Roskomnadzor sul trattamento dei dati personali. Registrazione del gestore dei dati personali per uso interno

L'utilizzo dei dati personali impone all'operatore una serie di obblighi. Consideriamo alcuni dei più significativi di essi.

Informare Roskomnadzor dell'inizio del trattamento dei dati personali (). Tale comunicazione deve essere inviata all'ufficio prima dell'inizio del trattamento dei dati, indicando in essa:

• nome (nome completo), indirizzo dell'operatore;
• finalità del trattamento dei dati personali;
• categorie di dati personali;
• categorie di soggetti i cui dati personali sono trattati;
• base giuridica per il trattamento dei dati personali;
• un elenco di azioni con dati personali, una descrizione generale delle modalità utilizzate dall'operatore per trattare i dati personali;
• misure di protezione dei dati personali;
• Nome completo della persona fisica o nome della persona giuridica responsabile dell'organizzazione del trattamento dei dati personali, e relativi recapiti telefonici, indirizzi postali e indirizzi di posta elettronica;
• data di inizio del trattamento dei dati personali;
• il termine o la condizione per la cessazione del trattamento dei dati personali;
• dati sulla presenza o meno di trasferimento transfrontaliero di dati personali nel corso del loro trattamento;
• informazioni sulla posizione del database di informazioni contenenti dati personali dei russi;
• informazioni sulla garanzia della sicurezza dei dati personali in conformità con i requisiti per la protezione dei dati personali stabiliti dal governo della Federazione Russa (stiamo parlando, in particolare, di dati personali a seconda delle minacce alla sicurezza, dati personali, la cui esecuzione garantisce i livelli stabiliti di protezione dei dati personali, nonché le tecnologie e le tecnologie per la conservazione di tali dati al di fuori dei sistemi informatici dei dati personali).

Allo stesso tempo, ci sono situazioni in cui non è necessario notificare a Roskomnadzor il trattamento dei dati personali. Si tratta, ad esempio, del trattamento dei dati dei dipendenti da parte del datore di lavoro, della ricezione da parte dell'operatore dei dati del cliente al momento della conclusione di un accordo con lui (se queste informazioni non vengono fornite a terzi senza il consenso del soggetto e vengono utilizzate esclusivamente per adempiere all'accordo specificato), il trattamento di dati personali disponibili al pubblico, il rilascio di un pass unico a una persona nel territorio dell'operatore, l'uso del solo nome completo del soggetto, ecc. ().

Garantire la riservatezza dei dati personali. Ciò significa che è impossibile distribuirli senza il consenso del soggetto (). Questo obbligo delle persone che hanno avuto accesso ai dati personali è uno dei principali. In particolare, al momento del trasferimento dei dati personali dei dipendenti, il datore di lavoro è obbligato a:

• non divulgare i dati personali del dipendente a terzi senza il suo consenso scritto (tranne quando è necessario per prevenire una minaccia per la vita e la salute del dipendente, e negli altri casi previsti dalla legge - ad esempio, quando si trasferiscono i dati al FSS, FIU, autorità fiscali, commissariati militari, procure, forze dell'ordine, GIT, ecc.);
• avvisare le persone che ricevono dati personali del dipendente che tali informazioni possono essere utilizzate solo per le finalità per le quali sono riportate - inoltre, il datore di lavoro può anche richiedere a tali persone di confermare l'osservanza di tale norma;
• trasferire i dati personali di un dipendente all'interno della stessa organizzazione, da un singolo imprenditore in conformità con l'atto normativo locale, con il quale il dipendente deve familiarizzare con la firma;
• consentire l'accesso ai dati personali dei dipendenti solo a persone appositamente autorizzate e dovrebbero avere il diritto di ricevere solo i dati dei dipendenti necessari per svolgere funzioni specifiche;
• non richiedere informazioni sullo stato di salute di un dipendente, ad eccezione delle informazioni relative alla questione della capacità del dipendente di svolgere una funzione lavorativa;
• limitare le informazioni trasmesse ai rappresentanti dei dipendenti ai soli dati dei dipendenti necessari affinché i rappresentanti specificati possano svolgere le loro funzioni ().

