Трансграничная передача персональных данных с 01 марта 2023г
Необходимо направить в РКН специальное уведомление о намерении осуществлять трансграничную передачу ПД. До подачи такого уведомления оператор обязан получить от принимающей стороны сведения согласно п.5 ст. 12 ФЗ-№152 (в редакции, вступающей в силу 1 марта):
- сведения о принимающей стороне — наименование, номера контактных телефонов, почтовые адреса и адреса электронной почты,
- информация о правовом регулировании в области персональных данных иностранного государства,
- сведения о принимаемых мерах по защите передаваемых персональных данных и об условиях прекращения их обработки.
Важно! в уведомлении о трансграничной передаче указываются данные уведомления об обработке персональных данных (для включения в реестр операторов ПД). Если такое уведомление все еще не подавалось, нужно подать его ДО того, как направлять уведомление о трансграничной передаче
Запрещения и ограничения
Трансграничная передача может быть запрещена или ограничена если страна передачи на соответствует условиям, установленным законом.
Согласно п. 23 Постановления Правительства РФ от 16.01.2023 № 24 Роскомнадзор принимает решение о запрещении трансграничной передачи персональных данных в целях защиты нравственности, здоровья, прав и законных интересов граждан в следующих случаях:
- органами власти иностранного государства, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача персональных данных, не принимаются меры по защите передаваемых персональных данных, а также не определены условия прекращения их обработки;
- иностранное юридическое лицо, которому планируется трансграничная передача персональных данных, является организацией, деятельность которой запрещена на территории Российской Федерации на основании вступившего в законную силу решения суда;
- иностранное юридическое лицо, которому планируется трансграничная передача персональных данных, включено в перечень иностранных и международных неправительственных организаций, деятельность которых признана нежелательной на территории Российской Федерации;
- трансграничная передача и дальнейшая обработка переданных персональных данных несовместима с целями сбора персональных данных;
- трансграничная передача персональных данных осуществляется в случаях, не предусмотренных частью 1 статьи 6 Федерального закона.
Основания для ограничения трансграничной передачи ПД
Основаниями для ограничения трансграничной передачи персональных данных в целях защиты нравственности, здоровья, прав и законных интересов граждан являются:
- содержание и объем персональных данных, планируемых к трансграничной передаче, не соответствуют цели трансграничной передачи персональных данных;
- категории субъектов персональных данных, персональные данные которых планируются к трансграничной передаче, не соответствуют цели трансграничной передачи персональных данных (п. 26 Постановления Правительства РФ от 16.01.2023 № 24)
Порядок трансграничной передачи ПД
Порядок трансграничной передачи отличается для стран, обеспечивающих надлежащую защиту ПД, и стран, которые этого не делают. Трансграничная передача ПД на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться только в конкретных случаях, установленных п. 4 ст. 12 закона о персональных данных
К странам, обеспечивающим адекватную защиту прав субъектов ПД, относятся стороны Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПД, а также иностранные государства, включенные в перечень, утвержденный Приказом Роскомнадзора от 05.08.2022 № 128 (вступает в силу 01.03.2023).
Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:
- наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных;
- предусмотренных международными договорами Российской Федерации;
- предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя Российской Федерации, обеспечения обороны страны и безопасности государства, а также обеспечения безопасности устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства;
- исполнения договора, стороной которого является субъект персональных данных;
- защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.
Как избежать запрета
Если вы передаете или собираетесь передавать ПД в страны, которые не обеспечивают надлежащую защиту ПД, важно провести подготовительную работу, чтобы избежать запрета в передаче таких данных, а именно:
- четко прописывать цели передачи персональных данных, сопоставляя с ними категории субъектов и передаваемых сведений (п.23 и п.26 Постановления Правительства РФ от 16.01.2023 N 24),
- заранее запрашивать и помогать (при необходимости) оформлять информацию от принимающей стороны по принятию мер по защите передаваемых персональных данных.
Согласно ст. 12 п.5 ФЗ-№152, принимающая сторона должна предоставить:
- сведения себе – наименование, номера контактных телефонов, почтовые адреса и адреса электронной почты,
- информация о правовом регулировании в области персональных данных иностранного государства,
- сведения о принимаемых мерах по защите передаваемых персональных данных и об условиях прекращения их обработки.
