Какие обязанности есть у УО, ТСЖ, ЖСК по работе с персональными данными жителей

Актуально на 5 мая 2025

Юлия Копеева, юрист, эксперт Системы Юрист

Анна Лежнина, главный редактор справочной системы «Управление МКД», член подкомитета ТПП РФ по развитию бизнеса в сфере управления жилой недвижимостью

В мае 2025 года появятся новые санкции за нарушения в работе с персональными данными, а действующие штрафы значительно вырастут. В обновленной рекомендации Системы УМД объединили обязанности управляющей МКД организации как оператора персональных данных. Используйте разъяснения и шаблоны от экспертов, чтобы избежать ответственности.

Какие изменения в работе с персональными данными вступают в силу в 2025 году

30 мая 2025 года вступят в силу новые санкции к операторам персональных данных. Соответствующие изменения внесли в КоАП Законом от 30.11.2024 № 420-ФЗ. Они касаются и УО, ТСЖ, ЖСК как операторов персональных данных.

Новый закон ужесточает ответственность за нарушения при обработке персданных:

• увеличили штрафы за неправомерную обработку данных;
• установили штрафы за неуведомление Роскомнадзора об обработке или утечке данных;
• установили размер штрафов за первичную утечку данных в зависимости от объема утечки;
• ввели оборотные штрафы за утечку персональных данных;
• выделили отдельные штрафы за утечку специальных и биометрических данных.

Заплатите до 500 тыс. руб. за нарушение правил или целей обработки

Раньше за первичное нарушение правил обработки данных руководитель платил до 20 тыс. руб., а организация – до 100 тыс. руб. Наказание предусмотрено частями 1, 1 статьи 13.11 КоАП. Какие суммы теперь придется заплатить за нарушения правил обработки – в таблице.

Таблица. Как изменятся штрафы за нарушение правил обработки персданных с 30 мая 2025 года

Состав нарушения	Нарушитель	Размер штрафа, руб.
		до 30 мая	после 30 мая
Первичное нарушение обработки персональных данных	Гражданин	от 2 тыс. до 6 тыс.	от 10 тыс. до 15 тыс.
	Должностное лицо	от 10 тыс. до 20 тыс.	от 50 тыс. до 100 тыс.
	Организация	от 60 тыс. до 100 тыс.	от 150 тыс. до 300 тыс.
Повторное подобное нарушение правил работы с персональными данными	Гражданин	от 4 тыс. до 12 тыс.	от 15 тыс. до 30 тыс.
	Должностное лицо	от 20 тыс. до 50 тыс.	от 100 тыс. до 200 тыс.
	ИП	от 50 тыс. до 100 тыс.
	Организация	от 100 тыс. до 300 тыс.	от 300 тыс. до 500 тыс.

Заплатите до 3 млн. руб. за нарушение обязанностей перед Роскомнадзором

До вступления изменений в силу можно получить штраф, только если ведомство само обнаружит, что вы обрабатываете данные без уведомления. За отсутствие уведомления об утечке данных штрафа вообще нет. С 30 мая операторы, которые не уведомили Роскомнадзор о начале обработки данных, заплатят до 300 тыс., а если не уведомить об утечке – уже до 3 млн. руб. (ч. 10, 11 ст. 13.11 КоАП). Когда и как нужно уведомить Роскомнадзор, разобрали далее в рекомендации.

Роскомнадзор будет рассчитывать штраф за первичную утечку персональных данных в зависимости от объема утечки

Чем большее количество данных вы неправомерно передали, предоставили, распространили, тем больше штраф. Максимальный штраф за первичную утечку - 15 млн руб. (ч. 12-14 ст. 13.11 КоАП).

Ведомство начнет применять оборотные штрафы за повторную утечку данных

За такое нарушение предусмотрен оборотный штраф в размере от 1 до 3 процентов годовой выручки. При этом минимальная сумма взыскания составит 20 млн руб., максимальная — 500 млн руб. (ч. 15 ст. 13.11 КоАП).

Заплатите отдельный штраф за утечку специальных или биометрических данных

До 30 мая размер ответственности за общие, специальные и биометрические данные не отличается. Однако после вступления изменений в силу начнут действовать отдельные штрафы за утечку данных этих категорий (ч. 16 ст. 13.11 КоАП).