Adottare misure per garantire la sicurezza dei dati personali (). Per fare ciò, l'organizzazione dovrebbe nominare un responsabile dell'organizzazione del trattamento dei dati personali (). Tale persona è obbligata a esercitare il controllo interno sul rispetto da parte dell'operatore e dei suoi dipendenti dei requisiti in materia di protezione dei dati personali, portare all'attenzione dei dipendenti le disposizioni, gli atti locali sul trattamento dei dati personali e anche organizzare il ricevimento e trattamento dei ricorsi e delle richieste degli interessati. Inoltre, per le medesime finalità, dovrebbero essere applicate misure tecniche atte a garantire la sicurezza del trattamento, nonché documenti che definiscono la politica aziendale in materia di trattamento dei dati personali, ecc.

Allo stesso tempo, l'organizzazione deve rendere pubblica la politica sul trattamento dei dati personali (). Il modo migliore è posizionare il documento sul sito Web dell'operatore. Ma nel caso in cui ciò non fosse possibile, è sufficiente installare una "tasca" con una polizza cartacea in qualsiasi luogo accessibile ai visitatori dell'organizzazione. L'eccezione sono gli operatori che raccolgono dati personali direttamente tramite Internet: devono pubblicare la politica sul sito e fornire l'accesso al documento specificato. Sul sito Web ufficiale di Roskomnadzor è possibile trovare consigli per l'elaborazione di una politica relativa al trattamento dei dati personali.

Non confondere la politica, che si applica principalmente a terzi (appaltatori, clienti, ecc.), con il Regolamento sulla protezione, conservazione, elaborazione e trasferimento dei dati personali dei dipendenti - questo documento, a differenza della politica, è una normativa locale atto, quindi renderlo pubblico non è necessario, ma è necessario prenderne visione contro la firma dei dipendenti ().

MATERIALI CORRELATI

Leggi quali problemi può incontrare l'operatore nel rispetto dei requisiti per la localizzazione dei dati personali e come risolverli nel modo più efficace nel nostro materiale "".

Rispettare i requisiti per la localizzazione dei dati personali dei russi. Dal 1 settembre 2015, al momento della raccolta dei dati personali, tutti gli operatori sono tenuti a garantirne il trattamento utilizzando banche dati situate in Russia (). La cosiddetta localizzazione dei dati personali ha inizialmente suscitato grande risonanza tra specialisti e operatori: i requisiti della legge erano formulati in modo tale che gli esperti avessero molti problemi. Tra questi, c'è una mancanza di chiarezza su quali dati personali si applicherà questo requisito, su quali operatori influirà, se è consentito elaborare dati personali contemporaneamente su un server russo e straniero, come determinare la cittadinanza di un soggetto, ecc. Roskomnadzor ha risposto alla maggior parte di queste domande anche prima dell'entrata in vigore dei nuovi requisiti della legge. Così, ad esempio, l'agenzia ha concesso agli operatori il diritto di decidere autonomamente sulla questione della determinazione della cittadinanza della persona i cui dati vengono trattati, o di applicare l'obbligo di localizzazione ai dati personali di tutti i soggetti. Inoltre, Roskomnadzor ha chiarito che nel caso in cui i dati personali siano stati registrati nella banca dati russa durante la raccolta, possono essere successivamente trattati in una banca dati elettronica situata al di fuori del Paese.

Sia la politica per il trattamento dei dati personali che il Regolamento in materia di protezione, conservazione, elaborazione e trasferimento dei dati personali dei dipendenti dovrebbero precisare che nella raccolta dei dati personali, l'operatore si impegna a garantire la registrazione, la sistematizzazione, l'accumulo, la conservazione, il chiarimento ( aggiornamento, modifica), estrazione di dati personali russi che utilizzano database situati sul territorio della Russia, nonché indicare l'ubicazione di tale database.

