День открытых дверей в Роскомнадзоре

28 января, в Международный день защиты персональных данных, Роскомнадзор провел традиционный трехчасовой семинар в рамках дня открытых дверей. Регистрация на него закончилась через полтора дня после открытия, зал ситуационного центра был заполнен, даже дополнительные стулья принесли.

Семинар открыла заместитель руководителя ведомства А.А. Приезжева (главная тема – гармонизация российского законодательства с новой редакцией Конвенции ETS-108), затем начальник управления защиты прав субъектов персональных данных Ю.Е. Контемиров подвел итоги надзорной деятельности за 2019 год. Проверок проведено на 11 больше, чем в 2018 году (989), а вот предписаний выдано больше на 31 (799), протоколов о нарушениях составлено нa 15% меньше, чем в прошлом году (5437). Как я понимаю, большая их часть – по статье 19.7 КоАП и связана с уведомлениями. Ведомство оценивает это в целом как рост результативности проверок с 80% до 84%. Повысилась и результативность мероприятий систематического наблюдения. В ходе их проведения выявлено 611 случаев нарушения обязательных требований, то есть примерно в каждом третьем мероприятии (всего их было 2103).

По статье 13.11 КоАП составлено 215 протоколов, что привело к назначению штрафов на один с небольшим миллион рублей. Количество протоколов выросло по сравнению с прошлым годом тоже на треть. Распределение штрафов по разным частям статьи 13.11 - на диаграмме.

Заметно (на 22,4%) выросло число обращений граждан, до 50 тысяч за год. Жалуются, как обычно, в основном на сайты и банки (по 23%). Число подтвержденных при проверке неправомерных действий операторов выросло до рекордных 7,2%, так что жалуются граждане, в основном, зря.

За год Роскомнадзор подал 41 исковое заявление о блокировке сайтов за нарушения законодательства о персональных данных, в Реестре нарушителей уже 3395 сайтов.

Требования о локализации баз персональных данных выполняют 99% проверенных операторов.

Заместитель начальника управления А.Х. Гафурова рассказала о работе с обращениями граждан более подробно, в этом направлении без существенных перемен.

Далее Ю.Е. Контемиров остановился на организации проверок. Из важного и неожиданного: трехлетний интервал между проверками территориально обособленных подразделений (в разных субъекта Федерации) исчисляется отдельно по каждому подразделению. Не очень понятна идея – проверяться ведь должен оператор-юрлицо. Еще раз напомнил, что проверок по персональным данным в планах проверок нет, их надо смотреть в планах деятельности территориальных органов.

Для общего сведения: неразмещение планов на сайте, проведение проверок в иные сроки, чем указано на сайте, отсутствие согласования планов с прокуратурой, несвоевременное вручение акта проверки или отсутствие записи в журнале учета проверок – не основания для отмены их результатов.

А вот непредставление акта проверки оператору, проведение внеплановой проверки по исполнению ранее выданного предписания по вопросам, в предписании не отраженным, влекут отмену результатов.

В ходе проверки консультации не оказываются, пояснения причин квалификации нарушения не предоставляются, акт проверки оператор увидит только после его подписания членами комиссии, контрольные сроки исполнения предписания не меняются ни в каких случаях.

Еще из интересного – сведения о заемщике и поручителе по кредиту должны указываться на разных носителях (листах бумаги), потому как цели их обработки заведомо несовместимы. Мне всегда казалось, что цель здесь всегда одна – принятие решения банком о предоставлении кредита. Видимо, был не прав.

Или вот такое нарушение – использование для обработки персональных данных работников госучреждения, не являющихся госслужащими, формы № 6676-р, в которой сведений больше, чем предусмотрено трудовым законодательством.

Рассказал Контемиров и о создающихся центрах компетенции территориальных управлений Роскомнадзора в федеральных округах и рабочих группах при них, которые будут глубоко разбираться с конкретными вопросами и готовить по ним методические материалы. Пригласил желающих поучаствовать в их работе.

Наиболее интересные ответы надзорного ведомства на вопросы операторов.

Место нахождения баз данных надо указывать точно, по фактическому адресу, как это сделать для облаков – не раскрывалось.

Часть 4 статьи 9 про одну цель и одного обработчика будет меняться. Можно будет давать дополнительное согласие на обработку персональных данных в целях, не указанных при их сборе. А вот обязательное согласие субъекта на поручение обработки его данных останется в законе.

