Вторая ситуация, тоже не из области фантастики.
Есть сайт, где в форме сбора оператор запрашивает только номер телефона + установлен сервис веб-аналитики (например, Яндекс.Метрика).
В таком случае должно быть правовое основание для обработки персональных данных, полученных с помощью сервиса веб-аналитики, и должна быть размещена политика в отношении обработки персональных данных.
Посмотреть пример уведомления о факте использования сервиса веб-аналитики: https://www.yarsec.ru/upload/poleznye-dokumenty/Soglasie_metrika.pdf.

#согласие

Чтобы поставить точку в вопросе обработки номера телефона, хочу раскрыть этот вопрос с точки зрения каждого из вас, как субъекта персональных данных.
Наверное вам периодически приходят примерно такие сообщения 👆и возникает мысль: "Ах, редиски (у каждого тут своя терминология🤭), кто-то слил мои персональные данные, буду жаловаться".
Но теперь вы знаете, что такое использование номера телефона не противоречит Федеральному закону "О персональных данных".
Рассказываю, чтобы таких жалоб в Роскомнадзор стало меньше, а одной счастливой Любовью Николаевной - больше😂 (Подмигни, если согласна)

🔔15 июля, а это значит, что сегодня последний день для того, чтобы уведомить Роскомнадзор обо всех произошедших в июне изменениях! Буду периодически об этом напоминать.

Речь о том, что, если в информации, которую ранее предоставляли в реестр операторов персональных данных (уведомление
об обработке персональных данных, уведомление об изменении сведений), произошли изменения, об этом необходимо сообщить в соответствующий территориальный орган Роскомнадзора по месту регистрации оператора (часть 7 статьи 22 Федерального закона «О персональных данных»).

❗Посмотреть информацию в реестре операторов: https://pd.rkn.gov.ru/operators-registry/operators-list/

Заполнить уведомление об изменении сведений: https://pd.rkn.gov.ru/operators-registry/notification/updateform.

#реестроператоров

Персональные данные есть? А если найду? 🧐

Не раз сталкивалась с мнением «Я – индивидуальный предприниматель и никакие персональные данные не обрабатываю».
С некоторыми ИП приходилось проходить все стадии принятия неизбежного: отрицание, гнев, торг, депрессия и принятие.
В Роскомнадзоре на стадии гнева можно было услышать и про лопатой по голове, и куда отправиться со своим уведомлением 😬

Признавайтесь, узнали себя? 👀Давайте разбираться!

В целом не исключаю такую ситуацию, когда ИП действительно не обрабатывает персональные данные, потому что не нанимает работников и не собирает личные данные клиентов. Например, торгует на рынке и никакие данные покупателей не собирает.

А если у ИП есть работники и клиенты, то отрицать факт обработки персональных данных становится невозможно.
Даже от имени клиента – юридического лица всегда
коммуницирует физическое лицо. При этом его фамилия, имя, отчество, должность, место работы, контактные данные (как минимум) нам становятся известны.

✔Приняли, что раз стали ИП, теперь наречены оператором. И что дальше?

Следующий вопрос – надо ли ИП регистрироваться в реестре операторов Роскомнадзора?
Вести обработку персональных данных без уведомления Роскомнадзора можно лишь в исключительных случаях, перечисленных в части 2 статьи 22 Федерального закона «О
персональных данных». Например, обработка таких данных осуществляется исключительно без использования средств автоматизации.
Пум-пум-пум…Автоматизация…Есть она или нет? 😳🤔
Почувствовали легкий дискомфорт от количества нюансов, с которыми предстоит разобраться?

Вы используете средства автоматизации, если у вас:
✔безналичная форма оплаты труда (в реестрах на перечисление заработной платы указаны персональные данные);
✔бухгалтерская и иная отчетность сдается в
электронном виде;
✔есть сайт и Вы получаете через него заявки клиентов (в том числе онлайн торговля);
✔на сайте установлены сервисы веб-аналитики;
✔осуществляется обработка персональных данных в
Excel и Word;
✔переписка с поставщиками (явно же не почтовыми голубями🕊);
✔ получаете данные клиентов через мессенджер/социальные сети.
Конечно, это не все случаи. Но они очень показательные (основаны на официальных ответах Роскомнадзора, судебной практике и опыте)!

