1. Що потрібно робити, щоб не порушувати закон про персональні дані?
2. Які документи потрібно підготувати і де їх розмістити, щоб не отримати штраф?
3. Доведіть, що це мій сайт!
4. Підготуйте все і спите спокійно)

Більшість власників сайтів хоч краєм вуха, але чули про порушення законодавства у сфері персональних даних. Якщо раніше велика кількість власників сайтів закон проігноіровалі, тепер з ним доведеться рахуватися.

7 лютого цього року внесені поправки до статті 13.11 КоАП з приводу порушень закону про персональні дані. Вони вступлять чинності 1 липня 2017 року і торкнуться всіх, хто збирає, обробляє і зберігає будь-які персональні дані.

Виконання закону доручено Роскомнадзор, який зараз активно блокує сайти відповідно до інших законів, а значить і за виконання цього прийметься.

Це означає, що всі власники сайтів, на яких є особисті кабінети, форми зворотного зв'язку, підписки або реєстрації, де можна щось купити, розмістити оголошення, заповнити анкету, - це оператори персональних даних. Навіть якщо на сайті є тільки кнопка для замовлення дзвінка або відправки повідомлення - це теж обробка персональних даних.

За відсутність на сайті політики конфіденційності, IP можуть оштрафувати на 10 тисяч рублів, а ТОВ - на 30 тисяч. А якщо обробляти персональні дані без згоди клієнта інтернет-магазину або передплатника на інформаційний курс, то штраф для юридичної особи складе до 75 тисяч рублів. Директору компанії або підприємцю доведеться заплатити до 20 тисяч.

Що потрібно робити, щоб не порушувати закон про персональні дані?

отримувати письмову згоду у кожного відвідувача, клієнта або передплатника на обробку, зберігання і поширення персональних даних У всіх формах зворотного зв'язку на сайті поставити галочку за замовчуванням: «Згоден на обробку персональних даних.». Без галочки форма не повинна відправлятися. публікувати у відкритому доступі інформацію про роботу з персональними даних клієнтів і відвідувачів Скласти текст «Політики конфіденційності» (або взяти на іншому сайті з аналогічними вашим цілями і завданнями щодо збору даних, допрацювавши під себе) і розмістити на сайті. запитувати тільки ті дані, які потрібні для конкретної мети. Наприклад, не можна просити домашню адресу або паспортні дані для підписки на розсилку по електронній пошті Перевірити всі форми і анкети на сайті на предмет зайвих даних. Видалити непотрібні поля. використовувати дані тільки для тих цілей, які вказані в документах і про які користувача попередили; Чи не передавати нікому свої клієнтські бази. Продукт використовувати тільки за призначенням. повідомляти за запитом користувача, які у вас є дані про нього, як і для чого вони обробляються і кому ви їх передавали Організувати єдину систему зберігання даних всередині компанії. Навчити співробітників, що працюють з даними, їй користуватися. видаляти на першу вимогу дані будь-які персональні дані, які у вас є про користувача; У розсилках в обов'язковому порядку реалізувати можливість відписатися від розсилки. зареєструватися в Роскомнадзоре. Він внесе інформацію про оператора до загального реєстру і видаватиме за запитом. необхідно подати повідомлення онлайн на сайті Роскомнадзора . Початком діяльності в якості оператораперсональних даних, вкажіть дату реєстрації компанії.

Які документи потрібно підготувати і де їх розмістити, щоб не отримати штраф?

Чіткого переліку документів Законодавством не передбачено, при цьому їх повинно бути досить для виконання обов'язків, передбачених Законом про персональні дані.

Нижче представлений перелік документів, які можуть зажадати контролери з Роскомнадзора:

1. Документи, що підтверджують виконання оператором ПДН вимог статті 22 ФЗ №152:

• Повідомлення Роскомнадзора про намір здійснювати обробку персональних даних.

1. Положення, накази та інші документи, що регламентують обробку ПДН:

• Перелік ПДН та інших об'єктів, які підлягають захисту,
• Політика щодо обробки ПДН (загальнодоступна, на сайті),
• Положення про комерційну таємницю,
• Положення про обробку і захист персональних даних працівників,
• Положення про обробку і захист персональних даних клієнтів,
• Наказ про призначення уповноваженого працівника, відповідального за забезпечення інформаційної безпеки і захист персональних даних,
• Наказ про допуск співробітників до обробки ПДН.

1. Документи і накази, які регламентують питання проектування системи захисту ПДН:

• Положення про заходи щодо організації захисту інформаційних систем персональних даних (ІСПДн),
• Модель загроз,
• Акт визначення рівня захищеності ПДО при їх обробці в інформаційних системах персональних даних (ІСПДн),
• План заходів щодо забезпечення безпеки ПДН,
• Перелік ІСПДн,
• Наказ про проведення аналізу загроз безпеки ПДН.