Подробнее о всех санкциях за нарушения в работе с персональными данными посмотрите в отдельном справочнике

Внимание

С 11 декабря 2024 года за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные, грозит уголовная ответственность до 10 лет

Ответственность установлена статьей 272.1 УК.

Обязанности управленцев как операторов персональных данных

УО или жилищное объединение становится оператором персональных данных с момента, когда начинает их получать. Выступая в такой роли, управленец обязан выполнять функции:

• уведомить Роскомнадзор о намерении обрабатывать персональные данные, если это необходимо;
• соблюдать принципы обработки данных;
• обрабатывать данные, только когда это допускает закон;
• утвердить локальные акты о персональных данных;
• предоставить доступ к персональным данным их владельцам;
• уточнить, блокировать или уничтожить персональные данные по требованию владельца;
• обеспечить безопасность персональных данных при обработке;
• назначить ответственного за организацию обработки персональных данных;
• ограничить доступ к персональным данным;
• проверять, как защищены персональные данные;
• уведомить, что ведет видеосъемку;
• принять меры, если выявил неправомерную передачу данных;
• организовать хранение персональных данных;
• фиксировать уничтожение данных.

Убедитесь, нужно ли уведомить Роскомнадзор о намерении обрабатывать персональные данные

УО или жилищные объединения обязаны направлять уведомление в Роскомнадзор о намерении обрабатывать персональные данные всегда, за исключением двух случаев:

• персональные данные есть в государственных информационных системах персональных данных;
• данные обрабатывают исключительно без помощи средств автоматизации.

Уведомить необходимо до начала обработки. До 1 сентября 2022 года также не нужно было уведомлять, если вы, например, исполняете свои обязанности по трудовому законодательству или выполняете работы по договору с собственниками. Теперь это право не работает.

Такие правила предусмотрены частями 1, 2 статьи 22 Закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ, Закон о персональных данных). Изменения в правила обработки персданных внес Закон от 14.07.2022 № 266-ФЗ.

Проверьте, есть ли ваша организация в реестре Роскомнадзора. Если нет, то обязательно направьте уведомление. Уведомление нужно подать разово, чтобы данные попали в реестр. Если данные из уведомления поменяются, нужно подать об этом информационное письмо.

Ситуация

Какой грозит штраф, если не уведомить Роскомнадзор о намерении обрабатывать персональные данные

Если не уведомить Роскомнадзор о намерении обрабатывать персональные данные, вас могут привлечь к административной ответственности. Максимальный штраф — 5 тыс. руб. (ст. 19.7 КоАП).

С 30 мая 2025 года могут штрафовать уже до 300 000 руб. по новой норме в части 10 ст. 13.11 КоАП. Ее ввели Законом от 30.11.2024 № 420-ФЗ.

Уведомите Роскомнадзор о намерении обрабатывать персональные данные

Чтобы направить уведомление, выполните три действия:

• заполните уведомление на сайте Роскомнадзора через специальную форму;
• распечатайте заполненную форму;
• подпишите и направьте форму в территориальный орган Роскомнадзора по месту регистрации вашей организации.

Скачайте форму уведомления, которая необходима для вашей ситуации.

Форму уведомления о намерении обрабатывать персональные данные содержит приложение № 1 к Приказу Роскомнадзора от 28.10.2022 № 180 (далее – Приказ № 180). Роскомнадзор ведет реестр операторов на своем сайте.

В уведомлении для каждой цели обработки нужно указывать категории персданных и субъектов, чьи данные обрабатываете, правовое основание их обработки и перечень действий с этими данными. Такие правила установили в части 3 и 3.1 статьи 22 Закона № 152-ФЗ.

Если сведения в уведомлении о начале обработки данных изменились, или вы прекратили их обрабатывать, об этом также нужно уведомить Роскомнадзор.

Сообщить об изменении нужно не позднее 15-го числа месяца, следующего за месяцем, в котором изменились данные. К примеру, в феврале вы сменили ответственного за организацию обработки персональных данных и поменяли адрес местонахождения. Об этом нужно известить Роскомнадзор до 15 марта. Если прекратили обрабатывать персональные данные, уведомите в течение 10 рабочих дней с даты прекращения обработки (ч. 7 ст. 22 Закона № 152-ФЗ).

Формы уведомлений содержат, соответственно, приложение № 2 и приложение № 3 к Приказу № 180.

