Нарушение обработки персональных данных: административная ответственность и размеры штрафов по коап рф

В начале февраля 2017 года были внесены изменения в КоАП РФ, которые устанавливали новые меры ответственности за нарушения порядка обработки и защиты персональных данных. 

Итак, что же изменилось в области штрафов за нарушения в сфере законодательства о персональных данных с 1 июля 2017 года?

Редакция от февраля 2017 содержит семь конкретных составов правонарушений и предусматривает соответствующие им штрафы с самым высоким из них  75 тысяч рублей (для юридических лиц). В отличие от действовавшей до 1 июля 2017 года редакции ст. 13.

11, редакция 2017 года четко устанавливает случаи, за которые Оператор персональных данных может понести наказание. Например, раньше по ст. 13.

11 КоАП можно было наказать за нарушение требований Федерального закона №242-ФЗ, с редакцией 2017 года сделать это стало невозможно, так же как и сложно будет наказать за отсутствие уведомления Роскомнадзора.

Тексты ст. 13.11 КоАП коротко представлены на рисунке ниже. Более развернутое описание — можно скачать в виде таблицы. А детальный разбор положений статьи 13.11 приведен ниже в настоящей статье.

Нарушение обработки персональных данных: административная ответственность и размеры штрафов по КоАП РФ

Напомню, что изменения в ст. 13.11 готовились с декабря 2014 года, но работа над ними была надолго заморожена законодателями. Самым существенным моментом ранней версии этого законопроекта по штрафам был относительно большой (до 300 000 рублей) штраф за неправомерную обработку персональных данных специальных категорий, но в принятой в феврале 2017 года версии этот текст был убран:

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также персональных данных о судимости в случаях, не предусмотренных законодательством Российской Федерации о персональных данных,— влечет наложение административного штрафа на граждан от трех тысяч до пяти тысяч рублей; на должностных лиц — от десяти тысяч до двадцати пяти тысяч рублей; на индивидуальных предпринимателей — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей

Какие основные последствия принятия поправок? Их несколько:

  1. В связи с тем, что формулировка ст. 13.11 КоАП стала более конкретна, многие эксперты выражают обеспокоенность, что схема назначения взыскания может измениться принципиально. Если по текущей редакции наказание могло быть одно за «нарушение установленного законом порядка…», по совокупности, сколько бы нарушений найдено не было, то новая формулировка ст. 13.11 КоАП поменялась и она просто перечисляет семь составов правонарушений, за которые возможно составление отдельного протокола и назначение отдельного штрафа.
  2. Протоколы об административных правонарушениях, квалифицируемых по новой редакции ст. 13.11 КоАП, с 1 июля 2017 года смогут составлять должностные лица Роскомнадзора и его территориальных управлений, а не только прокуроры, как ранее.  Срок привлечения к ответственности по ст.13.11 КоАП остался как и ранее – 3 месяца, но процедура привлечения к ответственности существенно упростилась: цепочка «территориальное управление Роскомнадзора» — «Прокуратура» — «Суд» сократилась, а как следствие и материалы будут двигаться быстрее.
  3. Не за все ранее квалифицируемые по ст. 13.11 КоАП нарушения могут быть привлечены операторы в соответствии с новой редакцией: данная статья не предусматривает, например, ответственности за невыполнение требований о локализации баз персональных данных, как предписывает №242-ФЗ.

Имеет смысл рассмотреть подробнее за какие правонарушения назначается та или иная ответственность в новой редакции ст. 13.11 КоАП:

«Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи, если эти действия не содержат уголовно наказуемого деяния»

Предусмотренные санкции за нарушение — предупреждение или административный штраф до 50 тыс. рублей для юридических лиц могут наступить в результате двух разных нарушений:

  • обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области ПДн.

Это правонарушение наступает при несоблюдении требований ст.6 Федерального закона  №152-ФЗ «О персональных данных», а именно, когда обработка персональных данных Оператором осуществляется вне рамок 11 перечисленных в ч.1 ст. 6 №152-ФЗ условий.

  • обработка персональных данных, несовместимая с целями сбора персональных данных.

Это правонарушение наступает при несоблюдении требования ч.4 ст.5 Федерального закона  №152-ФЗ «О персональных данных».

«Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленныхзаконодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных»

Возможные санкции за нарушение — административный штраф до 75 тыс. рублей для юридических лиц может наступить опять же в результате одного из двух нарушений:

  • обработка персональных данных без согласия в письменной форме в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации.
  • обработка персональных данных с нарушением установленных требований к составу сведений, включаемых в согласие в письменной форме.

Наказание за нарушение по ч.2 ст.13.11 КоАП РФ может наступить только тогда, когда необходимо получение не просто согласия субъекта ПДн, а необходимо согласие именно в письменной форме. И таких случаев согласно законодательству у всего несколько, при этом наиболее часто встречающиеся из них следующие:

ч.1 ст.8 №152-ФЗ: Создания общедоступных источников персональных данных (в том числе это телефонные справочники, адресные книги и т.д., и т.п.) в целях информационного обеспечения;

п.1 ч.2 ст.10 152-ФЗ: Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни;

п.5 ч.2 ст.10 152-ФЗ: Распространение персональных данных членов (участников) общественного объединения или религиозной организации соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами;

ч.1 ст.11 152-ФЗ: Обработка биометрических персональных данных (т.е. сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность), когда такая обработка осуществляется оператором для установления личности субъекта персональных данных, кроме случаев, предусмотренных ч.

2 ст.11 152-ФЗ (т.е в связи с реализацией международных договоров о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в случаях, предусмотренных законодательством РФ об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-розыскной деятельности, о государственной службе и т.д.

);

ч.4 ст.12 152-ФЗ: Осуществление трансграничной передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных;

ч.2 ст.16 152-ФЗ: Принятие решения, порождающего юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, которые принимаются на основании исключительно автоматизированной обработки его персональных данных;

ст.88 ТК РФ: Передача персональных данных работника работодателем третьей стороне, за исключением случаев, когда передача необходима в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных Трудовым Кодексом или иными федеральными законами;

Необходимо отметить, что вторая часть состава правонарушения связана с установленными требованиями к составу сведений, включаемых в письменное согласие. Минимальный перечень этих сведений установлен ч.