Interrompere il trattamento dei dati personali in modo tempestivo. Se la finalità del trattamento dei dati personali è raggiunta o il soggetto ha revocato il consenso al loro trattamento, l'operatore deve interrompere il trattamento di tali dati e cancellarli entro 30 giorni, a meno che non sia specificato un periodo diverso nell'accordo ().

Che si è rivelato essere il più importante in contabilità e quando si considerano le domande di prestito, ecc.

Ma di cosa si tratta e chi ha ancora il diritto di elaborare tali informazioni e chi no, questo viene menzionato raramente, anche con riluttanza.

Di conseguenza, a volte è difficile capire chi sia il titolare del trattamento dei dati personali.

- questa è un'informazione su una persona che la caratterizza come una certa persona, non è generalizzata, non può essere applicata a un gruppo di persone. Nella maggior parte dei casi si tratta di cognome, nome, patronimico, data di nascita, indirizzo dove la persona è registrata e risiede, stato civile, ecc.

Il concetto di dati personali è stato introdotto nella circolazione aziendale dopo l'adozione, nel 2006, del “Sui Dati Personali”. Ha inoltre introdotto la differenziazione delle informazioni in una serie di categorie che consentono di determinare i livelli di autorizzazione al trattamento per varie situazioni.

1. Informazioni su razza e nazionalità, credenze religiose, stato di salute e dettagli della vita intima di un cittadino.
2. Informazioni che consentono, oltre all'identificazione di un cittadino, anche di ottenere varie informazioni su di lui, ad esempio un numero di telefono, luogo di residenza, ecc.
3. Informazioni che distinguono una persona dalle altre: cognome, nome e data di nascita completa.
4. Le informazioni pubblicamente disponibili, di norma, sono spersonalizzate, ma a volte quelle che devono essere pubbliche per legge, ad esempio le entrate dei rappresentanti del governo. Una categoria a parte sono quei dati che il cittadino stesso ha accettato di fornire, ad esempio l'indirizzo e il numero di telefono nel servizio di richiesta 09.

In generale, la legge "Sui Dati Personali" è volta a garantire il diritto di ogni cittadino alla privacy e alla protezione in caso di violazioni. Sulla base della classificazione di cui sopra, esistono vari requisiti per garantire la sicurezza delle informazioni. Per la prima categoria i requisiti sono più severi che per tutte le altre.

Chi è il gestore dei dati personali

Gestore di dati personali è una persona giuridica che, in virtù delle proprie attività, si occupa di informazioni su clienti e dipendenti attuali e potenziali. La dimensione dell'organizzazione non ha importanza, così come la forma della sua proprietà.

In pratica, un operatore è qualsiasi organizzazione in cui sia presente manodopera. Dopotutto, l'occupazione è impossibile senza compilare un questionario con un elenco abbastanza dettagliato di informazioni su di te, oltre a presentare documenti personali e copie di tutto, le informazioni vengono inserite nei programmi di contabilità, ecc.

Il requisito principale della legislazione della Federazione Russa per gli operatori è garantire la sicurezza dei dati che l'organizzazione ha ricevuto nel corso delle sue attività.

Le norme secondo le quali è prevista la tutela sono stabilite nella citata legge, e possono essere specificate anche da atti normativi, i cosiddetti regolatori.

Esiste una determinata procedura che regola i casi in cui un'organizzazione riceve il diritto di lavorare con i dati personali senza preavviso in:

• se l'azienda tratta solo le informazioni necessarie al rapporto di lavoro;
• quando vengono trattati dati pubblici;
• se vengono elaborati solo cognome, nome, patronimico;
• quando vengono utilizzati una sola volta, ad esempio, per il rilascio di un pass;
• se per l'elaborazione non viene utilizzata la tecnologia informatica.

Tutte le altre organizzazioni sono tenute a registrarsi, a seguito della quale ricevono un numero di registrazione univoco, con il quale sono iscritte in un registro speciale.

In esso può sempre essere chiarito se una determinata persona giuridica ha il diritto di richiedere o archiviare dati personali.

Ad esempio, tali domande sorgono spesso in relazione a istituti di credito, operatori mobili, ecc.

