Получаем согласие на обработку персональных данных

Согласно положениям Закона о персональных данных, оператор обязан получить согласие от их владельца.

Я бы разделила субъектов персональных данных на две группы: сотрудники и все остальные.

Согласие может быть получено в виде отдельного документа либо в электронном виде, если действия происходят на сайте.

Так, Ростовским областным судом было рассмотрено дело по иску о предоставлении информации и взыскании морального вреда. Обстоятельства дела: истец получил кредитную карту в банке, далее банк сделал переуступку прав требования, новый банк направил истцу уведомление о необходимости явиться в офис банка для подписания документов, Истца смутило, что банк от него не получил согласия на обработку персональных данных, в связи с чем истец направил в банк заявление о предоставлении ему информации, связанной с его персональными данными. Банк от удовлетворения требований истца уберегло грамотно составленное согласие на обработку персональных данных, в котором было указано, что одной из целей обработки является сбор задолженности в случае передачи банком третьим лицам функций и (или) полномочий по обслуживанию кредита и сбору задолженности на основании заключаемых банком договоров с данными лицами.

Работодатель не всегда обязан получать согласие своих работников на обработку персональных данных, а только в том случае, если он планирует:

• обрабатывать биометрические персональные данные;

• использовать полиграф;

• передать данные третьим лицам;

• запросить данные у третьих лиц;

• поручить обработку персональных данных аутсорсеру;

• передать данные в банк, чтобы оформить зарплатную карту;

• передать данные за границу;

• обрабатывать специальные категории персональных данных.

Обезличиваем персональные данные

Согласно п. 9 ст. 3 Закона о персональных данных, обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

В случаях когда оператор достигает цели обработки или им потерян интерес к целям, Закон предоставляет оператору право выбора: обезличить или уничтожить персональные данные.

Чтобы обезличить персональные данные оператор выбирает один из методов, указанных в Приказе Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных»:

• метод введения идентификаторов — замена части сведений (значений персональных данных) идентификаторами с созданием таблицы;

• метод изменения состава или семантики;

• метод декомпозиции;

• метод перемешивания.

Обратите внимание, что данные методы установлены для государственных органов, для коммерческой организации они необязательны и в компании могут применяться другие.

Конечно, каждому оператору проще было бы просто уничтожать ненужные данные, но есть случаи, когда это невозможно, работодателям нельзя уничтожать большую часть кадровой документации, так как для нее установлен срок хранения.

Другие же операторы обезличивают персональные данные, когда в этом есть необходимость, например медицинской организации для статистики.

Уничтожаем персональные данные

Самый простой способ избавиться от ненужных персональных данных — уничтожить их.

Согласно п. 8 ст. 3 Закона о персональных данных, уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Законом установлены случаи, когда оператор обязан уничтожить персональные данные:

1. Владелец персональных данных требует уничтожить их (ч. 3 ст. 20 Закона о персональных данных). Срок уничтожения — семь рабочих дней с момента поступления требования.

Так, Нижегородским областным судом было рассмотрено дело о неправомерном использовании персональных данных по иску об уничтожении персональных данных и взысканию морального вреда. Обстоятельства дела таковы: между ответчиком и третьим лицом было заключено соглашение о предоставлении овердрафта, впоследствии у третьего лица по данному соглашению образовалась просроченная задолженность. Истец, являющийся адвокатом, в рамках оказания юридических услуг обратился со своего телефонного номера к ответчику для получения информации по задолженности, но в последующем на телефонный номер истца стали неоднократно поступать звонки по вопросу погашения задолженности. Суд удовлетворил требования ответчика в полном объеме, обязал банк уничтожить персональные данные в течение 10 дней с момента вступления решения в силу (Апелляционное определение Нижегородского областного суда от 11.10.2016 по делу № 33-12355/2016).

Еще одно дело было рассмотрено Новосибирским областным судом по иску о признании кредитного договора незаключенным, уничтожении персональных данных, взыскании морального вреда и судебных расходов. Обстоятельства дела: истец пришла в магазин бытовой техники, где намеревалась купить товар в кредит, обратилась к кредитному менеджеру, предоставила все необходимые документы, менеджер внес в базу данные истца. Истец, не дождавшись ответа из банка, отказалась от заключения договора, но с того времени ей постоянно поступают звонки из банка с требованием погасить задолженность по кредиту. Суд удовлетворил требования истца, установив, что у банка не было законных оснований на обработку персональных данных истца (Апелляционное определение Новосибирского областного суда от 18.07.2017 по делу № 33-6839/2017).

2. Оператор самостоятельно обнаружил, что неправомерно обрабатывает персональные данные (ч. 3 ст. 21 Закона о персональных данных). Срок уничтожения — 10 рабочих дней с момента выявления оператором такого нарушения;

3. Достигнуты цели обработки персональных данных (ч. 4 ст. 21 Закона о персональных данных). Срок уничтожения — 30 дней с момента достижения цели;

4. Владелец персональных данных отзывает согласие на обработку его персональных данных (ч. 5 ст. 21 Закона о персональных данных). Срок уничтожения — 30 дней с момента поступления отзыва, если для целей обработки данные больше не нужно сохранять.

Исключение: если достигнуты цели обработки или владелец персональных данных отзывает их, оператор имеет право не уничтожать данные, если иное предусмотрено в заключенном сторонами договоре/соглашении либо оператором осуществляется обработка персональных данных на законных основаниях без согласия субъекта персональных данных.

Чтобы уничтожить персональные данные, нужно создать комиссию по уничтожению персональных данных и утвердить акт об уничтожении персональных данных.

В заключение хотелось бы сказать, что принцип, который позволит сэкономить на штрафах и иных расходах, прописан в ст. 6 Закона о персональных данных, а именно: обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных указанным Федеральным законом.