Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Пересылка персональных данных по электронной почте без согласия». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Адрес электронной почты, указанный в регистрационных данных заказчика единой информационной системы в сфере закупок и в извещении о проведении закупки является достоверным, поскольку при регистрации заказчика в единой информационной системе в сфере закупок и при размещении закупки производится процедура идентификации заказчика, в том числе посредством ЭЦП.
Может ли оператор передать кому-нибудь персональные данные?
И. О., должность, телефон, адрес, размер зарплаты, дату рождения, адрес личной электронной почты, личный телефонный номер, фото- и видеоизображение и пр.).
Об актуальных изменениях в КС узнаете, став участником программы, разработанной совместно с АО «Сбербанк-АСТ». Слушателям, успешно освоившим программу выдаются удостоверения установленного образца.
В результате первой попытки мы получили неудовлетворительное состояние систем и вынуждены были заново браться за планирование и проработку вариантов.
Письменная форма согласия должна включать в себя цель обработки персональных данных, а согласие субъекта персональных данных на обработку его персональных данных может включать в себя только одну цель обработки персональных данных. Указанная норма является императивной и не подлежит расширенному толкованию.
Хранение и сбор тоже попадают под определение обработки. Даже если вы собираете данные и через пару минут удаляете, это будет считаться обработкой персональных данных.
Обеспечение защиты прав и свобод гражданина при обработке его личной информации регулирует Федеральный закон «О персональных данных» № 152-ФЗ.
Органом криптографической защиты может быть организация, структурное подразделение организации — лицензиата ФАПСИ , обладателя конфиденциа…
При этом мне достоверно известно, что указанный домен на самом деле принадлежит совсем другой организации – АО «Завод «Пластмасс» (ИНН 7411009901), которое его зарегистрировало и фактически использует.
Операторы персональных данных осуществляющие передачу (подготовку к передаче) персональных данных по электронной почте без использования сертифицированных ФСБ России СКЗИ несут предусмотренную законодательством Российской Федерации ответственность.
Хостинг и база данных с персональными данными должна располагаться на территории России.
Минцифры России направило методические рекомендации для общеобразовательных организаций по вопросам обработки персональных данных.
Статья 137 УК РФ: наказание за разглашение персональных данных
Изначально следует отметить, что уголовная ответственность может наступить, если речь идет именно о разглашении личной информации, например, о состоянии здоровья, интимной сфере, образе жизни и т.д. Вид и серьезность наказания определяются в зависимости от исполнителя правонарушения, способа распространения сведений и последствий, к которым привели незаконные действия нарушителя. Гораздо проще наказать тех, кто сообщает конфиденциальные сведения в публичных выступлениях либо через средства массовой информации.
Основные меры наказания прописаны в статьях 137 и 138 УК РФ:
- за распространение данных, составляющих личную или семейную тайну — штраф до 200 тысяч рублей (или доход за последние 1,5 года), обязательные или принудительные работы продолжительностью до 360 часов и до 2 лет, соответственно (во втором случае нарушителя лишают права до 3 лет заниматься определенной деятельностью), арест до 4 месяцев, тюремное заключение максимум на 2 года;
- за аналогичные действия в случае использования служебного положения — до 6 месяцев ареста, лишение свободы на 4 года (максимум), принудительные работы максимум в течение 4 лет с лишением возможности заниматься той или иной деятельностью до пяти лет, штраф
100-300 тысяч рублей либо в размере полученного за прошлые1-2 года официального дохода; - за разглашение сведений, касающихся субъектов младше 16 лет —
150-300 тысяч штрафа, лишение права заниматься определенной деятельностью до пяти лет, принудительные работы до пяти лет, 6 месяцев ареста, заключение в тюрьму на срок до 5 лет; - за несоблюдение тайны переписки и переговоров (в любом формате — по телефону, электронной почте, в рамках видеоконференций и т.д.) — штраф до 80 тысяч рублей либо в размере полученного за прошлые полгода дохода/зарплаты, исправительные или принудительные работы в течение 1 года или 360 часов, соответственно.
Подотчетным станет сбор персональных данных:
- в ходе трудовых отношений,
- при заключении договоров с мобильными операторами, общественными объединениями или религиозными организациями, государственными автоматизированными информационными системами,
- уже упомянутых ФИО,
- даже если люди дают согласие на сбор и обработку своих персональных данных. Поэтому мы так часто должны были ставить галочки в окошках согласия на обработку данных: это снимало с компаний обязанность отчитываться перед Роскомнадзором, но с 1 сентября 2022 года наше согласие перестанет что-то значит и требовать его с нас не будет смысла,
- для выдачи пропуска (в том числе одноразового) на территорию или в здание (с 1 сентября 2022 года это становится незаконным, если организация не уведомила Роскомнадзор о сборе персональных данных).