Pertanto, è consuetudine chiamare gli “incaricati del trattamento dei dati personali” organizzazioni che, in virtù della loro attività professionale, raccolgono ed elaborano non solo informazioni pubblicamente disponibili, ma anche serie, numero di passaporto, indirizzo di residenza, ecc.

Ottenere il diritto al trattamento dei dati personali

Per garantire la sicurezza della conservazione e del trasferimento dei dati personali, è prevista una procedura per l'attestazione e l'ottenimento di una licenza per le organizzazioni coinvolte nella raccolta e nella conservazione di tali informazioni.

Per ottenere una licenza, un'impresa non deve solo formare i dipendenti, ma anche acquisire mezzi tecnici di protezione.

La procedura si compone di diverse fasi, di cui è possibile identificare la più importante.

• notificare alle autorità competenti l'intenzione di trattare i dati mediante mezzi (computer);
• sottoporsi ad un esame preliminare dei sistemi informativi esistenti;
• progettare un sistema di protezione tenendo conto dell'infrastruttura delle apparecchiature informatiche e di altri strumenti di automazione;
• acquistare e implementare dispositivi di protezione;
• portare tutti i locali in linea con i requisiti di sicurezza antincendio, sicurezza, alimentazione elettrica, ecc.
• condurre una formazione avanzata dei dipendenti in materia di protezione dei dati personali e la loro certificazione.

Di conseguenza, è possibile garantire l'esistenza di un efficace sistema di protezione delle informazioni durante la loro trasmissione e trasmissione attraverso le linee di comunicazione.

Vale la pena notare che tutte le azioni sopra descritte possono essere applicate solo al trattamento di dati personali in forma elettronica, potenzialmente pericoloso per le informazioni archiviate o trasmesse.

Verifica delle attività degli operatori di dati personali

Il lavoro di tutti gli operatori di dati personali non è solo regolato da atti legislativi, ma è anche soggetto a controlli regolari, sia programmati che selettivi, ad esempio su richiesta di un cittadino interessato dalle loro attività.

Molte autorità di vigilanza e forze dell'ordine dovrebbero essere coinvolte nel monitoraggio del rispetto della legge sulla protezione dei dati personali, ma a causa delle specificità del loro lavoro, solo tre di esse si distinguono (si chiamano regolatori):

• Roskomnadzor - le sue funzioni includono la verifica della conformità a eventuali requisiti normativi della legge, nonché lo svolgimento di ispezioni;
• FSTEC (Servizio federale per il controllo tecnico e delle esportazioni) - i suoi compiti includono, in primo luogo, la protezione dei dati che si trovano nei computer dell'organizzazione stessa, nonché i loro canali di trasmissione quando vengono archiviati e trasmessi senza crittografia;
• FSB (Federal Security Service) - controlla l'uso degli strumenti di crittografia per l'elaborazione e la trasmissione di informazioni personali, compreso lo sviluppo e la distribuzione delle stesse.

Puoi anche controllare l'atteggiamento di una particolare organizzazione nei confronti degli operatori di informazioni personali da solo.

Il sito web di Roskomnadzor ha accesso al registro degli operatori che trattano dati personali, disponibile a questo link.

Per visualizzare le informazioni è sufficiente inserire nell'apposito campo il nome o il numero di registrazione dell'impresa di interesse, oppure il suo codice fiscale (TIN).

Quindi puoi scoprire se i dati sono stati richiesti legalmente o meno. Se l'organizzazione non è nell'elenco, forse Roskomnadzor dovrebbe farlo e includerlo nel registro o vietare la raccolta illegale di informazioni sui cittadini.

La verifica degli operatori di dati personali viene effettuata su richiesta dei cittadini o su iniziativa, ad esempio, dell'ufficio del pubblico ministero, che può rivolgersi a Roskomnadzor nell'ambito di un audit delle attività dell'organizzazione.

La responsabilità è prevista per le violazioni nel trattamento delle informazioni dei cittadini. A seconda della gravità degli atti commessi, possono essere previste sanzioni amministrative, disciplinari o penali.

