Что включает в себя политика конфиденциальности?
В целом информация делится на 3 группы:
- Информация для открытого пользования – любой клиент, контрагент, партнер или просто стороннее лицо может быть с ней ознакомлен;
- Информация ограниченного доступа – для уполномоченных структур и органов, имеющих право доступа к ней;
- Внутренняя информация – корпоративная информация для сотрудников организации или руководства организации.
Последние две группы и являются конфиденциальной информацией – то есть зафиксированной на материальном носителе информацией ограниченного доступа с четко указанными реквизитами для идентификации.
Каждый предприниматель и экономический деятель имеет охраняемое законом право на засекречивание информации о деятельности организации, если эти сведения не относятся к государственной тайне, т.е. право на коммерческую тайну (производственную, техническую, экономическую, организационную и иные), также результаты интеллектуальной деятельности в научно-технической сфере, и информацию о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны.
Кроме коммерческой тайны подлежит защите производственная документация секретного характера, ноу-хау компании, клиентская база и прочая информация, которая имеет определенную важность для организации. Разглашение конфиденциальной информации влечет за собой последствия для лица, который нарушил режим секретности и предоставил конфиденциальную информацию третьим лицам
Данные лица несут ответственность, предусмотренную действующим законодательством Российской Федерации и внутренними локальными актами организации
Разглашение конфиденциальной информации влечет за собой последствия для лица, который нарушил режим секретности и предоставил конфиденциальную информацию третьим лицам. Данные лица несут ответственность, предусмотренную действующим законодательством Российской Федерации и внутренними локальными актами организации.
Защита конфиденциальной информации крайне важна для любой организации, так как утечка конфиденциальной информации создает угрозу экономической безопасности организации, провоцирует коммерческие риски, понижает доверие к организации со стороны клиентов, партнеров и сотрудников, также напрямую связана с утечкой кадров, потерей конкурентоспособности организации и, естественно, к понижению прибыли организации, а также к большим финансовым потерям.
Таким образом:
Юристы RTM Group в области информационной безопасности, имея большой опыт в составлении подобного рода документов, изучая новеллы законодательства и судебную практику, подходя со всей серьезностью к выполнению поставленных задач и работая в интересах клиента качественно и надежно, оказывают услуги по составлению документов, регулирующих защиту конфиденциальности информации.
В результате работы предоставляют полный пакет документов, который будет корректен с точки зрения действующего законодательства, будет обеспечивать защиту Вас и Ваших контрагентов, клиентов и партнеров в области информационной безопасности.
Порядок и условия обработки персональных данных
В данном разделе Роскомнадзор рекомендует указывать перечень действий, совершаемых оператором с персональными данными субъектов, а также используемые оператором способы обработки персональных данных и сроки обработки персональных данных.
Выбираем. ФЗ 152 предусмотрен следующий перечень операций с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Способы обработки могут включать:
а) автоматизированную обработку персональных данных
б) обработку персональных данных без использования средств автоматизации.
Согласно определению, данному в ФЗ 152, автоматизированная обработка персональных данных представляет собой обработка персональных данных с помощью средств вычислительной техники.
Казалось бы, что сюда попадают любые действия с ПДн, выполняемые с использованием вычислительной техники. Но не все так просто. Смотрим Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждено постановлением Правительства РФ от 15 сентября 2008 г. N 687.
В п.1 указано, что обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее – персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее (п.2).
Иными словами, если ПДн не используется, не уточняются, не распространяются и не уничтожаются в ИПДН вашего сайта в автоматическом режиме без участия человека, можно смело выбирать второй способ обработки – обработку персональных данных без использования средств автоматизации.
Результатом этого простого действия будет легальный отказ от применения драконовских требований ФЗ 152 по обработке автоматизированной обработке ПНн в информационной системе.
В отношении сроков обработки ПДн предлагаем указывать как минимум срок действия договора, во исполнение которого запрашивались ПДн. Можно добавить к сроку действия договора 3 года исковой давности на защиту прав в связи с его исполнением.
Роскомнадзор напоминает, что при осуществлении хранения персональных данных оператор персональных данных обязан использовать базы данных, находящиеся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона “О персональных данных”. Отражать данный пункт в Политике не обязательно, поскольку он связан с фактическими обстоятельствами. Хотя для проформы можно включить в Политику декларативную статью об обработке ПДн на территории России.
