Что грозит за нарушение законодательства о персональных данных?

Требования российского законодательства о персональных данных довольно жесткие. Выполнять все их сложно и накладно. Поэтому многие компании подходят к учету поступающих им личных данных граждан небрежно или вовсе игнорируют предписания законодательства. И напрасно. С 1 июля 2017 г. в ст. 13.11 КоАП РФ, которая предусматривает ответственность за нарушения в сфере персональных данных, внесены изменения. Теперь эта статья будет включать семь составов вместо одного. Максимальный штраф поднимется с 10 000 руб. до 75 000 руб. А учитывая, что Роскомнадзор может выявить совокупность правонарушений, не исключено, что штраф возрастет почти до 300 000 руб., что, по мнению специалистов, соответствует общеевропейским нормам.

Причины нововведений

Изменения в ст. 13.11 КоАП РФ внесены Федеральным законом от 07.02.2017 № 13-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях». Причиной нововведений послужило множество жалоб и обращений граждан на незаконные действия операторов по обработке персональных данных и большое количество выявленных нарушений.

Чаще всего граждане недовольны тем, что что банки передают их данные коллекторским фирмам. Много жалоб поступает на операторов связи. Организации ЖКХ обвиняются в размещении данных о задолженностях в подъездах для общего доступа. Претензии граждан вызывают рекламные звонки и СМС от мелких организаций, а также разглашение личной информации фирмами, органами власти, различными учреждениями (например, больницами) и т.д.

Предыдущий единый состав ст. 13.11 КоАП РФ позволял привлекать к ответственности за нарушение порядка сбора, хранения, использования и распространения информации о гражданах. При этом нарушения никак не дифференцировались ни по составу, ни по тяжести, ни по степени ответственности операторов.

По мнению авторов закона, в прежнем виде ст. 13.11 КоАП РФ работала неэффективно, защищая граждан далеко не во всех случаях. А в некоторых ситуациях операторы были просто избавлены от ответственности за нарушения.

Суть новшеств

Обновленная редакция ст. 13.11 КоАП РФ подготовлена с учетом судебной практики. Теперь для самых популярных нарушений предусмотрен свой состав. Таким образом, при вынесении решений суды ссылаются не на ст. 13.11 КоАП РФ в целом, а на ее соответствующую часть.

Согласно ч. 1 ст. 4.4 КоАП РФ наказание назначается за каждое совершенное административное правонарушение. Поэтому операторы рискуют быть оштрафованными по каждому из семи составов.

Еще одно изменение касается возбуждения дел по ст. 13.11 КоАП РФ. С 1 июля 2017 г. это делает Роскомнадзор, а не прокуратура (как было раньше). А вот рассматривать дела, как и прежде, будут суды.

Распространенные правонарушения

Согласно официальным данным Роскомнадзора, в России действует почти 400 000 операторов персональных данных, то есть организаций (в том числе государственных), которые собирают, хранят, передают или обрабатывают персональные данные¹.

Под персональными данными понимаются любые сведения, относящиеся к физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее - Закон о ПД). Это, в частности, фамилия, имя, отчество, адрес, номер телефона.

Обработка - это сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение личной информации о гражданах. Этот длинный перечень на практике может быть дополнен любыми другими действиями операторов.

Чаще операторы допускают следующие нарушения:

• цели сбора данных противоречат закону (ч. 2 ст. 5 Закона о ПД);
• требуемые персональные данные являются избыточными (ч. 5 ст. 5 Закона о ПД);
• персональные данные обрабатываются в случаях, не предусмотренных законодательством (ч. 1 ст. 6 Закона о ПД);
• при обработке персональных данных не обеспечивается конфиденциальность (ст. 7 Закона о ПД);
• персональные данные обрабатываются без письменного согласия субъекта (ч. 4 ст. 9 Закона о ПД);
• субъекту не предоставляется информация, касающаяся обработки его персональных данных (ст. 14 Закона о ПД);
• к документу оператора об обработке персональных данных не обеспечен неограниченный доступ (ч. 2 ст. 18.1 Закона о ПД);
• не соблюдаются условия прекращения обработки и уничтожения персональных данных (ст. 21 Закона о ПД);
• персональные данные обрабатываются без уведомления Роскомнадзора, когда оно необходимо (ч. 3 ст. 22 Закона о ПД).

