Если компания заключила договор хотя бы с одним физическим лицом, она является оператором персональных данных. Это касается как правоотношений с контрагентами, так и с сотрудниками: при наличии хотя бы одного работника нужно регистрироваться в реестре Роскомнадзора (РКН). Разберемся, кто может быть оператором и какие правила необходимо соблюдать при работе с личными сведениями физлиц.
Кто считается оператором
Операторами персональных данных являются юридические лица, ИП, государственные и муниципальные учреждения, которые самостоятельно или при участии третьего лица определяет цели и способы обработки ПДн и несут ответственность за их законное использование.
Пример:
ИП работал самостоятельно, без сотрудников. Со временем бизнес стал шире, предпринимателю понадобился помощник. Чтобы собирать ПДн соискателей законно и в дальнейшем заключать трудовые договоры, не боясь штрафа, сначала он должен зарегистрироваться в реестре операторов.
Самозанятые тоже являются операторами ПДн, если они оформляют договоры с физическими лицами в рамках своей деятельности.
Обязанности оператора
Каждая организация или ИП должны зарегистрироваться в реестре операторов ПДн. Уведомление можно подать на сайте Роскомнадзора. Исключение - компании, работающие с данными из ГИС, для соблюдения законодательства о транспортной безопасности или собирающие личные сведения физлиц в ручном режиме на бумаге: им направлять уведомление не нужно, но они все равно являются операторами ПДн (ст. 22 ФЗ №152-ФЗ).
Какими принципами необходимо руководствоваться:
- Законность обработки – сбор и использование данных только с согласия субъекта (кроме исключений, предусмотренных п.2-11 ч.1 ст. 6 ФЗ №152-ФЗ).
- Определение целей – в уведомлении для РКН, Политике обработки ПДн и других документах должно быть указано, для чего оператор работает с данными. Например, ведение кадрового или бухгалтерского учета, для исполнения трудового законодательства, и другое.
- Ограничение объема – нельзя собирать "лишние" сведения, не соответствующие заявленным целям. В большинстве случаев берется согласие на работу с ПДн от субъекта.
- Защита информации - шифрование, обеспечение ограниченного доступа, иные меры для предотвращения утечки.
- Удаление данных после достижения целей обработки. Но есть ограничения: так, трудовой договор и другие документы бывшего сотрудника должны храниться до 75 лет, а договор с контрагентом - в течение срока его действия и 5 лет - после расторжения.
Если цели обработки ПДн достигнуты, их нужно уничтожить. Об этом оформляется соответствующий акт.
Что в итоге
Операторами персональных данных являются как крупные корпорации, так и ИП или самозанятые. Главное, что их всех объединяет - это обязанность соблюдать принципы обработки ПДн: законность, целевое использование, оптимальный объем данных и обеспечение их безопасности.
Регистрация в реестре, разработка внутренних документов по защите ПДн, назначение ответственных лиц - эти меры помогут не только избежать штрафов до 300 000 рублей, но и выстроить доверительные отношения с клиентами и партнерами.