4 ст. 9 Федерального закона №152-ФЗ «О персональных данных».  Нарушениями считаются не полностью заполненные сведения, например, об операторе или лице, которому оператор поручает обработку персональных данных.

Следует так же учесть, что наличие письменного согласия субъекта необходимо только в определенных случаях, в иных случаях возможно получение оператором согласия субъекта в любой форме (см. п.1 ст.

9 №152-ФЗ: «Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом»).

«Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных»

Возможные санкции за нарушение — предупреждение или административный штраф до 30 тыс. рублей для юридических лиц. Указанные санкции могут наступить в следствии нарушения обязанностей Оператора персональных данных при сборе и обработке персональных данных, а именно ч.2 ст.18.

1 152-ФЗ: «Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.

Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.»

Обязанность по изданию соответствующих документов наступает у Оператора в силу требований ч.1 ст.18.1 №152-ФЗ.

Необходимо отметить, что в настоящий момент неопубликование соответствующих документов самое часто выявляемое нарушение требования законодательства о персональных данных. Таковым его делает хорошо освоенная Роскомнадзором практика систематического наблюдения за сайтами в сети Интернет. В ходе такого наблюдения сотрудники Роскомнадзора осуществляют просмотр сайтов и в случае не выявления на сайте, осуществляющем сбор персональных данных, документа, определяющего политику в отношении обработки персональных данных, направляют оператору соответствующее требование:

Нарушение обработки персональных данных: административная ответственность и размеры штрафов по КоАП РФ

Способ, которым оператор обеспечивает неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, определяется Оператором самостоятельно кроме двух случаев, когда способ опубликования определен законодательно:

Первый случай относится к тем операторам персональных данных, которые осуществляют сбор персональных данных посредством информационно-телекоммуникационных сетей. В этом случае, оператор обязан опубликовать политику в этой же сети (И надо понимать, что это не всегда сайт организации в сети Интернет!). Сюда массово попадают всевозможные сайты интернет-магазинов, форумы, соцсети и прочее.

Второй случай, когда Оператор является государственным или муниципальным органом, требование опубликования политики в отношении обработки персональных данных определяет Постановление Правительства РФ № 211 от 21.03.2012г.

«Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом „О персональных данных“ и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»:

«Документы, определяющие политику в отношении обработки персональных данных, подлежат опубликованию на официальном сайте государственного или муниципального органа в течение 10 дней после их утверждения»

Именно за невыполнение требований ч.3 ст.13.11 КоАП РФ массово привлекаются прокурорскими работниками директора школ и детсадов по всей России. 

«Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных«

Санкции за нарушение — предупреждение или административный штраф до 40 тыс. рублей для юридических лиц. Указанные санкции могут наступить в следствии нарушения обязанностей Оператора ответить на обращение субъекта или его представителя в течение тридцати дней с даты получения такого запроса субъекта, как того требует ст.20 152-ФЗ.

Право субъекта обратиться к оператору персональных данных с целью получения информации, касающейся обработки его персональных данных, возникает у него в силу положения ст. 14 №152-ФЗ «О персональных данных». Сведения, которые оператор обязан предоставить субъекту, определены ч.7 ст.14 №152-ФЗ.

«Невыполнение оператором в сроки, установленные законодательством Российской Федерации в области персональных данных, требования субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных об уточнении персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки»

Возможные санкции за нарушение — предупреждение или административный штраф до 45 тыс. рублей для юридических лиц.  Указанные санкции могут наступить в следствии нарушения требования ст.21 №152-ФЗ. При этом положения статьи 21 определяют различные сроки для исполнения требований об уточнении, блокировании или уничтожении персональных данных.

«Невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих в соответствии с законодательством Российской Федерации в области персональных данных сохранность персональных данных при хранении материальных носителей персональных данных и исключающих несанкционированный к ним доступесли это повлекло неправомерный или случайный доступ к персональным данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение либо иные неправомерные действия в отношении персональных данных, при отсутствии признаков уголовно наказуемого деяния»

Читайте также:  Федеральный закон №223-фз: основные положения, стороны, типы и виды закупочных процедур

Санкция за нарушение — административный штраф до 50 тыс. рублей для юридических лиц.  Указанные санкции могут наступить в следствии нарушения требования п.15 Постановления Правительства № 687 от 15.09.2008г.

«Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», которое определяет обязанность оператора обеспечить сохранность материальных носителей персональных данных и исключающих несанкционированный к ним доступ при не автоматизированной обработке.

«Невыполнение оператором, являющимся государственным или муниципальным органом, предусмотренной законодательством Российской Федерации в области персональных данных обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов по обезличиванию персональных данных»

Источник: https://szazimko.blogspot.com/2018/05/1311-c-1-2017.html

Как бухгалтеру избежать штрафа за нарушения при работе с персональными данными

Нарушение обработки персональных данных: административная ответственность и размеры штрафов по КоАП РФ

  • Новости
  • Трудовые отношения

Как бухгалтеру избежать штрафа за нарушения при работе с персональными данными 11 сентября 2014

Небольшие организации и индивидуальные предприниматели обычно не уделяют должного внимания защите персональных данных, полагая, что проверки проводятся только у крупных работодателей. Однако для контролирующих органов размер компании и количество работников значения не имеют. Причем, в случае выявления нарушений реальные штрафы грозят не только организации или ИП, но и лицу, ответственному за обработку персональных данных. А им зачастую является бухгалтер. Давайте попробуем разобраться, насколько серьезны штрафы и что должны делать бухгалтеры или кадровики, чтобы их избежать.

На первый взгляд, штрафы за нарушение правил работы с персональными данными не так уж и высоки. Согласно статье 13.11 КоАП РФ штрафы составляют 5-10 тысяч рублей для организации и 500-1000 рублей для ее должностного лица.

Однако надо учитывать, что этот штраф может налагаться за каждое допущенное нарушение. А правил для тех, кто работает с персональными данными, законодатели установили очень много. Так что 10 тысяч рублей штрафа легко могут превратиться в 50 или 100 тысяч рублей даже в рамках одной проверки. А за год эти суммы могут оказаться еще внушительнее.

Ответственность организации

Кроме того, если в компании не утверждено Положение о персональных данных, то возможно наступление административной ответственности за нарушение трудового законодательства по статье 5.27 КоАП РФ.