Ответственность за распространение номера телефона и адреса электронной почты
Распространение персональных данных представляет собой действия, направленные на раскрытие персональных данных неопределенному кругу лиц (п. 5 ст. 3 Закона N 152-ФЗ).
Лица, виновные в нарушении требований Закона N 152-ФЗ, несут предусмотренную законодательством РФ ответственность (ч. 1 ст. 24 Закона N 152-ФЗ).
Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством РФ в области персональных данных, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, влечет наложение административного штрафа (ч. 2 ст. 13.11 КоАП РФ):
• на граждан в размере от 3 000 до 5 000 руб.;
• на должностных лиц — от 10 000 до 20 000 руб.;
• на юридических лиц — от 15 000 до 75 000 руб.
Причиненный вследствие нарушения прав субъекта персональных данных моральный вред также подлежит возмещению в соответствии с законодательством РФ (ст. ст. 1099 — 1101 ГК РФ, ст. 24 Закона N 152-ФЗ).
Относится ли номер телефона клиента к его персональным данным?
Порядок работы с персональными данными физического лица утвержден в федеральном законе от 27.07.06г. «О персональных данных» №152-ФЗ.
В частности, в статье 3 этого закона есть ряд определений, которые помогут разобраться, относится ли номер телефона или адрес электронной почты к личным данным физического лица:
- прежде всего, под персональными данными понимается информация любого рода, которая относится прямо или косвенно к определенному или определяемому физическому лицу;
- под обработкой персональных данных понимается любое действие (операция) или их совокупность, которые совершаются с этими данными с помощью средств автоматизации или без них. В перечень указанных действий включается, в частности, сбор, записывание, накопление, хранение, систематизация, обновление, передача и иные операции с персональными данными.
Таким образом, номер телефона или электронная почта клиента подпадают под разряд персональных данных. А получение этих сведений продавцом, чтобы передать клиенту на основании статьи 1.2 новой редакции закона №54-ФЗ кассовые чеки в электронной форме, будет считаться сбором и записыванием персональных данных.
Передать данные очень просто. Если требуется согласие, то его нужно дать в письменной форме или в виде электронной записи. Однако учтите, что регистрируясь на сайте интернет-магазина, нельзя передавать пин-коды карты.
СПРАВКА! Желательно также не делать отметки о своем доходе, медицинскую и личную информацию. Иными словами, если можно уменьшить количество сведений, которые вы передаете, то лучше это сделать.
Как передать данные третьим лицам:
- Определиться с набором сведений, которые будут переданы.
- Дать согласие на передачу.
- Получить информацию о возможном отзыве согласия (например, адрес электронной почты, куда можно направить заявление в случае, если вы передумаете).
После того как согласие будет передано, можно будет приступать к онлайн-покупкам или к выполнению трудовых обязанностей, пользоваться кредитом, страховкой и так далее.
Что делать, если я не хочу давать согласие на обработку персональных данных?
Если в соответствии с 152-ФЗ предоставление персональных данных или получение оператором согласия на обработку персональных данных являются обязательными, оператор обязан разъяснить вам юридические последствия отказа дать ему персональные данные или согласие на их обработку. Ваш отказ может стать причиной не предоставлять вам услуги.
Но есть статья 16 Федерального Закона «О защите прав потребителей». По ней продавец (тот же оператор) не вправе отказывать потребителю (вам) в заключении, исполнении, изменении или расторжении договора с потребителем в связи с отказом потребителя предоставить персональные данные. За исключением случаев, если обязанность предоставления таких данных предусмотрена законодательством Российской Федерации или непосредственно связана с исполнением договора с потребителем.
Так что получается вы не можете отказаться предоставить адрес проживания и номер телефона, если хотите заключить, например, договор доставки. Но имеете полное право отказаться от предоставления номера ИНН или фотографии, поскольку эти данные не требуются для исполнения договора.
Что делать, если я хочу отозвать согласие на обработку персональных данных?
Вы имеете право отозвать свое согласие на обработку персональных данных в любое время (п. 2 ст. 9 152-ФЗ). Вам не требуется даже указывать причину такого решения.
