Краткий ответ
Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут Рекомендуемые действия
- 1Получите отдельное информированное согласие на хранение и анализ данных, прямо перечислив эти цели.
- 2
- 3Установите и закрепите в политике обоснованные сроки хранения данных, соответствующие заявленным целям.
- 4Обеспечьте пользователю возможность отозвать согласие и удалить его данные в любой момент.
- 5Реализуйте меры по защите персональных данных согласно ст. 19 ФЗ-152, включая шифрование и разграничение доступа.
- 6Проконсультируйтесь с адвокатом по вопросам налоговой тайны при обработке данных, полученных от ФНС.
Документы и доказательства
- Письменное согласие пользователя на обработку персональных данных с указанием всех конкретных целей, включая долговременное хранение и анализ.
- Актуальная редакция условий использования сервиса с зафиксированным перечнем целей обработки данных.
- Внутренние документы (политика обработки ПДн), определяющие сроки хранения данных и порядок их уничтожения.
- Документы, подтверждающие реализацию мер по защите персональных данных в соответствии со ст. 19 ФЗ-152.
- Журнал учета обращений пользователей на отзыв согласия и удаление данных.
- Правовая позиция о соответствии долговременного хранения принципу целевого ограничения обработки ПДн.
Сроки и риски
- Установите и закрепите срок хранения данных, обоснованный достижением заявленных целей.
- Обеспечьте техническую возможность отзыва согласия и удаления данных по требованию пользователя.
- Риск: обработка вне заявленных целей без нового согласия — нарушение ст. 5 и 9 ФЗ-152.
- Риск: ответственность по ст. 13.11 КоАП РФ за обработку без согласия и нарушение сроков хранения.
Чего не делать
- Не расширяйте цели обработки данных без получения нового конкретного и информированного согласия пользователя.
- Не храните данные из чеков дольше, чем это необходимо для заявленных целей обработки.
- Не обрабатывайте данные для целей, не указанных в условиях использования, даже при наличии общего согласия.
- Не игнорируйте требование о предоставлении пользователю возможности отозвать согласие и удалить его данные.
- Не пренебрегайте мерами по защите персональных данных, предусмотренными статьей 19 ФЗ-152.
- Не считайте данные из ФНС свободными от ограничений, связанных с налоговой тайной.
Когда нужен адвокат
- Обратитесь к адвокату по персональным данным, если планируете анализировать чеки в целях, не указанных в согласии.
- Консультация адвоката нужна для оценки рисков налоговой тайны при долговременном хранении данных из ФНС.
- Привлеките юриста для разработки формы конкретного и информированного согласия на все виды обработки.
- Адвокат поможет составить политику обработки данных с учетом требований ст. 19 ФЗ-152.
- Обратитесь к специалисту для проверки законности ваших целей анализа на совместимость с заявленными.
- Юрист по информационному праву проработает механизм отзыва согласия и удаления данных пользователя.
Альтернативные пути
- Пересмотрите условия использования: расширьте перечень целей обработки, включив долговременное хранение и аналитику.
- Получите отдельное информированное согласие на новые цели обработки, не ограничиваясь общим согласием.
- Закрепите в согласии конкретный срок хранения данных, обоснованный целями аналитики.
- Обеспечьте техническую возможность отзыва согласия и удаления данных пользователем в любой момент.
- Разработайте и внедрите меры защиты данных согласно ст. 19 ФЗ-152, включая шифрование и разграничение доступа.
- Проведите внутренний аудит на предмет соответствия обработки данных принципу целевого ограничения.
Обработка данных из кассовых чеков, полученных от ФНС: правовые аспекты
Анализ ситуации
Вы рассматриваете возможность долговременного хранения и анализа данных из кассовых чеков, полученных от Федеральной налоговой службы с согласия пользователя, но выходящих за рамки целей, указанных в условиях использования системы.
Применимые правовые нормы
Кассовые чеки как персональные данные
"персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)
Кассовые чеки содержат информацию, позволяющую идентифицировать физическое лицо (например, фамилию кассира, а в некоторых случаях - данные покупателя), поэтому они подпадают под действие законодательства о персональных данных.
Принципы обработки персональных данных
"Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 5)
"Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 5)
Особенности данных от государственных органов
"Налоговые органы в рамках межведомственного информационного взаимодействия вправе передавать сведения о расчетах, перечень которых утверждается уполномоченным органом, с учетом требований Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных"" (Источник: Федеральный закон от 22.05.2003 N 54-ФЗ "О применении контрольно-кассовой техники...", статья 7)
"налогоплательщики имеют право: ... 13) на соблюдение и сохранение налоговой тайны" (Источник: Налоговый кодекс Российской Федерации (часть первая), статья 21)
Требования к согласию на обработку
"Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9)
Выводы и рекомендации
1. Соответствие долговременного хранения заявленным целям
Долговременное хранение и анализ данных для личных нужд, не указанных в условиях использования, не соответствует принципу целевого ограничения обработки персональных данных. Если цели обработки четко ограничены в условиях использования (визуализация, получение чеков, проверка, подача жалоб), то их расширение требует получения нового согласия.
2. Требования к согласию
Общего согласия пользователя недостаточно для обработки данных в целях, не указанных изначально. Требуется:
- Конкретное согласие с указанием всех целей обработки
- Информирование о составе обрабатываемых данных
- Указание срока действия согласия и способа его отзыва
3. Особенности данных от ФНС
Данные, полученные от ФНС, могут содержать сведения, составляющие налоговую тайну, что накладывает дополнительные ограничения на их обработку и распространение.
4. Риски нарушения законодательства
Основные риски включают:
- Нарушение принципа целевого ограничения обработки ПДн
- Несоответствие сроков хранения заявленным целям
- Нарушение требований к содержанию согласия
- Ответственность по ст. 13.11 КоАП РФ за нарушение законодательства о персональных данных
5. Рекомендации
- Получите конкретное информированное согласие пользователя на все планируемые виды обработки данных
- Четко определите и зафиксируйте цели обработки в документации
- Установите обоснованные сроки хранения данных в соответствии с целями обработки
- Обеспечьте возможность пользователя отозвать согласие и удалить данные
- Реализуйте меры по защите персональных данных в соответствии со ст. 19 ФЗ-152
Для детальной проработки правовых аспектов вашей конкретной ситуации рекомендую обратиться к адвокату, специализирующемуся на вопросах защиты персональных данных и информационного права.
Столкнулись с похожей ситуацией?
Подробно опишите детали,
и Нейроадвокат подберёт решение