Состав № 1

Часть 1 ст. 13.11 КоАП РФ устанавливает ответственность за обработку персональных данных в случаях, не предусмотренных законодательством, либо за обработку, несовместимую с целями сбора данных (за исключением случаев, предусмотренных ч. 2 этой же статьи и ст. 137 УК РФ о нарушении неприкосновенности частной жизни).

Ответственность предусмотрена в виде предупреждения либо штрафа:

• на должностных лиц - от 5000 руб. до 10 000 руб.;
• на юридических лиц - от 30 000 руб. до 50 000 руб.

Как видно, первая часть предусматривает ответственность за два различных вида правонарушений (ст. 5 и 6 Закона о ПД).

Согласно п. 2 ст. 5 Закона о ПД обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. При этом обработка персональных данных, несовместимая с целями их сбора, не допускается. Нетрудно заметить, что это требование носит универсальный, если не сказать «резиновый» характер. Под «нарушением целей» можно понимать и сбор излишнего объема данных, и их обработку после достижения заявленных целей, и незаконное объединение баз данных, и требование предоставления информации о родственниках или знакомых, и многие другие действия операторов.

В соответствии со ст. 6 Закона о ПД персональные данные должны обрабатываться с соблюдением закона, а также перечислены случаи, когда допускается обработка персональных данных, например, если она осуществляется:

• с согласия субъекта персональных данных;
• для исполнения судебного акта;
• для исполнения договора, где стороной (выгодоприобретателем, поручителем) является субъект персональных данных;
• для защиты жизни или здоровья субъекта персональных данных.

Состав № 2

Часть 2 ст. 13.11 КоАП РФ предусматривает ответственность за обработку персональных данных без письменного согласия субъекта. Должностных лиц могут оштрафовать на 10 000-20 000 руб., а компании - на 15 000-75 000 руб. Однако если фирма незаконно получила или распространила личную или семейную тайну гражданина без его согласия, то ее должностных лиц могут привлечь к уголовной ответственности по ст. 137 УК РФ.

Нарушением является обработка именно без письменного согласия. Если такого требования нет, то согласие может быть дано в любой форме (ч. 1 ст. 9 Закона о ПД).

Часть 4 ст. 9 Закона о ПД обязывает операторов получать письменное согласие субъекта на обработку его данных, когда это предусмотрено законом. Согласие может быть дано в электронной форме, если документ подписан электронной подписью. Впрочем, в судебной практике встречались случаи, когда на сайте была представлена анкета, которая после заполнения пересылалась банку для рассмотрения вопроса о получении кредита. Суды расценили такую форму как письменное согласие (постановление ФАС Северо-Западного округа от 13.12.2010 по делу № А56-73636/2009).

Если же речь о бумажном носителе, то на нем должно быть предусмотрено специальное поле, в котором субъект может поставить отметку о своем согласии на обработку (подп. «б» п. 7 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (утв. постановлением Правительства РФ от 15.09.2008 № 687, далее - Положение № 687)).

В законодательстве упомянуто нескольких случаев, когда необходимо получать письменное согласие. Оно нужно, если данные получаются для:

• создания общедоступных справочников, адресных книг, баз данных, в которые включаются Ф.И.О., год и место рождения, адрес, абонентский номер, сведения о профессии и другие данные (ч. 1 ст. 8 Закона о ПД, п. 2 ст. 53 Федерального закона от 07.07.2003 № 126-ФЗ «О связи»);
• обработки специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ч. 1 ст. 10 Закона о ПД);
• распространения общественным объединением или религиозной организацией данных о своих членах или участниках (п. 5 ч. 2 ст. 10 Закона о ПД);
• обработки биометрических данных, которые оператор использует для установления личности субъекта (ч. 1 ст. 11 Закона о ПД);
• трансграничной передачи персональных данных на территории государств, не обеспечивающих защиту прав субъектов (ч. 4 ст. 12 Закона о ПД);
• принятия решения, затрагивающего права и законные интересы субъекта (ч. 2 ст. 16 Закона о ПД).

Обязанность операторов получать письменное согласие содержится и в других законах. Например, ст. 88 ТК РФ запрещает работодателям сообщать без письменного согласия:

• личные сведения о работниках третьей стороне,
• данные работников в коммерческих целях.