Скачайте форму уведомления, которая необходима для вашей ситуации.

Соблюдайте принципы обработки данных

Управляющая МКД организация должна соблюдать семь принципов обработки персональных данных. Их предусматривает статья 5 Закона о персональных данных:

1. Обрабатывайте данные на законной и справедливой основе (ч. 1).
2. Соблюдайте конкретные, заранее определенные и законные цели обработки. Нельзя обрабатывать данные, если это несовместимо с целями сбора данных (ч. 2).
3. Не объединяйте данные, обработку которых проводите в целях, несовместимых между собой (ч. 3).
4. Обрабатывайте только те данные, которые отвечают целям их обработки (ч. 4).
5. Проследите, чтобы содержание и объем данных отвечали заявленным целям обработки. Нельзя требовать избыточные данные по отношению к заявленным целям их обработки (ч. 5). Например, интернет-магазин не имеет права требовать скан паспорта или водительских прав.
6. Обеспечьте точность данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки, а также удаляйте или уточняйте неполные и неточные данные (ч. 6).
7. Храните персональные данные в форме, которая позволяет определить субъекта персональных данных. Срок хранения может быть установлен законом или договором. Если срок не установлен — не дольше, чем этого требуют цели обработки. По окончании срока данные уничтожьте либо обезличьте (ч. 7).

Обрабатывайте данные, только когда это допускает закон

Обрабатывайте данные только в случаях, когда вы получили на это согласие субъекта, если иное не предусмотрено законом. Разъясните собственникам юридические последствия отказа предоставить персональные данные и дать согласие на их обработку.

Внимание

С 1 марта 2021 года согласие на обработку персональных данных не разрешает их распространять, то есть раскрывать неограниченному кругу лиц. Для этого нужно отдельное согласие (ч. 1 ст. 10.1 Закона от 27.07.2006 № 152-ФЗ).

Если обрабатывать персональные данные в случаях, которые не предусматривает законодательство, Роскомнадзор оштрафует:

• граждан — от 2 000 до 6 000;
• должностных лиц — от 10 000 до 20 000;
• юрлиц — от 60 000 до 100 000.

Таков штраф за первое нарушение. Повторное нарушение обойдется дороже:

• гражданам — от 4 000 до 12 000;
• должностным лицам — от 20 000 до 50 000;
• ИП — от 50 000 до 100 000;
• юрлицам — от 100 000 до 300 000.

Наказание установлено частями 1, 1.1 статьи 13.11 КоАП. с 30 мая 2025 года штрафы увеличатся до 300 000 руб. за первое нарушение и до 500 000 руб. – за  повторное. Санкции ужесточили Законом от 30.11.2024 № 420-ФЗ.

Согласие собственника помещения в МКД на обработку персональных данных
(чтобы посмотреть комментарий к тексту, наведите на точку, чтобы скачать – кликните на название шаблона)

Подробнее о том, в каких случаях УО, ТСЖ, ЖК, ЖСК нужно получить согласие для работы с персональными данными и как это сделать, читайте в отдельной рекомендации.

Прописывайте всю необходимую информацию, если поручаете обработку персональных данных третьим лицам

С согласия субъекта персональных данных (потребителя ЖКУ) оператор (УО, ТСЖ, ЖК, ЖСК) вправе поручить обработку персональных данных другому лицу (например, РКЦ).

РКЦ, платежный агент или иная организация, которая обрабатывает персональные данные по поручению УО, ТСЖ, ЖСК, обязаны соблюдать принципы и правила обработки персональных данных. Для такого лица в поручении оператора необходимо прописать восемь видов сведений:

• перечень персональных данных;
• перечень действий с данными, которые будет совершать лицо по поручению оператора;
• цели обработки;
• обязанность лица соблюдать конфиденциальность персональных данных;
• обязанность выполнять требования в части 5 статьи 18 и статье 18.1 Закона о персональных данных;
• обязанность по запросу оператора предоставлять документы и информацию, подтверждающие принятые меры и соблюдение требований в статье 6 Закона о персональных данных;
• обязанность обеспечивать безопасность персональных данных при их обработке;
• требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Закона о персональных данных.

Такие правила предусмотрены в части 3 статьи 6 Закона о персональных данных.