Что нужно сделать
- Проверить подавалось ли уведомление об обработке ПД в Роскомнадзор и соответствуют ли документы по защите ПД требованиям ст. 18.1 закона о ПД. Если нет — срочно подать такое уведомление и откорректировать документы.
- Определить к какой категории относится страна, куда планируется/осуществляется трансграничная передача ПД
- Запросить заранее у принимающей ПД стороны необходимые сведения согласно перечню, установленному ст. 12 закона о ПД
- Определить цели и список передаваемых ПД, чтобы на этом основании не было запретов, особенно если планируется передача биометрических данных, ПД несовершеннолетних, специальной категории ПД (например, информация о состоянии здоровья)
- Направить уведомление в Роскомнадзор о планируемой передаче данных трансгранично.
С этой статьей читают
Отправьте заявку, чтобы получить бесплатную консультацию.
Наш специалист свяжется с Вами в течение 20 минут.
Что из перечисленного относится к трансграничной передачи персональных данных сдо ржд ответы
Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»
— персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
— оператор персональных данных (оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
— обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе:
— уточнение (обновление, изменение);
— передачу (распространение, предоставление, доступ);
— автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
— распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
— предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
— блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
— уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
— обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
— информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
— трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
1 Общие положения
В указанном разделе рекомендуется описать назначение Политики, а также включить основные понятия, используемые в ней (обработка персональных данных, оператор, субъект персональных данных, конфиденциальность персональных данных и т. ), перечислить основные права и обязанности оператора и субъекта (ов) персональных данных.
2 Цели сбора персональных данных
Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
Цели обработки персональных данных могут происходить, в том числе, из анализа правовых актов, регламентирующих деятельность оператора, целей фактически осуществляемой оператором деятельности, а также деятельности, которая предусмотрена учредительными документами оператора, и конкретных бизнес-процессов оператора в конкретных информационных системах персональных данных (по структурным подразделениям оператора и их процедурам в отношении определенных категорий субъектов персональных данных).
3 Правовые основания обработки персональных данных
Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных.
В качестве правового основания обработки персональных данных могут быть указаны:
— федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора;
— уставные документы оператора;
— договоры, заключаемые между оператором и субъектом персональных данных;
— согласие на обработку персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям оператора).
Федеральный закон от 27. 2006 № 152-ФЗ «О персональных данных» не может служить правовым основанием обработки персональных данных оператором, поскольку указанный Закон регулирует отношения, связанные с обработкой персональных данных, а также закрепляет требования, предъявляемые к операторам при обработке персональных данных.
4 Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
К категориям субъектов персональных данных могут быть отнесены, в том числе:
— работники оператора, бывшие работники, кандидаты на замещение вакантных должностей, а также родственники работников;
— клиенты и контрагенты оператора (физические лица);
— представители/работники клиентов и контрагентов оператора (юридических лиц).
В рамках каждой из категорий субъектов и применительно к конкретным целям рекомендуется перечислить все обрабатываемые оператором персональные данные, а также, если применимо, отдельно описать все случаи обработки специальных категорий персональных данных и биометрических персональных данных.
5 Порядок и условия обработки персональных данных
В данном разделе рекомендуется указывать перечень действий, совершаемых оператором с персональными данными субъектов, а также используемые оператором способы обработки персональных данных и сроки обработки персональных данных.
Кроме того, оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.
Также рекомендуется указывать сведения о соблюдении требований конфиденциальности персональных данных, установленных ст. 7 Федерального закона «О персональных данных», а также информацию о принятии оператором мер, предусмотренных ч. 2 ст. 1, ч. 1 ст. 19 Федерального закона «О персональных данных».
Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.
Хранение персональных данных рекомендуется осуществлять в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
При осуществлении хранения персональных данных оператор персональных данных обязан использовать базы данных, находящиеся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона «О персональных данных».
Рекомендуется указывать иные условия хранения персональных данных, в том числе, при обработке персональных данных без использования средств автоматизации.
6 Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным
При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
— иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
— оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или иными федеральными законами;
— иное не предусмотрено иным соглашением между оператором и субъектом персональных данных.
