Готовое решение: В каком порядке должна осуществляться обработка персональных данных физлиц
(КонсультантПлюс, 2022)	
Документ предоставлен КонсультантПлюс

www.consultant.ru

Дата сохранения: 26.08.2022

		КонсультантПлюс | Готовое решение | Актуально на 25.08.2022		
В каком порядке должна осуществляться обработка персональных данных физлиц

		Если вы получаете, храните, используете или совершаете иные действия с персональными данными граждан, это признается их обработкой, а вы - оператором.
До начала обработки данных вам нужно определить ее цель. Это важно, поскольку обработка должна соответствовать этой цели. В частности, вы не можете запрашивать данные, не связанные с этой целью. Например, получать у лица, с которым вы заключаете договор, персональные данные членов его семьи.
Если вы используете персональные данные граждан только для заключения и исполнения договоров с ними и никому их не передаете, то вам не нужно получать согласие гражданина на обработку данных и уведомлять о ней Роскомнадзор.		

Оглавление:
1. Что считается обработкой персональных данных
2. Какими способами можно обрабатывать персональные данные
3. Что такое целевая обработка персональных данных и как ее обеспечить
4. Что должен делать оператор при получении персональных данных от физлица
5. Нужно ли получать согласие на обработку персональных данных
6. Нужно ли уведомлять Роскомнадзор об обработке персональных данных
7. На кого может распространяться Европейский регламент о персональных данных (GDPR) и какие требования он устанавливает
8. В каком порядке должна осуществляться обработка биометрических персональных данных

1. Что считается обработкой персональных данных
Обработкой персональных данных считаются любые действия или операции, которые вы проводите с ними, в том числе сбор, систематизация, хранение, уточнение, использование, распространение, удаление.
Таким образом, даже если вы, например, всего лишь получаете паспортные данные своих клиентов или создали базу данных их телефонных номеров, вы обрабатываете персональные данные и признаетесь их оператором. Это значит, что вы обязаны под риском ответственности соблюдать требования, которые предъявляются к обработке персональных данных. Так, вы должны определить цель обработки и строго ей следовать, при необходимости получать согласие на обработку и уведомлять о ней Роскомнадзор, принимать меры по защите персональных данных.

		См. также:
•	Какие меры по защите персональных данных физлиц должны приниматься при обработке этих данных
•	Кто и какую ответственность несет за нарушение законодательства о персональных данных		

2. Какими способами можно обрабатывать персональные данные
Вы можете обрабатывать данные с использованием или без использования средств автоматизации (п. 3 ст. 3 Закона о персональных данных).
Автоматизированной считается обработка данных с помощью средств вычислительной техники. Обработкой без применения средств автоматизации считаются действия с персональными данными, которые осуществляются при непосредственном участии человека (п. 4 ст. 3 Закона о персональных данных, п. 1 Положения, утвержденного Постановлением Правительства РФ от 15.09.2008 N 687).
Обратите внимание, что оператор обязан использовать базы данных, находящиеся в России, для записи, систематизации, накопления, хранения, уточнения, извлечения персональных данных граждан РФ. Это касается также сбора данных через Интернет (ч. 5 ст. 18 Закона о персональных данных). Если у вас не предусмотрены способы определения гражданства (например, нет поля "гражданство" в форме регистрации), то рекомендуем использовать базы, находящиеся в России, для всех персональных данных, которые вы получаете.
Если вы собираетесь передать персональные данные за границу, вы вправе это сделать, но первоначально должны внести их в базу данных на территории РФ, а затем уже осуществлять их трансграничную передачу по правилам ст. 12 Закона о персональных данных.

3. Что такое целевая обработка персональных данных и как ее обеспечить
Целевой характер обработки подразумевает, что она должна ограничиваться достижением конкретной цели (ч. 2 ст. 5 Закона о персональных данных). То есть все ваши действия с персональными данными должны быть связаны с той целью, с которой вы их получили.
За обработку персональных данных, не совместимую с целями их сбора, вас могут привлечь к ответственности.