Утвердите локальные акты о персональных данных

Закон не закрепляет перечень документов, которые должны быть в организации для обработки персональных данных. Зато устанавливает три цели, которые должны решать локальные акты (п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ):

• определять политику обработки персональных данных;
• отражать категории и перечень данных, их владельцев, способы, сроки обработки и хранения, порядок уничтожения;
• регулировать процедуры предотвращения, выявления и устранения последствий нарушений обработки данных.

Разместите политику обработки персональных данных

Обеспечьте неограниченный доступ через Интернет к документу, который определяет вашу политику в отношении обработки персональных данных, и сведениям о том, как вы реализуете требования к защите персональных данных. Сделайте это, в том числе на вашем сайте.

Проверьте, где именно на вашем сайте размещена политика. Политику важно разместить не произвольно на сайте, а, в том числе на страницах, где собираете данные (ч. 2 ст. 18.1 Закона о персональных данных).

Так, суд привлек к административной ответственности УО по статье 13.11 КоАП в том числе за то, что она не опубликовала документ, который определяет политику организации в отношении обработки персональных данных (постановление Ярославского областного суда от 15 февраля 2013 г. № 4А-21/2013).

Роскомнадзор на своем сайте опубликовал рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

Воспользуйтесь нашими шаблонами, чтобы не разрабатывать документы самостоятельно.

Политика защиты и обработки персональных данных	Приказ об утверждении политики защиты и обработки персональных данных
Скачать	Скачать

Совет

на одной странице сайта можно разместить оба документа: политику и сведения о защите данных. На этой же странице можно разместить еще и согласие на обработку персональных данных.

 Если не разместить эти документы на сайте, то Роскомнадзор вправе привлечь к ответственности по части 3 статьи 13.11 КоАП. Максимальный штраф — 60 000 руб.

 

Какие еще локальные акты нужно утвердить 

Оператор персональных данных также должен утвердить:

• Положение о защите персональных данных; 
• Положение о работе с персональными данными;
• Положение о порядке уничтожения персональных данных;
• Регламент о допуске работников к обработке данных;
• Положение о внутреннем аудите работы с персональными данными.

Предоставьте доступ к персональным данным их владельцам

Предоставьте данные их владельцу или Роскомнадзору в течение 10 рабочих дней с даты получения запроса. Срок можно продлить, но не более чем на пять рабочих дней. Для этого направьте  владельцу персональных данных  мотивированное уведомление с причинами, по которым нужно продлить срок (ч. 1 и 4 ст. 20 Закона о персональных данных). 

По общему правилу любое лицо вправе запросить у оператора сведения о себе и другую информацию, предусмотренную частью 7 статьи 14 Закона о персональных данных. Например, правовые основания и цели обработки персональных данных. Исключения устанавливает часть 8 статьи 14 Закона о персональных данных. Так, оператор не обязан предоставлять данные, которые получил в результате оперативно-разыскной, контрразведывательной и разведывательной деятельности.

Уточните, заблокируйте или уничтожьте персональные данные по требованию владельца

Уточнить, заблокировать или уничтожить персональные данные нужно по требованию от субъекта, если данные попадают хотя бы под один из случаев (ч. 1 ст. 14 Закона о персональных данных):

• утратили актуальность, неполные, неточные;
• получены незаконно;
• не отвечают заявленной цели обработки персональных данных.

Сроки уточнения, блокирования или уничтожения зависят от оснований для выполнения этих действий и установлены статьей 21 Закона о персональных данных. Так, уточнить неточность нужно в течение семи рабочих дней, а прекратить неправомерную обработку — в течение трех дней.

Укажите адрес электронной почты, по которому субъект персональных данных может обратиться, чтобы его данные уточнили или удалили. Если специального адреса нет, то лицо отправит запрос на общую почту, которую указали на сайте в разделе «Контакты». В этом случае нужно контролировать, чтобы письмо не потерялось в общей почте.

Обеспечьте безопасность персональных данных при их обработке

Примите необходимые правовые, организационные и технические меры, чтобы защитить персональные данные:

• от неправомерного или случайного доступа к ним;
• уничтожения, изменения, блокирования, копирования, предоставления, распространения;
• иных неправомерных действий в отношении персональных данных.

Обязанность принять меры для защиты данных предусматривает часть 1 статьи 19 Закона о персональных данных.

Меры безопасности зависят от способа обработки данных.

Способ 1. Автоматизированная обработка.