Рекомендуется включить в Политику регламент(ы) реагирования на запросы/обращения субъектов персональных данных и их представителей, уполномоченных органов по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим данным, а также соответствующие формы запросов/обращений.
Время публикации: 11. 2017 12:03 Последнее изменение: 11. 2017 12:04
Что относится к персональным данным. Кому их можно передавать, как хранить и уничтожать
В последние годы вопрос о персональных данных стал крайне острым ввиду активной цифровизации, а следовательно, и с ростом рисков по утечке и мошенническом использовании информации. При проведении проверок инспекторы обращают внимание на документы, относящиеся к персональным данным, их наличие, хранение, согласие работников на обработку и т.
Что такое персональные данные и что к ним относят
Персональные данные — это любая информация, прямо или косвенно относящаяся к физическому лицу, и позволяющая его определить. Это из статьи 3 ФЗ «О персональных данных», от 27. 2006 № 152-ФЗ (далее — Закон).
К персональным данным, согласно данному закону, относят:
Также существует классификация персональных данных. Их подразделяют на:
Такая классификация дана в Постановлении Правительства от 1 ноября 2012 г. № 1119.
Немного подробнее по каждой категории.
Общедоступные — те, на доступ к которым дано согласие субъекта персональных данных, а не те, которые можно найти в общем доступе в интернете.
Специальные — информация о расе, национальности и религии; политических и философских взглядах, здоровье, подробностях личной жизни,
Биометрические — информация о физиологических и биологических особенностях человека. Это отпечатки пальцев, генетическая информация, рисунок радужной оболочки глаз, образцы голоса, фотографии.
Но здесь тоже важна определенная привязка к личности. Например, отпечаток пальца, используемый для идентификации сотрудника для входа в офис. Или скан радужной оболочки глаза.
К иным данным относится все остальное. Это как папка «разное» на большинстве компьютеров. Это электронная почта или геолокация,
информация о принадлежности к определенной социальной группе,
Обработка персональных данных
Любой договор с физлицом, содержащий его личные данные (а он и будет их содержать, если это не публичная оферта), должен в обязательном порядке содержать раздел о персональных данных. Без письменного согласия человека, обработка персональных данных оператором, а также их передача третьим лицам — запрещена.
Вообще, обработка персональных данных — это вообще любые действия, которые с ними делают. Сюда входит:
В свою очередь, обработка может осуществляться тремя путями:
После того, как персональные данные обработаны они отправляются на хранение в архив. Это может быть и отдельное специализированное помещение (если речь о бумажных документах) и электронное хранилище (например, облачное). В любом случае вам впоследствии нужно иметь возможность оперативно найти данные и уничтожить их (по требованию субъекта) или передать (в силу закона).
Что будет, если нарушить законодательство о персональных данных
Следит за соблюдением законодательства в этой сфере организация, которая у многих на слуху — Роскомнадзор. Применяемая статья — 13. 11 КоАП.
Если собирать персональные данные о гражданах РФ на серверы, расположенные за пределами РФ — штраф до 6 миллионов.
Все нужна регистрация в Роскомнадзоре?
Может возникнуть ощущение, что уже давно всем работодателям нужно бежать в Роскомнадзор и регистрироваться как оператору персональных данных. Однако это не так. Вот исключения:
Во всех остальных случаях — регистрация обязательна!
Не забудьте, что в Делис Архив действует акция «Новогодняя» — дарим полезные подарки действующим и будущим клиентам!
Что такое обработка персональных данных сдо ответ ржд
(в ред. приказа ОАО «РЖД» от 7 сентября 2021 г. № 81 «О внесении изменений в некоторые нормативные документы ОАО «РЖД» в области персональных данных»)
Общие положения
Политика обработки персональных данных в ОАО «РЖД» (далее – Политика), разработанная в соответствии с Федеральным законом «О персональных данных», устанавливает цели, основные принципы и правила обработки персональных данных и определяет основные меры по обеспечению их безопасности.
Настоящая Политика разработана для реализации в ОАО «РЖД» требований законодательства Российской Федерации в области персональных данных, а также обеспечения защиты прав физических лиц при обработке их персональных данных.