Кивнули хотя бы на один из пунктов, автоматизация есть, а значит и уведомление об обработке персональных данных в Роскомнадзор должно быть 🤝

И пару слов о самозанятых.
При осуществлении предпринимательской деятельности самозанятым могут быть получены персональные данные, например, его покупателей или заказчиков –физических лиц. В отношении таких данных он должен направить в Роскомнадзор
уведомление. Обоснование будет аналогичным, как и для ИП.

Появилась идея 💡
Есть у меня подруга – начинающий предприниматель, если она будет согласна (поставь 🔥 ),на примере разберем, что еще нужно ИП, чтобы обработка персональных данных была законной. Пройдем этот путь вместе!

#персональныеданные
#реестроператоров

Среда - маленькая пятница, поэтому позволю себе немного о личном.
За последние 3,5 месяца сколько раз я отвечала на вопрос о смене работы 🙈скажу я вам, это утомительно.
Поэтому если вдруг кому-то из вас я еще не рассказывала…
⁉️Почему ушла из Роскомнадзора, ведь так долго работала?
Драмы не будет, расходимся 🤣 я ни с кем не ругалась, меня никто не обижал, никто не увольнял! Как такое вообще в голову приходит?!

Все просто…мне захотелось посмотреть, а что есть там , за стенами родного Роскомнадзора? Да и вообще, было бы странно работать там до пенсии, согласитесь (до нее мне еще далековато…)
И вообще, не разделяю мнение о том , что менять надо только плохую работу. Хорошую тоже можно сменить, на другую хорошую, что собственно я и сделала ☺️
Пусть у каждого будет работа мечты, чтоб так улыбаться 🙏🏻

Есть у меня должок…
Я обещала поделиться запросом субъекта (каждого из вас) оператору (любому, кто юзает обрабатывает сведения о вас).

Ответ на такой запрос оператор обязан предоставить в течение 10 рабочих дней с момента обращения или получения оператором запроса.
Если оператору требуется больше времени на ответ, срок может быть продлен не более чем на 5 рабочих дней, о чем вам должно поступить мотивированное уведомление, с указанием причин продления срока.
Запрос должен быть подписан вашей собственноручной или электронной подписью.

Когда такой запрос потребуется?
✔ нет четкого понимания зачем и почему оператор обрабатывает сведения о вас,
✔ есть сомнения в актуальности обрабатываемых оператором данных, но в целом вы не против в продолжении отношений с оператором, хотите актуализировать информацию,
✔ есть намерение прекратить эту вакханалию и потребовать удалить персональные данные («ааааа, затрогали уже со своей рекламой🤬»- так же у вас? Иначе бы вопрос об отзыве согласия не возник).

Почему не рекомендую направлять сразу отзыв согласия на обработку персональных данных?
У оператора не возникает обязанности вам что-то отвечать на отзыв согласия. Оператор сам с собой решит, что продолжит обработку, потому что на то есть законные основания, а вы об этом не узнаете до поры до времени (так можно). Раз в законе нет обязанности отвечать, то и вероятность получить ответ от оператора - 50/50, примерно как встретить 🦒 на улице.

Поэтому сначала всё узнаем, потом сжигаем мосты (требуем удалить!)🔥, если действительно в этом есть необходимость.

❗А кстати, если тот оператор - вы, мотайте на ус обязанность, и не нарушайте срок ее исполнения.
В противном случае штраф 40 000-80 000 руб. на юридическое лицо обеспечен (20 000-30 000 руб. для индивидуальных предпринимателей).

В следующий раз расскажу примеры из судебной практики, их таких много.

