Перечень обрабатываемых ПДн и действия с ними индивидуальны для каждого хозяйствующего субъекта, разработка применимого алгоритма требует, в частности, учёта видов деятельности компании, количества и квалификации персонала, специфики внутреннего взаимодействия и коммуникаций с внешним миром (контрагенты, клиенты, контролирующие органы и т.д.).

Вместе с тем, неизменны три базовых принципа любого хозяйствующего субъекта, не желающего попадать в составляемый «ботом» Роскомнадзора список получивших предписание «счастливчиков», – основные маркеры контроля (нарушения), пределы ответственности (восемь основных рисков) и самоконтроль, обязательные действия оператора обработки персональных данных для двухшаговой самопроверки; начинаем с последнего.

ПЕРВЫЙ ШАГ САМОПРОВЕРКИ – САМОИДЕНТИФИКАЦИЯ, У ВАС ЕСТЬ положительный ответ на любой из перечисленных ниже пунктов или часть:  

• работники, специалисты, контрагенты/клиенты, вы контактируете с ними, записываете данные, храните их – обрабатываете, возможно ведете базу CRM...
• канал в соцсетях, подписчики/клиенты, обратная связь и заявки от них...
• сайт, форма обратной связи, Яндекс.Метрика, Google Analytics или любое аналогичное программное обеспечение...
• фото ключевых работников, которые вы, вместе с VS размещаете на своем сайте...

ОСНОВНЫЕ НАРУШЕНИЯ, которые может выявить «бот» Роскомнадзора (маркеры контроля):

• владелец сайта отсутствует в реестре Роскомнадзора[6] или не разместил на своем сайте политику ОПД, алгоритмы получения согласия пользователей (посетителей) на ОПД, в алгоритмах есть предустановленные «галочки» о согласии и т.д.;
• веб-аналитика осуществляется с использованием, например, сервисов Google или иных, не одобренных Роскомнадзором;
• хозяйствующим субъектом используются запрещенные или «ограниченные» для использования ресурсы;
• на сайте хозяйствующего субъекта в сети Интернет публикуются фотографии его работников/специалистов без надлежащего оформления соответствующих согласий.

ДОПУСКАЕМ – увы, могут быть и иные маркеры, Роскомнадзор совершенствуется...

Руководствуясь своими полномочиями Роскомнадзор вправе (обязан) привлекать к административной ответственности лиц, допустивших нарушения в сфере обработки персональных данных.

Действующая редакция КоАП РФ предусматривает следующие виды административной ответственности для граждан, индивидуальных предпринимателей (ИП) и юридических лиц.

ВОСЕМЬ ОСНОВНЫХ РИСКОВ административной ответственности:

Обработка ПДн в случаях, не предусмотренных законодательством РФ, либо обработка ПДн несовместимая с целями их сбора (ч. 1 и ч. 1.1. ст. 13.11 КоАП РФ), за исключением предусмотренных ч. 2 ст. 13.11 и ст. 17.13 КоАП РФ случаев, влечет наложение штрафа для:

• граждан – от 10 до 15 т.руб. (повторно от 15 до 30 т.руб.);
• должностных лиц – от 50 до 100 т.руб. (повторно от 100 до 200 т.руб.);
• юридических лиц – от 150 до 300 т.руб. (повторно от 300 до 500 т.руб.).

Невыполнение оператором обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки ПДн (ч. 3 ст. 13.11 КоАП РФ), влечет наложение штрафа для:

• граждан – от 1,5 до 3 т. руб.;
• должностных лиц – от 6 до 12 т. руб.;
• ИП – от 10 до 20 т. руб.;
• юридических лиц – от 30 до 60 т. руб.