Положения настоящей Политики являются основой для разработки и актуализации распорядительных и организационно-правовых документов (далее – нормативных документов) ОАО «РЖД», регламентирующих процессы обработки персональных данных различных категорий субъектов персональных данных, а также порядок реализации мер для защиты обрабатываемых персональных данных.
Разработка указанных нормативных документов осуществляется подразделениями ОАО «РЖД» в установленном порядке.
Положения настоящей Политики обязательны для исполнения работниками ОАО «РЖД», имеющими доступ к персональным данным.
Основные понятия
В настоящей Политике используются следующие понятия:
безопасность персональных данных – состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах;
биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются ОАО «РЖД» для установления личности субъекта персональных данных;
защита персональных данных – деятельность, направленная на предотвращение утечки защищаемых персональных данных, несанкционированных и непреднамеренных воздействий на защищаемые персональные данные;
информационная система – совокупность содержащейся в базах данных информации (персональных данных) и обеспечивающих ее обработку информационных технологий и технических средств;
конфиденциальность персональных данных – обязательное для соблюдения требование не раскрывать третьим лицам и не допускать распространения персональных данных без согласия субъектов персональных данных или наличия иного законного основания;
обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
пользователь услуг ОАО «РЖД» – пассажир, грузоотправитель, грузополучатель либо иное физическое или юридическое лицо, пользующиеся услугами, оказываемыми ОАО «РЖД»;
субъекты персональных данных – пользователи услуг ОАО «РЖД», работники ОАО «РЖД» и их близкие родственники, кандидаты для приема на работу (соискатели), пенсионеры, состоящие на учете в ОАО «РЖД», и их представители, а также иные лица, чьи персональные данные стали известны в силу предоставления им со стороны ОАО «РЖД» социальных льгот, гарантий и компенсаций либо выполнения функций и задач, возложенных на ОАО «РЖД»;
специальные категории персональных данных – персональные данные субъектов персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни и судимости;
трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) в результате которых уничтожаются материальные носители персональных данных.
III. Цели обработки персональных данных
Обработка персональных данных ОАО «РЖД» осуществляется в целях:
исполнения договоров перевозки и предоставления дополнительных услуг во время осуществления перевозки;
обеспечения транспортной безопасности;
повышения качества обслуживания и доступности железнодорожных перевозок, в том числе путем реализации дополнительных программ поощрения пользователей услуг ОАО «РЖД»;
предоставления информации об оказываемых услугах, разработке новых продуктов и услуг, а также об услугах, оказываемых дочерними и зависимыми обществами ОАО «РЖД»;
сбора и разработки идей, направленных на совершенствование управления перевозочным процессом;
экспертизы стартап-проектов с инновационными решениями;
проведения акций, опросов, маркетинговых, статистических и иных исследовательских действий;
исполнения договоров, заключенных с физическими лицами, состоящими в договорных и иных гражданско-правовых отношениях с ОАО «РЖД»;
ведения кадровой работы, включая привлечение и отбор кандидатов на работу в ОАО «РЖД», дочерние и зависимые общества ОАО «РЖД»;
выполнения договорных соглашений с работниками;
предоставления со стороны ОАО «РЖД» социальных льгот, гарантий и компенсаций;
осуществления и выполнения, возложенных законодательством Российской Федерации на ОАО «РЖД» функций, полномочий и обязанностей, а также для достижения целей, предусмотренных международными договорами Российской Федерации или законами.
Принципы и правила обработки персональных данных
Обработка персональных данных в ОАО «РЖД» осуществляется с соблюдением следующих принципов и правил:
обработка осуществляется на законной и справедливой основе;
обработка ограничивается достижением конкретных, заранее определенных и законных целей;
обработке подлежат персональные данные, отвечающие целям обработки, при обязательном соответствии их объема и содержания заявленным целям обработки;
не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
при обработке обеспечиваются точность и достаточность персональных данных и, при необходимости, актуальность по отношению к целям обработки с принятием мер по удалению или уточнению неполных или неточных данных либо обеспечением принятия таких мер;
хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.
Обработка персональных данных в ОАО «РЖД» осуществляется с согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
При обработке персональных данных ОАО «РЖД» соблюдает их конфиденциальность.