#защитисвоипд

Суббота, а значит фотографии выходного дня быть ) плодите лучше огурцы, или что больше нравится, но только не проблемы с персональными данными 😁
P.S. Если что знаете, кто решит такие проблемы 💪

Два младших субъекта персональных данных нашей семьи остались на даче проживать свои лучшие каникулы с бабушками. Нам с мужем предстоит выкрутить родительскую тревогу на минимум и собирать их персональные данные через камеру видеонаблюдения 🤣 вы же знали, что запись с камеры видеонаблюдения может относиться к персональным данным?

👍-Так точно
😱-Да лааадно? (шик-шак-шок)

Еще немного о семье 👨‍👩‍👧‍👦
Сведения о близких родственниках и членах семьи работника -это персональные данные этих самых субъектов: супруга(и), детей, родителей и т.д., а не работника.
К работнику будет относиться семейное положение, сведения о наличии детей.
Вроде это очевидно, но ошибка встречается не редко.

❗️Не забывайте выделять самостоятельную категорию субъектов- близкие родственники и члены семьи работника.

Их данные могут обрабатываться в следующих целях: ведение кадрового учета, предоставление социальных гарантий, для начисления налоговых вычетов, информирование в случае наступления чрезвычайной ситуации и т.п.

Собирайте только нужное, не спрашивайте лишнего на всякий случай, сверьтесь есть ли правое основание обработки персональных данных.

P.S. Фото с супругом, на которое не потребуется согласие на распространение фотоизображения и его персональных данных🤣

#персональныеданные
#152фз

Нормально делай, нормально будет!

У меня профессиональная деформация, читаю все согласия на обработку персональных данных и все политики, куда бы я не обращалась за услугами.. Это к вопросу о том, да кто их вообще читает? 😀 Опыт работы в Роскомнадзоре показывает, что пользователи услугами все чаще предварительно мониторят информацию, и документы по персональным данным - не исключение.

Вчера до бронирования стола в ресторане почитала положение об обработке персональных данных, которое размещено на сайте.

И еще один оператор в копилку тех, кто запутался с самого начала.
Что еще раз подтверждает, персональные данные - не самая простая тема и каждый должен заниматься своим делом.

В наименовании положения указано, что это документ некого индивидуального предпринимателя, а далее по тексту дано понятие "оператор" и приписка, что оператором является общество с ограниченной ответственностью "такое-то".

Вообще, из этого положения прям сквозит, что его списали где-то и даже не очень думали (а надо бы...).
Например, о какой "заявке на обследование о возможности подключения физического лица" может идти речь применимо к обработке персональных данных клиентов ресторана?
Ваши версии, господа?

Указано, что договор (публичная оферта) содержит персональные данные клиентов🙈

Цель обработки - оказание услуг связи в соответствии с заключенным договором, абонентское обслуживание...
Напоминаю, что я все еще на сайте ресторана. И вот стесняюсь спросить, какие услуги связи и какое абонентское обслуживание?🤔

Пока читала, несколько раз злилась и бросала это дело. Но снова возвращалась с мыслью "ребята, давайте наваливайте еще кринжа".
В общем, это сплошное недоразумение.

Можно было обнять монитор и плакать, но лучше я подскажу коллегам из коммерческого отдела кого надо срочно спасать🦸‍♀️

P.S. Конечно, разработкой документов по персональным данным может заниматься кто угодно в организации, вопрос - каким будет итог? и как скоро придет письмо счастья из Роскомнадзора?

#политикаконфиденциальности
#персональныеданные

В интернетах пишут, что в крупных компаниях набирает популярность роль Chief Happiness Officer (CHO), или "менеджер по счастью", который занимается непосредственно вопросами эмоционального благополучия сотрудников. Спасибо, теперь знаю, чем занималась несколько лет в своем отделе😂

Но а мы с вами давайте про другую, обязательную роль - ответственный за организацию обработки персональных данных (ИП и самозанятые расходимся, это не для вас).

