Иконка поиска
Логотип Все адвокаты
Вопрос
Административное право

Обязанность уведомления РКН при хранении данных пользователей через OpenID на сайте

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Направьте уведомление в Роскомнадзор до начала обработки данных пользователей.
  2. 2
    Получите согласие пользователей на обработку их логинов и идентификаторов.
  3. 3
    Разработайте и опубликуйте политику обработки персональных данных на вашем ресурсе.
  4. 4
    Обеспечьте соответствие систем хранения данных требованиям законодательства о защите персональных данных.
  5. 5
    Обратитесь к адвокату по информационному праву для подготовки полного пакета документов.

Документы и доказательства

  • Уведомление о намерении осуществлять обработку персональных данных в Роскомнадзор.
  • Политика обработки персональных данных для вашего интернет-ресурса.
  • Форма согласия пользователя на обработку персональных данных.
  • Если у клиента заключен договор с игровой платформой, предусматривающий передачу данных: Документы, подтверждающие правовое основание обработки данных (договор с игровой платформой).
  • Сведения о мерах по обеспечению безопасности персональных данных при их обработке.

  • Сроки и риски

    • Учитывайте, что логины и идентификаторы — персональные данные, так как позволяют идентифицировать пользователя.
    • Исключение для неавтоматизированной обработки неприменимо, так как данные обрабатываются автоматически.
    • Риск: обработка без уведомления влечет административную ответственность и предписание об устранении нарушения.
    • Обеспечьте правовое основание обработки (согласие пользователя) и разработайте политику обработки персональных данных.

  • Чего не делать

    • Не начинайте обработку данных до направления уведомления в Роскомнадзор.
    • Не игнорируйте тот факт, что логины и идентификаторы — это персональные данные.
    • Не полагайтесь на то, что данные получены от игровой платформы, — ответственность за уведомление лежит на вас.
    • Не откладывайте разработку политики обработки персональных данных до проверок.
    • Не пренебрегайте получением согласия пользователей на обработку их данных.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Обработка персональных данных при аутентификации через OpenID и уведомление Роскомнадзора

Анализ ситуации

Вы планируете использовать аутентификацию пользователей через OpenID игровой платформы, при которой в ваших системах сохраняются логины, идентификаторы и иная информация для аутентификации. Обработка осуществляется автоматически.

Являются ли данные персональными?

"персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)

Логины и идентификаторы пользователей, передаваемые через OpenID, позволяют идентифицировать конкретное физическое лицо, особенно в сочетании с другими данными игровой платформы. Следовательно, они являются персональными данными согласно российскому законодательству.

Обработка персональных данных

"обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение..." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)

Сбор и хранение логинов и идентификаторов пользователей представляет собой обработку персональных данных.

Обязанность уведомления Роскомнадзора

Общее правило

"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)

Исключения из обязанности уведомления

"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: ... 8) в случае, если оператор осуществляет деятельность по обработку персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)

Выводы и рекомендации

  1. Логины и идентификаторы являются персональными данными, поскольку позволяют идентифицировать физическое лицо.

  2. Обработка осуществляется автоматически, что исключает применение исключения для неавтоматизированной обработки.

  3. Уведомление Роскомнадзора требуется, поскольку:

    • Вы обрабатываете персональные данные
    • Обработка осуществляется с использованием средств автоматизации
    • Не подпадает под исключения, предусмотренные статьей 22 закона

  4. Рекомендации:

    • Подготовьте и направьте уведомление в Роскомнадзор до начала обработки данных
    • Убедитесь в наличии правового основания для обработки (скорее всего, согласие пользователя)
    • Разработайте политику обработки персональных данных
    • Обеспечьте соответствие требованиям к защите персональных данных

Учитывая сложность законодательства о персональных данных и потенциальную административную ответственность за нарушения, рекомендую обратиться к адвокату, специализирующемуся в области информационного права, для подготовки полного пакета документов и консультации по всем аспектам обработки персональных данных.

Столкнулись с похожей ситуацией?

Подробно опишите детали,
и Нейроадвокат подберёт решение