Достаточно направить в адрес оператора уведомление в письменной форме об отзыве согласия на обработку ваших персональных данных. Обычно в политике обработки персональных данных, которая должна быть на каждом сайте, или в согласии, которое вы подписывали, будет указан порядок отзыва согласия на обработку персональных данных. После получения отзыва оператор обязан прекратить обработку и уничтожить персональные данные не позднее чем через 30 дней (п. 5 ст. 21 152-ФЗ), если он не имеет иных оснований обработки ваших персональных данных. Если оператор не имеет возможности уничтожить персональные данные в этот срок, то он осуществить блокирование данных и обеспечить уничтожение в срок не более чем 6 месяцев.
Ответственность за несоблюдение требований по защите персональных данных
В зависимости от обстоятельств в случае невыполнения требований к защите персональных данных медицинская организация или ее работники могут быть привлечены к дисциплинарной, гражданско-правовой, административной или даже уголовной ответственности. Рассмотрим наиболее вероятные случаи в таблице:
| Норма | Описание нормы | Наказание | Комментарий |
|---|---|---|---|
| Уголовная ответственность (Уголовный кодекс РФ – УК РФ) | |||
| ст. 137 УК РФ | Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или СМИ | Вплоть до лишения свободы на срок до 4-х лет с лишением права занимать медицинские должности или заниматься медицинской деятельностью на срок до 5-ти лет | Применительно к рассматриваемой ситуации ответственность по данной статье маловероятна и может наступить лишь при неправильном толковании УК РФ следственными органами. Во-первых, одна лишь пересылка врачебной тайны по электронным каналам связи не является их распространением. Согласно подпункту 5 статьи 3 ФЗ № 152, распространение ПД – это действия, направленные на раскрытие персональных данных неопределенному кругу лиц. Поэтому одного лишь факта пересылки ПД по электронным каналам недостаточно – к ним должны получить доступ третьи лица. Во-вторых, обязательным условием привлечения к ответственности по данной статье является наличие прямого умысла на распространение персональных данных. Доказать такой умысел у медицинского работника достаточно сложно. Весомым доказательством в пользу его невиновности будет служить согласие на обработку персональных данных, в котором, как мы советовали, пациент соглашается на пересылку результатов исследований по электронной почте. Этот документ будет свидетельствовать, что медицинский работник действовал в интересах пациента и не ставил перед собой цель распространить ПД. |
| Административная ответственность (Кодекс РФ об административных правонарушениях – КоАП РФ) | |||
| ч. 6 ст. 13.12 КоАП РФ | Нарушение требований о защите информации | Наложение административного штрафа на граждан в размере от 500 до 1 000 рублей; на должностных лиц — от 1 000 до 2 000 рублей; на юридических лиц — от 10 000 до 15 000 рублей | Ответственность по данной статье может наступить, например, за невыполнение тех самых требований ЗИС.3. После обезличивания ПД, а также при выполнении иных наших рекомендаций риск привлечения к ответственности по данной статье крайне низкий (подробнее см. комментарии выше). |
| ст. 13.14 КоАП РФ | Разглашение информации, доступ к которойограничен , лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей | Наложение административного штрафа на граждан в размере от 500 до 1 000 рублей; на должностных лиц — от 4 000 до 5 000 рублей | В данном случае ситуация аналогична той, которую мы рассмотрели в отношении статьи 137 УК РФ (см. выше) |
Что делать, если просят копию паспорта?
Хочу уточнить один момент: в повседневной жизни очень часто сталкиваюсь с тем, что меня просят показать паспорт, а потом при мне же делают с него копию.
Насколько я понимаю, любая организация, у которой есть копия моего паспорта или мои паспортные данные, становится обладателем моих персональных данных и обязана их хранить.
Могу ли я потребовать с организации письменное обязательство о неразглашении моих персональных данных?
Вы совершенно правы. В паспорте содержатся ваши персональные данные. Тот, кому вы их предоставляете, становится оператором персональных данных и должен соблюдать требования закона: использовать данные для конкретной цели, хранить в защищенном месте и не допускать утечки. Операторы сами должны запрашивать ваше согласие на обработку персональной информации.
Насторожитесь, когда копию паспорта делают без вашего согласия. Если паспортные данные окажутся у мошенников, вас могут ждать неприятные последствия.
Мы уже не раз писали про персональные данные. Но давайте еще раз вспомним главное.
Общедоступные персональные данные
Персональными данными по Закону № 152-ФЗ считается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПД).
На передачу или распространение данных о ком-либо требуется согласие их субъекта, за исключением случаев, установленных законодательством (согласие не требуется при передаче ПД определенным органам и в определенных случаях).