Штраф может составить от 30 до 50 тыс. рублей. Также возможно административное приостановление деятельности на срок до девяноста суток.

Кстати, с 2015 года штраф за повторное нарушение, предусмотренное данной статьей, составит уже от 50 до 70 тыс. рублей.

Соблюдение законодательства о персональных данных контролирует Роскомнадзор.

За невыполнение предписания Роскомнадзора об устранении нарушений законодательства о персональных данных возможен административный штраф до 20 000 рублей (статья 19.5 КоАП РФ).

Если же просто не ответить на запрос этого органа касательно персональных данных, то штраф может составить до 5 000 рублей (статья 19.7 КоАП РФ).

Ответственность работника

Работник, по вине которого было допущено нарушение норм, регулирующих обработку и защиту персональных данных других работников, может быть привлечен (статья 90 ТК РФ):

  • к административной ответственности
  • к дисциплинарной и материальной ответственности;
  • к гражданско-правовой ответственности;
  • к уголовной ответственности.

Административная ответственность

Персональные данные относятся к информации, доступ к которой ограничен. Поэтому за разглашение персональных данных ответственный работник может быть оштрафован на сумму от 4 до 5 тыс. рублей (статья 13.14 КоАП РФ «Разглашение информации с ограниченным доступом»).

Должностных лиц также можно привлечь к ответственности и за отсутствие утвержденного Положения о персональных данных. В этом случае штраф за нарушение трудового законодательства составит от 1 до 5 тыс. рублей. За повторное нарушение с 2015 года штраф составит от 10  до 20  тыс. рублей или дисквалификация на срок от одного года до трех лет (статья 5.27 КоАП РФ).

Дисциплинарная ответственность

Трудовой договор с работником может быть расторгнут по причине разглашения охраняемой законом тайны, ставшей известной в связи с исполнением трудовых обязанностей. В том числе и по причине разглашения персональных данных другого работника (подпункт  «в» п. 6 ч. 1 ст. 81 ТК РФ).

Материальная ответственность

В случае незаконного распространения информации о персональных данных работнику организации может быть причинен моральный вред. Работник может потребовать его возмещения от работодателя. Если вред был причинен по вине лица, ответственного за неразглашение данных, то работодатель впоследствии может привлечь виновного к материальной ответственности за нанесенный ущерб.

Гражданско-правовая ответственность

Если в результате нарушения норм, регулирующих хранение, обработку и использование персональных данных работнику причинен имущественный ущерб или моральный вред, то он подлежит возмещению в денежной форме в соответствии гражданским законодательством (статья 151 ГК РФ).

Уголовная ответственность

Если работник, ответственный за хранение, обработку и использование персональных данных злоупотреблял своими служебными полномочиями, распространял сведения о частной жизни других работников без их согласия, то он может быть привлечен к уголовной ответственности на основании статьи 137 УК РФ.

Проверки

Как уже говорилось выше, ведомством, которое уполномочено контролировать соблюдение режима персональных данных, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (сокращенно — Роскомнадзор).

Однако права налагать и взыскивать штрафы у этой организации нет. Все материалы по тем проверкам, где обнаружены нарушения, Роскомнадзор передает в прокуратуру. Прокурор уполномочен принимать решения о возбуждении производства по административному правонарушению (п. 1 ст. 28.4 КоАП РФ).

Вопрос же о наложении штрафов решается судьей (п. 1 ст. 23.1 КоАП РФ).

Официальная информация

В 2013 году в рамках осуществления государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства в области персональных данных проведено 2 418 проверок (еще в 2011 году таких проверок было значительно меньше — 1 743 проверки).

Из них 1 801 плановая и 617 внеплановых проверок. В 2013 году рост количества плановых проверок был связан, прежде всего, с увеличением количества операторов, отказывавшихся выполнять требования Федерального закона  от 27.07.

06 № 152-ФЗ «О персональных данных» ввиду неосуществления, по их мнению, деятельности по обработке персональных данных.

Источник: сайт Роскомнадзора

Положение о персональных данных

Теперь попробуем выяснить, что же требуется сделать, чтобы успешно пройти проверку Роскомнадзора и избежать штрафов.

Вопросы обработки персональных данных регулируются Федеральным законом от 27.07.06 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ). Соблюдать требования этого закона должны все организации и ИП, у которых есть хотя бы один работник.

Связано это с тем, что к персональным данным законодатели среди прочего отнесли и те сведения, которые предприятие получает от физических лиц, принимая их на работу. А это значит, что организация обязана их защищать в полном соответствии с законом.

Главным документом, который должен иметь любой работодатель, является положение о персональных данных. Принять этот локальный акт, регулирующий порядок хранения и использования персональных данных работодателя обязывает статья 87 Трудового кодекса.

В положении обычно прописывают все требования к получению, хранению, комбинированию, передаче и любому другому использованию персональных данных, а также гарантии по их защите.

На практике такой документ обычно состоит из разделов, описывающих каким именно образом в организации должен происходить сбор и обработка персональных данных; кто и в каком порядке имеет доступ к этим данным; какие меры предпринимаются для предотвращения разглашения персональных данных.

Так что начать Положение мы рекомендуем с раздела «Сбор и обработка персональных данных». В нем обязательно нужно зафиксировать, что персональные данные в организации можно получить и обрабатывать исключительно на основании письменного согласия работника (см. образец «Согласие на обработку персональных данных»). А значит, не лишним будет сразу разработать и утвердить форму такого заявления.

На подпись такое заявление работнику надо давать сразу при приеме на работу. А по действующим сотрудникам такую работу придется провести сразу же после утверждения Положения.   Далее может следовать раздел «Доступ к персональным данным».

В нем последовательно описывается порядок доступа к таким данным работников организации и третьих лиц (отдельно родственников, государственных органов, представителей других организаций). При необходимости тут можно ввести уровни доступа в зависимости от должности сотрудника.

Например, директор и аппарат дирекции имеют доступ ко всем персональным данным; сотрудники бухгалтерии — только к тем сведениям, которые необходимым для расчета заработной платы и налогов; представители кадровой службы — к сведениям, необходимым для оформления кадровой документации и т п.   Продолжит Положение раздел «Порядок обработки и передачи данных».