In generale, prima di concedere l'autorizzazione al trattamento dei dati personali in un credito o altro ente che richiede tale diritto, è meglio assicurarsi prima che sia registrato come operatore, il che significa che ha tutto per la loro conservazione sicura.

Ciò può valere in particolare per le piccole imprese, ad esempio quelle che forniscono piccoli prestiti.

Naturalmente, senza tale consenso, tali organizzazioni di solito rifiutano i servizi, ma non c'è niente di sbagliato in questo, perché. La concorrenza è piuttosto alta e puoi sempre trovare un'altra opzione adatta.

Requisiti legali per il gestore dei dati personali

L'operatore è tenuto a garantire la riservatezza dei dati personali. L'articolo 7 della legge federale della Federazione Russa del 27 luglio 2006 N 152-FZ "Sui dati personali" (di seguito FZ-152) afferma che l'operatore non è obbligato a proteggere i dati personali se sono resi anonimi o disponibili al pubblico. Il gestore dei dati personali non ha il diritto di trattare i dati senza il consenso dell'interessato, ovvero la persona a cui questi dati appartengono. Tuttavia, nell'art. 6 Parte 2 di FZ-152 prevede una serie di casi in cui non è richiesto il consenso del soggetto.
In particolare, il consenso dell'interessato non è richiesto se i suoi dati personali sono trattati sulla base della legge federale, che determina lo scopo e il contenuto di tale trattamento (articolo 6, comma 2, parte 2). Ad esempio, secondo la legge federale n. FZ-3266-1 "On Education", i laureati degli istituti di istruzione secondaria non devono prestare il consenso al trattamento dei propri dati personali per essere ammessi all'esame di stato unificato. Gli enti e le organizzazioni coinvolti nello svolgimento dell'Esame di Stato unificato effettuano “... il trasferimento, il trattamento e la fornitura delle informazioni ricevute in relazione all'Esame di Stato unificato<…>dati anagrafici degli studenti partecipanti all'esame unico di stato<…>in conformità con i requisiti della legislazione della Federazione Russa in materia di dati personali senza ottenere il consenso di queste persone al trattamento dei loro dati personali” (articolo 15, clausola 5.1). Nel numero di aprile della rivista Dati Personali c'è un ampio articolo dedicato a questo particolare problema.
Altro caso in cui non è richiesto il consenso dell'interessato per il trattamento dei dati personali: l'esecuzione di un contratto, una delle parti cui è oggetto di dati personali. Ad esempio, qualsiasi contratto tra una società e un privato per la fornitura di servizi è idoneo. Molte informazioni utili su questo argomento possono essere trovate sulla stampa specializzata. L'operatore deve inoltre fornire le misure organizzative e tecniche necessarie per prevenire tentativi di accesso illecito ai dati personali.

Documenti richiesti

Ogni operatore di dati personali è tenuto a disporre di un pacchetto di documenti attestanti la sicurezza dei dati personali dei dipendenti e dei clienti.

L'elenco dei documenti richiesti può variare a seconda delle specificità del trattamento dei dati personali, della struttura organizzativa e di altre caratteristiche di ogni singola impresa.

In conformità con questo pacchetto di documenti, l'impresa deve introdurre mezzi tecnici per proteggere i dati personali.

Preparazione dei documenti necessari per la protezione dei dati personali

Esistono diversi modi per preparare i documenti in conformità con i requisiti di 152-FZ "Sui dati personali":

Mezzi di protezione

Quasi tutte le organizzazioni dispongono di un sistema informativo sui dati personali (abbreviato in ISPDn), che può contenere, ad esempio, il cognome, il nome del dipendente, i dati del suo passaporto, TIN, ecc. L'operatore lavora con questo sistema informativo. A seconda dei dati contenuti nell'ISPD di una particolare organizzazione, questo ISPD può appartenere a una delle quattro classi, ognuna delle quali prevede vari mezzi per proteggere i dati personali.

Guarda anche

Collegamenti

• www.rsoc.ru Registro degli operatori che trattano dati personali
• www.pd.rsoc.ru Portale dei dati personali dell'Ente Autorizzato per la tutela dei diritti dei soggetti dei dati personali
• www.privacy-journal.ru Rivista informativa e analitica "Dati personali"

Fondazione Wikimedia. 2010.