3.1. Какой должна быть цель обработки персональных данных
Цель должна быть:
)	законной;
)	заранее определенной. Еще до начала обработки вы должны определиться с целью, которую вы преследуете, и довести ее до гражданина, чьи данные получаете. Для этого укажите цель в согласии на обработку персональных данных. Рекомендуем также закрепить ее в локальном акте, посвященном обработке данных (Рекомендации Роскомнадзора). Лучше, если цель обработки будет соответствовать той деятельности, которую вы фактически осуществляете и которая предусмотрена вашими учредительными документами;
)	конкретной. Чтобы у контролирующих органов не было повода придраться к вам, рекомендуем не использовать абстрактные формулировки, а указать цель максимально конкретно. Например, если вы хотите повысить продажи путем СМС-рассылки, в качестве цели должно быть указано не "повышение продаж", а "осуществление рекламной СМС-рассылки".

3.2. Как обеспечить целевую обработку персональных данных
Чтобы обработка данных была целевой, удостоверьтесь в том, что (ч. 3 - 7 ст. 5 Закона о персональных данных):
)	содержание и объем данных соответствуют целям их обработки, то есть вы не обрабатываете избыточные данные. Избыточным может быть признано получение данных, никак не связанных с оказываемыми услугами. Например, если салон красоты просит клиентов сообщить их имущественное положение или образование;
)	у вас созданы раздельные базы для персональных данных, обработка которых осуществляется в целях, не совместимых между собой. В частности, рекомендуем иметь раздельные базы для сотрудников и клиентов;
)	вы обеспечиваете точность и достаточность, а при необходимости и актуальность данных по отношению к целям их обработки. Например, время от времени актуализируете базу телефонных номеров клиентов, обновляете полученные ранее копии документов. В противном случае вы рискуете нарушить закон. Например, это произойдет, если сменился владелец телефонного номера, а вы продолжаете отправлять на него рекламные сообщения, хотя новый владелец своего согласия на это не давал.
Также вы должны обеспечить удаление или уточнение неполных или неточных данных;
)	вы уничтожаете либо обезличиваете данные, если цели обработки достигнуты или утрачена необходимость в их достижении (если законом не предусмотрено иное). В частности, не рекомендуем хранить документы, содержащие персональные данные, дольше, чем это необходимо в целях бухгалтерского и налогового учета.

4. Что должен делать оператор при получении персональных данных от физлица
У оператора при сборе персональных данных возникают следующие основные обязанности (ч. 1, 2 ст. 18 Закона о персональных данных):
)	предоставить информацию гражданину, если он об этом просит. Речь идет о сведениях, указанных в ч. 7 ст. 14 Закона о персональных данных. В частности, вы должны сообщить, кто, на каком основании, с какой целью и какими способами будет обрабатывать его данные;
)	разъяснить последствия отказа предоставить данные, если их предоставление является обязательным в соответствии с федеральным законом. Например, если при покупке SIM-карты гражданин отказывается предоставить свои паспортные данные, то последствие, как правило, выражается в отказе предоставить услугу. Факт разъяснения рекомендуем оформить документально, например получить с гражданина расписку о том, что он его получил.

5. Нужно ли получать согласие на обработку персональных данных
Не требуется согласие на обработку персональных данных физического лица в случаях, приведенных в п. п. 2 - 11 ч. 1 ст. 6 Закона о персональных данных. В частности, согласие не нужно, если обработка необходима:
)	для заключения договора по инициативе гражданина или договора, по которому он будет выгодоприобретателем или поручителем. Например, если индивидуальный предприниматель арендует у вас помещение и вы указываете в договоре его паспортные данные;
)	исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является гражданин. Например, если вы запрашиваете адрес гражданина для доставки ему товара;
)	осуществления и выполнения функций, полномочий и обязанностей, которые возложены на вас законодательством. Например, если вы получаете у клиента адрес его электронной почты, чтобы направить ему кассовый чек в электронной форме (Разъяснения Минкомсвязи России);
)	осуществления прав и законных интересов (ваших или третьих лиц) либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы гражданина. Например, если вы в целях обеспечения безопасности записываете Ф.И.О. и паспортные данные посетителей.
В остальных случаях обработка персональных данных осуществляется с согласия гражданина (п. 1 ч. 1 ст. 6 Закона о персональных данных). Например, придется получить согласие, если вы собираете данные граждан для маркетингового исследования или уступаете требование к должнику - физическому лицу.