Здесь надо зафиксировать правила для передачи данных о сотрудниках определенным  органам или лицам. В случаях, когда передача данных регулируется законодательно (налоговые органы, органы статистики, Пенсионный фонд и т п.) достаточно сделать ссылки на порядок передачи сведений, установленный законодательством.

Но при этом следует обязательно зафиксировать, кто и в каком порядке вправе готовить данные сведения для передачи в госорганы.   А вот родственникам, членам семьи, страховым компаниям, банкам, благотворительным организациям, негосударственным пенсионным фондам и т п. персональные данные предоставляются только при наличии письменного согласия работника на каждый конкретный факт передачи данных.  

Закончить Положение лучше разделом «Ответственность». Тут изобретать велосипед не нужно — достаточно будет сделать ссылки (или привести целиком) на нормы Трудового кодекса (увольнение за разглашение персональных данных по статье 81 ТК РФ), Кодекса об административных правонарушениях (уже знакомая нам статья 13.11 КоАП РФ) и, если есть такая необходимость  Уголовного кодекса (ст. 137 УК РФ).

Положение о персональных данных можно разработать, взяв за основу разработанный нашим юристом образец «Положение о работе с персональными данными».  

Однако кроме положения контролирующие органы в ходе проверок интересуются и другими документами. Назовем некоторые из них.

Приказ руководителя о назначении ответственного

Руководитель должен издать приказ о назначении ответственного за работу с персональными данными и обеспечении их защиты. Таким ответственным может быть как конкретное лицо (см.

образец «О назначении ответственного за работу с персональными данными и обеспечение их защиты (ответственное лицо)»), так и подразделение (см.

образец «Приказ о назначении ответственного за работу с персональными данными и обеспечение их защиты (ответственное подразделение)»). В последнем случае личную ответственность несет руководитель такого подразделения.

Перечень персональных данных

Также потребуется утвердить документ, содержащий перечень персональных данных (см. образец «Приказ об утверждении перечня персональных данных»), которые реально используются в деятельности организации.

Составляя такой документ, не забудьте включить в него все сведения, которые работник письменно сообщает о себе при поступлении на работу, а также используемые в дальнейшем при оформлении кадровой документации.

 

В этом перечне должны быть:

  • заявление о приеме на работу;
  • анкета сотрудника;
  • личная карточка;
  • личное дело;
  • трудовой договор;
  • приказы;
  • трудовая книжка;
  • материалы аттестационных комиссий.

Это один раздел перечня. Если же в организации имеется внутренний документооборот, содержащий сведения о сотрудниках (например, отчеты и материалы, которые составляются для акционеров, учредителей, головной организации и т п.), то эти отчеты тоже нужно включить в перечень.

Помимо этого, в перечне должны быть указаны документы, содержащие те сведения о сотрудниках, которые организация представляет в различные государственные органы (налоговую и трудовую инспекции, органы статистики).

Журнал учета персональных данных

Работодатели обязаны соблюдать режим конфиденциальности персональных данных (статья 7 Закона № 152-ФЗ).

В подтверждение того, что названное требование соблюдается, контролирующие органы могут потребовать представить журнал учета персональных данных, где указано, кто и когда имел доступ к конфиденциальной информации.

Заметим, что форма такого журнала не установлена, поэтому разработать ее требуется самостоятельно.

Внешняя и внутренняя защита персональных данных

Угрозы для хранящихся персональных данных, условно, можно разделить на внешние и внутренние.

Если говорить о защите от внешних угроз, то в локальных актах имеет смысл прописать особый режим доступа в помещения, где хранится информация, содержащая персональные данные. В частности, можно предусмотреть пропускной режим и контроль за посетителями офиса.

Что же касается внутренней защиты, то целесообразно регламентировать состав работников, обязанности которых требуют доступа к персональным данным. Конкретный перечень работников и случаи получения информации следует утвердить приказом или распоряжением (в котором оговорить, что, например, юристы компании могут получать персональные данные для оформления доверенностей).

Возможное решение

Очевидно, что решение вопросов, касающихся персональных данных, может отнимать у бухгалтера очень много времени: требуется изучить весьма объемный закон и понять, какие действия надо совершить, какие документы составить, найти примерные образцы этих документов, скорректировать и заполнить их.

Если учесть, что общее количество документов и действий по обработке данных исчисляется десятками, можно представить, сколько времени и сил потребуется бухгалтеру, чтобы организовать работу с персональными данными в соответствии с требованиями закона.

Сэкономить время и сосредоточиться на своей основной работе можно с помощью веб-сервиса «Персональные данные». Он автоматически формирует все необходимые приказы, акты, уведомления и положения, необходимые для работы с персональными данными.

Вопросы, возникающие в ходе совершения действий, бухгалтер прямо со страницы сервиса может задать эксперту и получить оперативный ответ. Когда все действия завершены, остается только распечатать подготовленные сервисом документы и подписать их.

Впоследствии сервис будет напоминать, что пора провести определённое мероприятие, закреплённое в комплекте документов, а также следить за изменениями законодательства и информировать о том, что надо сделать после вступления поправок в силу.

Год работы в сервисе с данными одной организации или ИП стоит 6 тысяч рублей. Однако часть необходимых документов бухгалтер может подготовить в «Персональных данных» бесплатно. Для этого достаточно пройти по ссылке, которую вы видите чуть ниже.

Подготовить документы в сервисе «Персональные данные» Обсудить на форуме (5) В закладкиРаспечатать Поделиться41 968Обсудить на форуме (5) В закладкиРаспечатать Поделиться41 968

Источник: https://www.Buhonline.ru/pub/beginner/2014/9/9010

Персональные данные: что грозит за нарушение закона

Работодатель, принимая сотрудника на работу, запрашивает у него определенные сведения. В статье расскажем, что считается персональными данными, какие обязанности по их защите установлены для работодателей и какая ответственность за их несоблюдение ждет нарушителей.

Читайте также:  Автоподставы на дорогах: ответственность за мошенничество, преступные схемы, порядок защиты от злоумышленников

Персональные данные — это любая информация, прямо или косвенно относящаяся к субъекту персональных данных — определенному или определяемому физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

К персональным данным могут быть отнесены:

  • фамилия, имя, отчество;
  • пол, возраст;
  • образование, квалификация, профессиональная подготовка и сведения о повышении квалификации;
  • место жительства;
  • семейное положение, наличие детей, родственные связи;
  • факты биографии и предыдущая трудовая деятельность (место работы, судимость, служба в армии, работа на выборных должностях, на государственной службе и др.);

Кстати, сведения о заработной плате относятся к персональным данным.