Все чаще мне задают вопрос: почему именно кадровик или бухгалтер должен тянуть эту лямку? Есть у вас варианты?

Политика в отношении обработки персональных данных: что не так?

Благодарю тех, кто проявил интерес и прислал свои документы 🙏Вы молодцы, но еще есть над чем работать!

1⃣Те две политики, которые я анализировала, имеют первую общую ошибку- они касаются порядка обработки персональных данных только пользователей сайта.
Спойлер… логика «политика для сайта, значит и писать надо только про пользователей сайта» - неправильная.

Я смотрела политики именно юридических лиц, у таких операторов явно есть работники, и другие категории субъектов (например, контрагенты и их представители), а значит порядок обработки и их персональных данных тоже должен быть определен и опубликован (иным образом обеспечен неограниченный доступ к документу).
Тому виной часть 2 статьи 18.1 ФЗ «О персональных данных»:

Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.

Любой оператор (юридическое лицо, ИП, самозанятый), который собирает персональные данные с помощью форм на своем сайте, обязан опубликовать политику на страницах, с использованием которых осуществляется сбор.

Ключевой момент- обязательные условия политики определены все той же статьей 18.1 ФЗ «О персональных данных» и каждая цель обработки персональных данных должна быть описана по схеме:

✔категории и перечень обрабатываемых персональных данных,
✔категории субъектов, персональные данные которых обрабатываются,
✔способы обработки,
✔сроки их обработки и хранения.

Кроме того, в политике должны быть:
✔ определен порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований,
✔указаны сведения о реализуемых требованиях к защите персональных данных.

Размещение выдержки или части политики законодательством Российской Федерации не предусмотрено.

Документ, определяющий политику в отношении обработки персональных данных, должен содержать описание абсолютно всех целей обработки персональных данных. Даже если кажется, что их неприлично много.

2⃣Вторая ошибка на первый взгляд и не связана напрямую с содержанием политики, но её я увидела дважды! У двух совершенно разных операторов, закон парных случаев в действии, не иначе. Поэтому молчать просто не могу.
Речь о злоупотреблении таким правовым основанием, как обработка персональных данных для осуществления прав и законных интересов оператора (пункт 7 части 1 статьи 6 ФЗ «О персональных данных»).
Операторы выделили такие цели обработки, как анализ пользовательского опыта с целью улучшения работы сайта (определение предпочтений посетителей сайта, предоставление целевой информации с помощью сервисов веб-аналитики), подбор соискателей на вакантные должности. В качестве правового основание был указан этот ☝пункт.

Ребят, не пытайтесь натянуть сову 🦉на глобус, она и так уже настрадалась!
Читаем полностью и внимательно, когда допускается обработка персональных данных:

Обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату
просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях», либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

Нарушаются или нет права субъекта персональных данных, скорее всего укажет сам субъект. Инфа 💯 - скажет, что конечно же нарушаются. Вообще не исключено, что известит об этом субъект не вас, а сразу Роскомнадзор. Надо ли продолжать этот валидольный сценарий?

❗Поэтому пункт 7 части 1 статьи 6 ФЗ «О персональных данных» используем вдумчиво, аккуратно и дозировано, только там, где абсолютно уверены в своей правоте.

Сомневаетесь – берите согласие на обработку персональных данных или ищите в части 1 статьи 6 ФЗ «О персональных данных» еще подходящие к ситуации условия обработки.
Применительно к двум рассматриваемым целям правовым основанием обработки является согласие на обработку персональных данных.
Не будет согласия на обработку персональных данных, пункт 7 части 1 статьи 6 ФЗ «О персональных данных» вас не прикроет от штрафа в 150 000 - 300 000 рублей.

3⃣Третья ошибка – некорректное определение сроков обработки персональных данных.

❌Неправильные варианты:
Срок обработки персональных данных неограничен/ Оператором может осуществляться бессрочная обработка персональных данных.

Обработка персональных данных осуществляется до отзыва согласия.

