С 23 декабря 2023 года в силу вступил ФЗ № 589, в соответствии с которым будут увеличены штрафы для госучреждений за обработку личных данных без письменного согласия гражданина. Такая же ответственность грозит не только за распространение сведений, но и за их недостоверность либо за незаконное размещение в информационной системе.
Новые штрафы за обработку персональных данных
По стандарту, обрабатывать личную информацию гражданина тем или иным способом можно исключительно на основании его письменного согласия. Для этого человеку не обязательно оформлять отдельный документ, так как такие условия чаще всего есть в любом договоре, подпись которого автоматически является согласием. Причем формат согласия ни на что не влияет, поэтому одинаковую силу имеет и бумажная, и электронная версия документа.
Что касается содержания разрешения, то оно должно содержать:
- идентификационные данные лица, которого это касается;
- цели, для которых данные используются;
- какие именно действия с данными разрешены;
- описание методов обработки, применяемых организацией.
И если нарушить хотя бы одно из требований и проигнорировать стандарты, то организации грозит административная ответственность в виде штрафа:
- для индивидуальных предпринимателей — от 100 000 до 300 000 рублей;
- для компаний — от 300 000 до 700 000 рублей.
Ранее суммы были меньше практически в 10 раз.
В то же время банки столкнутся с особыми финансовыми санкциями за недочеты в работе с биометрическими данными, включая их размещение и актуализацию в унифицированной системе:
- должностным лицам выпишут от 100 000 до 300 000 рублей;
- предприятиям — от 500 000 до 1 млн рублей.
Согласно п. 8 ст. 10.1 ФЗ № 152, молчание либо бездействие субъекта персональных данных не является согласием на обработку указанных сведений.
Исключение
Однако в некоторых случаях личную информацию можно опубликовать и без согласия в соответствии с п. 14 ст. 4 ФЗ № 572. Речь идет о размещении данных на официальном сайте Роскомнадзора или других ведомств. В основном такое право есть у госорганов, банков и госучреждений, которые вправе сообщать биометрические персональные сведения без получения соответствующего согласия от владельца.
При этом упомянутые организации обязаны предупредить субъекта персональных данных о планируемой процедуре не меньше, чем за один календарный месяц. Получатель, в свою очередь, должен письменно уведомить отправителя о получении предупреждения.