом объема работы и времени на их выполнения.

Два пути

Утечка ПДн может обернуться для компании не только финансовыми убытками, но и потерей репутации на рынке и разрывом отношений с партнерами. Поэтому важно изучить законодательство и вовремя принять меры. И здесь есть два пути:

Что можно считать распространением персональных данных в кадровой работе? Когда следует получать у работников согласие о распространении их данных? Какова форма этого согласия?

Ответы на эти и многие другие вопросы вы найдете в нашей статье.

КОГДА ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ЯВЛЯЕТСЯ РАСПРОСТРАНЕНИЕМ

• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

• предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Можно сделать следующие выводы:

1. Передача ПД может осуществляться путем их распространения, предоставления или открытием доступа к ним.

2. Распространение ПД — это один из видов передачи данных, при котором ПД раскрываются неопределенному кругу лиц.

Эти выводы очень важны, поскольку позволяют четко разделить, когда происходит распространение (данные видит неограниченный круг лиц), а когда предоставление (данные получают строго определенные лица).

Например, является ли предоставление ПД работника в банк для оформления зарплатной карты или передача данных работника для покупки билета на самолет распространением его ПД? Нет, не является, потому что эти данные предоставляются строго ограниченному кругу лиц. Их не сможет увидеть больше никто, кроме работников банка или специалистов по оформлению билетов.

Если все так очевидно, то почему мнения юристов и консультантов так противоречивы?

Полагаем, что законодатели сами несколько запутали ситуацию, применяя в п. 12 ст. 10.1 Федерального закона № 152-ФЗ все термины, характеризующие передачу ПД:

Извлечение из Федерального закона № 152-ФЗ

12. Передача (распространение, предоставление, доступ)[2] персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных.

Из этого некоторые специалисты делают некорректные выводы:

• все виды передачи ПД (в т. ч. их представление в ПФР, соцстрах, налоговую инспекцию) с 01.03.2021 обязательно должны сопровождаться получением от работника согласия на распространение его ПД;

• все данные о работнике, которые использует работодатель, должны быть включены в согласие, а работник сам отметит, к каким ПД он разрешает доступ, какие можно предоставлять, а какие — распространять.

ОБ ИЗМЕНЕНИИ ТЕКСТА СОГЛАСИЯ НА ОБРАБОТКУ ПД

Согласие на обработку ПД работников необходимо получать, только если работодатель собирает, обрабатывает и хранит данные, которые не связаны с исполнением трудового договора (фотография, адрес личной электронной почты и т. п.) То есть такие ПД, которые Трудовой кодекс РФ требовать у работника не обязывает.

Соответственно, если работодатель обрабатывает только обязательную информацию, установленную в ст. 65 ТК РФ и в разделах личной карточки формы № Т-2, согласие на обработку ПД работников может отсутствовать. Именно такие разъяснения ранее давал Роскомнадзор[3].

РАСПРОСТРАНЯЕТ ЛИ РАБОТОДАТЕЛЬ ПД СВОИХ РАБОТНИКОВ?

Извлечение из Федерального закона № 152-ФЗ

1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)[4];

В настоящее время практически каждая компания каким-либо образом представлена в Интернете:

• у нее есть свой сайт или страничка в социальной сети;

• она включена в каталоги предприятий или организаций города;

В офисах на досках объявлений размещают поздравления с днем рождения, фотографии лучших работников или фотоотчеты о мероприятиях, графики дежурств или какие-либо списки. И конечно, почти в каждом офисе на кабинетах есть таблички с указанием должностей и фамилий начальников или специалистов.

Откройте страницу 3 нашего журнала. Справа указаны фамилия и инициалы шеф-редактора, его заместителя, научного редактора, должности и фамилии авторов статей. Любой человек может видеть эти ПД.

Если ПД работников может увидеть любой человек, который откроет журнал, зайдет в помещение организации или на ее сайт в Интернете, то распространение ПД имеет место.

В соответствии с изменениями в законодательстве у каждого работника, чьи ПД находятся на всеобщем обозрении, следует взять согласие на распространение его персональных данных. Однако из этого правила есть исключение: получать согласие не требуется, если обязанность размещать ПД работников в сети Интернет предусмотрена законодательством РФ [5] .

