Комитет по информационной и правовой безопасности

Ответы на часто задаваемые вопросы

• Как понять, что наша организация является оператором персональных данных и обязана выполнять требования Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»?
  В соответствии пунктом 2 статьи 3 Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.
  
  При этом указанные органы и лица являются операторами персональных данных с момента регистрации в Федеральной Налоговой службе, независимо от включения в реестр операторов, осуществляющих обработку персональных данных, который ведет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).
• Что является обработкой персональных данных?
  В силу требований действующего законодательства, на каждую организацию и индивидуального предпринимателя возложена обязанность обработки персональных данных текущих и уволенных работников, включая руководителя организации (так как его персональные данные фигурируют в кадровых и учредительных документах), а также должностных лиц контрагентов и иных физических лиц, что в соответствии со ст. 3 п. 3 Закона о персональных данных является обработкой персональных данных.
  
  Использование данных руководителя, работников, клиентов и иных физических лиц в профессиональной деятельности (фамилия, имя, отчество, адрес, паспортные данные, ИНН, номер телефона), ведение кадрового и бухгалтерского учета, заключение и оформление договоров, сбор анкет (резюме) кандидатов на работу, направление третьим лицам (органам) списков сотрудников при оформлении им медицинских полисов, перечисление денежных средств на зарплатные счета в банк, предоставление в военный комиссариат списков военнообязанных сотрудников, сбор и использование персональных данных клиентов, осуществление видеонаблюдения, ведение журнала контрольно-пропускного пункта и т.д. в соответствии с п.3 ст. 3 Федерального закона №152-ФЗ является обработкой персональных данных.
• Кто осуществляет контроль за соблюдением закона о персональных данных?
  Ответственными ведомствами (регуляторами) за соблюдение правомерности обработки персональных данных являются:
  

  • Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) - контроль и надзор за соответствием обработки персональных данных требованиям законодательства.
  • Федеральная служба по техническому и экспортному контролю (ФСТЭК России) устанавливает методы и способы защиты информации в информационных системах не криптографическими методами.
  • Федеральная служба безопасности (ФСБ России) устанавливает методы и способы защиты информации в информационных системах криптографическими методами.
• Как происходит контроль выполнения требований со стороны Роскомнадзора?
  Порядок проведения контрольно-надзорных мероприятий в сфере защиты персональных данных определен Постановлением Правительства Российской Федерации от 29 июня 2021г. № 1046, предусматривая следующие формы надзора: инспекционный визит, документарная проверка и выездная проверка.
• Какие требования по защите персональных данных предъявляются к нашей организации?
  На сегодняшний день, у каждого оператора персональных данных должны быть приняты правовые, организационные и технические меры по обеспечению безопасности персональных данных, в соответствии с требованиями, предусмотренными ст. 18.1, ст. 19 Закона о персональных данных, включая разработку и издание комплекта организационно-распорядительной документации.
  
  Документы должны быть у каждой компании, ИП, физического лица, государственного или муниципального органа и прочих организаций, которые занимаются обработкой персональных данных. Их тщательно изучают в рамках проверок сотрудники Роскомнадзора и при выявлении нарушений накладывают штрафы.
• Какие документы по защите персональных данных должны быть разработаны в нашей организации?
  С полным перечнем необходимых документов по защите персональных данных для вашей организации, вы можете ознакомиться, оформив заявку на получение бесплатного аудиторского заключения на сайте Комитета по информационной и правовой безопасности.
  
  Требования, предъявляемые к обработке и защите персональных данных, отражены в следующих нормативно-правовых актах, регламентирующих создание организационно-распорядительной документации (ОРД) организации:

  • Федеральный закон «О персональных данных» от 27.07.2006 N 152-ФЗ;
  • Постановление Правительства РФ от 15.09.2008 N 687;
  • Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119;
  • Приказ ФСТЭК России от 18 февраля 2013 г. № 21;
  • Приказ ФСБ Российской Федерации от 10 июля 2014 г. N 378;
• Обязаны ли организация, или индивидуальный предприниматель разрабатывать весь комплект локальной документации по обработке персональных данных, если у нее всего 1 работник?
  Организация, или индивидуальный предприниматель, у которого имеется даже 1 сотрудник (руководитель), в силу требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обязаны соблюдать его требования, в том числе касающиеся разработки локальных актов, так как осуществляет обработку персональных данных как минимум этого сотрудника.
  
