Ужесточение ответственности в сфере персональных данных: за что могут оштрафовать с 1 июля

Для компаний, индивидуальных предпринимателей и простых граждан в июле текущего года произошло серьезное ужесточение наказаний за нарушения, связанные с персональными данными. Вступили в законную силу соответствующие изменения, внесенные в Кодекс об административных правонарушениях, точнее, в статью 13.11. Если раньше она предусматривала всего один проступок, за который штраф достигал максимум 10 тыс. руб., то с 1 июля составов нарушений семь, а допустившее их лицо могут оштрафовать на сумму до 75 тысяч рублей.

Чтобы избежать серьезных материальных затрат, следует разобраться, какие действия или их отсутствие считаются нарушениями требований в сфере персональных данных. Но для начала стоит упомянуть о том, что закон подразумевает под понятием «персональные данные».

Какие данные являются персональными?

Любые сведения о физическом лице, по которым его можно идентифицировать, являются персональными данными. К ним относятся, в частности, ФИО, дата и место рождения, адрес, номер телефона, образование, профессия, уровень доходов, семейное положение, аккаунты в социальных сетях, электронная почта, адрес персонального сайта и метаданные. Законодательство не содержит исчерпывающего списка информации, которая считается персональной.

Итак, самые разнообразные сведения о гражданине защищаются законом, и все, кто тем или иным способом их получают, рискуют попасть в число нарушителей обновленного Кодекса об административных правонарушениях. Какие же изменения произошли в этом нормативно-правовом акте?

Чтобы оформить пропуск по паспорту, требуется согласие владельца

Фото гражданина и другая личная информация, которая используется для допуска на охраняемую территорию и соответствующей идентификации, являются биометрическими персональными данными. Обрабатывать их можно только при условии, что получено письменное согласие лица, которого касается информация.

Исключения из этого правила предусмотрены законодательством о порядке пересечения границы страны, правосудии, государственной службе, безопасности, обороне, борьбе с коррупцией и в нормативно-правовых актах, регулирующих некоторые другие сферы жизнедеятельности.

Кроме того, если паспорт или другое удостоверение личности сканируется или ксерокопируется для подтверждения проведения определенных операций без установления личности (идентификации), закон не считает такие действия обработкой биометрических данных.

Отказ гражданину удалить или уточнить его персональные данные

Если к лицу, обрабатывающему персональные данные, обратится гражданин, которого они касаются, с заявлением об уничтожении информации, блокировке или исправлении в связи с ее неточностью, отсутствием необходимости в персональных данных для заявленной цели или получением их незаконным способом, такое требование должно быть выполнено в обязательном порядке. Примером нарушения этого правила является отказ закрыть доступ к базе с персональной информацией о предпринимателях.

Подобные нарушения караются штрафом от 1-2 тыс. руб. для физических лиц и до 25-45 тыс. – для юридических.

Непредоставление информации о порядке обработки данных

Любое физическое лицо имеет право получать информацию о том, как обрабатываются его персональные данные, в частности, знать, что такая обработка происходит, кем она осуществляется, на каких правовых основаниях и с какой целью.

За нарушение этого правила граждане могут быть оштрафованы на сумму до 2 тыс. руб., ИП – 10 тысяч, а ЮЛ – 40.

Необеспечение доступа к политике обработки персональных данных

Пример такого нарушения – использование формы обратной связи без ссылки на политику компании относительно персональной информации.

Максимальный штраф – 1,5 тыс. руб. для обычных граждан, 6 тысяч – для должностных лиц, 10 – для ИП и 30 – для юрлиц.

Безосновательная обработка персональных данных

Обработка личной информации о физическом лице допускается только в предусмотренных законодательством случаях и в соответствии с целью ее сбора. Штраф за нарушение этого правила может достигать 3 тыс. руб. для граждан, 10 тысяч – для должностных лиц и 50 – для юридических.

Обработкой в непредусмотренных законом случаях считаются такие действия, как:

• Предоставление личных сведений о физическом лице в ответ на адвокатский запрос. Закрепленное в законе право адвоката собирать необходимую для оказания юридической помощи информацию не распространяется на данные с ограниченным доступом.
• Требование указать в заявлении о выдаче кредита информацию о родственниках. Члены семьи лица, претендующего на получение кредита, не дают разрешения на обработку их персональных данных и не становятся заемщиками, поэтому банк, требующий информацию о них, нарушает законодательство.

В качестве примеров несоответствия обработки информации целям ее сбора можно привести такие ситуации:

• Информация о физическом лице из одного дела используется для другого.
• На телефон отправляются сообщения рекламного содержания.

Необеспечение защиты данных от несанкционированного доступа

Обновленный Кодекс об административных правонарушениях предусматривает ответственность за несоблюдение при обработке информации о гражданах условий для обеспечения ее сохранности и невозможности получения третьими лицами, если такое нарушение привело к доступу посторонних и незаконным действиям (распространению, предоставлению, копированию, блокированию, изменению или уничтожению данных).

В этом случае можно говорить о смягчении ответственности или, точнее, о сужении круга действий или бездеятельности, которые считаются правонарушениями. Если до 1 июля текущего года штрафовали за сам факт необеспечения сохранности, то теперь это может происходить только при наступлении негативных последствий в виде доступа сторонних лиц.

Наказание за такие нарушения – штраф, размер которого для обычных граждан может достигать 2 тыс. руб., для должностных лиц – 10 тысяч, для ИП – 20, а для организаций – 50.