[2] В извлечении выделено автором.

[4] Пункт 1 ч. 1 ст. 3 Федерального закона № 152-ФЗ.

[5] Разъяснения от 14.12.2012, п. 15 ст. 10.1 Федерального закона № 152-ФЗ.

А. Н. Славинская,
специалист по кадрам

Нарушать правила работы с персональными данными стало дороже. С 27 марта штрафы выросли вдвое — до 500 тыс. руб. Незадолго до этого изменили правила защиты персональных данных. Если кадровики срочно не перестроят работу и не учтут все изменения, Роскомнадзор будет штрафовать компанию и директора уже с учетом новых санкций. Читайте, какое новое согласие нужно оформлять, как поменять шаблон согласия на обработку персональных данных и учесть один новый запрет.

За какие нарушения Роскомнадзор будет штрафовать компанию и директора

Кадровик взял письменное согласие сотрудника, чтобы получить сведения о его дипломе в вузе. Но не стал оформлять письменное согласие о передаче данных в банк, так как передавал эту информацию в интересах и по просьбе самого сотрудника. Это нарушение. Сотрудник должен был оформить письменное согласие на передачу своих данных в банк.

Николаев пришел в отдел кадров и предупредил, что в течение часа кадровику позвонит кредитный менеджер банка. Николаев просил передать сведения о его должности и зарплате в банк, иначе ему откажут в кредите. Кадровик не сомневалась, что имеет право передать эти сведения по просьбе Николаева и подтвердила их по телефону. Согласие на передачу данных Николаев не писал. Это нарушение Роскомнадзор обнаружил даже не в компании, а в банке, когда проверял документы к кредитному договору.

Если компанию оштрафовали, а после работодатель снова обработал персональные данные без письменного согласия сотрудника, директору грозит штраф уже от 40 до 100 тыс. руб., а компании — от 300 до 500 тыс. руб., ч. 2.1 ст. 13.11 КоАП.

Компании грозит новый штраф из-за того, что кадровик не успел учесть изменения в работе с персональными данными.

Кадровик при приеме на работу собирает сведения у сотрудников, заполняет с их слов карточку Т-2 и берет согласие на обработку персональных данных, чтобы разместить сведения о сотруднике, включая фотографию, на корпоративном портале и сайте компании. В шаблоне согласия на обработку кадровик перечислил все действия с персональными данными, новички только вписывают в шаблон сведения и отмечают те действия, на которые дают согласие.

1 апреля кадровик оформляла прием на работу Егорова. Взяла у него одно письменное согласие на размещение персональных данных на сайтах и для оформления пропуска. Это нарушение, так как теперь для того, чтобы разместить сведения о сотрудниках на сайтах, у него нужно взять отдельное письменное согласие на распространение персональных данных.

Сотрудник, которого направляли в командировку, написал согласие на использование его паспортных данных для покупки билетов и бронирования гостиницы. Кадровик, когда обрабатывала эти данные, заодно внесла их в договор со страховой компанией по программе ДМС. Кадровик действовала в интересах сотрудника, но обработала персональную информацию не в тех целях, на которые он дал согласие.

Раньше за нецелевую обработку персональной информации сотрудника компании штрафовали на 30–50 тысяч рублей, теперь штраф составит от 60 до 100 тысяч, ч. 1 ст. 13.11 КоАП. Должностных лиц также наказывают строже: им придется заплатить 10–20 тысяч рублей вместо 5–10 тысяч.

Если кадровик снова обработает персональные данные в незаконных целях, штраф для организации составит 100–300 тысяч рублей, для руководителя — 20–50 тысяч, ч. 1.1 ст. 13.11 КоАП.

Ответственность за нарушения установила статья 13.11 КоАП В ней девять нарушений, штрафы за которые увеличили в два раза. Кроме того, появились штрафы за повторные нарушения.

Когда нужно брать новое согласие на распространение данных

Отдельное согласие на распространение персональных данных получайте, когда предоставляете сведения о сотруднике неопределенному кругу лиц.

На сайте компании размещаете информацию для контрагентов. Вам нужно предоставить данные о руководителях ключевых проектов: Ф. И. О. сотрудников, должности, сведения об образовании и опыте работы, успешные проекты, электронную почту и телефон.