Систематизируйте или обновите знания, получите практические навыки и найдите ответы на свои вопросы на курсах повышения квалификации в Школе бухгалтера. Курсы разработаны с учетом профстандарта «Бухгалтер».

Можно ли номер телефона отнести к персональным данным?

Абонентский номер (номер телефона) это выделяемый абоненту номер, (совокупность цифровых знаков) при заключении с абонентом договора об оказании услуг телефонной связи. Данный номер служит для обозначения и возможности идентификации конечного оборудования абонента в сети связи при соединении с ним абонентских устройств.

Из чего следует, что номер телефона без указания на его владельца не является информацией, на основании которой это лицо (субъекта персональных данных) можно однозначно идентифицировать и его использование не может подразумевать обработку персональных данных его владельца.

Поэтому номер телефона сам по себе не относится к персональным данным.

А вот фотография относится к биометрическим персональным данным.

Так как это изображение человека (фотография и видеозапись), которое позволяет установить личность и с этой целью используется оператором (См.

Разъяснения Роскомнадзора «О вопросах отнесения фото- и видео- изображения, дактилоскопических данных и иной информации к биометрическим персональным данным и особенности их обработки»).

Персональные данные, набор которых не позволяет идентифицировать субъект, являются обезличенными. К защите обезличенных персональных данных требования законодательства минимальны.

Ответственность работодателя за нарушение норм, регулирующих защиту персональных данных

С 1 июля 2017 года органом, осуществляющим контроль и надзор за соответствием обработки персональных данных требованиям Закона о персональных данных и нормативных правовых актов, является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) (ст.

23 Закона о персональных данных). Есть плановые проверки, которые Роскомнадзор совершает раз в три года, а есть внеплановые ревизии, и о них не стоит забывать. Они могут быть проведены, к примеру, с целью выяснить, устранила ли компания нарушения, допущенные и выявленные ранее.

Кроме того, проверку также стоит ждать, если компания претендует на выполнение госзаказа.

За нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников предусмотрена дисциплинарная, материальная, административная и уголовная ответственность (ст. 90 ТК РФ, ч. 1 ст. 24 Федерального закона от 27.07.2006 № 152-ФЗ). Разберем каждый вид ответственности.

Дисциплинарная ответственность

Неправомерное разглашение персональных данных лицом, в чьи обязанности входит соблюдение правил хранения, обработки и использования такой информации, является основанием для привлечения этого лица к дисциплинарной ответственности (ст. 90 ТК РФ). Трудовой договор с работником может быть, расторгнут по причине разглашения охраняемой законом тайны, ставшей известной работнику в связи с исполнением им трудовых обязанностей (подп. «в» п. 6 ч. 1 ст. 81 ТК РФ).

Материальная ответственность

Eсли вред работнику был причинен по вине лица, которое было ответственно за неразглашение персональных данных, то работодатель может привлечь последнего к материальной ответственности за ущерб, который был нанесен работнику такими действиями. В соответствии с пунктом 7 части 1 статьи 243 ТК РФ материальная ответственность в полном размере причиненного ущерба возлагается на работника в случае разглашения сведений, составляющих охраняемую законом тайну.

Административная ответственность

С 1 июля статья 13.11 КоАП РФ претерпела значительные изменения и теперь применяется в новой редакции.

Был детализирован перечень нарушений в области персональных данных и увеличен размер административной ответственности за них. Теперь новая формулировка статьи 13.

11 содержит семь составов правонарушений (вместо одного). Проверяющ ие могут составить отдельный протокол за каждое нарушение и назначить отдельный штраф.

То есть, если до 1 июля 2017 года максимальный штраф по статье 13.11 КоАП РФ составлял 10 тыс. руб. и состав нарушения был одним, то на данный момент размер штрафа увеличен до 75 тыс. руб., и составов преступлений стало семь. Соответственно, за разные нарушения на одну компанию могут наложить несколько разных штрафов.

Кроме того, должностных лиц могут оштрафовать на сумму от 3 000 до 20 000 руб., индивидуальных предпринимателей — на сумму от 5 000 до 20 000 руб., организации — на сумму от 15 000 до 75 000 руб.

Практическая ситуация

В коллективном договоре закреплено, что одним из видов поощрения работников является размещение фотографии работника на Доске почета. Работник обратился к работодателю с требованием не размещать его фотографию для всеобщего обозрения. Какие риски несет работодатель, если разместит фотографию без согласия работника?

Согласно Закону о персональных данных фотографию работника можно отнести к персональным данным. Доска почета, размещенная публично, является общедоступным источником персональных данных.

Статья 8 Закона о персональных данных устанавливает, что в общедоступные источники персональных данных сведения о персональных данных могут включаться только с письменного согласия субъекта персональных данных.

То есть работодатель должен перед размещением фотографии на доске почета запросить письменное разрешение работника. Если фотография работника размещена без его согласия, работодатель может быть привлечен к административной ответственности с наложением штрафа до 75 тыс. руб., при этом работник может также потребовать компенсации морального вреда за нарушение его прав.

Если будет установлено, что разглашение персональных данных произошло по вине работника, ответственного за хранение, обработку и использование персональных данных других работников, то его могут привлечь к административной ответственности в виде штрафа (ст. 13.14 КоАП РФ) (за исключением случаев, если такое разглашение влечет уголовную ответственность):

  • на граждан — от 500 до 1 000 руб.;
  • на должностных лиц — от 4 000 до 5 000 руб.

С работником, допущенным к обработке персональных данных, подписывается обязательство о неразглашении персональных данных.

Можно ли условие о неразглашении персональных данных включать в трудовой договор с работником? Только в отношении тех работников, которые непосредственно работают с персональными данными: кадровиков, бухгалтеров, секретарей и т.п. (ст. 57 ТК РФ). В этом случае при приеме на работу ознакомьте работника с Положением о работе с персональными данными.