Чтобы определить, какие меры безопасности применять, оператор должен:

1) установить тип угрозы.

Выделяют три типа угрозы, которые создают актуальную опасность несанкционированного и случайного доступа к персональным данным при их обработке (п. 6 требований к защите персональных данных при их обработке в информационных системах персональных данных, которые утвердило Правительство РФ  постановлением от 1 ноября 2012 г. № 1119; далее — Требования № 1119).

Тип угрозы оператор определяет сам (п. 7 Требований № 1119 );

2) установить уровень защищенности.

Исходя из типа угрозы и вида персональных данных, оператор применяет один из четырех уровней их защиты (п. 8 Требований № 1119 );

3) принять организационно-технические меры, которые предусмотрены для своего уровня защищенности.

Перечень таких мер содержат:

• Требования № 1119;
• приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• приказ ФСБ России от 10 июля 2014 г. № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации...».

Способ 2. Неавтоматизированная обработка.

Если персональные данные проходят неавтоматизированную обработку:

• храните данные так, чтобы в отношении каждой категории персональных данных определить места хранения персональных данных (материальных носителей) иустановить перечень лиц, которые обрабатывают данные либо имеют к ним доступ;
• храните материальные носители с соблюдением условий², которые обеспечат сохранность персональных данных иисключат несанкционированный к ним доступ;
• обеспечьте раздельное хранение персональных данных (материальных носителей), обработку которых ведете в различных целях.

Меры по обеспечению безопасности персональных данных при их обработке предусмотрены пунктами 13–15 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, которое утвердило Правительство РФ  постановлением от 15 сентября 2008 г. № 687 (далее — Положение № 687).

Внимание

есть риск, что оператора оштрафуют, если он не обеспечит безопасность персональных данных при неавтоматизированной обработке. Роскомнадзор вправе привлечь оператора к ответственности по части 6 статьи 13.11 КоАП. Максимальный штраф — 100 000 руб.

² Оператор сам определяет:
— перечень мер, которые необходимы для обеспечения таких условий;
— порядок их принятия;
— перечень лиц, которые несут ответственность за реализацию указанных мер.

Назначьте ответственного

Назначьте ответственного за организацию обработки персональных данных (п. 1 ч. 1 ст. 18.1 , ч. 1 ст. 22.1 Закона о персональных данных). Утвердите его приказом.

Приказ о назначении ответственного лица по работе с персональными данными
(чтобы посмотреть комментарий к тексту, наведите на точку, чтобы скачать – кликните на название шаблона)

Как правило, назначают два ответственных лица.

Первое лицо — работник службы персонала в отношении данных сотрудников.

Второе лицо — сотрудник, который обрабатывает персональные данные жителей в МКД, например бухгалтер.

Ответственное лицо обязано (ч. 2 и 4 ст. 22.1 Закона о персональных данных):

• выполнять указания руководителя управляющей МКД организации;
• отчитываться перед ним;
• контролировать, чтобы в управляющей МКД организации все соблюдали законодательство о персональных данных, в том числе требования к их защите;
• организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и контролировать прием и обработку таких обращений и запросов.

Оцените возможный вред

Чтобы обеспечить достаточный уровень безопасности персональных данных, оператор должен провести оценку вероятного вреда (п. 5 ч. 1 ст. 18.1 Закона № 152-ФЗ). Вред может возникнуть, если оператор нарушит Закон № 152-ФЗ.

Приказом от 27.10.2022 № 178 Роскомнадзор установил правила оценки вреда для данных, которые оператор автоматизировано обрабатывает. Правила действуют 6 лет: с 1 марта 2023 до 1 марта 2029 года. Для данных, которые оператор обрабатывает на бумаге, обязательных правил оценки вреда нет, оператор вправе оценивать вред произвольно.

В приказе Роскомнадзор закрепил три степени рисков: высокий, средний или низкий. К какой степени риска отнести действия оператора при работе с персональными данными, разобрали в таблице.