К сведению: не требуется согласие работника на передачу персональных данных третьим лицам в целях предупреждения угрозы жизни и здоровью работника, в ФСС, ПФ РФ, налоговые органы, военные комиссариаты, прокуратуру, правоохранительные органы, ГИТ, суд (Разъяснения Роскомнадзора «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве»).
Ранее в Законе № 152-ФЗ было такое определение: общедоступные персональные данные – это ПД, доступ неограниченному кругу лиц к которым предоставлен с согласия субъекта ПД или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. То есть эти данные размещались их субъектом или с его согласия в общедоступных источниках. Статья 8 Закона № 152-ФЗ относит к таким источникам справочники, адресные книги. Это также могут быть социальные сети и другие интернет-ресурсы.
К общедоступным сведениям относились фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии, фото и др. Общедоступные сведения в любое время могли быть исключены из общедоступного источника по требованию субъекта ПД либо по решению суда или иных уполномоченных государственных органов.
Сколько согласий запрашивать?
В статье 9 Закона № 152-ФЗ уже установлена обязанность работодателей запрашивать у работника согласие на обработку персональных данных. Эта статья содержит и требования к оформлению такого согласия. В частности, оно должно быть конкретным, информированным и сознательным. Работник может дать его в любой позволяющей подтвердить факт получения такого согласия форме (письменно или в виде электронного документа, подписанного электронной подписью), если иное не предусмотрено федеральным законом.
Это согласие работодатели уже давно должны были запросить у работников.
К сведению: отдельное письменное согласие оформляется на обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ст. 10 Закона № 152-ФЗ).
В новой ст. 10.1 Закона № 152-ФЗ прямо указано, что согласие на обработку персональных данных, разрешенных их субъектом для распространения, оформляется отдельно от иных согласий субъекта ПД на обработку его данных.
Таким образом, ранее составленные согласия на обработку персональных данных в соответствии со ст. 9 Закона № 152-ФЗ продолжают свое действие, в отношении них никаких изменений нет. А для размещения ПД работников в общем доступе работодатели должны запросить у работников отдельное согласие.
Обратите внимание: если работник сам раскроет свои личные данные, но не предоставит согласие, доказывать правомерность их распространения придется всем лицам, которые распространили эти сведения. Доказывать это понадобится и в случае, если ПД оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы.
Когда и зачем нужно согласие на обработку персональных данных
Согласие на обработку персональных данных в интернете потребуется для исполнения условий договора между клиентом (пользователем, чьи персональные данные интересуют) и сервисом (которым пользуется клиент). Например, интернет-магазину (сервису) требуется адрес заказчика (клиента), чтобы доставить заказанный товар и провести операцию по оплате при безналичном или даже при наличном расчете. Также персональные данные клиента используют для рассылки информационных и рекламных объявлений по согласию клиента.
Необходимо учесть, что в понятие «обработка данных» включают сбор, систематизацию, сохранение, накопление, применение, уточнение/изменение, запись, извлечение, передачу и даже обезличивание, удаление из системы и полное уничтожение информации о клиенте. Поэтому интернет-сервису, не относящемуся к муниципальным или государственным учреждениям, необходимо взять согласие клиента на любые действия с персональными данными. Третьим лицам сведения передаются в ситуациях, указанных в законодательстве РФ. Регулируется это федеральным законом «О персональных данных» (N 152-ФЗ).
Соглашения на обработку персональных данных на разных интернет-ресурсах
Как правило, в интернете используются схожие пользовательские соглашения, в которые включен пункт о согласии на обрабатывание сведений.
Однако формулировки, обозначения, количество статей и пр. различаются в зависимости от ресурса, на котором заключается то или иное соглашение.
Чек-лист для разработки политики обработки персональных данных (ПД) на сайте
Что нужно проверить:
- любые формы отправки сообщений по типу «задать вопрос» и поля, обязательные для заполнения. Их нужно будет указать в политике обработки ПД в разделе «Объём ПД»;
- регистрация пользователя / личный кабинет / авторизация через соцсети. Проверить поля, обязательные для заполнения. Указать их в политике обработки ПД в разделе «Объём ПД»;
- форма заказа обратного звонка — какие поля в ней обязательны для заполнения. Эти данные нужно будет указывать в политике обработки ПД в разделах «Объем ПД» и «Цели ПД»;
- рассылка. Если есть форма подписки на рассылку, то необходимо размещать согласие на обработку ПД и согласие на получение рассылки (всё можно делать в одном документе). На рассылку нужно также сослаться в разделе «Цели ПД»;
- отзывы посетителей / клиентов / партнёров с ПД (благодарственные письма и т.д). Если пользователь пишет отзыв сам, то нужно размещать согласие на обработку ПД. Если выкладываются сканы благодарственных писем, то нужно предварительно обсудить с партнёром возможность получения такого согласия;
- возможность отправки резюме. В этом случае необходимо согласие на обработку ПД в целях трудоустройства.