Еще примеры. Ваша компания публикует кейсы о работе сотрудников и проектах, которые выполняет компания, в интернете. Так как в кейсах нужно максимально подробно описать весь процесс, вам приходится публиковать данные своих сотрудников и их работах на сайтах сторонних организаций, в соцсетях и мессенджерах. Иногда компания в рекламных целях дает разрешение на публикацию интервью с сотрудниками, выпускает пресс-релизы и т. д.

Во всех подобных ситуациях у каждого сотрудника, чьи данные станут известны кому угодно в интернете, нужно взять согласие на распространение этих сведений.

Согласие сотрудник должен оформить письменно, ст. 88 ТК. Электронный документ сотрудник должен подписать простой электронной подписью. С 1 июля сотрудники смогут разрешать распространять их данные через информационную систему Роскомнадзора, п. 2 ч. 6 ст. 10.1 Закона № 152-ФЗ.

Почему нельзя брать данные сотрудников в интернете

Еще одно нововведение — запретили использовать данные из открытых источников, например страницы сотрудника в соцсети. Раньше вы могли использовать те фото и другие данные сотрудников, которые они сами открыли для всех в интернете.

С 1 марта 2021 года используйте данные из открытых источников только с письменного согласия работника.

Как и когда придется удалить данные

Удалить персональные данные сотрудника придется в следующих ситуациях.

Ситуация 1. Разместили данные сотрудника без его согласия. В этой ситуации он может потребовать удалить информацию, например с сайта компании. Вы обязаны удалить персональные данные в течение трех рабочих дней.

Ситуация 2. Опубликовали данные с согласия сотрудника, но после он передумал. В этой ситуации вы должны удалить данные и прекратить их распространять после того, как получите от сотрудника запрос.

Если такая ситуация возникла, помогите сотруднику составить запрос. В нем он должен указать:

— фамилию, имя, отчество;

— контактные данные, например телефон, электронную почту, почтовый адрес;

— перечень персональных данных, передавать которые третьим лицам он запрещает.

Ситуация 3. Сотрудник дал согласие предоставить доступ к его данным неограниченному кругу лиц, но вы не выполняете его условия или требования закона. В этой ситуации сотрудник может обратиться к любому работнику компании, который обрабатывает его данные, и потребовать прекратить передачу сведений. Требование нужно выполнить в течение трех рабочих дней.

С 1 марта 2021 г. в нашей стране введен новый порядок распространения персональных данных граждан 1 . В статье мы расскажем об этих изменениях и рассмотрим проблемы, которые могут возникнуть у предпринимателей уже сейчас.

Договоримся о терминах

Персональные данные (ПД) – это любая информация о человеке: Ф.И.О., дата рождения, паспортные данные, адрес, e-mail и т.д.

Оператор – лицо (компания), которое осуществляет любые действия с персональными данными (в законе эти действия называются обработкой), например собирает, записывает, систематизирует, копит, хранит, уточняет, извлекает, использует, передает, обезличивает, блокирует, удаляет, уничтожает, распространяет, предоставляет доступ.

ПД, размещенные в открытом доступе, – это ПД, размещенные в интернете, доступ к которым предоставлен всем желающим без необходимости регистрации на сайте.

Касаются ли изменения вашей компании?

Да, если соблюдено одно из указанных условий.

На вашем сайте в открытом доступе размещаются ПД.
Вы собираете и структурируете ПД, размещенные в открытом доступе.
Вы публикуете ПД в печатной или иной форме, при которой ПД находятся в открытом доступе.

Пример: социальные сети, сайты объявлений, форумы, печатные издания с объявлениями и т.д.

Нет, если соблюдено одно из указанных условий.

Пример: закрытая корпоративная социальная сеть или сайт-интегратор объявлений, на котором доступ к ПД продавцов можно получить только после регистрации на сайте.

Под государственными, общественными и публичными интересами в основном понимаются вопросы безопасности государства, граждан и т.д. Поэтому сложно придумать реальный случай, когда коммерческая организация могла бы прикрыться данным пунктом закона.

Как регулировалось распространение ПД до 1 марта 2021 г.?