Таблица 4. Какие критерии оценки вреда субъектам персональных данных выделяет Роскомнадзор

Степень вреда*	Действия организации
Высокая	Обрабатывает биометрические персданные
	Обрабатывает специальные категории персональных данных
	Обрабатывает персональные данные несовершеннолетних
	Поручает иностранному гражданину или организации обработку персональных данных
	Собираете персональные данные с использованием баз данных, которые находятся за пределами России
Средняя	Предоставляет персональные данные неограниченному кругу лиц
	Обрабатывает персональные данные в целях, о которых не уведомила Роскомнадзор
	Продвигает товары, работы, услуги с помощью чужих баз данных
	Получает согласие на обработку персональных данных через Интернет без идентификации субъекта
	Обрабатывает персональные данные в целях, несовместимых между собой
Низкая	Ведет общедоступные источники персональных данных
	Назначила ответственным за обработку персональных данных внештатного сотрудника
*Если нарушения оператора могут причинить гражданину вред разных степеней, надо учитывать более высокую

Результаты оценки вреда следует оформить актом в электронной или бумажной форме. Для электронной понадобится электронная подпись. Вероятнее всего, усиленная квалифицированная, но закон этого не уточняет.

Акт оценки возможного вреда субъектам персональных данных

Проводить оценку вреда и составлять акты должны ответственные за организацию обработки персональных данных либо комиссия из сотрудников (приказ Роскомнадзора от 27.10.2022 № 178).

Ограничьте доступ к персональным данным

Чтобы защитить персональные данные от утечки, оператор должен контролировать тех, кто имеет к ним доступ. Для этого необходимо обеспечить физическую безопасность информации и регулировать доступ к данным на бумаге. Установить порядок доступа к данным нужно регламентом в свободной форме.

Регламент о допуске работников к обработке персональных данных

С регламентом нужно ознакомить под подпись всех новых и старых сотрудников. Так они будут знать, что делать, если доступа к данным у них нет, но получить информацию о клиенте нужно.

Дать доступ к персональным данным нужно приказом в свободной форме. В приказе должен быть перечень с Ф.И.О. работников, а не список должностей. При смене сотрудника нужно внести изменения в приказ. В противном случае Роскомнадзор выдаст предписание изменить перечень (постановление Четырнадцатого арбитражного апелляционного суда от 21.01.2013 по делу № А44-5910/2012). К сотрудникам, которым нужно дать доступ к данным клиентов, относятся, например, юристы-договорники (п. 13 положения, утв. постановлением Правительства от 15.09.2008 № 687). С каждого, кто получил доступ к данным, нужно взять письменное обязательство об их неразглашении.

В должностных инструкциях сотрудников с доступом к персональным данным нужно зафиксировать, что сведения нельзя разглашать. Только тогда вы сможете уволить сотрудника за разглашение (ст. 90 ТК, п. 43 постановления Пленума Верховного суда от 17.03.2004 № 2).

Если допуск получил человек, которого не было в приказе, его нужно внести в журнал учета выданных персональных данных. Например, сотрудников организации или ИП, которые обрабатывают данные по заказу оператора.

Примите технические меры

Предотвратить утечку, если сотрудники решат нарушить Положение о работе с персональными данными, помогут технические меры. Перечня технических мер закон не устанавливает. Какие меры нужно использовать зависит от того, как храните данные: в электронном или бумажном виде. Меры, которые операторы применяют чаще всего, указали в таблице. 

Таблица 5. Какие технические меры можно принять для защиты персональных данных

Вид технических мер	Способ защитить
Физический	Замки
	Жалюзи
	Системы контроля и управления доступом
	Сейфы
	Видеонаблюдение
Аппаратный	Межсетевые экраны
	Генераторы шума
	Аппаратные регистры паролей
Криптографический	Защищенное соединение
	Крипто-шлюзы
	Архиваторы
Программный	Пароли
	Антивирусы
	Резервное копирование
	Системы обнаружения и предотвращения вторжений
	Средства доверенной нагрузки
	Прокси-серверы

Организуйте аудит

Проверить, как в организации работают меры защиты персональных данных, поможет аудит. Проводить аудит обязан каждый оператор. Процедуру аудита можно утвердить отдельным локальным актом, например, Положением об аудите, или включить в Положение о защите персональных данных. В документе необходимо зафиксировать предмет проверки, ее способ, процедуру и правила оформления результатов.

Ответственным за проведение аудита может быть сотрудник оператора или сторонняя компания. Назначить ответственного за аудит сотрудника нужно приказом в свободной форме. Как это сделать, рассказали в разделе про ответственного за обработку персональных данных. Чтобы оператор мог заказать аудит у сторонней организации, нужно предусмотреть эту возможность в локальных актах. С организацией-аудитором нужно заключить гражданско-правовой договор, например, об оказании услуг. В договоре должно быть условие о том, что оператор получит от аудитора документ с результатами проверки, например, заключение, отчет или акт.