Права субъекта персональных данных
Субъект персональных данных имеет право:
получать полную информацию, касающуюся обработки в ОАО «РЖД» своих персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации;
требовать уточнения, блокирования или уничтожения своих персональных данных в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
требовать извещения всех лиц, которым ранее были сообщены его неверные или неполные персональные данные, обо всех произведенных в них изменениях;
отозвать согласие на обработку своих персональных данных;
обжаловать действия или бездействие ОАО «РЖД» при обработке его персональных данных в соответствии с законодательством Российской Федерации;
реализовывать иные права, предусмотренные законодательством Российской Федерации.
Категории и объем обрабатываемых персональных данных
Содержание и объем обрабатываемых персональных данных определяются целями их обработки, приведенными в разделе III Политики, и указываются в согласии субъекта персональных данных на обработку его персональных данных, за исключением случаев, когда обработка персональных данных может осуществляться без получения такого согласия.
Обработка персональных данных, избыточных по отношению к заявленной цели их обработки, не допускается.
Специальные категории персональных данных, а также биометрические персональные данные субъектов персональных данных обрабатываются ОАО «РЖД» в порядке, установленном законодательством Российской Федерации.
VII. Организация обработки персональных данных
В целях реализации прав субъектов персональных данных ОАО «РЖД» при обработке их персональных данных:
принимает необходимые меры для выполнения обязанностей, предусмотренных законодательством Российской Федерации;
разъясняет субъекту персональных данных юридические последствия отказа предоставить персональные данные, если это является обязательным в соответствии с законодательством Российской Федерации;
осуществляет блокирование, уточнение и уничтожение неправомерно обрабатываемых персональных данных, а также прекращение их неправомерной обработки;
уведомляет субъекта персональных данных об устранении допущенных нарушений или уничтожении его персональных данных;
предоставляет по просьбе субъекта персональных данных или его представителя информацию, касающуюся обработки его персональных данных, в порядке, установленном законодательством Российской Федерации, а также нормативными документами ОАО «РЖД».
В целях эффективной организации процессов обработки персональных данных назначается ответственный за организацию обработки персональных данных в ОАО «РЖД», который в соответствии с установленными полномочиями обеспечивает:
разработку и актуализацию нормативных документов ОАО «РЖД» по вопросам обработки и защиты персональных данных;
доведение до сведения работников ОАО «РЖД» положений законодательства Российской Федерации, нормативных документов ОАО «РЖД» по вопросам обработки персональных данных, а также требований по защите персональных данных;
принятие правовых, организационных и технических мер для защиты персональных данных, в том числе обрабатываемых в информационных системах, от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
внутренний контроль за соблюдением в ОАО «РЖД» требований законодательства Российской Федерации и нормативных документов ОАО «РЖД» в области персональных данных, в том числе требований по защите персональных данных;
контроль за обработкой обращений и запросов субъектов персональных данных или их представителей по фактам нарушений законодательства в области персональных данных, допущенных работниками ОАО «РЖД»;
взаимодействие с государственными органами по вопросам защиты персональных данных.
Обработка персональных данных в ОАО «РЖД» осуществляется с помощью средств вычислительной техники (автоматизированная обработка) либо при непосредственном участии человека без использования средств вычислительной техники (неавтоматизированная обработка).
К обработке персональных данных допускаются руководители ОАО «РЖД», наделенные этим правом работодателем, и только те работники ОАО «РЖД», в должностные обязанности которых входит обработка персональных данных.
Указанные руководители и работники имеют право обрабатывать только те персональные данные, которые необходимы им для выполнения своих должностных обязанностей.
Передача персональных данных третьим лицам (в том числе трансграничная передача) осуществляется с письменного согласия субъектов персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъектов персональных данных, а также в иных случаях, установленных законодательством Российской Федерации.
Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, установленных статьей 10. 1 Федерального закона «О персональных данных.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных.
Передача персональных данных в государственные органы осуществляется в соответствии с требованиями законодательства Российской Федерации.
Трансграничная передача персональных данных на территории иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, иных иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, а также на территорию иностранного государства, не являющегося стороной указанной Конвенции, осуществляется в порядке, предусмотренном законодательством Российской Федерации.