Далее Роскомнадзор рекомендует указывать условия передачи персональных данных в адрес третьих лиц. Важный момент. Обычно данный перечень сводится к следующим основаниям передачи ПДн:
- Пользователь выразил свое согласие на такие действия;
- Передача требуется для заключения и исполнения договоров на или с использованием Сайта;
- По запросу суда или иного уполномоченного государственного органа в рамках установленной законодательством процедуры
- Для защиты прав и законных интересов в связи с нарушением заключенных с пользователем договоров.
В определенных пределах данный перечень можно расширить на случаи продажи Сайта или передачи ПДн в обезличенном виде.
Помимо этого Роскомнадзор рекомендует указывать в данном разделе Политики сведения о соблюдении требований конфиденциальности персональных данных, установленных ст. 7 Федерального закона «О персональных данных», а также информацию о принятии оператором мер, предусмотренных ч. 2 ст. 18.1, ч. 1 ст. 19 Федерального закона «О персональных данных».
На практике данные сведения сводятся к заявлению, что администрация Сайта осуществляет хранение Персональных данных и обеспечивает ее охрану от несанкционированного доступа и распространения в соответствии с внутренними правилами и регламентами.
Подробные требования к содержанию согласия
Согласие должно включать в себя следующую информацию:
1) Фамилия, имя, отчество (при наличии) субъекта персональных данных.
2) Контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных)
3) Сведения об операторе персональных данных
Если оператором является юридическое лицо, то указывается: наименование, ИНН, ОГРН, а также адрес, указанный в ЕГРЮЛ
Если оператором является физическое лицо, то указывается: фамилия, имя, отчество (при наличии), место жительства или место пребывания.
Если оператором является индивидуальный предприниматель, то указывается: фамилия, имя, отчество (при наличии), ИНН, ОГРНИП. Адрес указывать не надо, как это следует из приказа, что странно. Я рекомендую указывать и адрес ИП.
4) Сведения об информационных ресурсах оператора, посредством которых будет осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных
5) Цель (цели) обработки персональных данных
Формулировки цели или целей обработки персональных данных должны соответствовать положениям законодательства Российской Федерации, устанавливающим функции, полномочия и обязанности оператора, и (или) документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных.
6) Категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных
Заполнение соответствующего поля осуществляется применительно к конкретному субъекту персональных данных по следующему образцу:
- общие персональные данные (фамилия, имя, отчество (при наличии), год, месяц, дата рождения, место рождения, адрес, семейное положение, социальное положение, имущественное положение, образование, профессия, доходы, другая информация, относящаяся к субъекту персональных данных);
- специальные категории персональных данных (расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояния здоровья, интимной жизни, сведения о судимости);
- биометрические персональные данные (ДНК, радужная оболочка глаз, дактилоскопическая информация, цветное цифровое фотографическое изображение лица, голос, фотоизображение рисунка вен ладони, полученного в диапазоне, близком к инфракрасному, и иные сведения).
Указание специальных категорий персональных данных и биометрических персональных данных допускается в случае предварительного получения оператором, осуществляющим обработку персональных данных, согласия на обработку персональных данных в соответствии с требованиями статей 9, 10, 11 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
7) Категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов
Указанное поле заполняется по желанию субъекта персональных данных без ограничений со стороны оператора, осуществляющего обработку персональных данных.
Условия и запреты предполагают ограничение или запрет осуществления оператором действий по распространению и (или) предоставлению персональных данных неограниченному или определенному кругу лиц соответственно.
Дополнительно в Согласии могут быть указаны условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных.
8) Условия, при которых персональные данные могут передавать только по внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников
9) Срок действия согласия
Должен быть отражен конкретный срок его действия: определенный период времени или дата окончания срока действия.
Не допускается указание на автоматическую пролонгацию срока действия Согласия, а также определение срока его действия путем установления бессрочного статуса или указания на событие, неизбежность наступления которого возможно в долгосрочной перспективе.
Меры по надлежащей организации обработки и обеспечению безопасности персональных данных.
4.1. Компания при обработке персональных данных принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них. Обеспечение безопасности персональных данных достигается, в частности, следующими способами:
4.1.1. Назначением ответственного лица за организацию обработки и обеспечение безопасности персональных данных.
4.1.2. Осуществлением внутреннего контроля и/или аудита соответствия обработки персональных данных Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, локальным актам.
4.1.3. Ознакомлением работников Компании, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, локальными актами в отношении обработки персональных данных и/или обучением указанных сотрудников.
4.1.4. Определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
4.1.5. Применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных.
4.1.6. Оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных.
4.1.7. Учетом машинных носителей персональных данных.
4.1.8. Выявлением фактов несанкционированного доступа к персональным данным и принятием соответствующих мер.