Уголовная ответственность

Если работник, ответственный за хранение, обработку и использование персональных данных других работников, злоупотреблял своими служебными полномочиями, распространял сведения о частной жизни других работников без их согласия, он может быть привлечен и к уголовной ответственности. Наказывается такое деяние (ст. 137 УК РФ):

  • штрафом в сумме до 200 тыс. руб. или в размере заработной платы, либо иного дохода осужденного за период до 18 месяцев;
  • либо обязательными работами на срок от 120 до 180 часов;
  • либо исправительными работами на срок до одного года;
  • либо арестом на срок до четырех месяцев.

Те же деяния, совершенные лицом с использованием своего служебного положения, наказываются (ч. 2 ст. 137 УК РФ):

  • штрафом в сумме от 100 тыс. до 300 тыс. руб. или в размере заработной платы, либо иного дохода осужденного за период от одного года до двух лет;
  • либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет;
  • либо арестом на срок от четырех до шести месяцев.

Подведем итоги

Что можно порекомендовать работодателям во избежание привлечения к ответственности, а также дополнительных затрат в случае проведения проверок? Обязательно проверьте:

  • от всех ли работников получено согласие на обработку персональных данных;
  • ознакомлены ли работники с локальными актами, устанавливающими порядок обработки таких данных, и с их правами и обязанностями в этой области;
  • должным ли образом осуществляется хранение и защита персональных данных;
  • соответствует ли документация об их обработке требованиям законодательства и т.д.

Источник: https://School.Kontur.ru/publications/1624

Новые штрафы в области персональных данных с 1 июля

Как многим известно, с 1 июля КоАП РФ пополнился новыми штрафами за «неправильную» обработку персональных данных («ПДн»).

В основном, внимание привлекает размер новых штрафов в статье 13.11 КоАП РФ. Если раньше с юр.лица могли потребовать до 10 тыс. руб. за нарушение, то теперь эта сумма увеличилась до 75 тыс. руб.

Опасность создает и то, что штраф взыскивается за каждый случай нарушения, а, значит, компания может понести немалые потери при большом объеме работы с персональными данными, которая ведется юридически некорректно.

Неудивительно, что многие компании заинтересовались тем, касаются ли их нововведения и нужно ли им что-то предпринимать. Давайте разбираться.

Что такое персональные данные?

Формально ответ содержится в п. 1 ст. 3 ФЗ «О ПДн». Это:

«любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».

Можно заметить, что буквальное толкование этого определения позволяет относить к ПДн практически любые сведения о человеке. Неудивительно, что на практике это вызывает споры о том, являются ли персональными данными сам по себе адрес электронной почты или, например, ФИО.

Справедливости ради, нужно отметить, что текущая судебная практика в большей степени склоняется к ограничительному толкованию рассматриваемого понятия и стоят на той позиции, что ПДн – это лишь те данные, которые позволяют идентифицировать конкретного гражданина.

Однако это не значит, что случайно попавший к вам адрес электронной почты imya.otchestvo.familiya@mestoraboty.ru не будет признаваться персональными данными.

Следовательно, даже собирая email’ы через форму обратной связи на сайте, ваша компания может обрабатывать персональные данные.

Что такое обработка персональных данных и кто такой оператор?

Законодательство часто использует термин «обработка персональных данных».

Может сложиться впечатление, что речь идет о некой специфической деятельности. Однако это не так. Обработкой считается любое действие или операция с персональными данными, в том числе их хранение (п. 3 ст. 3 ФЗ «О ПДн»).

Оператор персональных данных – это тот, кто осуществляет их обработку. В ряде случаев оператор обязан уведомлять Роскомнадзор о начале обработки персональных данных, однако компания будет признаваться оператором даже без такого уведомления.

За какие ошибки можно поплатиться?

Итак, мы определились с понятиями. Теперь попробуем выяснить, за что и кого у нас будут штрафовать:

Ошибка № 1. Вы обрабатываете персональные данные без законных оснований (ч. 1 ст. 13.11 КоАП РФ)

Штраф: 50 000 ₽ (речь идет о максимальном штрафе для юридического лица).

Использовать чужие персональные данные нельзя просто так. Для этого нужно одно из оснований, перечисленных в ст. 6 ФЗ «О ПДн».

Самое банальное: получение согласия гражданина – субъекта персональных данных.

Но встречаются и другие основания. Например, обработка осуществляется в целях исполнения договора с субъектом персональных данных.

Проще говоря, либо нужно получить согласие на обработку персональных данных, либо убедиться, что закон разрешает вам такую обработку и без согласия гражданина.

Кстати, оператор должен заранее определять цели обработки ПДн и соблюдать их. Если вы выходите за пределы заявленных целей, то вас тоже ждет штраф до 50 тыс. рублей.

Кейс. Суды признали законным предписание Роскомнадзора, выданное в связи с тем, что коммунальная компания без согласия должников передавала сведения о них иной организации – расчетному центру (Постановление ФАС Уральского округа от 26.02.2014 № Ф09-73/14 по делу № А71-6910/2013). 

Ошибка № 2. Вы не получили письменное согласие на обработку персональных данных  (ч. 2 ст. 13.11 КоАП РФ)

Штраф: 75 000 ₽

В определенных случаях нужно получать письменное согласие на обработку персональных данных гражданина, которое составляется по определенной форме. Если письменное согласие не содержит всю информацию согласно перечню из ч. 4 ст. 9 ФЗ «О ПДн», то можно считать, что у вас его нет, и вы все равно будете нести ответственность.

Письменное согласие по специальной форме требуется, например:

  • при обработке особых категорий «персональных данных» (речь идет о sensitivedata: сведениях о состоянии здоровья, интимной жизни, национальной принадлежности и т.д.);
  • при обработке биометрических данных для установления личности гражданина (в том числе если речь идет об идентификации по фото);
  • при передаче ПДн в страну, которая, по мнению Роскомнадзора, не обеспечивает их «адекватную защиту»* (например, в США, Гонконг или Швейцарию).

*В последнем пункте речь идет о странах, не являющихся участницами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не перечисленных в Приказе Роскомнадзора от 15.03.2013 № 274.

Кейс.

