Передача персональных данных третьим лицам: нюансы

Федеральный закон «О персональных данных» №152 ФЗ

Цель закона ясна, для создания правовой основы обращения с персональными данными физических лиц и реализации конституционных прав человека

Оператор данных — это юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует обработку персональных данных. Именно оператор определяет цели, способы и условия обработки информации.

Обработчик данных — это лицо, которое осуществляет обработку персональных данных по поручению оператора. Обработчик действует строго в рамках установленных оператором инструкций.

Правовые основы взаимодействия

Передача и обработка персональных данных третьим лицам осуществляется на основании:

• Письменного согласия субъекта данных, форма согласия заранее разрабатывается

• Договора поручения между оператором и обработчиком

• Закон и его иные обоснования

Передача пдн третьим лицам формирует требования к оформлению отношений.

Договор поручения должен содержать и передавать:

• Перечень передаваемых персональных данных

• Конкретные цели обработки передать персональные данные

• Обязанности обработчика

• Меры по обеспечению безопасности данных

Практические примеры

Зарплатный проект: Работодатель получает согласие сотрудника. Заключает договор с банком. Передает необходимые данные для выплаты зарплаты. Банк обрабатывает данные в рамках своих целей.

Аутсорсинг кадровых услуг: Работодатель заключает договор с кадровым агентством. Получает дополнительное согласие сотрудников. Указывает конкретные цели обработки данных. Контролирует действия обработчика.

При распределение ответственности оператор:

• Несет полную юридическую ответственность

• Определяет порядок обработки данных

• Защищает права субъектов данных

• Контролирует действия обработчика

Обработчик:

• Выполняет только порученные операции

• Соблюдает конфиденциальность

• Не запрашивает самостоятельное согласие субъектов

• Отвечает за нарушение инструкций оператора

Информация по безопасности

Обязательно четко формулировать цели обработки в документах. Детально прописывать обязанности обработчика. Включать положения о конфиденциальности. Определять ответственность за нарушения. Регулярно контролировать действия обработчика

Соблюдение этих правил позволит эффективно организовать обработку персональных данных и минимизировать риски нарушения законодательства о защите информации.

Исключения из общего правила

Согласие не требуется в случаях, прямо предусмотренных законом, например: передача данных в целях, установленных законодательством. При наличии специального правового основания.

Ответственность за незаконную передачу данных несут:

• Организация-оператор

• Конкретное должностное лицо, осуществившее передачу

При этом ответственность наступает в случае:

• передача персональных данных третьим лицам без согласия субъекта

• если получение согласия было обязательным по закону

Важно помнить, что соблюдение этих правил является обязательным для всех операторов персональных данных и служит гарантией защиты прав субъектов информации.

Наказание за передачу персональных данных третьим лицам

Наказание за передачу персональных данных третьим лицам без согласия субъекта, за нарушение неприкосновенности частной жизни предусмотрены следующие уголовные наказания:

По части 1 статьи 137 УК РФ: Штраф до 200 000 рублей, лишение свободы до 2 лет, лишение права занимать определенные должности до 3 лет.

По части 3 статьи 137 УК РФ (применительно к несовершеннолетним): Штраф 150 000 - 350 000 рублей, штраф в размере дохода за 18 месяцев - 3 года, лишение права занимать определенные должности 3-5 лет, принудительные работы до 5 лет

Арест до 6 месяцев, лишение свободы до 5 лет.

Ответственность наступает за: умышленные действия, незаконный сбор данных, распространение информации без согласия, публичное демонстрирование данных.

В мае 2025 года вносятся серьезные изменения в отношении 152-ФЗ.Наступает усиление ответственности за нарушения в сфере персональных данных. Новые штрафы за утечки данных: размер штрафа теперь зависит от объема утерянных данных: от 200.00 руб ло 15.000.000 руб

Вводится уголовная ответственность

Статья 272.1 УК РФ вводит ответственность за:

• Незаконное использование и распространение персональных данных

• Незаконный сбор и хранение данных

• Создание ресурсов для незаконного распространения данных

Максимальное наказание:

• До 10 лет лишения свободы

• Штраф до 3 000 000 руб.

Вводитя ответственность за отказ в обслуживании и при отказе от биометрической идентификации до 25.000 руб.

Роскомнадзор ввел также штрафы за нарушения при работе с персональными данными.

За неуведомление о намерении обрабатывать данные до 300.000 руб

За неуведомление об утечке данных до 3 000 000 руб.

Сроки вступления в силу 30 мая 2025 г.

Помните: любая организация или ИП, работающие с персональными данными, может быть проверена Роскомнадзором. Особенно внимательно следует отнестись к 152 ФЗ.