5.1. Нужно ли получать согласие на обработку биометрических данных
Если вы обрабатываете биометрические персональные данные, то, как правило, вам нужно получить согласие гражданина на это (ч. 1 ст. 11 Закона о персональных данных). Например, это требуется, если вы фотографируете своих клиентов, чтобы оформить им пропуск (Письмо Минцифры России от 17.07.2020 N ОП-П24-070-19433).
Такое согласие требуется, если обработку производите именно вы. Если же, например, гражданин оплачивает ваш товар с использованием сканера отпечатков пальцев на своем смартфоне, согласие получать не нужно, поскольку вы непосредственно не обрабатываете его биометрические данные.
Обратите внимание, что под биометрическими данными понимаются только такие сведения, которые вы используете для установления личности гражданина. Так, не являются достаточными для установления личности сведения об отдельных физиологических признаках гражданина (например, только о его весе или росте).

5.2. Нужно ли получать согласие на обработку персональных данных, разрешенных субъектом этих данных для распространения
Согласие на обработку персональных данных, разрешенных для распространения, оформляется отдельно от иных подобных согласий физического лица (ч. 1 ст. 10.1 Закона о персональных данных).
Требования к содержанию согласия устанавливает Роскомнадзор (ч. 9 ст. 9, ч. 1 ст. 23 Закона о персональных данных, п. 1 Положения, утвержденного Постановлением Правительства РФ от 16.03.2009 N 228). Они утверждены Приказом Роскомнадзора от 24.02.2021 N 18.
В согласие включаются, в частности:
•	фамилия, имя, отчество (при наличии), контактная информация субъекта персональных данных;
•	сведения об операторе, его информационных ресурсах, с помощью которых предоставляется доступ к данным;
•	цель обработки данных;
•	категории и перечень данных, на обработку которых дается согласие;
•	срок действия согласия.
Оператор обязан обеспечить физическому лицу возможность определить перечень персональных данных, разрешенных для распространения, по каждой категории данных, указанной в согласии на обработку (ч. 1 ст. 10.1 Закона о персональных данных).
В согласии физическое лицо вправе установить (ч. 9 ст. 10.1 Закона о персональных данных, п. п. 7, 8 Требований):
•	запрет передачи (кроме предоставления доступа) сведений оператором неограниченному кругу лиц;
•	запрет обработки (кроме получения доступа) сведений неограниченным кругом лиц;
•	условия обработки (кроме получения доступа) сведений неограниченным кругом лиц.
Оператор не может отказать субъекту персональных данных в установлении указанных запретов и условий (ч. 9 ст. 10.1 Закона о персональных данных).
Если из согласия на обработку упомянутых данных не следует, что лицо согласилось с их распространением, оператор обрабатывает данные без права распространения (ч. 4 ст. 10.1 Закона о персональных данных).
Молчание или бездействие лица не считается согласием на обработку указанных данных (ч. 8 ст. 10.1 Закона о персональных данных).
Следует учитывать, что указанные согласия могут быть предоставлены операторам как непосредственно, так и с использованием информационной системы Роскомнадзора (п. 6 ст. 10.1 Закона о персональных данных). Через информационную систему Роскомнадзора данные согласия предоставляются (получаются) в соответствии с Правилами, утвержденными Приказом Роскомнадзора от 21.06.2021 N 106.

Какие персональные данные считаются общедоступными
В Законе о персональных данных нет определения общедоступных персональных данных.
К общедоступными отнесены сведения, содержащиеся в реестре операторов. Исключение - сведения о средствах обеспечения безопасности персональных данных при их обработке (ч. 4 ст. 22 Закона о персональных данных). Реестр ведет Роскомнадзор (п. 3 ч. 5 ст. 23 Закона о персональных данных, п. 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства РФ от 16.03.2009 N 228).
Кроме того, полагаем, что общедоступными являются данные из общедоступных источников, создаваемых в соответствии с ч. 1 ст. 8 Закона о персональных данных, например из справочника или адресной книги. С письменного согласия гражданина в них могут включаться год и место его рождения, его адрес, абонентский номер и т.д. В судебной практике есть подход, согласно которому не являются общедоступными сведения из соцсетей или с открытых интернет-площадок, содержащих, к примеру, объявления (Постановление Арбитражного суда Московского округа от 09.11.2017 N Ф05-16382/2017).	