  Закон не содержит исключений в зависимости от объема обрабатываемых персональных данных и количества работающих сотрудников.
• Какие штрафы и ответственность предусмотрена за невыполнение требований закона о персональных данных?
  С подробной таблицей штрафов за нарушения законодательства в области персональных данных (в редакции КоАП, действующей с 27.03.2021), вы можете ознакомиться, оформив заявку на получение бесплатного аудиторского заключения на сайте Комитета по информационной и правовой безопасности.
  
  Федеральный закон № 152-ФЗ «О персональных данных» предусматривает ряд штрафных санкций и ответственность за невыполнение требований закона. Основные меры ответственности:

  • Штрафы для организаций: за нарушение требований закона о персональных данных, предусмотрены административные штрафы. Размер штрафа для юридических лиц может быть до 75 000 рублей. При повторном нарушении или особо тяжких нарушениях размер штрафа может быть увеличен до 5 000 000 рублей или 1% от годового оборота юридического лица (в зависимости от того, какая сумма будет больше).
  • Штрафы для должностных лиц: руководитель организации, ответственный за обработку персональных данных, или иные должностные лица могут быть привлечены к административной ответственности в виде штрафа в размере от 10 000 до 30 000 рублей.
  • Дополнительные меры ответственности: в случае нарушения закона о персональных данных, суд может применить иные меры ответственности, такие как блокирование доступа к информации, приостановление деятельности или ликвидацию юридического лица.
• Может быть мне выгоднее и проще заплатить штраф, чем исполнять требования по защите персональных данных?
  Такой подход был возможен ранее, но сейчас законодатель пошёл по пути ужесточения наказания за нарушения в этой области.
  
  С 27 марта 2021 года вступили в силу новые штрафные санкции за нарушения в области персональных данных в соответствии с Федеральным законом от 24.02.2021 г. №19-ФЗ. Суммы штрафов увеличены в 2 раза и более. Кроме этого, по некоторым статьям введено увеличенное наказание за повторное нарушение.
  
  Также увеличился и срок давности привлечения к административной ответственности за нарушения в области персональных данных. Вместо трех месяцев теперь он составляет один год.
  
  Административная ответственность по статье 13.11 на 2024 год предусматривает дифференциацию в зависимости от последствий нарушения. Так ответственность для юридического лица предусматривает наложение штрафа в размере от 30 тысяч до 6 миллионов рублей, а при повторном нарушении — до 18 миллионов рублей.
  
  Максимальный совокупный штраф для должностного лица составляет 336 тысяч рублей, а при повторном нарушении может превышать 1 миллион рублей.
• Почему нашей организации пришло письмо от Комитета по информационной и правовой безопасности?
  Специалисты Комитета по информационной и правовой безопасности на постоянной основе проводят мониторинг реестра операторов персональных данных Роскомнадзора.
  
  Если ваша организация отсутствует в реестре операторов персональных данных Роскомнадзора, или запись содержит устаревшие данные, то ей нарушены требования Федерального закона от 27.07.2006г. № 152-ФЗ «О персональных данных».
  
  В рамках проведения информационно-аналитической поддержки частных, государственных и муниципальных организаций таким операторам направляется «Уведомление о необходимости соблюдения положений Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» и иных требований нормативно-правовых актов в сфере защиты персональных данных» с адреса электронной почты @kpib.site или @kpib.ru
• Что за организация «Комитет по информационной и правовой безопасности»?
  Комитет по информационной и правовой безопасности является профессиональным учреждением, которое обеспечивает комплексные консультационные и аудиторские услуги, направленные на защиту конфиденциальной информации, включая коммерческую тайну, служебную информацию, персональные данные и другие важные сведения на территории Российской Федерации.