В минувший месяц встретились два взаимосвязанных и очень важных для бизнеса закона. Особое внимание они обращают на себя именно сейчас, когда пандемия перенаправила многие бизнес-процессы в онлайн-формат. Во-первых, с 1 марта вступили в силу значимые изменения в Федеральный закон «О персональных данных». Теперь отсутствует категория «общедоступных данных» — сведения о человеке можно распространять только при получении от него прямого разрешения. Во-вторых, с 27 марта ужесточены наказания, в том числе для бизнеса, за нарушения в сфере оборота персональных данных и безопасности Рунета, путем внесения изменений в Кодекс об административных правонарушениях.
Екатерина Туманова, адвокат, руководитель судебно-арбитражной практики Адвокатского бюро «КРП»
Изменения в законе «О персональных данных» анонсировали еще с конца прошлого года, но нам только предстоит разобраться во всех их нюансах и последствиях. Основные же моменты таковы.
Если ранее общедоступные сведения, добровольно раскрытые гражданином и содержащиеся, например, в описании аккаунтов соцсетей или на различных сайтах, могли обрабатываться без согласия их носителя, то сейчас от него требуется получать специальное и недвусмысленное согласие.
Законодатель ввел понятие «данных, разрешенных субъектом персональных данных для распространения», доступ к которым предоставляется путем дачи специального согласия на обработку соответствующих сведений в порядке, установленном новым законом.
Суть нового режима использования персональных данных в том, что данные нельзя будет распространять по умолчанию, и от операторов потребуется оформление отдельного согласия, которое должно быть недвусмысленным. При этом оператор должен обеспечить лицу возможность выбрать перечень тех данных, которые можно будет использовать публично. Любая неясность в волеизъявлении носителя персональных данных, по сути, должна будет трактоваться как предоставление данных в обработку без права дальнейшего распространения. В частности, должно быть четко указано, устанавливает ли субъект персональных данных запрет на их дальнейшую передачу или отказывается от установления таких запретов.
Также необходимо отметить, что передача персональных данных, разрешенных для распространения, должна быть остановлена в любое время по требованию их носителя — действие ранее выданного согласия с момента поступления такого требования оператору прекращается.
Соответственно, требования закона теперь предполагают особый режим использования данных, например и при размещении сведений о сотрудниках фирмы на ее сайтах или презентационных материалах компаний.
Установление требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, вменено Роскомнадзору, но к началу текущего месяца проект соответствующего приказа в силу не вступил.
Однако уже понятно, что работа бизнеса с клиентскими базами, использование электронных форм заказов, программных продуктов для совершения сделок онлайн — все это должно теперь осуществляться с учетом новых требований закона. Во многом это потребует пересмотра интерфейса многих площадок, а также внесения изменений в их программное обеспечение, что повлечет для компаний дополнительные расходы.
При этом законодатель синхронно увеличил размер санкций за нарушения в области обработки персональных данных. Например, за незаконную обработку данных компанию могут оштрафовать на сумму от 100 тыс. до 300 тыс. руб., а за отсутствие необходимого согласия на 300–500 тыс. руб. И кроме того, срок давности привлечения к ответственности по ст. 13.11 КоАП РФ увеличен с трех месяцев до года.
В сложившейся непростой ситуации для бизнеса хочется надеяться, что каждая компания сможет интегрировать новые правила в свои внутренние процессы, исключив тем самым риски возможных нарушений.