✅Правильно: определить конкретный срок, разумный,
соответствующий цели обработки. Но иногда это бывает просто нереально, поэтому возможно указание на условие достижения цели обработки персональных данных.

4⃣ Четвертая ошибка – отсутствует порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также сведения о реализуемых требованиях к защите персональных
данных.

Подводя итог, написание документа, определяющего политику в отношении обработки персональных данных – не самое простое творчество.
Готовы ли вы вписаться в это самостоятельно? Думайте сами, решайте сами...
Не хотелось бы хвастаться, но у нас с командой с этим нет проблем😊

Напомню, что невыполнение оператором обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных влечет наложение административного штрафа:

на граждан 1000 – 3000 рублей;
на должностных лиц - 6000-12 000 рублей;
на индивидуальных предпринимателей – 10 000 – 20 000 рублей;
на юридических лиц – 30 000 – 60 000 рублей.

#персональныеданные
#политикаконфиденциальности
#штраф

Писала-писала я про политику, а вопросы все равно поступают. Это говорит лишь об одном - документ сложный, требует определенных компетенций и целостного понимания процессов обработки персональных данных.
Если ситуацию с персональными данными в своей организации можете охарактеризовать этим☝️коротким ёмким словом, расскажу как выходить из таких обстоятельств 💪
кстати с технической точки зрения тоже, защищаем и словом и делом!

P.S. Это из рубрики «записки 6-летки». написано без ошибок, даже ругать не за что 😀понимание у автора, что слово не из лучших тоже имеется, поэтому записка была скомкана и изъята при попытке сжечь

Кошечки-собачки или при чем здесь персональные данные?

Ваш питомец конечно же не является субъектом персональных данных, речь пойдет не про него.
Редко когда владельцам домашних животных удается обойтись без помощи ветеринаров (мы за вас рады, но не искренне 🤣).

Большинство же обращались в ветеринарные клиники и даже там оставляли СВОИ персональные данные для заключения договора.

Бдительный коллега показал договор одной из самых крупных ветеринарок Ярославля, в который включено такое согласие на обработку персональных данных, что органично хочется сказать божечки-кошечки 😱

Владелец питомца соглашается с тем, что клиника может передавать его персональные данные (а это, на минуточку, ФИО, адрес, паспортные данные, телефон) третьим лицам и даже распространять их. Какие это третьи лица, для чего передавать, а самое главное зачем распространять? Остается загадкой...
(Напомню, распространять - делать их доступными для неопределенного круга лиц!)

Весь подвох в том, что клиника, то ли с испуга, то ли по незнанию, включила все действия, что указаны в определении «обработка персональных данных» в законе, в текст согласия.

Это еще один случай, когда больше - не значит лучше! Или любимое многими «пусть лучше будет…»
Нет, нет, и еще раз нет! Вот так ☝️пусть не будет!

❗️Важно понимать, договор - это самостоятельное условие обработки персональных данных, которое определено таковым пунктом 5 части 1 статьи 6 ФЗ «О персональных данных». И если данные обрабатываются сугубо в целях исполнения данного договора, не надо обогащать договор дополнительными согласиями на обработку персональных данных.

Если с персональными данными хочется что-то сделать этакое, что выходит за предмет договора, права и обязанности сторон по договору, и нет иных оснований обрабатывать (ищем все там же - часть 1 статьи 6 «О персональных данных»), нужно взять ОТДЕЛЬНОЕ согласие на обработку персональных данных (1 сентября 2025 уже близко, тут рассказывала об изменениях

https://t.me/ProPDn/7).

Повторяем вместе как мантру - каждое слово в согласии на обработку персональных данных должно быть выверенным, слишком велика цена оплошности.

Насколько она велика?
Вот, например, если должно быть согласие в письменной форме, а его не оказалось, или оно есть, но неправильное, юридическое лицо может не досчитаться 300 000-700 000 рублей.

Это я так, на подумать всем… договоры свои почитать, кто заключает…

#договор
#152фз
#согласиенаобработку