Источник: https://regforum.ru/posts/3294_novye_shtrafy_v_oblasti_personalnyh_dannyh_s_1_iyulya/

ст. 13.11 Кодекса об Административных Правонарушениях РФ с ми

Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) —
влечет предупреждение или наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц — от пятисот до одной тысячи рублей; на юридических лиц — от пяти тысяч до десяти тысяч рублей (абзац в редакции, введенной в действие с 8 июля 2007 года Федеральным законом от 22 июня 2007 года N 116-ФЗ.

Комментарий к статье 13.11 КоАП РФ

Объективная сторона рассматриваемого правонарушения заключается в нарушении установленного законом порядка сбора, хранения, использования или распространения персональных данных. В соответствии со ст. 3 Федерального закона от 27 июля 2006 г.

Читайте также:  Увольнение по соглашению сторон с выплатой компенсации: законодательство, размер выходного пособия

N 152-ФЗ «О персональных данных» персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация. Использование персональных данных — действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц. Определения сбора и хранения персональных данных Закон не содержит, однако устанавливает, что под обработкой персональных данных следует понимать действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Субъектом рассматриваемых правонарушений могут являться граждане, должностные лица и юридические лица, при этом ответственность дифференцируется в зависимости от субъекта.

С субъективной стороны правонарушение может быть совершено как умышленно, так и по неосторожности.

Другой комментарий к статье 13.11 Кодекса об Административных Правонарушениях РФ

1. Согласно ч. 1 ст. 24 Конституции РФ сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются.

Порядок сбора, хранения, использования, распространения информации о гражданах (персональных данных) установлен Федеральным законом от 20 февраля 1995 г. N 24-ФЗ «Об информации, информатизации и защите информации». Согласно ст.

2 данного Федерального закона под информацией понимаются сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления.

Информацией о гражданах (персональными данными) являются сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность.

2. В соответствии с п. 1 — 3 ст.

11 Федерального закона «Об информации, информатизации и защите информации» перечни персональных данных, включаемых в состав федеральных информационных ресурсов, информационных ресурсов совместного ведения, информационных ресурсов субъектов Российской Федерации, информационных ресурсов органов местного самоуправления, а также получаемых и собираемых негосударственными организациями, должны быть закреплены на уровне федерального закона. Персональные данные относятся к категории конфиденциальной информации.

Не допускаются сбор, хранение, использование и распространение информации о частной жизни, а равно информации, нарушающей личную тайну, семейную тайну, тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений физического лица без его согласия, кроме как на основании судебного решения.

Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан РФ. Ограничение прав граждан РФ на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено и карается в соответствии с законодательством.

Юридические и физические лица, в соответствии со своими полномочиями владеющие информацией о гражданах, получающие и использующие ее, несут ответственность в соответствии с законодательством РФ за нарушение режима защиты, обработки и порядка использования этой информации.

При толковании указанных предписаний ст. 11 Федерального закона «Об информации, информатизации и защите информации» следует иметь в виду, что федеральный закон, устанавливающий перечни персональных данных, включаемых в состав информационных ресурсов, а также получаемых и собираемых негосударственными организациями, пока еще не принят Государственной Думой.

Согласно п. 1 ст. 12 Федерального закона от 15 ноября 1997 г. N 143-ФЗ «Об актах гражданского состояния» сведения, ставшие известными работнику органа записи актов гражданского состояния в связи с государственной регистрацией акта гражданского состояния, являются персональными данными, относятся к категории конфиденциальной информации, имеют ограниченный доступ и разглашению не подлежат.

Согласно Определению Конституционного Суда РФ от 14 июля 1998 г. N 86-О по делу о проверке конституционности отдельных положений Федерального закона «Об оперативно-розыскной деятельности» по жалобе гражданки И.Г.

Черновой персональная информация Федеральным законом «Об информации, информатизации и защите информации» отнесена к сфере конфиденциальной. Она не может быть засекречена от того лица, с которым идентифицируется. В противном случае это будет являться полным отрицанием его права.

По судебному решению сбор персональной информации может быть допустим негласно, конспиративно от объекта наблюдения.

3. В соответствии с п. 1, 2 ст.

14 Федерального закона «Об информации, информатизации и защите информации» граждане и организации имеют право на доступ к документированной информации о них, на уточнение этой информации в целях обеспечения ее полноты и достоверности, имеют право знать, кто и в каких целях использует или использовал эту информацию. Ограничение доступа граждан и организаций к информации о них допустимо лишь на основаниях, предусмотренных федеральными законами.

Владелец документированной информации о гражданах обязан предоставить информацию бесплатно по требованию тех лиц, которых она касается. Ограничения возможны лишь в случаях, предусмотренных законодательством РФ.

По смыслу ст. 2 указанного Федерального закона под документированной информацией (документом) понимается зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать.

4. В соответствии с п. 1 ст. 17 Федерального закона от 8 августа 2001 г.

N 128-ФЗ «О лицензировании отдельных видов деятельности» деятельность по технической защите конфиденциальной информации (в том числе и персональных данных), а также деятельность по разработке и (или) производству средств защиты конфиденциальной информации вправе осуществлять только лицензиаты. Согласно Перечню федеральных органов исполнительной власти, осуществляющих лицензирование, утвержденному Постановлением Правительства РФ от 11 февраля 2002 г. N 135, лицензирование деятельности по технической защите конфиденциальной информации отнесено к ведению Гостехкомиссии России. Лицензирование деятельности по разработке и (или) производству средств защиты конфиденциальной информации осуществляется Гостехкомиссией России.

Согласно Положению о лицензировании деятельности по технической защите конфиденциальной информации, утвержденному Постановлением Правительства РФ от 30 апреля 2002 г. N 290 (в ред.

Постановления Правительства РФ от 23 сентября 2002 г.

N 689), конфиденциальной является информация, не содержащая сведений, составляющих государственную тайну, доступ к которой ограничен в соответствии с законодательством РФ.

