Защита персональных данных

Унифицированной формы нет, поэтому документ разрабатывается и утверждается индивидуально.

Основные разделы Положения

1. Состав персональных данных
Перечисляются документы и сведения, содержащие персональные данные. Рекомендуется оформлять согласие на обработку персональных данных даже в случаях, когда это не обязательно по закону.
2. Порядок обработки
Определяются действия с персональными данными (сбор, накопление, систематизация, хранение, использование, удаление и уничтожение) и условия, при которых они допустимы.
3. Передача данных
Прописываются правила передачи персональных данных внутри организации и третьим лицам, а также порядок получения данных от них.
4. Хранение
Указывается, где и как хранятся персональные данные. Например, персональные данные клиентов могут храниться в отделе продаж; персональные данные сотрудников - в отделе кадров или бухгалтерии, на бумажных и/или электронных носителях.
5. Доступ
Определяется круг лиц, имеющих доступ к персональным данным — например, руководитель, сотрудники бухгалтерии, отдела кадров и непосредственные руководители, менеджеры.

Грамотно составленное Положение помогает защитить интересы людей и снизить риски для работодателя.

1. Уведомление Роскомнадзора (далее - РКН)
• Регистрация в РКН обязательна для всех, кто собирает персональные данные (компании, ИП, самозанятые).
• Теперь уведомлять нужно до начала обработки и дождаться разрешения.
• Сообщать РКН также о смене реквизитов, перечня или способов сбора, случаях утечки персональных данных.
Это можно делать электронно на сайте Роскомнадзора.
2. Ответственность и штрафы
За отсутствие регистрации:
• Юрлица — 300 тыс.–1 млн руб.
• Должностные лица — 50–100 тыс. руб.
• ИП — 10–30 тыс. руб.
За неподачу уведомления:
• Граждане — 5–10 тыс. руб.
• Должностные лица — 30–50 тыс. руб.
• Организации — 100–300 тыс. руб.
• Возможна приостановка деятельности.
3. Понятие базы данных
Любой организованный сбор персональных данных с помощью сервисов SQL, NoSQL, Excel, CSV или даже бумажная таблица.
4. Локализация и трансфер данных
• Хранение и обработка персональных данных возможны только на территории РФ.
• Передача за границу возможна только с разрешения РКН.
• Передача персональных данных между операторами возможна только внутри страны.

Что такое cookie
Cookie — небольшие текстовые файлы, которые сайты сохраняют на устройстве пользователя.
Назначение: аутентификация, персонализация, аналитика, реклама, корзина покупок. Бывают сеансовые (удаляются при закрытии браузера) и постоянные (хранятся дольше).

Когда cookie = персональные данные
Если содержат уникальные идентификаторы (IP, user ID), они подпадают под 152-ФЗ. Под регулирование попадают:
• Аналитические cookie (Google Analytics, Яндекс.Метрика).
• Рекламные cookie (Facebook Pixel, VK Pixel).

Что требуется
• Получить согласие пользователя через cookie-баннер при первом визите.
• Дать выбор: согласие или отказ, категории cookie (аналитические, рекламные, технические).
• Согласие — только активное, не «по умолчанию».

Локализация и трансграничная передача
• Хранить cookie с ПД граждан РФ на серверах в России.
• Передача данных за границу. Например, передача в Google Analytics считается трансграничной передачей и требует уведомления и разрешения РКН.
• В политике конфиденциальности указать: какие данные передаются, цели, основание обработки.

Рекомендации владельцам сайтов
• Настройте cookie-баннер с выбором категорий и возможностью отказа.
• Храните файлы на российских серверах.
• Уведомляйте РКН при использовании зарубежных сервисов.
• Обновите политику конфиденциальности.
• Передавайте cookie только по HTTPS.

Когда наступает ответственность:
• Несообщение в РКН об утечке в течение 24 часов.
• Передача данных без согласия субъекта.
• Халатность или отсутствие мер защиты.
• Нарушения подрядчика (ответственность несёт заказчик).

Новые штрафы с 30.05.2025 (закон №420-ФЗ) "О внесении изменений в Кодекс РФ об административных правонарушениях":
• 1–10 тыс. пострадавших: физлица — 100–200 тыс., должностные — 200–400 тыс., компании — 3–5 млн.
• 10–100 тыс.: физлица — 200–300 тыс., должностные — 300–500 тыс., компании — 5–10 млн.
• 100 тыс.+: должностные — 400–600 тыс., компании — 10–15 млн.
• Повторная утечка: до 3% годового дохода, но не менее 20 млн (макс. 500 млн).

Биометрические данные:
• Физлица — 400–500 тыс., должностные — 1,3–1,5 млн, компании — 15–20 млн.
• Повторно — от 25 млн до 500 млн.

Уголовная ответственность (с 11.12.2024, закон №421-ФЗ):
• Штраф до 300 тыс., работы до 4 лет, лишение свободы до 4 лет.
• За данные несовершеннолетних или биометрию — до 700 тыс. или 5 лет.
• За передачу за рубеж — до 2 млн или 8 лет лишения свободы.