4.1.9. Восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
4.1.10. Установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.
4.1.11. Контролем над принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем персональных данных.
4.2. Обязанности работников Компании, осуществляющих обработку и защиту персональных данных, а также их ответственность, определяются в «Политике обеспечения безопасности персональных данных» Компании.
Ⅲ. Ограничение ответственности
1. Разработчик делает все возможное для соблюдения настоящей политики конфиденциальности, однако не может гарантировать сохранность информации в случае воздействия факторов, находящихся вне его влияния, результатом действия которых станет раскрытие информации. Вся размещенная на сайтах planado.ru и planadoapp.com информация представлена по принципу «как есть» без каких-либо гарантий. Разработчик не несет ответственности за неблагоприятные последствия, а также за любые убытки, причиненные вследствие ограничения доступа к сайту URL или вследствие посещения сайта и использования размещенной на нем информации.
2. Пользователь понимает и соглашается с тем, что:
2.1. Пользователь использует Сервис исключительно на свой риск. Сервис предоставляется без гарантии качества и по мере наличия. В наибольшей степени, допускаемой применимым законодательством, Разработчик отказывается от всех гарантий и условий в отношении оказываемых услуг, явных или подразумеваемых, включая, без ограничений, подразумеваемые гарантии и условия пригодности для конкретной цели и ненарушения прав третьих лиц.
2.2. Разработчик не гарантирует, что:
- настоящий Сервис удовлетворяет всем требованиям Пользователя;
- работа Сервиса будет бесперебойной, своевременной, безопасной и безошибочной;
- все ошибки в программном обеспечении или Сервисе будут исправлены.
2.3. Загрузка какого-либо материала с помощью настоящего Сервиса осуществляется по усмотрению Пользователя на его страх и риск, и Пользователь несет полную ответственность за любой ущерб, нанесенный его компьютеру или другому устройству, или потерю данных в результате загрузки или использования любого такого материала.
2.4. Никакие сведения или информация, как устная, так и письменная, полученная Пользователем от Сервиса или с помощью настоящего Сервиса, не создают никаких гарантий, кроме прямо указанных в настоящей Политике конфиденциальности.
2.5. Пользователь понимает и соглашается, что Разработчик, а также его должностные лица, сотрудники, агенты и правопреемники не несут перед Пользователями никакой ответственности за какие-либо прямые, косвенные, особые, случайные, последующие убытки и убытки, определяемые особыми обстоятельствами дела или присуждаемые в качестве наказания, включая среди прочего упущенную выгоду, утрату репутации, возможности использования данных или страхового покрытия и другие нематериальные убытки (даже если Разработчик был предупрежден о возможности таких убытков), возникшие в результате:
- использования или невозможности использования Сервиса;
- затрат на приобретение заменяющих услуг, потребность в которых возникла в результате получения данных, информации или услуг либо получения сообщений или выполнения транзакций с помощью или в рамках Сервиса;
- несанкционированного доступа, повреждения, изменения или потери содержимого, данных или переданных Пользователем материалов;
- заявлений или действий третьих лиц, осуществленных в рамках Сервиса или с его помощью, или третьих лиц, предоставляющих какие-либо услуги в связи с работой Сервиса;
- действий или бездействия Разработчика на основании учетных данных Пользователя, внесенных в них изменений и уведомлений, полученных под аккаунтом Пользователя;
- неспособности Пользователя обеспечить конфиденциальность паролей и прав доступа к его учетным данным;
- действий или бездействия третьих лиц при использовании Сервиса или интеграции с ним или предложении продуктов;
- каких-либо рекламных материалов или приобретения или использования Пользователем рекламируемых продуктов или услуг, или иных сторонних продуктов или услуг;
- любых других обстоятельств, связанных с Сервисом.
Подключение к почтовому ящику Gmail
Если вы используете приложение МойОфис Почта как клиент для подключения к почтовому ящику Google (https://mail.google.com), предоставленному компанией Google LLC (1600 Amphitheatre Parkway, Mountain View, California 94043, США), то обработка Ваших учетных данных осуществляется с полным соблюдением условий, определённых Политикой использования пользовательских данных службами Google API (https://developers.google.com/terms/api-services-user-data-policy)
Чтобы обеспечить доступ к службам Google, мы используем аутентификацию OAuth. Это открытый протокол авторизации, который предоставляет нам ограниченный доступ к защищенным ресурсам для наших услуг, не раскрывая Ваши данные для авторизации в учетную запись.