Часть 3 ст. 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» позволяет на основании письменного согласия разглашать врачебную тайну пациентов в целях:

• медицинского обследования и лечения,
• проведения научных исследований,
• опубликования в научных изданиях,
• использования в учебном процессе и т.д.

В той же ч. 2 ст. 13.11 КоАП РФ установлена ответственность за нарушение требований к составу сведений, включаемых в письменное согласие на обработку данных гражданина. Перечень этих сведений установлен ч. 4 ст. 9 Закона о ПД и включает в себя:

• Ф.И.О., адрес субъекта, данные паспорта;
• Ф.И.О. представителя субъекта персональных данных, данные паспорта, реквизиты доверенности;
• наименование или Ф.И.О. и адрес оператора, получающего согласие;
• цель обработки данных;
• перечень данных, на обработку которых дается согласие;
• наименование (или Ф.И.О.) и адрес лица, которое обрабатывает персональные данные по поручению оператора (если обработка поручена такому лицу);
• перечень действий оператора с персональными данными и общее описание используемых им способов обработки данных;
• срок, в течение которого действует согласие, и способ его отзыва;
• подпись гражданина.

Часто операторы забывают указывать способы отзыва согласия или сведения о конкретном лице, обрабатывающем информацию.

Состав № 3

Часть 3 ст. 13.11 КоАП РФ предусматривает ответственность за необеспечение неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или к сведениям о мерах по защите таких данных. В качестве санкций предусмотрено предупреждение или штраф:

• для должностных лиц - от 3000 руб. до 6000 руб.;
• для организаций - от 15 000 руб. до 30 000 руб.

Обязанность обеспечить доступ установлена в ч. 2 ст. 18.1 Закона о ПД. Во-первых, у оператора должны быть документы, в которых определяется его политика в отношении персональных данных или меры по защите данных. Во-вторых, эти документы должны быть доступными для неограниченного доступа других лиц, например, размещены на сайте оператора (ч. 2 ст. 18.1 Закона о ПД) или в его офисе. Причем название документа существенного значения не имеет. Важно его содержание.

Выявить это правонарушение помогает такое мероприятие, как систематическое наблюдение, в ходе которого Роскомнадзор просматривает сайты операторов. Например, на сайте управления службы по Тульской области (https://71.rkn.gov.ru/news/news116956.htm) есть информация о том, что с 22.03.2017 по 24.03.2017 проводилось наблюдение двух интернет-ресурсов коллекторских агентств. Были выявлены типичные правонарушения. В результате компаниям направлены запросы о предоставлении информации, касающейся размещения необходимых документов.

Состав № 4

Согласно ч. 4 ст. 13.11 КоАП РФ непредоставление субъекту информации об обработке его персональных данных влечет предупреждение или штраф:

• для должностных лиц - от 4000 руб. до 6000 руб.;
• для юридических лиц - от 20 000 руб. до 40 000 руб.

Обязанность предоставить информацию об обработке данных появляется после обращения гражданина к оператору или составления обращения (ч. 3 ст. 14 Закона о ПД). Ответ на обращение нужно дать в течение 30 дней с даты получения запроса (ч. 1 ст. 20 Закона о ПД). Перечень предоставляемых сведений содержится в ст. 14 Закона о ПД.

Состав № 5

Часть 5 ст. 13.11. КоАП РФ грозит наказанием в виде предупреждения или штрафа за невыполнение оператором требования гражданина или Роскомнадзора об уточнении (блокировании, уничтожении) неполных (устаревших, неточных, незаконно полученных, не нужных для заявленной цели обработки) персональных данных (ч. 1 ст. 14 Закона о ПД). Должностные лица могут быть оштрафованы на сумму от 4000 руб. до 10 000 руб., компании - от 25 000 руб. до 45 000 руб.

Сроки, в которые оператор должен выполнить требование, установлены в ст. 21 Закона о ПД. Когда выявлены неточные данные, оператор обязан заблокировать их с момента обращения на период проверки. Если сведения действительно оказались неточными, оператор должен исправить их в течение семи рабочих дней с даты представления новых сведений и снять блокировку.