ОАО «РЖД» вправе поручить обработку персональных данных другому юридическому лицу или индивидуальному предпринимателю с согласия субъектов персональных данных на основании заключаемого договора, существенным условием которого является обязанность обеспечения исполнителем условий конфиденциальности персональных данных и их безопасности при обработке.
При сборе персональных данных, в том числе с использованием информационно-телекоммуникационной сети Интернет, ОАО «РЖД» обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных законодательством Российской Федерации.
Сроки хранения персональных данных в ОАО «РЖД» определяются в соответствии с законодательством Российской Федерации и нормативными документами ОАО «РЖД».
Обеспечение безопасности персональных данных, в том числе при их обработке в информационных системах, осуществляется в соответствии с законодательством Российской Федерации и требованиями уполномоченного органа государственной власти по защите прав субъектов персональных данных, федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, и федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации.
VIII. Заключительные положения
Ответственность за нарушение требований законодательства Российской Федерации и нормативных документов ОАО «РЖД» в области персональных данных определяется в соответствии с законодательством Российской Федерации.
Политика является общедоступным документом и подлежит размещению на официальном сайте ОАО «РЖД».
CДО — Система дистанционного обучения
Система дистанционного обучения для сотрудников железных дорог. Тесты и учебные материалы по АСПТ, КАСКОР, СДО. Собранные по памяткам и основным нормативным докуменам ОАО РЖД
Система дистанционного обучения РЖД — это программа повышения квалификации персонала крупнейшей железнодорожной корпорации России.
С помощью нашего сайта вы можете улучшить свои профессиональные знания и узнать новые вопросы и ответы которые встречаются у работников РЖД.
КАСКОР
Постоянное увеличение протяженностьи отечественных железных дорог, введение новой техники и технологий необходимо повышать квалификацию и своевременно готовить сдо ржд ответы на тестовые задания. Плюсом обучающей программы становится дистанционная форма прохождения курсов.
Статья 12. Трансграничная передача персональных данных
1. Трансграничная передача персональных данных осуществляется в соответствии с настоящим Федеральным законом и международными договорами Российской Федерации.
2. Уполномоченный орган по защите прав субъектов персональных данных утверждает перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. В перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, включаются государства, являющиеся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, а также иностранные государства, не являющиеся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, при условии соответствия положениям указанной Конвенции действующих в соответствующем государстве норм права и применяемых мер по обеспечению конфиденциальности и безопасности персональных данных при их обработке.
3. Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных. Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного статьей 22 настоящего Федерального закона.
4. Уведомление, предусмотренное частью 3 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление о намерении осуществлять трансграничную передачу персональных данных должно содержать следующие сведения:
1) наименование (фамилия, имя, отчество), адрес оператора, а также дата и номер уведомления о намерении осуществлять обработку персональных данных, ранее направленного оператором в соответствии со статьей 22 настоящего Федерального закона;
2) наименование (фамилия, имя, отчество) лица, ответственного за организацию обработки персональных данных, номера контактных телефонов, почтовые адреса и адреса электронной почты;
3) правовое основание и цель трансграничной передачи персональных данных и дальнейшей обработки переданных персональных данных;
4) категории и перечень передаваемых персональных данных;
5) категории субъектов персональных данных, персональные данные которых передаются;
6) перечень иностранных государств, на территории которых планируется трансграничная передача персональных данных;
7) дата проведения оператором оценки соблюдения органами власти иностранных государств, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача персональных данных, конфиденциальности персональных данных и обеспечения безопасности персональных данных при их обработке.
5. Оператор до подачи уведомления, предусмотренного частью 3 настоящей статьи, обязан получить от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача персональных данных, следующие сведения:
1) сведения о принимаемых органами власти иностранного государства, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача персональных данных, мерах по защите передаваемых персональных данных и об условиях прекращения их обработки;
2) информация о правовом регулировании в области персональных данных иностранного государства, под юрисдикцией которого находятся органы власти иностранного государства, иностранные физические лица, иностранные юридические лица, которым планируется трансграничная передача персональных данных (в случае, если предполагается осуществление трансграничной передачи персональных данных органам власти иностранного государства, иностранным физическим лицам, иностранным юридическим лицам, находящимся под юрисдикцией иностранного государства, не являющегося стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включенного в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных);
3) сведения об органах власти иностранного государства, иностранных физических лицах, иностранных юридических лицах, которым планируется трансграничная передача персональных данных (наименование либо фамилия, имя и отчество, а также номера контактных телефонов, почтовые адреса и адреса электронной почты).