База данных сайта с персональными данными пользователей должна находится на территории России.
Если политика обработки ПД (документ может называться «политика конфиденциальности» или аналогично) уже есть на сайте, проверьте по чек-листу цели сбора и объёмы ПД. Лишней информации там быть не должно быть. Принцип «лучше укажем больше данных, вдруг пригодится» неприемлем. Важно помнить, что объём собираемых данных должен соответствовать цели обработки. Универсальных критериев такого соответствия не существует, поэтому нужно руководствоваться принципами разумности и достаточности.
Примеры:
- для заказа авиабилетов нужны паспортные данные, для доставки пиццы — нет;
- для доставки заказа курьером интернет-магазина нужен адрес доставки, для самовывоза — нет;
- для бронирования билета в кино — вообще ничего не нужно, если не оплачивается онлайн.
Если на сайте нет никаких форм обратной связи, нет возможности заказать обратный звонок и т.п. — персональные данные не обрабатываются, следовательно, политику обработки ПД размещать не нужно.
Если на сайте не размещена политика обработки персональных данных, то его владелец не выполняет требования Закона «О персональных данных».
Указанные выше рекомендации относятся ко владельцам любых сайтов, которые так или иначе поддерживают обратную связь со своими посетителями.
Дополнительные требования могут быть предъявлены к интернет-магазинам, сервисам по подбору персонала, сервисам бронирования билетов, приема платежей, сетевых изданий (СМИ) и т.п. Про использование персональных данных в СМИ я напишу отдельно.
Поэтому прошу внимательно отнестись к подготовке документов, не используя «типовых форм политики обработки персональных данных», поскольку их не существует. За помощью обращайтесь к юристам, специализирующимся в этой отрасли.
Почему организация может требовать оформления согласия на обработку ПД?
Хотя речь велась о ручках красного цвета! В спецификации указаны ручки шариковые красного цвета! Исполнитель теперь ссылается на то , что якобы в нашей переписке я давала добро на бордовые ручки. Данное сообщение, где я даю согласте на бордовые ручки у себя я найти не могу! Удалила я кго или вообще не было этого сообщения я уже не помню.
И. Сушков систематически направлял с корпоративного адреса электронной почты на свой адрес электронной почты служебные и локальные нормативные документы, относящиеся к служебной (конфиденциальной) информации, а также персональные данные сотрудников, пересылка которых была расценена работодателем как разглашение охраняемой законом тайны. 1 февраля 2016 года А.И.
Способы защиты данного нарушенного права различны. Жалоба на незаконное использование персональных данных может быть подана в правоохранительные органы либо непосредственно в суд.
Суд первой инстанции частично удовлетворил исковые требования гражданина. Суд постановил признать незаконным распространение газетой «Комсомольская правда» персональных данных, а также использование изображения гражданина в оспариваемой статье. Кроме того, судья взыскал с редакции газеты «Комсомольская правда» в пользу истца компенсацию морального вреда.
Например, следуя в свой офис, вы проходите пункт охраны. Там вас просят приложить к сканеру палец, что позволяет службе охраны на компьютере видеть ваши ПД на основании взятого отпечатка. Так они могут установить вашу личность.
Как электронная почта к этому относится? В чем разница между передачей по эл. почте и через сайт, например? Если и там, и там, например, через https подключение.
Так, Ростовским областным судом было рассмотрено дело по иску о предоставлении информации и взыскании морального вреда.
Контроль санкционированной и исключение несанкционированной передачи видеоинформации, в том числе регистрация событий, связанных с передачей видеоинформации, их анализ и реагирование на нарушения, связанные с передачей видеоинформации.
-
Не обрабатывайте персональные данные без согласия клиентов.
-
Ничего им не отправляйте без их согласия.
-
Попросите клиентов заполнить анкету, чтобы получить это согласие.
-
Храните заполненные анкеты.
-
Ваш клиент в любой момент может отозвать свое согласие. В этом случае отпишите его от рассылок и удалите его персональные данные.
-
Клиенты соглашаются на использование данных только в тех целях, которые указаны в анкете. Использовать их с другой целью — незаконно.