1. Законность распространения ПД подтверждалась несколькими способами.

Пример: предоставление согласия на обработку ПД на сайте объявлений о продаже автомобилей. Сайт получает согласие продавца, размещает его имя и номер телефона, чтобы с ним могли связаться покупатели.

Пример: заключение договора с рекрутинговым агентством, по которому оно размещает на своем сайте анкету с ПД соискателя и к ней получает доступ неограниченное число лиц.

Пример: гражданин получил на свой e-mail именное предложение оформить кредит. Он обращается письменно в банк (к оператору) с требованием уничтожить ПД как полученные незаконно и ссылается на то, что никогда не передавал свои ПД в этот банк и не заключал с ним договор.

3. Если оператор получал от лица отзыв согласия на обработку ПД, у него было 30 дней на то, чтобы прекратить обработку ПД и уничтожить их 7 .

Что изменилось в регулировании распространения ПД с 1 марта 2021 г.?

Введено новое понятие – ПД, разрешенные субъектом ПД к распространению.

Под этим термином закон понимает ПД, к которым лицо предоставило доступ неограниченному кругу лиц путем дачи согласия на обработку персональных данных, разрешенных для распространения (далее – согласие на распространение) 8 . Это означает, что установлен отдельный порядок регулирования распространения ПД, который не соответствует общему порядку регулирования обработки ПД. Если раньше для распространения ПД достаточно было получить общее согласие на обработку ПД, то теперь для этого нужно получить отдельное согласие.

Иными словами, оператор должен получить:

согласие на обработку ПД, по которому сможет собирать, систематизировать, хранить и осуществлять иные действия с ПД;
отдельное согласие на распространение ПД, без которого распространение ПД будет незаконным.

Законность распространения ПД и их сбора из открытых источников подтверждается исключительно наличием согласия на распространение.

Если ранее оператор мог законно распространять ПД путем получения согласия на обработку ПД, заключения договора или сбора ПД из открытых источников, то теперь законное условие одно – получение отдельного согласия на распространение ПД 9 .

Установлены требования к оформлению согласия на распространение ПД.

Форма согласия на распространение ПД, которую предлагает Роскомнадзор, на наш взгляд, перегружена лишней информацией. Например, оператор должен будет указывать в согласии свои коды по классификаторам (ОКВЭД, ОКПО, ОКОГУ, ОКОП, ОКФС). Каким образом знание этих кодов может помочь лицу в спорах с оператором – непонятно.

2. В форме согласия на распространение ПД оператор обязан дать возможность лицу предусмотреть:

перечень и категории ПД (общие, специальные, биометрические), на которые распространяется его согласие на распространение 11 ;
запрет на распространение и предоставление ПД неограниченному кругу лиц 12 ;
запрет на обработку ПД неограниченным кругом лиц, за исключением права получения доступа;
условия обработки ПД неограниченным кругом лиц, за исключением права получения доступа.

Чтобы соответствовать этим требованиям, операторам придется потратиться на создание на своих сайтах отдельных форм согласий, которые будут учитывать все возможные варианты запретов и ограничений.

При этом обыватели часто не знают, что такое ПД и какие у них есть права относительно обработки их ПД. Непонятно, как они самостоятельно смогут заполнить такое согласие и не допустить ошибок.

3. Согласие на распространение ПД может быть получено оператором непосредственно или с использованием информационной системы Роскомнадзора 13 .

Согласие оператор может получить от лица в письменной форме или через специальную онлайн-форму на своем сайте. При этом молчание или бездействие лица не являются согласием на распространение ПД 14 .

Информационная система Роскомнадзора должна заработать с 1 июля 2021 г. Пока она находится на стадии разработки, и о ней ничего не известно, а разъяснений со стороны Роскомнадзора нет. Поэтому комментировать данную норму еще рано.

4. Оператор обязан не позднее 3 рабочих дней с момента получения согласия на распространение ПД опубликовать информацию:

об условиях обработки ПД;
об условиях обработки ПД неограниченным кругом лиц 15 ;
о наличии запретов на обработку ПД.