6. В целях оценки достоверности сведений, содержащихся в уведомлении оператора о своем намерении осуществлять трансграничную передачу персональных данных, сведения, предусмотренные пунктами 1 — 3 части 5 настоящей статьи, предоставляются оператором по запросу уполномоченного органа по защите прав субъектов персональных данных в течение десяти рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
7. Трансграничная передача персональных данных может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства, защиты экономических и финансовых интересов Российской Федерации, обеспечения дипломатическими и международно-правовыми средствами защиты прав, свобод и интересов граждан Российской Федерации, суверенитета, безопасности, территориальной целостности Российской Федерации и других ее интересов на международной арене с даты принятия уполномоченным органом по защите прав субъектов персональных данных решения, предусмотренного частью 12 настоящей статьи.
8. Решение о запрещении или об ограничении трансграничной передачи персональных данных в целях защиты нравственности, здоровья, прав и законных интересов граждан принимается уполномоченным органом по защите прав субъектов персональных данных по результатам рассмотрения уведомления, предусмотренного частью 3 настоящей статьи.
9. Решение, указанное в части 8 настоящей статьи, принимается уполномоченным органом по защите прав субъектов персональных данных в течение десяти рабочих дней с даты поступления уведомления, предусмотренного частью 3 настоящей статьи, в порядке, установленном Правительством Российской Федерации. В случае направления уполномоченным органом по защите прав субъектов персональных данных запроса в соответствии с частью 6 настоящей статьи рассмотрение такого уведомления приостанавливается до даты предоставления оператором запрошенной информации.
10. После направления уведомления, указанного в части 3 настоящей статьи, оператор вправе осуществлять трансграничную передачу персональных данных на территории указанных в таком уведомлении иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных или включенных в предусмотренный частью 2 настоящей статьи перечень, до принятия решения, указанного в части 8 или 12 настоящей статьи.
11. После направления уведомления, предусмотренного частью 3 настоящей статьи, оператор до истечения сроков, указанных в части 9 настоящей статьи, не вправе осуществлять трансграничную передачу персональных данных на территории указанных в уведомлении иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включенных в предусмотренный частью 2 настоящей статьи перечень, за исключением случая, если такая трансграничная передача персональных данных необходима для защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц.
12. Решение о запрещении или об ограничении трансграничной передачи персональных данных принимается уполномоченным органом по защите прав субъектов персональных данных в целях:
1) защиты основ конституционного строя Российской Федерации и безопасности государства — по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности;
2) обеспечения обороны страны — по представлению федерального органа исполнительной власти, уполномоченного в области обороны;
3) защиты экономических и финансовых интересов Российской Федерации — по представлению федеральных органов исполнительной власти, уполномоченных Президентом Российской Федерации или Правительством Российской Федерации;
4) обеспечения дипломатическими и международно-правовыми средствами защиты прав, свобод и интересов граждан Российской Федерации, суверенитета, безопасности, территориальной целостности Российской Федерации и других ее интересов на международной арене — по представлению федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере международных отношений Российской Федерации.
13. Решение, предусмотренное частью 12 настоящей статьи, принимается уполномоченным органом по защите прав субъектов персональных данных в течение пяти рабочих дней с даты поступления соответствующего представления. Порядок принятия такого решения и порядок информирования операторов о принятом решении устанавливаются Правительством Российской Федерации.
14. В случае принятия уполномоченным органом по защите прав субъектов персональных данных решения, предусмотренного частью 8 или 12 настоящей статьи, оператор обязан обеспечить уничтожение органом власти иностранного государства, иностранным физическим лицом, иностранным юридическим лицом ранее переданных им персональных данных.
15. Правительство Российской Федерации определяет случаи, при которых требования частей 3 — 6, 8 — 11 настоящей статьи не применяются к операторам, осуществляющим трансграничную передачу персональных данных в целях выполнения возложенных международным договором Российской Федерации, законодательством Российской Федерации на государственные органы, муниципальные органы функций, полномочий и обязанностей.
