​​Редакция как оператор персональных данных

Редакции СМИ имеют дело с персональными данными, когда (1) распространяют сведения в журналистских материалах; (2) выступают операторами данных и занимаются их обработкой (например, данных своих сотрудников или подписчиков).

Здесь мы рассказываем о втором случае использования персональных данных. О первом – читайте в другой серии карточек. В них мы подробно рассказали, какие данные относятся к персональным, что понимается под их «обработкой» и как журналисту корректно работать с такими данными.

Согласно № 152-ФЗ «О персональных данных», оператором ПД является государственный или муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку ПД, а также определяющее цели обработки, состав персональных данных, действия (операции).

Другими словами, редакция СМИ обрабатывает персональные данные своих сотрудников, подписчиков, читателей, пользователей сайта, героев публикаций, рекламодателей, иных контрагентов. Соответственно, редакция является оператором ПД, даже если состоит из одного человека и не имеет юрлица.

Действия оператора ПД делятся на: (1) меры, направленные на защиту ПД (ст. 18.1 № 152-ФЗ «О персональных данных») и (2) меры по обеспечению безопасности данных при их обработке (ст. 19 № 152-ФЗ «О персональных данных»).

Оператор самостоятельно определяет состав и перечень мер, «необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством». Почему так? Все организации разные, им требуется разное количество персональных данных, которые нужно обрабатывать.

Оператор обязан:

1. предоставить по запросу субъекта данных информацию о его данных;
2. хранить личные сведения граждан с использованием баз данных только на территории РФ;
3. самостоятельно определить состав и перечень мер, необходимых для соблюдения законодательства;
4. опубликовать или иным способом обеспечить доступ к документам, определяющим политику конфиденциальности организации.

(Если сбор ПД осуществляется на сайте, политику конфиденциальности нужно разместить так, чтобы рядовой пользователь мог легко обнаружить документ).

1. по запросу Роскомнадзора предоставить документы, обеспечивающие обработку персональных данных.

Для соблюдения требований закона необходимо:

1. назначить ответственного или ответственных (издать приказ) за обработку ПД;
2. разработать политику в отношении обработки ПД и необходимые локальные акты (ЛНА);
3. применять правовые, организационные и технические меры по обеспечению безопасности ПД: кроме издания локальных актов, сюда относится назначение ответственных лиц, установка антивирусных программ;
4. контролировать сотрудников и (или) проводить внутренний аудит обработки данных в редакции;
5. оценить вред, который может быть причинен субъектам ПД в случае нарушения законодательства: указать в специальном документе, какие ПД обрабатываются и в каких целях, какие задействованы компьютеры и программы, установлены ли пароли для защиты информационных систем и серверов;
6. ознакомить сотрудников, ответственных за обработку ПД, с положениями закона, если потребуется – обучить их. Законодательство не предъявляет конкретных требований к обучению сотрудников, поэтому в качестве такой меры можно зачесть курс вебинаров АНРИ по персональным данным. Главное – оформить это документально.

К локальным нормативным актам относятся инструкции, положения и отчеты. Все ЛНА и изменения к ним утверждаются руководителем организации и оформляются приказом. Работники должны быть ознакомлены с актами и изменениями (необходима физическая подпись в листах ознакомления).

Приблизительный перечень необходимых ЛНА таков:

1. Положение об обработке персональных данных: определяет правила работы с личными данными, круг должностных лиц, имеющих к ним доступ, и устанавливает ответственность за нарушение этих правил.
2. Политика информационной безопасности информационных систем по обработке ПД (ИСПД): определяет цели и задачи, а также общую стратегию системы защиты ПД. Информационная система – это любой компьютер, в котором хранятся данные, стоит учетная программа или с которого можно зайти на сервер, где хранятся данные. Оператору данных необходимо иметь перечень информационных систем и стратегию их защиты (можно ориентироваться на раздел по обеспечению конфиденциальности информации вашей учетной программы).
3. Положение по хранению и уничтожению данных.
4. Правила рассмотрения обращений субъектов данных.
5. Инструкция пользователя ПД, инструкция администратора ПД.
6. Модели угроз безопасности ПД: документ за подписью руководителя, в котором описана структура ИСПД, состав и режим обработки ПД, классификация потенциальных нарушений, оценка исходного уровня защищенности, оценка вероятности возникновения угроз и их актуальности. Базовую модель угроз безопасности ПД можно найти на сайте ФСТЭК.
7. Руководство по работе с Интернетом.
8. Журналы (проверок, обращений граждан, учета съемных носителей).
9. Приказы (о введении режима обработки ПД, утверждения инструкций, журналов, положений политики).
10. Формы согласия на обработку ПД.