1. Положення, накази та інші документи, які регламентують питання забезпечення інформаційної безпеки (ІБ):

• Положення про організацію режиму безпеки приміщень, де здійснюється робота з ПДН (інструкція),
• Положення про антивірусного захисту,
• Положення про пральний захисту,
• Інструкція по проведення антивірусного контролю в інформаційній системі персональних даних,
• Регламент проведення заходів з контролю процесів обробки і системи захисту ПДН,
• Положення про порядок зберігання та знищення носіїв ПДН,
• Інструкція про порядок резервування та відновлення працездатності технічних засобів і програмного забезпечення, баз даних і засобів захисту інформації в інформаційних системах персональних даних,
• Регламент проведення інструктажу з інформаційної безпеки,
• План внутрішніх перевірок режиму захисту персональних даних,

1. Посадові інструкції та шаблони форм документів, акти і договори, що стосуються обробки ПДН:

• Посадові інструкції співробітників, що обробляють ПДН
• Посадові інструкції співробітників, які забезпечують ІБ
• Інструкція користувачеві щодо забезпечення безпеки при виникненні позаштатних ситуацій
• Угоди про нерозголошення працівниками персональних даних
• Шаблони форм згоди суб'єкта ПДН даних на обробку його ПДН
• Форма Акта про знищення інформації, розміщеної на електронних носіях і містить персональні дані
• Типова форма письмової згоди суб'єктів персональних даних на обробку його персональних даних
• Типова форма відповіді Суб'єкту персональних даних на його запит
• Акти про знищення персональних даних суб'єкта (ів) персональних даних
• Договору з третіми особами, яким Ви передаєте персональні дані на обробку, або договору з операторами ПДН, які передають Вам, як третій особі, персональні дані для їх обробки (наприклад: договори транспортними компаніями, з банками, страховими компаніями і т.п.) . Такі договори повинні містити перелік операцій з ПДН, які будуть відбуватися третьою особою, цілі обробки, обов'язок третьої особи дотримуватися конфіденційності персональних даних та забезпечувати безпеку персональних даних при їх обробці, вимоги до захисту оброблюваних персональних даних.
• Документи, що підтверджують Ваше право обробки персональних даних. Наприклад, згода суб'єкта ПДН, договір з суб'єктом ПДН, договір з оператором ПДН, по якому Ви є третьою особою, якій оператор ПДН доручає обробку ПДН.

1. Журнали, обов'язкові до ведення в діловодстві, пов'язаному з обробкою персональних даних:

• Журнал інструктажу співробітників з питань ІБ,
• Журнал обліку звернень і запитів суб'єктів ПДН, їх законних представників і державних контролюючих органів,
• Журнал обліку носіїв інформації інформаційної системи персональних даних,
• Журнал обліку знімних і мобільних носіїв інформації,
• Журнал обліку заходів щодо контролю дотримання режиму захисту персональних даних в інформаційних системах,
• Журнал обліку застосовуваних технічних засобів захисту ІСПДн,
• Журнал обліку заходів з контролю забезпечення захисту персональних даних,
• Електронний журнал звернень користувачів інформаційної системи до ПДН,
• Журнал періодичного тестування засобів захисту інформації,
• Журнал з обліку заходів з контролю державними і муніципальними органами.

Тут ви можете завантажити всі необхідні документи: http://www.freshdoc.ru/zashita_personalnyh_dannyh/docs/instrukcii/instrukcija_administratora_ispdn/ - якщо знаєте точно, які документи вам потрібні.

Цей пакет документів необхідно зберігати в роздрукованому вигляді. Всі інструкції і регламенти повинні бути підписані співробітниками.

Доведіть, що це мій сайт!

Досить поширене питання - як буде встановлено, що сайт належить компанії, якщо доменне ім'я та хостинг оформлені на приватна особа.

Якщо немає договору, то безпосередньо дану інформацію встановити неможливо. Належність сайту можна встановити тільки за непрямими ознаками. Наприклад, за вказаною на сайті інформації, що відноситься до вашої компанії (адреса, телефонний номер і так далі). Сайт можуть заблокувати на час перевірки приналежності компанії.

Підготуйте все і спите спокійно)

Все перераховане може вам і не знадобитися, Роскомнадзор може і не прийти до вас з перевіркою. Але, якщо перевірка буде організована, а у вас не виявиться потрібних документів це загрожує штрафами і блокуванням сайту терміном до 90 днів. А це спричинить за собою дуже серйозні наслідки для вашого бізнесу.

Як ілюстрацію до статті використовується афіша до художнього фільму Snowden, 2016