Обработка файлов cookie на сайте с использованием метрических служб (Яндекс Метрика, Google Analytics) – это обработка персональных данных и  должна сопровождаться получением согласия посетителей на это (баннер), размещением информации о том, как это делается (Политика в отношении файлов cookie) и локализацией собираемых и обрабатываемых данных на территории России.

Не всякий источник общедоступных данных – общедоступный источник (без комментариев).

Обезличивать персональные данные оператор по своему усмотрению не может, нужны основания в нормативном правом акте (без комментариев), хэширование – не обезличивание вообще, и поэтому на передачу хэшированных данных иному лицу нужно согласие субъекта.

Скорингом могут заниматься только бюро кредитных историй и использовать для этого только информацию, которой они располагают в силу закона (намек на незаконность использования данных из социальных сетей).

На хранение в личных делах работников копий документов (паспортов, свидетельств о рождении и браке и пр.) нужно согласие работников, если оператор не может доказать, что эти копии нужны для исполнения требований закона.

Аренда серверов и стоек, перенос данных в ЦОДы и облака, передача документов с персональными данными на хранение иному лицу – поручение обработки персональных данных, договор должен соответствовать части 3 статьи 6 закона 152-ФЗ.

Отправка электронного письма с персональными данными адресату в другую страну – трансграничная передача, для этого нужны законные основания.

В качестве лица, ответственного за организацию обработки персональных данных, можно привлекать юридическое лицо и физическое лицо, не являющееся работником оператора.

Согласия на обработку персональных данных, полученные в письменной форме, можно отсканировать и хранить в электронной форме, а подлинники уничтожить с целью облегчения процесса хранения (не советую, в суде будет сложно, если что).

Если персональные данные без использования средств автоматизации обрабатывают работники иной организации, таких работников тоже надо знать и уведомить о такой обработке (ПП-687), но это может сделать и их работодатель.

Самое важное, наверное, все. Быстро, бодро, предельно кратко.

Закон об изменениях в КоАП об административных нарушениях в области персональных данных подписан: возможные последствия

Вчера в 17:45 на сайте Президента России появилось сообщение: «Внесены изменения в КоАП. Президент подписал Федеральный закон «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях».

С 1 июля этого года заработает новая редакция статьи 13.11 КоАП, вводящая семь составов административных правонарушений, о которых я уже писал в блоге. Изменилось и название статьи, теперь оно звучит так: «Нарушение законодательства Российской Федерации в области персональных данных».

Давайте проанализируем, что изменилось по сути и каковы возможные последствия этих изменений.

Первое и главное – протоколы об административных правонарушениях, квалифицируемых новой редакции статьи 13.11, будут после 1 июля составлять не прокуроры, как сейчас, а должностные лица Роскомнадзора и его территориальных управлений при сохранении нормы о наложении штрафа мировыми судьями. Срок привлечения к ответственности сохранился прежний – 3 месяца, но процедура привлечения к ответственности существенно упростилась.

Ранее территориальное управление Роскомнадзора, выявившее нарушение, направляло результаты проверки в прокуратуру по месту нахождения нарушителя, в прокуратуре возбуждалось административное производство, составлялся протокол о правонарушении и направлялся в суд. В результате нередко дела не возбуждались по формальному признаку истечения сроков привлечения к ответственности.

Теперь из этой цепочки прокуратура исключается, материалы будут двигаться быстрее, а штрафов, скорее всего, станет больше.

Возможно, изменится и сам порядок наложения штрафов. Раньше, в силу «универсальности» статьи 13.11 с одним составом правонарушения «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)» и штраф был один, независимо от содержания акта проверки и предписания об устранении правонарушения. Теперь каждое из выявленных нарушений можно квалифицировать отдельно, оформлять отдельный протокол и накладывать отдельный штраф. А если учесть практику последнего времени, когда Роскомнадзор требует получения отдельного согласия в письменной форме для каждой цели обработки персональных данных и для каждого лица, которому персональные данные передаются, протоколов и штрафов может оказаться очень много даже по результатам одной проверки. Хочется надеяться, что здравый смысл все же когда-нибудь возобладает.  