Согласно комментариям Роскомнадзора, озвученным на дне открытых дверей 28 января 2021 г., данная информация должна быть опубликована оператором на своем сайте таким образом, чтобы доступ к документу был у всех желающих. Как мы указывали выше, письменных разъяснений нет, и нам остается довериться данной позиции.

Так как четкие требования к форме согласия не установлены, возникает риторический вопрос: в каком объеме должны быть раскрыты ПД в данном документе, чтобы лицо нельзя было спутать с тезкой? Такой пример: на сайте размещены ПД двух человек, Ф.И.О. которых идентичны. При этом один из них разрешает распространять все свои ПД, а другой – только Ф.И.О. и номер телефона. Как стороннее лицо должно определять, к кому из них относятся те или иные условия обработки ПД?

Что делать оператору, если согласие на распространение ПД составлено некорректно?

1. Если из текста документа не следует, что лицо согласно на распространение ПД, то такие ПД должны обрабатываться оператором без права распространения 16 . Данный пункт позволяет сделать вывод о том, что малейшее сомнение в правильности оформления согласия будет трактоваться не в пользу оператора.

2. Если из текста согласия на распространение ПД не следует, что субъект ПД не установил запреты и условия обработки ПД или он не указал перечень и категории ПД, в отношении которых установлены запреты и условия, то такие ПД должны обрабатываться оператором без права распространения и предоставления неограниченному кругу лиц 17 . Это означает, что если есть сомнения в правильности установления лицом запретов или условий обработки ПД, то оператор обязан обрабатывать ПД без их раскрытия неограниченному кругу лиц.

Порядок прекращения распространения ПД.

1. Если ранее оператор должен был прекратить обработку ПД в течение 30 дней с момента получения от лица отзыва согласия, то сейчас он должен прекратить распространение, предоставление ПД и закрыть доступ к ним в любое время по требованию лица 18 . Согласие на распространение ПД прекращает действовать с момента, когда оператор получил такое требование 19 . При этом в законе не определена форма требования. Скорее всего, оно может быть оформлено как письменно, так и в электронном виде.

Возникает вопрос: что делать оператору, если требование было получено на e-mail ночью или в выходной день? Формально он должен удалить ПД с сайта немедленно, поскольку согласие больше не действует. Такой порядок может привести к недобросовестному поведению со стороны граждан (субъектов ПД).

2. Субъект ПД вправе обратиться к любому лицу, обрабатывающему его ПД, т.е. не только к оператору, которому было дано согласие на распространение ПД, но и к другим лицам, которые стали обрабатывать ПД в последующем. Гражданин вправе требовать от таких лиц:

прекратить распространение ПД, или
прекратить предоставление ПД и доступ к ним в случае, если такое лицо не соблюдает требования, установленные ст. 10.1 Закона о персональных данных (особенности обработки ПД, разрешенных субъектом ПД для распространения), или
обратиться в суд.

В случае такого обращения лицо, обрабатывающее ПД, обязано прекратить распространение, передачу ПД и доступ к ним:

в течение 3 рабочих дней с момента получения требования, или
в срок, указанный в решении суда, или
в течение 3 рабочих дней с момента вступления в силу решения суда 20 .

Возникает вопрос: как оператор будет доказывать тот факт, что ПД были распространены субъектом самостоятельно? Здесь также есть шанс, что субъекты ПД будут злоупотреблять своими правами.

Закон указывает, что если ПД были раскрыты неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы, то лицо, в последующем распространяющее или обрабатывающее ПД, обязано доказать законность распространения или обработки ПД.

Что делать компаниям, которые собирают ПД из открытых источников?

С 1 марта 2021 г. компании больше не могут так делать: норма исключена из закона. Теперь они обязаны получить согласие лица на обработку ПД, даже если данные были взяты из открытых источников.

Ответственность оператора за распространение ПД без согласия субъекта

Оператор может быть привлечен к административной ответственности. До 27 марта 2021 г. размер штрафа составит:

от 5 до 10 тыс. руб. – для индивидуального предпринимателя;
от 30 до 50 тыс. руб. – для компании 24 .

С 27 марта 2021 г. размер штрафов увеличивается:

от 10 до 20 тыс. руб. – для индивидуального предпринимателя;
от 60 до 100 тыс. руб. – для компании.