6. Нужно ли уведомлять Роскомнадзор об обработке персональных данных
Чаще всего подавать такое уведомление не нужно. В частности, не требуется уведомление, если вы обрабатываете данные, которые (п. п. 1, 2, 4 - 6 ч. 2 ст. 22 Закона о персональных данных):
)	получены вами в связи с заключением договора при условии, что вы не распространяете их, не предоставляете третьим лицам без согласия гражданина и используете исключительно для заключения и исполнения данного договора;
)	включают в себя только Ф.И.О. граждан;
)	необходимы для однократного пропуска гражданина на вашу территорию или в иных аналогичных целях.
Вы должны подать уведомление в Роскомнадзор, только если ваша ситуация не охватывается широким перечнем исключений, который предусмотрен законом (ч. 1 ст. 22 Закона о персональных данных).

7. На кого может распространяться Европейский регламент о персональных данных (GDPR) и какие требования он устанавливает
Под действие Европейского регламента о персональных данных (GDPR) могут подпасть в том числе компании, которые учреждены и находятся за пределами Евросоюза, если, в частности, они (п. п. 23, 24 Преамбулы Регламента):
)	обрабатывают данные граждан ЕС, предлагая им свои товары или услуги (в том числе бесплатно). Так, если вы не знаете, какое гражданство у лиц, которым вы предлагаете свои товары или услуги, учтите, что будет предполагаться, что среди них есть граждане ЕС, если вы одновременно:
- используете язык или валюту, распространенную в одном или нескольких государствах ЕС;
- даете возможность заказать товар или услугу на данном языке либо упоминаете покупателей или пользователей, находящихся в Евросоюзе (например, указали на сайте, что товары или услуги предлагаются гражданам ЕС);
)	обрабатывают данные в целях мониторинга поведенческой активности граждан ЕС. В частности, если они отслеживают деятельность гражданина в Интернете, чтобы, к примеру, составить его профиль для анализа или прогнозирования его личных предпочтений.

7.1. Какие требования предусматривает Европейский регламент о персональных данных
Во многом требования Европейского регламента о персональных данных (GDPR) совпадают с требованиями российского законодательства. Например, в части обеспечения целевой обработки персональных данных (п. 39 Преамбулы Регламента, ст. 5 Регламента). Однако в нем предусмотрен ряд дополнительных мер, в частности обязанности:
)	осуществить оценку воздействия процесса обработки данных на защиту этих данных в порядке, предусмотренном ст. 35 Регламента;
)	назначить инспектора по защите персональных данных. Это необходимо, если основная деятельность заключается в обработке данных, которая требует масштабного, регулярного и систематического мониторинга граждан (ст. 37 Регламента);
)	в случае утечки персональных данных незамедлительно уведомить об этом субъекта данных, когда утечка может привести к высокой степени риска для его прав и свобод (ст. 34 Регламента).

8. В каком порядке должна осуществляться обработка биометрических персональных данных
Обработку биометрических персональных данных вы осуществляете в общем порядке с учетом следующих особенностей (ч. 2 ст. 6, ст. 11, п. 3 ч. 3, ч. 10 ст. 19 Закона о персональных данных):
•	на обработку данных по общему правилу вы должны получить согласие субъекта, чьи данные вы обрабатываете;
•	хранение и использование таких данных вы осуществляете с соблюдением особых требований.
Для государственных органов и банков действуют специальные требования к обработке биометрических персональных данных.

