Краткий ответ
Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут Рекомендуемые действия
- 1
- 2Разработайте и опубликуйте политику обработки персональных данных для обеспечения неограниченного доступа.
- 3Если используются электронные базы данных, компьютерные системы или соцсети для обработки данных: Подайте уведомление в Роскомнадзор, если используете электронные базы данных, компьютерные системы или соцсети для обработки данных.
- 4Обеспечьте безопасность хранимых персональных данных, включая имена, телефоны и фотографии клиентов.
- 5Ведите учет всех операций с персональными данными, хотя ведение журнала в явном виде не требуется.
Документы и доказательства
- Письменное согласие на обработку персональных данных (имя, телефон) от каждой клиентки.
- Отдельное письменное согласие на обработку биометрических данных (фотографии) для публикации в соцсетях.
- Политика обработки персональных данных, опубликованная в открытом доступе.
- Документы, подтверждающие факт получения согласий (заполненные формы, подписанные экземпляры).
- Если ведение электронной базы клиентов: Уведомление в Роскомнадзор о начале обработки данных, если ведется электронная база клиентов.
- Внутренние документы, фиксирующие операции с персональными данными (журналы, реестры).
Срочно: первые шаги
- Немедленно прекратите публикацию фотографий без письменного согласия — за это штраф до 300 000 рублей.
- Срочно получите письменное согласие на обработку биометрии от каждой клиентки, чьи фото уже опубликованы.
- Если ведете электронную базу клиентов, срочно подайте уведомление в Роскомнадзор до начала проверки.
- Зафиксируйте факт устного согласия на имена и телефоны письменно, чтобы доказать его при проверке.
- Начните вести учет операций с данными — это поможет подтвердить законность обработки при проверке.
Сроки и риски
- Если ведение электронных баз или публикация фото в соцсетях: Подайте уведомление в Роскомнадзор до начала обработки данных, если ведете электронные базы или публикуете фото в соцсетях.
- Получите письменное согласие на обработку биометрических данных (фотографий) — устного разрешения недостаточно.
- Зафиксируйте устное согласие на обработку имен и телефонов в любой форме, подтверждающей его получение, иначе доказывать факт придется вам.
- Риск: за обработку без письменного согласия на фото — штраф для ИП как должностного лица от 100 000 до 300 000 рублей.
- Если обработка данных с использованием автоматизации без уведомления: Риск: за обработку без уведомления Роскомнадзора — штраф для должностных лиц от 50 000 до 100 000 рублей.
Чего не делать
- Не полагайтесь на устное разрешение на публикацию фотографий — для биометрических данных (фото) обязательно письменное согласие.
- Не обрабатывайте имена и телефоны без оформленного согласия — при проверке именно вы обязаны доказать факт его получения.
- Если хранение данных в электронных базах или соцсетях: Не храните данные клиентов в электронных базах и соцсетях без уведомления Роскомнадзора — это обязательное условие при автоматизированной обработке.
- Не пренебрегайте разработкой и публикацией политики обработки персональных данных — за её отсутствие предусмотрен штраф.
- Не ведите учёт операций с персональными данными «в уме» — хотя журнал не обязателен, фиксируйте все действия с данными для защиты при проверке.
- Не игнорируйте запросы Роскомнадзора и не препятствуйте проверкам — это влечёт отдельную административную ответственность.
Обработка персональных данных индивидуальным предпринимателем в сфере парикмахерских и визажных услуг
Анализ ситуации
Вы являетесь оператором персональных данных, поскольку собираете, храните и обрабатываете имена, телефоны и фотографии клиентов. Это подтверждается определением оператора в законодательстве:
"оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)
Применимые нормы законодательства
Уведомление Роскомнадзора
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: ... 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Форма согласия на обработку данных
"Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9)
"В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9)
Особенности обработки биометрических данных
"Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 11)
Требования к документам
"Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11)
Ответственность за нарушения
"Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных... - влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11)
"Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных... - влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11)
Выводы и рекомендации
По регистрации и уведомлению
- Обязанность уведомления зависит от способа обработки данных. Если вы обрабатываете данные исключительно без использования средств автоматизации (например, только в бумажном виде), то уведомлять Роскомнадзор не требуется.
- Если используете электронные базы данных, компьютерные системы или социальные сети для хранения и обработки, то уведомление обязательно.
По согласию на обработку данных
- Для обычных персональных данных (имена, телефоны) устное согласие формально допустимо, но рекомендуется получать письменное согласие, поскольку обязанность доказать факт получения согласия лежит на операторе.
- Для биометрических данных (фотографии) обязательно требуется письменное согласие клиента.
По документам
- Разработайте и опубликуйте политику обработки персональных данных
- Вести журнал учета обработки персональных данных в явном виде законодательство не требует, но рекомендуется вести учет всех операций с персональными данными
По ответственности и проверкам
- Штрафы за нарушения могут составлять от 10-15 тысяч рублей для граждан до 300-700 тысяч рублей для юридических лиц
- Проверки возможны как плановые, так и внеплановые со стороны Роскомнадзора
- За непредставление информации или невыполнение предписаний также предусмотрена административная ответственность
Конкретные рекомендации
- Получите письменные согласия от всех клиентов на обработку их персональных данных, включая отдельное согласие на обработку биометрических данных (фотографий)
- Разработайте и разместите в доступном месте политику обработки персональных данных
- Если обрабатываете данные с использованием автоматизации, подайте уведомление в Роскомнадзор
- Обеспечьте безопасность хранимых персональных данных
Для разработки полного комплекта документов и получения индивидуальных рекомендаций рекомендуется обратиться к адвокату, специализирующемуся в области защиты персональных данных.
Столкнулись с похожей ситуацией?
Подробно опишите детали,
и Нейроадвокат подберёт решение