Персональные данные: комплаенс

Штрафы за нарушения при работе с персональными данными для бизнеса в Сочи ощутимы уже за формальные ошибки: нет уведомления в Роскомнадзор, согласие гостя спрятано в договоре, политика на сайте скопирована у другой компании. За утечку базы клиентов ответственность ещё выше. Юрист проводит аудит обработки данных, готовит комплект локальных документов, настраивает формы согласий на сайте и в бланках и сопровождает компанию при проверке или деле об административном правонарушении.

Основной закон в этой сфере — № 152-ФЗ «О персональных данных». Административная ответственность установлена статьёй 13.11 КоАП РФ, а за утечки в последние годы введены повышенные и оборотные штрафы.

Почему курортному бизнесу нужен порядок с данными

Гостиницы, санатории, апарт-отели, туроператоры, клиники и рестораны с доставкой обрабатывают огромный объём данных. Это паспорта гостей, номера телефонов, адреса, сведения о здоровье, банковские реквизиты. В сезон через небольшой отель проходят тысячи человек, и каждый из них становится субъектом персональных данных.

Типичные задачи бизнеса выглядят так:

• подготовка документов с нуля для новой гостиницы или клиники;
• приведение сайта в порядок: формы бронирования, cookie, политика;
• проверка договоров с сервисами бронирования, CRM и колл-центрами;
• реагирование на утечку базы клиентов;
• ответ на запрос или предписание Роскомнадзора.

Особое внимание требуется медицинским и санаторным организациям. Сведения о здоровье относятся к специальной категории данных, и требования к их обработке строже.

Уведомление и локальные документы оператора

Компания, которая обрабатывает персональные данные, становится оператором. Большинство операторов обязаны подать в Роскомнадзор уведомление об обработке и обновлять его при изменении сведений. Отсутствие уведомления выявляется легко и служит частым поводом для штрафа.

Минимальный комплект документов включает:

• политику обработки персональных данных, опубликованную на сайте;
• положение об обработке и защите данных для внутреннего использования;
• приказ о назначении ответственного за организацию обработки;
• формы согласий для клиентов, гостей и сотрудников;
• перечень обрабатываемых данных и информационных систем;
• порядок уничтожения данных и акты уничтожения.

Согласие на обработку должно оформляться отдельно от других документов и не прятаться в тексте договора или оферты. Галочка, проставленная на сайте по умолчанию, согласием не считается.

Самые частые нарушения и штрафы

Роскомнадзор проверяет не только наличие документов, но и то, как они применяются на практике. Юрист при аудите ищет расхождения между бумагой и реальностью.

Отдельный блок связан с утечками. При выявлении инцидента оператор обязан сообщить о нём в Роскомнадзор в течение суток, а о результатах внутреннего расследования в течение трёх суток. Несообщение само по себе становится нарушением.

Порядок аудита и сопровождения

Работа начинается с интервью с руководителем и ответственными сотрудниками. Юрист выясняет, какие данные собираются, где хранятся, кому передаются. Отдельно изучаются сайт, формы, договоры с подрядчиками и облачными сервисами.

По итогам аудита клиент получает отчёт с перечнем нарушений и планом их устранения. Затем готовятся документы, правятся формы согласий и договоры поручения обработки. Сотрудникам, которые работают с данными гостей, объясняют правила: кто может снимать копию паспорта, где её хранить, когда уничтожать.

Если пришёл Роскомнадзор

При проверке или запросе юрист готовит пояснения и документы, участвует в общении с инспектором. Если составлен протокол, готовятся возражения, а постановление о штрафе можно обжаловать в суде. Для субъектов малого бизнеса КоАП РФ допускает замену штрафа предупреждением, если нарушение совершено впервые и не причинило вреда, и об этом стоит заявить.

Сроки внедрения и реагирования

Аудит небольшой гостиницы или клиники занимает от нескольких дней до пары недель, в зависимости от числа процессов и систем. Подготовка комплекта документов идёт параллельно.

Сроки реагирования на инциденты жёсткие: сутки на первичное уведомление об утечке и трое суток на результаты расследования. Запросы субъектов данных, например гостя, который требует удалить его сведения, тоже рассматриваются в установленный законом срок.

Для обжалования постановления об административном штрафе срок составляет десять дней со дня получения копии. Пропуск лишает возможности спорить по существу, поэтому постановление нужно показать юристу сразу.

Бюджет на соответствие закону

Стоимость зависит от масштаба. Салону красоты с одним сайтом нужно меньше документов, чем сети отелей с системой бронирования, колл-центром и собственной клиникой.

Форматы работы:

• экспресс-проверка сайта и политики;
• полный аудит обработки данных с отчётом;
• подготовка комплекта локальных документов;
• сопровождение при проверке и обжаловании штрафа;
• абонентская поддержка с обновлением документов при изменениях закона.

Расходы на техническую защиту информационных систем определяются отдельно с IT-специалистами. Стоимость юридической части называем после первичного разговора.

Что можно сделать уже сегодня

Проверьте, есть ли ваша компания в реестре операторов на сайте Роскомнадзора. Откройте свой сайт и посмотрите, где собираются данные: формы обратной связи, бронирование, подписка. Найдите, где лежат копии паспортов гостей и сотрудников и кто имеет к ним доступ.

Для консультации подготовьте ссылку на сайт, текущую политику и формы согласий, перечень сервисов, которыми пользуетесь. Если уже есть запрос Роскомнадзора или протокол, приложите их.

Сочи. Основной канал связи с адвокатом — электронная почта sochiyurist@gmail.com.