Неправомерная обработка личных сведений должна быть прекращена в течение трех рабочих дней с даты выявления этого нарушения. Если обеспечить правомерность обработки невозможно, данные уничтожаются в течение 10 дней с момента выявления факта неправомерной обработки.

После достижения цели обработки (например, исполнен договор и прекращены договорные отношения) оператор по общему правилу должен прекратить обработку и уничтожить имеющиеся у него данные в течение одного месяца. Такой же порядок установлен на случай отзыва гражданином согласия на обработку его данных. Право на отзыв согласия предусмотрено ч. 2 ст. 9 Закона о ПД.

Чаще всего установленные сроки нарушают банки, коллекторы и другие организации, которые игнорируют требования граждан прекратить обработку их данных.

Состав № 6

Часть 6 ст. 13.11 КоАП РФ распространяется на случаи обработки данных без использования средств автоматизации, т.е. вручную. Наказание предусмотрено за невыполнение оператором условий хранения материальных носителей (документов), на которых записаны данные. Причем ответственность наступает, если такие действия привели:

• к неправомерному или случайному доступу к персональным данным;
• уничтожению, изменению, блокированию, копированию, предоставлению, распространению персональных данных;
• другим неправомерным действиям в отношении персональных данных.

Размер штрафа для должностных лиц установлен в пределах от 4000 руб. до 10 000 руб., для организаций - от 25 000 руб. до 50 000 руб.

Особенности обработки данных без использования средств автоматизации установлены в Положении № 687. Пункты 13 и 15 этого документа требуют хранить бумаги так, чтобы в отношении каждой категории персональных данных:

• можно было определить места хранения материальных носителей;
• установить перечень лиц, обрабатывающих данные либо имеющих к ним доступ;
• была обеспечена сохранность;
• был исключен несанкционированный доступ к информации.

Перечень мер по охране информации, порядок их принятия, а также перечень ответственных лиц устанавливает оператор.

Так, ФГУП «Почта России» не обеспечивала места хранения документов с персональными данными, не составила перечень лиц, осуществляющих обработку данных и имеющих к ним доступ, не соблюдала условия сохранности данных, исключающих несанкционированный доступ. Суд сохранил в силе выданное предписание об устранении нарушений (решение Арбитражного суда г. Москвы от 28.03.2011 по делу № А40-129843/2010).

Практике известно множество случаев, когда работники различных организаций - медицинских учреждений, страховых компаний, операторов связи, банков и т.д. - просто выбрасывали документы с личными данными клиентов. Так, Управление Роскомнадзора по Приморскому краю при проведении мониторинга сети Интернет обнаружило материал о том, что около одной из остановок во Владивостоке прямо на проезжую часть были выброшены документы с персональными данными (направления на лечение, истории болезни, направления на анализы, ксерокопии паспортов, рентгеновские снимки, кардиограммы). Когда этот факт подтвердился, материалы были направлены прокурору для решения вопроса о возбуждении административных дел в отношении операторов персональных данных (http://25.rkn.gov.ru/news/news33172.htm).

Состав № 7

Роскомнадзор контролирует соблюдение закона не только частными компаниями, но и государственными органами. Седьмой состав (ч. 7 ст. 13.11 КоАП РФ) как раз касается операторов - государственных (муниципальных) органов. Для них установлена ответственность за невыполнение обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов обезличивания. За допущенные нарушения должностным лицам могут вынести предупреждение или оштрафовать на 3000-6000 руб.

Заключение

С 2017 г. плановые проверки проводятся по первым трем составам:

• незаконная обработка данных;
• обработка без согласия субъекта;
• отсутствие документа, определяющего политику оператора в сфере персональных данных.

Проверки по фактам непредставления субъекту информации об обработке его данных и невыполнения требования об уничтожении информации, как и прежде, проводятся по жалобам граждан. Неправильное хранение информации может быть выявлено в случае утраты документов или распространения информации о субъекте.

Операторам же важно определить политику работы с персональными данными, установив принципы и условия их обработки. И не нужно забывать, что распространение секретов из области частной жизни граждан влечет уже не административную, а уголовную ответственность по ст. 137 УК РФ. А там предусмотрены крупные штрафы (до 350 000 руб.) и даже лишение свободы на срок до пяти лет.

на

Электронная подписка за 8400 руб. Печатная версия за YYY руб.