Scopri cos'è "Operatore dati personali" in altri dizionari:

Operatore di dati personali- 2) l'operatore è un ente statale, ente comunale, persona giuridica o persona fisica, autonomamente o congiuntamente ad altri soggetti che organizzano e (o) effettuano il trattamento di dati personali, nonché determinano le finalità del trattamento ….. . Terminologia ufficiale

Qualsiasi azione (operazione) o insieme di azioni (operazioni) eseguita con o senza l'uso di strumenti di automazione con dati personali, inclusa la raccolta, la registrazione, la sistematizzazione, l'accumulo, l'archiviazione, ... ... Wikipedia

L'interessato è una persona fisica, direttamente o indirettamente identificata o determinata mediante dati personali. Contenuti 1 Interazione con il soggetto dei dati personali ... Wikipedia

Un insieme di misure di natura tecnica, organizzativa e tecnica organizzativa volte a proteggere le informazioni relative a un determinato o determinate sulla base di tali informazioni a un individuo (l'oggetto di informazioni personali ... ... Wikipedia

Questo articolo o sezione descrive la situazione in relazione a una sola regione. Puoi aiutare Wikipedia aggiungendo informazioni per altri paesi e regioni. Sommario 1 Definizione ... Wikipedia

Numero: 152 FZ Adozione: da parte della Duma di Stato il 26 luglio 2006 Entrata in vigore: 26 gennaio 2007 Legge federale della Federazione Russa del 27 luglio 2006 n. 152 FZ Legge federale "Sui dati personali" che regola le attività di trattamento (uso ... Wikipedia

Modello di base delle minacce alla sicurezza dei dati personali durante il loro trattamento, nei sistemi informativi dei dati personali (estratto)- Terminologia Il modello di base delle minacce alla sicurezza dei dati personali durante il loro trattamento, nei sistemi di informazione dei dati personali (estratto): Un sistema automatizzato è un sistema costituito da personale e un insieme di strumenti di automazione per esso ... ...

DIRITTI DEGLI INTERESSATI NELLE DECISIONI IN BASE AL TRATTAMENTO ESCLUSIVAMENTE AUTOMATIZZATO DEI LORO DATI PERSONALI- secondo la Legge Federale "Sui Dati Personali" del 27 luglio 2006 n. 152 FZ, consistono nel vietare l'adozione, basata unicamente sul trattamento automatizzato dei dati personali, di decisioni che diano origine a conseguenze legali in relazione a .. . ...

operatore- 4.22 operatore qualsiasi oggetto che esegue il funzionamento del sistema. Nota 1 da inserire: il ruolo operatore e il ruolo utente possono essere assegnati contemporaneamente o in sequenza alla stessa persona o organizzazione. Nota 2 Nel contesto di questo… … Dizionario-libro di consultazione dei termini della documentazione normativa e tecnica

OPERATORE- secondo la legge federale "Sui dati personali" del 27 luglio 2006 n. 152 FZ, - un ente statale, un ente municipale, una persona giuridica o un individuo che organizza e/o effettua il trattamento dei dati personali, nonché determina il obiettivi ... Lavoro d'ufficio e archiviazione in termini e definizioni

Non tutte le aziende e i singoli imprenditori sanno se sono operatori di dati personali e se hanno bisogno di trasferire informazioni su se stessi a Roskomnadzor. Scopriremo chi il servizio sta monitorando più da vicino e come avvisare i cittadini dell'inizio del trattamento dei dati personali.

Chi sono i titolari del trattamento e cosa fanno?

La maggior parte delle persone sa che i dati personali (di seguito indicati come PD) includono informazioni sul cognome, nome e patronimico di un cittadino, informazioni dal suo passaporto, numero di cellulare, indirizzo di residenza, e-mail. Quali altre informazioni possono essere incluse in questo elenco? Si scopre che qualsiasi: un elenco esaustivo non è presentato da nessuna parte e in linea di principio non può essere. Ciò è confermato dalla dicitura in Legge federale del 27 luglio 2006 n. 152-FZ:

Dato personale - qualunque informazione relativa a persona fisica (soggetto dei dati personali) direttamente o indirettamente identificata o identificabile.

