Обработка персональных данных под угрозой?

Возможные риски для бизнеса и необходимые комплаенс-меры

 

С учетом изменений в законодательстве о персональных данных и практике его правоприменения нарушение его требований стремительно превращается из отдаленного и теоретического риска в реальную угрозу для непрерывности бизнеса многих компаний. Это вызвано, во-первых, вступлением в силу закона о «локализации» персональных данных и изменениями в процедурах проведения проверок, а во-вторых, не утрачивающими своей актуальности общими требованиями законодательства о персональных данных, которые многие компании не соблюдают в полной мере до сих пор.

 

Так, согласно недавно озвученной статистике Рос-комнадзора, за последние 11 месяцев им было проведено 805 проверок (в том числе 58 внеплановых), выявлено 1188 нарушений по результатам 1738 мероприятий систематического наблюдения, выдано 613 предписаний и составлено 6374 протокола об административных правонарушениях. Кроме того, было выявлено как минимум три случая неправомерного использования иностранных баз персональных данных.

 

Данные цифры кажутся не слишком значительными на фоне общего количества операторов персональных данных (по данным Роскомнадзора, сейчас в России от 5 до 7 млн операторов). Однако важно понимать, что большую часть из этих 5—7 млн операторов составляют предприятия малого и среднего бизнеса, индивидуальные предприниматели, нотариусы и прочие, при этом особый интерес контрольно-надзорные органы будут проявлять в отношении достаточно ограниченного числа компаний. Кроме того, согласно заявлениям Роскомнадзора, мы можем ожидать более активную контрольно-надзорную деятельность в предстоящем 2016 году.

Поскольку переход к юридически правильной модели
обработки персональных данных на практике может занять достаточно много времени в силу ограниченности ресурсов компании, мы рекомендуем заблаговременно приводить свою деятельность в соответствие законодательству, не дожидаясь появления Роскомнадзора.

Круг затрагиваемых бизнес-процессов

Учитывая комплексный и взаимосвязанный характер задач и комплаенс-мероприятий, вытекающих из законодательства о персональных данных, необходим системный подход к решению проблем.

Компаниям необходимо: во-первых, инвентаризировать все информационные системы и бизнес-процессы, предполагающие обработку персональных данных; во-вторых, определить круг и роли пользователей данных систем и участников данных бизнес-процессов;

в-третьих, оценить их значимость для бизнеса компании. При этом важно привлечь широкий ряд участников бизнес-процессов, поскольку некоторые процессы обработки персональных данных могут оказаться неожиданными или невидимыми для руководства компании.

В процессе инвентаризации необходимо также разъяснить всем участникам данного процесса, что под персональными данными в настоящее время понимается не только информация, позволяющая прямо определить конкретное лицо (например, паспортные данные), но также сведения, с помощью которых можно установить лицо по ряду косвенных признаков (например, по сочетанию его адреса электронной почты, пола и даты рождения). Кроме того, под персональными данными также понимается любая иная информация, связанная с такими прямо или косвенно определенными или определяемыми лицами (сведения о заработной плате, наличии загранпаспорта и визы, табельном номере сотрудника, содержимом заказа клиента — физического лица и прочее).

Такая подробная и тщательная инвентаризация бизнес-процессов позволит избежать бессистемной комплаенс-деятельности, непредвиденных рисков, а также своевременно определить последовательности и приоритетные направления для дальнейшей работы.

Определение рисков, связанных с несоблюдением законодательства

В случае несоблюдения законодательства о персональных данных компании могут быть привлечены к ответственности как российскими органами государственной власти, так и гражданами, чьи права затронуты таким нарушением.

Первый возможный сценарий привлечения к ответственности — Роскомнадзор может самостоятельно принять решение о проведении плановой проверки компании или провести мероприятия систематического наблюдения (новая форма контрольно-надзорной деятельности, которую Роскомнадзор может осуществлять без участия оператора персональных данных, например, путем изучения интернет-сайтов).

В результате таких действий Роскомнадзор, согласно готовящемуся проекту постановления правительства, может предписать компании устранить выявленные нарушения в течение срока от десяти дней до шести месяцев (по усмотрению Роскомнадзора) и возбудить административное дело с последующим наложением штрафа на должностных и юридических лиц в размере, не превышающем 10 тысяч рублей.

Помимо этого, в случае если речь идет о нарушениях на сайте компании, Роскомнадзор будет вправе инициировать блокировку доступа к данному сайту на основании вступившего в силу судебного акта.

Такой механизм блокировок создает значительные риски для деятельности интернет-компаний (включая онлайн-сервисы, онлайн-магазины, B2B-площадки и прочее), которые не соблюдают или не полностью соблюдают требования законодательства о персональных данных.

Другой, еще более значимый риск наступает в том случае, если компания не устранит какие-либо нарушения, указанные в предписании Роскомнадзора, в обозначенный срок. При таких обстоятельствах, согласно готовящемуся проекту постановления правительства, Роскомнадзор будет вправе провести полномасштабную внеплановую проверку соблюдения законодательства о персональных данных, а также направить требование о приостановлении обработки персональных данных с нарушением законодательства до устранения нарушений. Данные требования могут повлечь гораздо более серьезные последствия для бизнеса по сравнению с блокировкой сайта, например, если речь идет об использовании информационных систем со сведениями об обслуживаемых клиентах.

Наконец, невыполнение в установленный срок законного предписания (постановления, представления, решения) об устранении нарушений законодательства может повлечь административную ответственность для компании и ее должностных лиц (с возможностью дисквалификации должностных лиц на срок до трех лет).

Кроме того, если требование о пресечении каких-либо нарушений будет закреплено в судебном акте, его неисполнение может квалифицироваться как «злостное неисполнение служащим коммерческой или иной организации вступивших в законную силу приговора суда, решения суда или иного судебного акта», что может повлечь уголовную ответственность по статье 315 УК РФ (с возможностью лишения свободы на срок до двух лет).