Нарушения из отчета об аудиторской проверке устраняют сотрудники оператора по его приказу. После устранения нарушений рекомендуем составить акт об этом.

При проверке Роскомнадзора локальные акты об аудите и отчет аудитора или ответственного сотрудника подтвердят, что вы предпринимали меры по защите персональных данных (ст. 18.1 Закона № 152-ФЗ).

Уведомите, что ведете видеосъемку

Получите письменное согласие граждан на видеосъемку или предупредите посетителей публичных мест о видеосъемке. Это можно сделать текстовыми или графическими предупреждениями. При таких условиях согласие субъектов на видеосъемку не требуется.

Видеозапись относится к биометрическим персональным данным. На это указал Роскомнадзор. Биометрические персональные данные — сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (ч. 1 ст. 11 Закона о персональных данных). Такие сведения можно обрабатывать только с согласия граждан. Исключения перечисляет часть 2 статьи 11 Закона о персональных данных. Например, согласие не требуется в случаях, которые предусмотрело законодательство об обороне, о безопасности, о противодействии терроризму.

Примите меры, если выявили неправомерную передачу данных

В Роскомнадзор необходимо сообщить, если выявили факт неправомерной или случайной передачи, предоставления, распространения, доступа к персональным данным и это повлекло нарушение прав субъектов персональных данных.

У вас есть 24 часа, чтобы уведомить:

• об инциденте;
• о предполагаемых причинах;
• предполагаемом вреде, нанесенном субъекту персданных;
• принятых мерах по устранению последствий инцидента;
• лице, которое отвечает за взаимодействие с Роскомнадзором.

Отдельно необходимо сообщить результаты внутреннего расследования выявленного инцидента и предоставить сведения о лицах, действия которых стали его причиной (при наличии). Такую информацию предоставьте в течение 72 часов с момента инцидента.

Такой порядок предусматривает часть 3.1 статьи 21 Закона о персональных данных.

Организуйте хранение персональных данных 

Есть шесть общих требований к порядку хранения персональных данных:

1. Персональные данные нужно хранить столько, сколько достаточно для обработки.
2. Данные нужно хранить так, чтобы можно было определить субъекта.
3. Если персональных данных не хватает для обработки или они неточные, то оператор обязан их уточнить или удалить.
4. Если есть базы данных с разными персональными данными, которые собирали для разных целей обработки, их нельзя объединять.
5. После обработки персональных данных их нужно уничтожить или обезличить.
6. Если передаете персональные данные субъекта в другую страну, удостоверьтесь, что там есть подходящая система защиты, а субъект дал на это отдельное согласие.

Порядок, как хранить персональные данные, зависит от вида данных. Для информации на бумаге и в электронном виде правила различаются. Порядок хранения персональных данных и требования к местам хранения можете закрепить в отдельном локальном акте, например в Положении о порядке хранения и защиты персональных данных пользователей или включить разделом в Положение о защите персональных данных

Бумажные документы

Бумажные документы с персданными храните в сейфах, металлических шкафах или специальных помещениях. Документы воинского учета храните только в металлических шкафах. Такое требование установили в пункте 21 Методических рекомендаций, утв. Минобороны 11.07.2017.

Персональные данные, которые обрабатываете в разных целях, храните отдельно друг от друга. Так, храните отдельно документы, которые собираете для того, чтобы выполнять услуги и работы по управлению МКД, обеспечить личную безопасность сотрудников от документов, которые собираете для того, оформить трудовой договор, подать сведения в СФР и другие госорганы и пр. (п. 14 положения, утв. постановлением Правительства от 15.09.2008 № 687).

Затем организуйте режим доступа в помещения, где храните персданные. Для этого утвердите перечень лиц, которые обрабатывают персданные и имеют доступ к документам. Перечень таких работников закрепите в отдельном приказе или локальном акте, например, в Положении о защите персональных данных. Затем возьмите у каждого работника письменное обязательство о том, что они не имеют права разглашать персданные. Такое требование установили в п. 7 ст. 86 ТК, п. 13 положения, утв. постановлением Правительства от 15.09.2008 № 687.