Политика оператора в отношении обработки ПД (политика конфиденциальности или пользовательское соглашение) и Положение об обработке ПД – это разные документы. Политика конфиденциальности компании – внешний общедоступный документ, положение – внутренний документ, в котором оператор определяет работу с данными внутри организации.

В Интернете (на своем сайте, как правило) оператор данных должен опубликовать два документа:

1. Согласие на обработку ПД.

Такое согласие можно опубликовать отдельным документом (как, например, сделал портал Ревда-инфо.ру) или предлагать пользователю заполнять его каждый раз по-новому: при регистрации на сайте / подаче объявления или новости / подписке на рассылку.

В идеале – технически устроить так, чтобы пользователь не мог зарегистрироваться на сайте или подписаться на рассылку, не дав согласия на обработку: как в примере тульского портала Myslo.ru (попробуйте зарегистрироваться).

    2. Политику конфиденциальности (или пользовательское соглашение).

В политике конфиденциальности следует указать: кто собирает данные, в каком объеме и для чего, как собирается их использовать; порядок и условия обработки (будут ли сведения передаваться третьим лицам, каковы условия хранения, уничтожения и прочее). Рекомендации по составлению политики конфиденциальности размещены на сайте Роскомнадзора.

В качестве примера посмотрите лаконичное пользовательское соглашение Altapress.ru и подробную политику конфиденциальности DonNews.ru.

При разработке политики конфиденциальности обратите внимание на цели и объем собираемых данных: не нужно указывать операции, которые редакция не осуществляет – например, описывать процедуру рассылки, которой по факту не существует.

До начала обработки персональных данных оператор обязан уведомить РКН о своем намерении. По сути, такое уведомление нужно подавать одновременно с созданием организации.

Уведомление требуется от организации, которая:

- на постоянной основе обрабатывает персональные данные (в штате организации есть сотрудники, проводится подписная кампания, собираются объявления на размещение рекламы);

- работает с внештатными сотрудниками;

- регистрирует на своем сайте пользователей или просит заполнить онлайн-формы для различных целей (рассылка, отзывы, подача объявления, «перезвонить мне» и т.д.)

Уведомление можно подать в бумажном виде в территориальный отдел  Роскомнадзора по месту регистрации редакции (с подписью уполномоченного лица), предварительно заполнив форму  на сайте Роскомнадзора).

Карточка компании попадает в реестр. Вот, например, так выглядит карточка ООО «Русская медиагруппа «Западная пресса».

Неподача уведомления, несвоевременная или некорректная подача являются административным правонарушением: должностные лица могут быть оштрафованы на сумму от 300 до 500 рублей, юридические – от 3 до 5 тысяч рублей (ст. 19.7 КоАП РФ). Срок давности привлечения к административной ответственности составляет три месяца с даты возникновения обязанности уведомления (ч. 1 ст. 4.5 КоАП РФ).

При внесении изменений в карточку организации необходимо уведомить Роскомнадзор в течение 10 рабочих дней в том же порядке, что и первоначальное уведомление.

 В редких случаях ведомство можно не уведомлять (ч. 2 ст. 22 152-ФЗ «О персональных данных»). Из них к деятельности СМИ применимы следующие:

1. ПД обрабатываются исключительно в рамках трудовых отношений – если редакция работает с людьми, не запрашивая дополнительных ПД и не передавая их третьим лицам.
2. ПД необходимы для исполнения договора, стороной которого является субъект ПД, и при этом данные не передаются третьим лицам.
3. Субъект данных сам сделал их общедоступными.
4. Если собираемые ПД включают в себя только фамилии, имена и отчества.
5. Если ПД собираются лишь для того, чтобы однократно пропустить человека на территорию предприятия.
6. Если ПД обрабатываются без использования средств автоматизации (на бумаге).