Трансграничная передача персональных данных. И точка
Не успел российский бизнес адаптироваться к сентябрьским изменениям в ФЗ-152 «О персональных данных», как незаметно подошла очередь для вступления в силу второго блока поправок в регулирование обработки персональных данных граждан России.
Мартовские изменения в больше степени затрагивают вопросы трансграничной передачи персональных данных.
В настоящей статье мы разберем:
- Что такое трансграничная передача персональных данных?
- Какие новые требования к бизнесу предъявляются с 01 марта 2023 года?
- Может ли оператор персональных данных проигнорировать новые требования законодательства?
Трансграничной передачей персональных данных (ТПД) считается передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Исходя из вышеуказанного определения можно заключить, что ТПД – это одновременное соблюдение трех условий:
- Передача персональных данных (важно понимать, что передачей, помимо целенаправленной отправки информации, считается также предоставление доступа к такой информации);
- С территории России на территорию иностранного государства;
Иностранному лицу (органу власти, физическому или юридическому лицу).
Если в бизнес процессах вашей компании присутствуют вышеперечисленные аспекты – ваша организация осуществляет трансграничную передачу персональных данных.
В частности, ТПД признается:
Предоставление контактных данных сотрудников зарубежным контрагентам в рамках делового взаимодействия;
Открытие для граждан РФ банковских счетов, оформление страховых полисов за рубежом;
Размещение ПД персонала российской компании в глобальном корпоративном справочнике;
Бронирование зарубежных гостиниц и приобретение транспортных билетов у иностранных компаний при направлении сотрудников из РФ в заграничные поездки
Во-первых, оператору персональных необходимо выяснить:
Какие персональные данные участвуют в трансграничной передаче;
Полученную информацию целесообразно зафиксировать в реестре процессов обработки персональных данных.
Во-вторых, удостовериться, что для передачи данных имеются надлежащие правовые основания, исчерпывающий перечень которых определен в статье 6 ФЗ «О персональных данных».
В-третьих, определить обеспечивают ли страны, в которые осуществляется передача персональных данных, адекватную защиту прав субъектов персональных данных.
Перечень таких стран определен Приказом Роскомнадзора от 05.08.2022 N 128 «Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных».
Так, если страна, в которую вы передаете ПД, не указана в списке Роскомнадзора как «доверенная», то передача ПД в такую страну персональных данных недопустима до окончания рассмотрения Роскомнадзором уведомления о ТПД.
В – четвертых, самостоятельно провести оценку соблюдения получающей стороной конфиденциальности персональных данных, а также обеспечение безопасности при их обработке. Для этого оператору необходимо запросить
Сведения о получающей ПД стороне (наименование либо фамилия, имя и отчество, а также номера контактных телефонов, почтовые адреса и адреса электронной почты).
Сведения о принимаемых мерах по защите передаваемых персональных данных и об условиях прекращения их обработки;
Информация о правовом регулировании в области персональных данных иностранного государства, под юрисдикцией которого находятся получающая ПД сторона;
Наконец, сформировать и направить в Роскомнадзор уведомление о трансграничной передаче персональных данных. Форма уведомления размещена на сайте Роскомнадзора.
Трансграничная передача персональных данных является существенным аспектом работы с персональными данными, которому регулирующий орган уделяет особое внимание. Актуальность данного направления обусловлена, в числе прочего, необходимостью обеспечения безопасности данных граждан в текущей политической обстановке.
В случае несоблюдения требований организация-оператор ПД может быть привлечена к административной ответственности:
За ТПД без надлежащего правового основания – до 300 000 рублей (ч. 1 ст. 13.11 КоАП РФ)
Неуведомление Роскомнадзора о ТПД – до 5 000 рублей (ст. 19.7 КоАП РФ)
Важно отметить, что уведомление о ТПД должно быть направлено Оператором до начала осуществления деятельности по трансграничной передаче персональных данных.
Таким образом, законодатель предлагает всем операторам ПД до 01 марта 2023 определиться: продолжить передачу персональных данных в третьи страны, оценив потенциальные риски, либо отказаться такой передачи, оптимизировав свои бизнес процессы.