Si scopre che in alcuni casi il cognome, il nome e il numero dell'auto saranno sufficienti per identificare un cittadino, mentre in altri saranno necessari anche il numero della sua patente e l'indirizzo di registrazione.

L'operatore di dati personali è un ente statale o comunale, persona giuridica o persona fisica che:

• autonomamente o insieme ad altri soggetti organizza e/o esegue il trattamento di PD;
• determina gli obiettivi del lavoro con le informazioni personali, la sua composizione e le azioni (operazioni) con esse.

Cioè, chiunque richieda e utilizzi PD è il suo operatore. E tutti coloro che hanno accesso ed elaborano informazioni che possono essere utilizzate per identificare un cittadino lavorano effettivamente con il PD ed è responsabile del mancato rispetto della legge sulla loro protezione.

Immaginiamo chi può relazionarsi con gli operatori del PD. Banche? Sì! Siti che raccolgono materiale sugli iscritti? Sì! Società legali e contabili che forniscono vari servizi? Sì! Negozi e saloni di bellezza che offrono l'acquisto di una carta bonus? Sì di nuovo! Associazioni di proprietari di case, università, asili nido, agenzie di viaggio, istituzioni mediche, sistemi automatizzati, anche statali? Sì sì sì! Gli operatori del PD sono ovunque, in qualsiasi campo!

Obblighi dell'operatore nel trattamento dei dati personali

Tutti coloro che si occupano di PD sono obbligati a rispettare alcune regole per raccogliere, garantire la sicurezza, chiarire, bloccare e distruggere tali informazioni. Secondo la legge n. 152-FZ, gli operatori devono:

Registrazione con Roskomnadzor come operatore di dati personali

La legge prevede che prima dell'inizio dei lavori con PD, sia necessario contattare l'autorità di controllo autorizzata e comunicare l'inizio dei lavori con i dati personali. Ciò non significa che ogni azienda debba essere inclusa nel registro degli operatori di dati personali di Roskomnadzor. Questo elenco non include:

• datori di lavoro. Raccolgono e conservano informazioni in conformità con la legislazione del lavoro, ad esempio, durante la redazione di contratti di lavoro, ordini vari di natura personale;
• una società di telefonia mobile o fissa, qualora i dati siano acquisiti esclusivamente per l'erogazione di servizi di comunicazione in forza di un contratto concluso, non vengono diffusi o forniti a terzi senza il consenso dell'interessato del PD;
• associazioni pubbliche o organizzazioni religiose che accedono ai dati dei propri iscritti (partecipanti) per il raggiungimento delle finalità previste dagli atti costitutivi;
• organizzazioni e individui che utilizzano informazioni pubblicamente disponibili che gli stessi soggetti PD hanno divulgato, ad esempio, su siti Web personali;
• tutte le aziende che dispongono di un sistema di abbonamento. Se i dati del passaporto di un cittadino vengono riscritti per il rilascio di un pass unico nel territorio dell'organizzazione, non dovrai registrarti;
• sistemi con lo stato di sistemi informativi automatizzati statali, nonché sistemi PD statali creati per proteggere la sicurezza dello stato e l'ordine pubblico. Ce ne sono molti, e tra questi ci sono i sistemi Era-Glonass e Management, l'AIS di contabilità per organizzazioni senza scopo di lucro e religiose e molti altri a livello federale e regionale;
• cittadini e organizzazioni che elaborano informazioni senza l'uso di strumenti di automazione (computer). Allo stesso tempo, devono essere guidati dai requisiti approvati da Decreto del Governo del 15 settembre 2008 N 687;
• organizzazioni che richiedono dati per garantire il funzionamento sicuro del complesso di trasporto, ad esempio al momento della prenotazione e dell'acquisto di biglietti, anche tramite i servizi online di vettori o intermediari.