Существуют случаи, когда работодатель может обрабатывать данные сотрудника без его согласия (разъяснения Роскомнадзора от 14 декабря 2012 года). Из них к работе СМИ применимы:

1. Случаи, предусмотренные коллективным договором, в том числе правилами внутреннего трудового распорядка, а также локальными актами работодателя.
2. При обработке ПД близких родственников работника в объеме, предусмотренном формой № Т-2 и в некоторых случаях (получение алиментов, оформление допуска к государственной тайне, оформление социальных выплат).
3. При передаче данных работника третьим лицам в случаях, когда это необходимо для предупреждения угрозы жизни и здоровью работника и в других случаях, предусмотренных российским законодательством (например, передача сведений о работниках в ФНС, ФСС И ПФР, военкомат и профсоюзы, при командировании в гостиницы).
4. При получении мотивированных запросов от прокуратуры, полиции, ФСБ, трудовых инспекторов.
5. При передаче персональных данных работника кредитным организациям для начисления зарплаты в следующих случаях:

а) договор на выпуск банковской карты заключался с работником напрямую, и в нем предусмотрена передача ПД;

б) наличие у работодателя доверенности на представление интересов работника при заключении договора с финансовой организацией;

в) соответствующая форма и система оплаты труда прописана в коллективном договоре (ст. 41 Трудового кодекса РФ).

    6. При оформлении пропуска, если это предусмотрено коллективным  договором или ЛНА.

Если редакция передает бухгалтерский и кадровый учет на аутсорсинг, ей необходимо заручиться у своих сотрудников отдельным согласием на передачу ПД третьему лицу. В договоре с аутсорсинговой организацией нужно предусмотреть ее обязанность по обеспечению защиты данных сотрудников.

Согласие должно позволять сделать однозначный вывод о целях, способах обработки ПД с указанием действий и объеме собираемых данных (ч. 4 ст. 9 №152-ФЗ «О персональных данных»).

Согласие сотрудника может быть оформлено отдельно или включено в трудовой договор, Роскомнадзор предлагает оформлять его таким образом.

Вот примеры согласия на обработку данных посетителей сайта СМИ от Ревда-инфо-ру и «Информ Полис».

Согласие на обработку ПД подписчиков газеты может выглядеть так.

Аналогичным образом оформляется согласие на обработку ПД рекламодателей и других контрагентов.

Работодатель имеет право обрабатывать данные уволенного работника в случаях и в сроки, предусмотренные законом, согласия бывших сотрудников при этом не требуется (п. 2 ч. 1 ст. 6 ФЗ «О персональных данных»):

1. четыре года хранить документы, необходимые для исчисления, удержания или перечисления налога (подп. 5. п. 3. ст. 24 Налогового кодекса РФ);
2. хранить бухгалтерскую документацию в течение срока, установленного Госархивом, но не менее пяти лет (ст. 17 ФЗ «О бухгалтерском учете»).

По истечении установленных законом сроков личные дела работников и иные документы сдаются в архив.

Резюме не обходится без персональных данных, поэтому работодатель должен получить предварительное согласие соискателя на обработку его сведений до найма/отказа, кроме случаев, когда:

- от имени соискателя действует кадровое агентство (согласие дано агенту);

- соискатель самостоятельно разместил резюме в Интернете.

Если кандидат выслал резюме по электронной почте, работодатель может получить его согласие на обработку ПД во время личной встречи. Если о встрече не договорились, резюме уничтожается. В случае отказа в приеме на работу данные кандидата уничтожаются в течение 30 дней.

Работодатель также должен заручиться согласием соискателя, если хочет проверить его прежние рабочие места, кроме случаев, когда:

- речь идет о приеме на работу бывшего государственного или муниципального служащего (ст. 64.1 ТК РФ);

- речь идет о замещении вакантных должностей государственной гражданской службы (перечень документов определен ФЗ «О государственной гражданской службе»).