Вы можете в любой момент ограничить доступ приложению МойОфис Почта к своим данным в настройках учетной записи Google.
Приложение МойОфис Почта использует вызовы Gmail API, позволяющие осуществлять исключительно чтение, создание и модификацию сообщений (включая вложения), метаданных и заголовков сообщений.
Использование приложением МойОфис Почта полученной от API Gmail информации соответствует требованиям компании Google по ограниченному использованию.
Для доступа к почтовым сообщениям при отсутствии подключения к сети интернет сообщения электронной почты сохраняются на мобильном устройстве пользователя.
Приложение МойОфис Почта не предоставляет никому доступ к полученным пользовательским данным, в том числе не позволяет их читать людям или производить их обработку третьим лицам, если Вы не дали прямого разрешения на доступ к конкретному сообщению в целях, определенных в пункте 1.5. настоящей Политики.
Что нужно знать о сборе персональных данных, чтобы не нарушить закон?
Как правило, основанием для обработки персональных данных служит либо требование законодательства РФ, либо согласие на обработку персональных данных. Как показывают результаты последних проверок Роскомнадзора – основного регулятора в области защиты персональных данных в России, одной из распространенных ошибок компаний является неправильная организация сбора данных. Обычно проверяющие в этой области чаще всего фиксируют следующие типовые нарушения:
- компании не всегда собирают все необходимые согласия на обработку персональных данных у субъектов персональных данных;
- объем обрабатываемых персональных данных не соответствует заявленной цели обработки;
- форма согласия не соответствует требованиям Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ).
До начала сбора персональных данных в организации важно определиться с целью их обработки: именно от этого будет зависеть весь процесс обработки персональных данных. Далее для выбранной цели определяется объем собираемых данных и срок их обработки. С решением последнего вопроса поможет Приказ Росархива от 20 декабря 2019 г
№ 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения». Если же в нем не удастся найти необходимые документы, организация может определить срок обработки самостоятельно
С решением последнего вопроса поможет Приказ Росархива от 20 декабря 2019 г. № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения». Если же в нем не удастся найти необходимые документы, организация может определить срок обработки самостоятельно.
Самое важное мероприятие в организации сбора данных – это основание их обработки. Если объем персональных данных соответствует требованиям законодательства, в большинстве случаев получать дополнительное согласие не придется. Исключение составляют передача данных сторонним организациям, сбор дополнительных контактных данных для проведения маркетинговых мероприятий и другие случаи, оговоренные в нормативных актах
Если же объем персональных данных не соответствует требованиям законодательства РФ, необходимо получить согласие на обработку данных
Исключение составляют передача данных сторонним организациям, сбор дополнительных контактных данных для проведения маркетинговых мероприятий и другие случаи, оговоренные в нормативных актах. Если же объем персональных данных не соответствует требованиям законодательства РФ, необходимо получить согласие на обработку данных.
Существует несколько форм согласий: конклюдентное, письменное и иные (в форме галочки, по телефону и т. д.). Самый строгий тип согласия – в письменной форме, в законодательстве даже прописаны все случаи, когда их нужно получать. Среди них, например, обработка биометрических данных (), специальных категорий персональных данных () и т. п. Если же задача организации не попадает в список особых случаев, можно использовать согласие в другой форме.
По моему опыту сопровождения проверок, у каждой формы согласия есть свои плюсы и минусы:
| Конклюдентное согласие | Согласие в письменной форме | Иные формы согласия | |
| + | Легко получить (за исключением случаев, когда нужно согласие в письменной форме) | При разработке и получении формы согласия по требованиям законодательства РФ регулятору не требуются дополнительные доказательства | Как правило, допускается Роскомнадзором, что подтверждается проверками ведомства (за исключением случаев, когда необходимо согласие в письменной форме) |
| – | Не предусматривает каких-либо подтверждений получения. Ввиду отсутствия подтверждений может рассматриваться Роскомнадзором как нарушение требований Закона № 152-ФЗ | Форма согласия должна соответствовать требованиям ч. 4 ст. 9 Закона № 152-ФЗ Для каждой цели нужно получать отдельное согласие, т.к. в ч. 4 ст. 9 Закона № 152-ФЗ «цель» указана в единственном числе | Требуется сохранять подтверждение получения (например, лог-файл на сайте или запись телефонного звонка в случае обработки персональных данных) и доказывать факт наличия согласия при возникновении инцидента. Данные подтверждения могут храниться в течение длительного периода Представители Роскомнадзора, как правило, рекомендуют учитывать требования ч. 4 ст. 9 Закона № 152-ФЗ |