Работодатель решает сам, как установить режим охраны помещений, где хранят персданные сотрудников. Например, можете оборудовать кабинет сигнализацией, металлическими самозакрывающимися дверьми или установить карточную систему доступа в кабинет (ч. 1, 2 ст. 19 Закона от 27.07.2006 № 152-ФЗ, ст. 87 ТК).

Следите за тем, чтобы на столе не было документов с персданными других работников, когда приглашаете в кабинет посетителей. На рабочем столе держите только те документы, с которыми работаете в настоящий момент, остальные храните в запертом шкафу.

Хранить персональные данные можно не дольше, чем это нужно для цели их обработки или сколько определяет закон. Например, согласие на обработку данных оператор обязан хранить в течение срока его действия, а после архивирования — еще три года (ст. 441 перечня, утв. приказом Росархива от 20.12.2019 № 236).

Электронные документы

В электронном виде документы храните так, чтобы посторонние лица не могли получить к ним доступ. Чтобы выполнить это требование, проконсультируйтесь с ИТ-специалистами. Они подскажут, как правильно хранить документы в электронном виде с учетом специфики вашей организации. Требования к защите персональных данных при их обработке в информационных системах устанавливает постановление Правительства от 01.11.2012 № 1119.

Проследите, чтобы к базе доступ получили только сотрудники с правом обрабатывать персональные данные. Для каждого такого сотрудника создайте индивидуальный логин и пароль. Программа автоматически сохранит информацию о лице, которое обработало персональные данные в электронной базе.

Советуем создавать резервную копию электронной базы и хранить ее на флешке или внешнем жестком диске, чтобы сохранить информацию.

Хранить электронные копии личных документов сотрудников закон также не позволяет. Если Роскомнадзор при проверке обнаружит сканы, например, паспортов, дипломов и военных билетов, организацию оштрафуют так же, как если бы вы хранили эти копии на бумаге.

Роскомнадзор опубликовал рекомендации операторам персональных данных по их хранению. Как теперь хранить сведения о сотрудниках и жителях, посмотрите в памятк

Когда оператор достигает цели обработки, он должен уничтожить или обезличить данные (п. 7 ст. 5 Закона № 152-ФЗ). Как уничтожить персональные данные, рассказали в следующем разделе.

Фиксируйте уничтожение персональных данных

Все организации должны подтверждать уничтожение персональных данных.

Чтобы уничтожить документы, которые содержат персональные данные, необходимо создать комиссию из сотрудников организации. В ее состав должен войти работник, ответственный за обработку персональных данных. Состав, полномочия комиссии и срок, в который необходимо уничтожить данные, руководитель организации должен зафиксировать в приказе.

Приказ об уничтожении персональных данных

Скачать

Уничтожить персональные данные необходимо в присутствии всех членов комиссии. Данные на бумаге, можно, например, измельчить в шредере или сжечь. Информацию в электронном виде – стереть или уничтожить сам носитель (п. 8 ст. 3 Закона от 27.07.2006 № 152-ФЗ).

После того как оператор уничтожил данные, он должен составить акт за подписью комиссии. В акт об уничтожении персональных данных нужно внести 10 обязательных видов сведений. 

Акт об уничтожении персональных данных

Скачать

Если оператор обрабатывает данные с использованием средств автоматизации он обязан, помимо акта, составить выгрузку сведений из журнала регистрации событий в информационной системе персональных данных. В выгрузке нужно указать: Ф. И. О. субъекта, перечень категорий данных, наименование информационной системы, причину и дату уничтожения данных (п. 5 Требований, утв. приказом Роскомнадзора от 28.10.2022 № 179).

Документы об уничтожении придется хранить три года (приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных»).

Об уничтожении персональных данных по запросу Роскомнадзора или субъекта, оператор обязан сообщить ведомству уведомлением в свободной форме (ч. 3 ст. 21 Закона №152-ФЗ). 

Уведомление об уничтожении персональных данных клиентов

Скачать

Порядок уничтожения персональных данных оператор вправе закрепить в локальном акте, например, положении о порядке уничтожения персональных данных. Назвать документ можно как угодно. Он должен закрепить, в каких случаях и как организация уничтожает персональные данные.

Положение о порядке уничтожения персданных

Скачать

© Материал из Справочной системы «Управление многоквартирным домом»
https://1umd.ru
Дата копирования: 05.05.2025