Tenendo conto di tali formulazioni, molte delle organizzazioni non sono più incluse nel registro degli operatori coinvolti nel trattamento dei dati personali, che è gestito da Roskomnadzor. Ma coloro ai quali non si applicano le eccezioni devono essere nell'elenco dell'autorità di controllo.

La procedura di registrazione consiste nel presentare una notifica in una determinata forma. Può essere trovato attraverso il registro dei dati personali di Roskomnadzor, il portale dei servizi pubblici o utilizzando Ordine del Ministero delle telecomunicazioni e delle comunicazioni di massa della Russia del 21 dicembre 2011 N 346. Puoi scaricare gratuitamente il documento richiesto alla fine di questo articolo.

Indipendentemente dalle modalità di informazione dei funzionari, la notifica dovrà indicare:

• nome completo e abbreviato della società indicando la forma giuridica, nonché gli indirizzi legali e postali, TIN;
• le finalità del trattamento indicate negli atti costitutivi o effettivamente effettuate;
• categorie di PD da trattare;
• soggetti di cui si prevede il trattamento PD, ivi compresi i rapporti con essi, ad esempio, passeggero, mutuatario, sottoscrittore, depositante, assicurato;
• la base su cui sussiste un diritto al trattamento (ad esempio, artt Codice aereo della Federazione Russa o legge sullo stato civile sugli atti di stato civile), compresa la disponibilità di una licenza per il tipo di attività svolta;
• descrizione delle modalità di trattamento del PD utilizzate e loro elenco: trattamento non automatizzato, automatizzato o misto;
• informazioni sui soggetti preposti all'organizzazione del trattamento del PD, loro recapiti telefonici, indirizzi postali, e-mail;
• informazioni sui mezzi di crittografia (crittografici);
• la data di inizio, nonché le condizioni ei termini per la cessazione del trattamento del PD;
• informazioni su dove sono archiviati i dati durante il loro trattamento, compreso il paese in cui si trovano i database con informazioni sui dati personali dei cittadini della Federazione Russa;
• informazioni su come garantire la sicurezza del PD in conformità con i requisiti stabiliti Decreto del governo della Federazione Russa del 01.11.2012 N 1119.

Si noti che la registrazione di un operatore di dati personali sul sito Web di Roskomnadzor viene effettuata entro 30 giorni. In caso di presentazione di una domanda elettronica, l'azienda dovrà inviare un'ulteriore copia cartacea della notifica all'autorità territoriale. Se le informazioni non sono sufficienti, i funzionari invieranno una richiesta di chiarimento sui documenti presentati. È impossibile rifiutare di accettare la notifica e inserire nel registro informazioni sull'organizzazione.

Se, per vari motivi, l'organizzazione ha cambiato le finalità del trattamento della PD o ha bisogno di apportare altre modifiche, invia una lettera a Roskomnadzor nella forma prescritta entro 10 giorni. Il documento può essere visualizzato di seguito. Inoltre, i lettori del sito web possono scaricare il modulo del documento necessario per cancellare l'impresa dal registro.

Tutti i servizi resi in questo caso da Roskomnadzor sono gratuiti.

Responsabilità per rifiuto di iscrizione al registro

La normativa vigente prevede la responsabilità amministrativa per violazione dei requisiti in materia di protezione dei dati personali. Secondo Legge federale n. 13-FZ del 7 febbraio 2017 entrata in vigore il 1 luglio 2017. Articolo 13.11 del Codice degli illeciti amministrativi della Federazione Russa esistono diversi reati per i quali gli operatori di dati personali possono essere sanzionati. A seconda del reato, le multe per le persone giuridiche ai sensi di questo articolo variano da 15.000 a 75.000 rubli e per i singoli imprenditori da 5.000 a 20.000 rubli.

Il rifiuto di iscriversi all'albo può essere considerato come un'omessa comunicazione all'autorità di controllo. Questo è punibile con Articolo 19.7 del Codice degli illeciti amministrativi della Federazione Russa . Secondo esso, i funzionari devono pagare una multa da 300 a 500 rubli e le persone giuridiche - da 3.000 a 5.000 rubli.