Невыполнение оператором требования субъекта ПДн или Роскомнадзора, в сроки установленные законом или контролирующим органом, об уточнении ПДн, их блокировании или уничтожении (если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки – ч. 5 и ч. 5.1. ст. 13.11 КоАП РФ), влечет наложение штрафа для:

• граждан – от 2 до 4 т. руб. (повторно от 20 до 30 т. руб.);
• должностных лиц – от 8 до 20 т. руб. (повторно от 30 до 50 т. руб.);
• ИП – от 20 до 40 т.руб. (повторно от 50 до 100 т.руб.);
• юридических лиц – от 50 до 90 т. руб. (повторно от 300 до 500 т. руб.).

Невыполнение оператором при сборе ПДн посредством сети Интернет обязанности, предусмотренной законом по обеспечению записи, систематизации, накопления, хранения, уточнения (обновления, изменения) или извлечения ПДн граждан РФ с использованием баз данных, находящихся на территории РФ (ч. 8 и 9 ст. 13.11 КоАП РФ), влечет наложение штрафа для:

• граждан – от 30 до 50 т. руб. (повторно от 50 до 100 т. руб.);
• должностных лиц – от 100 до 200 т. руб. (повторно от 500 до 800 т. руб.);
• юридических лиц – от 1 до 6 млн руб. (повторно от 6 до 18 млн руб.).

Действия (бездействие) оператора, повлекшие неправомерную «утечку» сведений с ПДн от 1 000 до 10 000 субъектов персональных данных и/или более 1 000 000 идентификаторов, если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния (ч. 12, 13 и 14 ст. 13.11 КоАП РФ), влечет наложение штрафа для:

• граждан – от 100 до 400 т. руб. (повторно от 400 до 600 т. руб.);
• должностных лиц – от 200 до 600 т. руб. (повторно от 800 т. руб. до 1,2 млн руб.);
• юридических лиц – от 3 до 15 млн руб. (повторно «оборотный штраф»).

Действия (бездействие) оператора, повлекшие неправомерную «утечку» информации, включающей специальную категорию ПДн (ч. 16 ст. 13.11 КоАП РФ), влечет наложение штрафа для:

• граждан – от 300 до 400 т. руб. (повторно от 500 до 800 т. руб.);
• должностных лиц – от 1 до 1,3 млн руб. (повторно от 1,5 до 2 млн руб.);
• юридических лиц – от 10 до 15 млн руб. (повторно «оборотный штраф»).

Действия (бездействие) оператора, повлекшие неправомерную «утечку» информации, включающей биометрические ПДн (ч. 17 ст. 13.11 КоАП РФ), за исключением случаев нарушений размещения ПДн в «Единой системе идентификации и аутентификации физических лиц с использованием биометрических ПДн – ст. 13.11.3 КоАП РФ, влечет наложение штрафа для:

• граждан – от 400 до 500 т. руб. (повторно от 500 до 800 т. руб.);
• должностных лиц – от 1,3 до 1,5 млн руб. (повторно от 1,5 до 2 млн руб.);
• юридических лиц – от 15 до 20 млн руб. (повторно «оборотный штраф»).

Незаконное использование, в предусмотренных законом случаях[7], принадлежащих иностранным юридическим лицам и/или иностранным гражданам информационных систем и/или программ для электронных вычислительных машин (ст. 13.11.2 КоАП РФ), влечет наложение штрафа для:

• должностных лиц – от 30 до 50 т. руб.;
• юридических лиц – от 100 до 700 т. руб.

Подводя итог описанного выше, учитывая сильно выросшие штрафы, невольно вспоминаешь извечный вопрос русской интеллигенции – ЧТО ДЕЛАТЬ?

ВТОРОЙ И САМЫЙ ВАЖНЫЙ ШАГ САМОПРОВЕРКИ – вне зависимости от того, намерен хозяйствующий субъект подать уведомление в Роскомнадзор или осуществляется актуализация процессов по обработке ПДн, можно использовать разработанные нами «шпаргалки», – КОНТРОЛЬНЫЕ ЛИСТЫ[8] – ПРИЛОЖЕНИЯ № 1 и № 2.

УДАЧИ НАМ ВСЕМ!