8.1. Какие сведения относятся к биометрическим персональным данным
Биометрические персональные данные - это такие сведения о физиологических и биологических особенностях человека, по которым можно установить его личность (ч. 1 ст. 11 Закона о персональных данных).
Какие именно сведения являются биометрическими персональными данными, Закон о персональных данных не определяет. Конкретного исчерпывающего перечня таких сведений нет и в нормативных документах.
Как правило, к биометрическим персональным данным относят, например (Письма Минцифры России от 17.07.2020 N ОП-П24-070-19433, Роскомнадзора от 10.02.2020 N 08АП-6782):
•	фотографическое изображение человека;
•	видеоизображение человека;
•	дактилоскопические данные;
•	информация о радужной оболочке глаза;
•	результаты анализов ДНК;
•	данные о голосе.

В каких случаях фотографическое изображение относится к биометрическим персональным данным
По общему правилу, если фотографическое изображение вы используете для установления личности человека, оно признается биометрическими персональными данными. Например, к биометрическим персональным данным относят фото на пропуск, так как, в частности, сравнивая фото с лицом предъявителя пропуска, вы можете установить его личность (ч. 1 ст. 11 Закона о персональных данных, Письмо Минцифры России от 17.07.2020 N ОП-П24-070-19433).	

8.2. Общий порядок хранения биометрических персональных данных
Храниться такие данные могут (п. 10 ст. 3, ч. 10 ст. 19 Закона о персональных данных):
•	в информационных системах персональных данных;
•	вне таких систем.
Использовать и хранить биометрические персональные данные вне информационных систем персональных данных вы можете только на таких материальных носителях и с применением такой технологии хранения информации, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения (ч. 10 ст. 19 Закона о персональных данных).
Требования к материальным носителям биометрических персональных данных и технологиям их хранения вне информационных систем установлены Постановлением Правительства РФ от 06.07.2008 N 512. При этом материальный носитель для целей применения указанных Требований - это машиночитаемый носитель информации (в том числе магнитный и электронный) (п. 2 Требований к материальным носителям биометрических персональных данных). Таким образом, на хранение биометрических персональных данных на бумажных носителях эти Требования не распространяются.
Материальный носитель должен обеспечивать в том числе (п. 4 Требований к материальным носителям биометрических персональных данных):
•	защиту от несанкционированной повторной и дополнительной записи информации после ее извлечения из информационной системы персональных данных;
•	возможность доступа к записанным на материальный носитель биометрическим персональным данным оператору и лицам, уполномоченным в соответствии с законодательством РФ на работу с биометрическими персональными данными;
•	возможность идентификации информационной системы персональных данных, в которую была осуществлена запись биометрических персональных данных, а также оператора, осуществившего такую запись;
•	невозможность несанкционированного доступа к биометрическим персональным данным, содержащимся на материальном носителе.
Как правило, тип материального носителя вы вправе выбрать сами (п. 7 Требований к материальным носителям биометрических персональных данных). Это может быть, например, внешний накопитель данных (внешний жесткий диск, карта памяти, внешний SSD-накопитель, USB-накопитель). При этом вы обязаны вести учет количества таких материальных носителей и присваивать каждому носителю свой уникальный идентификационный номер, который позволяет точно определить оператора, осуществившего запись биометрических персональных данных на материальный носитель (п. 8 Требований к материальным носителям биометрических персональных данных).
Технологии хранения биометрических персональных данных, которые вы используете, должны обеспечивать, в частности, применение средств электронной подписи (пп. "б" п. 9 Требований к материальным носителям биометрических персональных данных).
При хранении биометрических персональных данных вне информационных систем персональных данных вы должны обеспечить регистрацию фактов несанкционированной повторной и дополнительной записи информации после ее извлечения из такой системы (п. 11 Требований к материальным носителям биометрических персональных данных).