Поддерживают позицию Роскомнадзора в отношении процедуры получения согласий и суды. Так, Девятый арбитражный апелляционный суд в постановлении по делу № А40-32030/2016 прямо указывает: «Таким образом, если цели обработки персональных данных выходят за рамки ТК РФ, для каждого случая передачи ПДн работников третьим лицам необходимо получать отдельное письменное согласие работника». И далее: «доводы о том, что Обществом разработан некий перечень контрагентов, которым может быть поручена обработка персональных данных, является необоснованным и не соответствующим требованиям статьи 9 Закона о персональных данных».

Написал выше «каждое из выявленных нарушений можно квалифицировать отдельно» и был не точен. У новой редакции статьи 13.11 появилась еще одна особенность: теперь по ней можно привлечь к ответственности далеко не за каждое выявленное нарушение. Так, нет ответственности за невыполнение нашумевшего закона 242-ФЗ о территориальности персональных данных россиян, которым в статью 18 закона «О персональных данных» была добавлена новая часть 5.

Не предусмотрен штраф и за такое нарушение, как несоответствие типовой формы, предусматривающей внесение в нее персональных данных, требованиям пункта 7 Постановления Правительства № 687, а оно было одним из наиболее часто выявляемых при проверках в 2016 году. Нельзя в новой редакции статьи 13.11 наказать за отсутствие в поручении обработки персональных данных существенных условий, предусмотренных частью 3 статьи 6, которое тоже выявлялось при проверках в 2016 году очень часто.

Но все это предположения. Как будут применяться новые нормы, станет известно только после реализации их Роскомнадзором на практике. 31 января на дне открытых дверей представители надзорного ведомства отказались комментировать, как будет применяться закон, сославшись на то, что он пока не принят.

Так что наберемся терпения. Но готовиться к новым правилам надо уже сегодня, чтобы завтра не столкнуться с невиданными ранее штрафами.

Единый реестр и проверки выполнения требований законодательства о персональных данных

Чего только у нас не бывает. 28 апреля Председатель Правительства РФ подписал постановление, принятое во исполнение недействующей пока нормы закона, которое одновременно с новой редакцией закона вступит в силу очень скоро – 1 июля 2015 года. Речь идет о Постановлении № 415 «О Правилах формирования и ведения единого реестра проверок».

С 1 июля вступает в силу статья 13.3 Федерального закона от 26.12.2008 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», которая вводит понятие единого реестра проверок, находящегося в ведении Генеральной прокуратуры РФ. Реестр должен быть размещен на сайте в интернете и будет содержать очень важную для всех проверяемых организаций информацию. Помимо сведений о сроках, целях и месте проверке там же будут указываться и сведения о согласовании проведения проверки с органами прокуратуры, состав проверяющих, в том числе экспертов и представителей экспертных организаций, привлекаемых к проведению проверки. Обратите внимание – пофамильно представителей экспертных организаций, а не только названия самих организаций, как предполагается при проведении проверок в области персональных данных, о чем я писал.

И самое главное для системного анализа проверок: сведения о выявленных нарушениях обязательных требований, об их характере и о лицах, допустивших нарушения (с указанием положений правовых актов). Ну наконец-то! Теперь нельзя будет просто написать – «не обеспечивается выполнение требования», придется добавить «установленного частью… статьи ... Федерального закона…», ведь эти результаты увидят все. И еще очень важно: «В случае отмены результатов проведенной проверки информация об этом подлежит внесению в единый реестр проверок уполномоченным должностным лицом органа контроля не позднее 3 рабочих дней со дня поступления указанной информации в орган контроля».

Вот только беда – сведения о выявленных нарушениях и отмене результатов проверки не входят в состав общедоступной информации, установленный пунктом 3 части 3 статьи 13.3 закона 294-ФЗ о защите прав проверяемых, и, похоже, мы с Вами эту информацию не увидим. Плакал системный анализ результатов проверок горькими слезами.

Но переживать не стоит. С 1 сентября 2015 года контроль и надзор за обработкой персональных данных выводится из-под регулирования 294-ФЗ, и никаких согласований проверок с прокуратурой, за исключением внеплановых, организуемых контролирующим органом по обращению субъекта, не надо будет проводить , а наполнение единого реестра начнется только с 1 июля 2016 года. Так что проверок в области персональных данных мы в едином реестре все равно не увидим. Как и проверок соблюдения требований к распространению информации в интернете. Для них – свои правила. И никаких реестров. Пока, во всяком случае.