  • Под технической защитой конфиденциальной информации понимается комплекс мероприятий и (или) услуг по защите ее от несанкционированного доступа, в том числе и по техническим каналам, а также от специальных воздействий на нее в целях уничтожения, искажения или блокирования доступа к ней.
  • Лицензионными требованиями и условиями при осуществлении деятельности по технической защите конфиденциальной информации являются:
  • — осуществление лицензируемой деятельности специалистами, имеющими высшее профессиональное образование по специальностям «компьютерная безопасность», «комплексное обеспечение информационной безопасности автоматизированных систем» или «информационная безопасность телекоммуникационных систем», либо специалистами, прошедшими переподготовку по вопросам защиты информации;
  • — соответствие производственных помещений, производственного, испытательного и контрольно-измерительного оборудования техническим нормам и требованиям, установленным государственными стандартами Российской Федерации и нормативно-методическими документами по технической защите информации;
  • — использование сертифицированных (аттестованных по требованиям безопасности информации) автоматизированных систем, обрабатывающих конфиденциальную информацию, а также средств защиты такой информации;
  • — использование третьими лицами программ для электронно-вычислительных машин или баз данных на основании договора с их правообладателем.
  • Лицензиатами по указанному виду деятельности являются юридические лица и предприниматели.

В соответствии с Положением о лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной информации, утвержденным Постановлением Правительства РФ от 27 мая 2002 г. N 348, лицензирование деятельности по разработке и (или) производству средств защиты конфиденциальной информации осуществляет Гостехкомиссия России.

  1. Лицензионными требованиями и условиями при осуществлении деятельности по разработке и (или) производству средств защиты конфиденциальной информации, отнесенных к компетенции Гостехкомиссии России, являются:
  2. — выполнение требований государственных стандартов РФ, конструкторской, программной и технологической документации, единой системы измерений, системы разработки и запуска в производство средств защиты конфиденциальной информации, а также иных нормативных правовых актов;
  3. — осуществление лицензируемой деятельности специалистами, имеющими высшее техническое образование или прошедшими профессиональную подготовку в области защиты информации;
  4. — соответствие производственного, испытательного, контрольно-измерительного оборудования и производственных помещений техническим нормам и требованиям, установленным государственными стандартами РФ и иными нормативными правовыми актами;
  5. — использование программ для электронно-вычислительных машин или баз данных третьими лицами (пользователями), осуществляемое на основании договора с правообладателем.

Лицензионными требованиями и условиями при осуществлении деятельности по разработке и (или) производству средств защиты конфиденциальной информации, отнесенных к компетенции федерального органа исполнительной власти, уполномоченного в области правительственной связи и информации (см. п. 1 к ст. 23.45), являются:

  • — соблюдение нормативных правовых актов и стандартов РФ, относящихся к лицензируемой деятельности, нормативных и методических документов, регламентирующих осуществление лицензируемой деятельности;
  • — соблюдение лицензиатом режима конфиденциальности при обращении со сведениями, которые ему доверены или стали известны по работе; обеспечение ограничения круга лиц, допущенных к конфиденциальной информации, установление порядка допуска лиц к работам, связанным с использованием конфиденциальной информации, организация обеспечения безопасности ее хранения, обработки и передачи по каналам связи и установление обладателем конфиденциальной информации требований к обеспечению безопасности этой информации;
  • — наличие условий, предотвращающих несанкционированный доступ к средствам защиты конфиденциальной информации, обеспечивающих хранение нормативной и эксплуатационной документации, инсталляционных дискет и дистрибутивов программных и программно-аппаратных средств защиты конфиденциальной информации в металлических шкафах (хранилищах, сейфах), оборудованных внутренними замками, а также хранение дубликатов ключей от металлических шкафов (хранилищ, сейфов) и входных дверей в сейфе ответственного лица, назначенного руководством лицензиата;
  • — соответствие помещений (производственная площадь, состояние помещений, обеспечиваемые в них условия) требованиям технической и технологической документации на оборудование, размещаемое в этих помещениях и используемое для осуществления лицензируемой деятельности;
  • — соответствие производственного, технологического, испытательного и контрольно-измерительного оборудования требованиям, установленным государственными стандартами РФ и нормативными правовыми актами, относящимися к лицензируемой деятельности;
  • — аттестование средств обработки информации, используемых для разработки средств защиты конфиденциальной информации, а также для автоматизированного учета, в соответствии с требованиями по защите информации с использованием лицензионного программного обеспечения для электронно-вычислительных машин и баз данных;
  • — выполнение требований государственных стандартов РФ, конструкторской, программной и технологической документации, единой системы измерений, системы разработки и запуска в производство средств защиты конфиденциальной информации, в соответствии с которыми конструкторская документация лицензиата имеет номер, зарегистрированный в государственном реестре разрабатывающих предприятий;
  • — наличие системы учета изменений, внесенных в техническую и конструкторскую документацию, и системы учета готовой продукции;
  • — наличие у руководителя лицензиата и (или) уполномоченного им лица высшего образования и (или) профессиональной подготовки в области защиты информации с квалификацией «специалист по защите информации» и производственным стажем в области лицензируемой деятельности не менее 5 лет;
  • — наличие у инженерно-технического персонала, осуществляющего работы в области лицензируемой деятельности, высшего образования и (или) профессиональной подготовки со специализацией, соответствующей выполняемым работам.
  • Лицензиатами по указанному виду деятельности являются юридические лица и индивидуальные предприниматели.

Совершение лицензиатом проступка, предусмотренного комментируемой статьей, квалифицируется как нарушение лицензионных требований и условий и влечет за собой применение санкций в виде приостановления действия лицензии или ее аннулирования, установленных ст. 13 Федерального закона «О лицензировании отдельных видов деятельности», независимо от привлечения нарушителя к административной ответственности, меры которой определены комментируемой статьей.

5. Осуществление предпринимательской деятельности по лицензируемым видам деятельности без лицензии или с нарушением условий лицензирования, если это деяние причинило крупный ущерб гражданам, организациям или государству либо сопряжено с извлечением дохода в крупном размере (т.е. дохода, сумма которого превышает 200 МРОТ), квалифицируется как преступление (ч. 1 ст. 171 УК).

6. См. примечание к п. 5 к ст. 5.1.

Дела об административных правонарушениях, предусмотренных комментируемой статьей, рассматриваются судьями.

Дела о комментируемых правонарушениях, производство по которым осуществляется в форме административного расследования, рассматриваются судьями районных судов, а в случаях, не требующих проведения административного расследования, — мировыми судьями (ср. ч. 1 и абз. 2, 4 ч. 3 ст. 23.1 КоАП; о случаях проведения административного расследования см. ч. 1 ст. 28.7 КоАП).

Источник: https://rukoaprf.ru/st-13.11-koap-rf

Ссылка на основную публикацию