8.3. Порядок обработки, хранения и использования биометрических персональных данных государственными органами и банками
Государственные органы и банки при применении цифровых технологий для идентификации физлиц должны соблюдать требования ст. 14.1 Закона об информации, а также нормативных правовых актов, принятых в соответствии с указанной статьей. Федеральными законами обязанность соблюдать указанные требования может быть введена и для других организаций (ч. 1 ст. 14.1 Закона об информации).
Биометрические персональные данные государственные органы и банки размещают в электронной форме в единой биометрической системе (п. 2 ч. 1 ст. 14.1 Закона об информации).
Порядок обработки биометрических персональных данных утвержден Приказом Минцифры России от 10.09.2021 N 930. Основные положения данного Порядка заключаются в следующем.
Он распространяется на такие виды параметров биометрических персональных данных физлица (п. 2 указанного Порядка):
•	данные изображения лица;
•	данные голоса, собранные текстозависимым методом.
Сбор параметров производится при личном присутствии субъекта с целью создания биометрического контрольного шаблона, хранение которого осуществляется в единой информационной системе персональных данных. Сбор осуществляет ваш уполномоченный сотрудник, которого вы обеспечили сертификатом ключа проверки электронной подписи (п. п. 3, 5 Порядка обработки биометрических персональных данных).
Полученные данные вы обрабатываете с применением информационных технологий и технических средств, которые имеют подтверждение соответствия Требованиям, установленным Приложением N 3 к Приказу Минцифры России от 10.09.2021 N 930 (п. 1 Порядка обработки биометрических персональных данных).
Обработка параметров осуществляется после проведения идентификации физлица при условии получения его письменного согласия. Согласие в форме электронного документа может быть подписано простой электронной подписью (ч. 1 ст. 11 Закона о персональных данных, ч. 1, 5 ст. 14.1 Закона об информации, п. 9 Порядка обработки биометрических персональных данных). Форма согласия утверждена Распоряжением Правительства РФ от 30.06.2018 N 1322-р.
Субъект персональных данных вправе отозвать свое согласие (ч. 2 ст. 9 Закона о персональных данных). В этом случае вы не можете использовать параметры его биометрических данных в целях проведения идентификации (п. 9 Порядка обработки биометрических персональных данных).
При обработке биометрических персональных данных в информационных системах соответствующим операторам персональных данных необходимо использовать средства защиты информации, обеспечивающие их безопасность от угроз, в частности, установленные:
)	в Перечне угроз безопасности, утвержденном Приказом Минцифры России от 25.05.2021 N 494, - применимо к операторам, которые обрабатывают указанные данные в единой информационной системе персональных данных;
)	Перечне угроз безопасности, утвержденном Приказом Минцифры России от 01.09.2021 N 902, - применимо к операторам, обрабатывающим указанные данные в информационных системах организаций, осуществляющих идентификацию и (или) аутентификацию с использованием биометрических персональных данных физлиц;
)	Перечне угроз безопасности, утвержденном Указанием Банка России от 16.12.2021 N 6018-У, - применимо к операторам - организациям финансового рынка, обрабатывающим указанные данные в информационных системах организаций финансового рынка.
С момента вступления в силу Указания Банка России от 16.12.2021 N 6017-У операторам - организациям финансового рынка, обрабатывающим биометрические данные при взаимодействии с единой биометрической системой, также необходимо учитывать Перечень угроз безопасности, утвержденный данным Указанием.
Параметры биометрических персональных данных хранятся в единой биометрической системе не менее 50 лет с момента размещения. Однако использовать их в целях идентификации личности разрешено не дольше пяти лет (в определенных случаях - не более трех лет) с даты сбора (п. 16 Порядка обработки биометрических персональных данных).

Что такое единая биометрическая система
Единая информационная система персональных данных (единая биометрическая система) - это государственная информационная система персональных данных, с помощью которой госорганы и банки производят обработку, включая сбор и хранение биометрических персональных данных, их проверку и передачу информации о степени их соответствия предоставленным биометрическим персональным данным физического лица (п. 2 ч. 1, ч. 1.1 ст. 14.1 Закона об информации).
Единая биометрическая система - это цифровая платформа, оператором которой является ПАО "Ростелеком" (ч. 17 ст. 14.1 Закона об информации, п. 1 Распоряжения Правительства РФ от 22.02.2018 N 293-р).
Положение об этой системе утверждено Постановлением Правительства РФ от 16.06.2022 N 1089.
Состав сведений, которые размещаются в единой биометрической системе, утвержден Постановлением Правительства РФ от 30.06.2018 N 772. К ним относятся, в частности, данные изображения лица человека (полученные с помощью фото- и видеоустройств) и голоса человека (полученные с помощью звукозаписывающих устройств) (п. "а" указанного Состава сведений).