Закон «О персональных данных» был принят еще в 2006 г

Закон «О персональных данных» был принят еще в 2006 г., но фактически начал
действовать с 2011 года. Спорных моментов в законе предостаточно. При этом
проверки на предмет соблюдения операторами правил защиты персональных данных
Роскомнадзор уже проводит.
Проверки Роскомнадзора, как в прочем и других контролирующих органов
подразделяются на плановые и внеплановые. Внеплановых проверок, как раз намного
больше. Основанием для проведения внеплановой проверки является, как правило,
является жалоба сотрудников компании или ее клиентов на серьезные нарушения в работе
с персональными данными. И, как отметил Роскомнадзор в своем отчете, количество
таких жалоб увеличивается каждый год примерно вдвое. Так что риск оказаться в числе
проверяемых есть у любой компании – оператора персональных данных, в том числе и у
Турагента.
Проверки Роскомнадзора начались относительно недавно, поэтому пока мало кто
представляет себе правильную тактику поведения в это период.
Например, бухгалтерия или секретариат имеет доступ к тем же персональным данным,
что и кадровая служба, что само по себе неправильно. Бухгалтеру точно не нужны
сведения о здоровье работников, так же, как кадровику необязательно быть в курсе
заработной платы сотрудников. Значит, нужно сделать так, чтобы у сотрудника,
имеющего отношение к обработке персональных данных, не было доступа к «лишней»
информации. Роскомнадзор при проверках всегда обращает внимание на такие моменты.
За что могут быть наложены штрафные санкции.
Во-первых, за избыточность персональных данных. Например, при заключении договора
о реализации туристского продукта не допускается собирать сведения о туристах, которые
прямо не требуются для организации путешествия (например, сведения о месте работы
туриста, о семейном положении или иное, если не требуется для организации поездки).
Роскомнадзор совершенно справедливо может указать, что такие сведения являются
избыточными.
Во-вторых, за обработку персональных данных без согласия субъекта и получения
коммерческой выгоды без согласия субъекта. Например, организация не имеет права
предлагать свои товары и услуги конечному потребителю, если заранее у конечного
потребителя не было взято на это согласие. В договоре о реализации туристского
продукта, разработанного АТА, такое согласие уже предусмотрено.
В том случае, если вы хотите информировать туристов, посредством смс-рассылок о
спецпредложениях, или каких-либо акциях Туроператоров, авиакомпаний, то, как
минимум, вы должны заручиться согласием туриста на такие смс-уведомления. В ином
случае, турист может написать жалобу в Роскомнадзор и потребовать провести проверку
по факту данного правонарушения.
Хочется напомнить, что ответственность за нарушения в сфере персональных данных не
ограничивается административными штрафами по статьям 13.11 и 13.12 КоАП РФ. Есть
и другие, намного более болезненные, санкции. Во-первых, дисциплинарная
ответственность, установленная подпунктом «в» пункта 6 статьи 281 Трудового
кодекса РФ. Она заключается в том, что даже за однократное нарушение, связанное с
разглашением персональных данных работника, работодатель вправе уволить виновное
лицо.
Кроме того, за незаконный сбор и незаконное распространение персональных данных
предусмотрена уголовная ответственность по статье 137 УК РФ.
Кстати, штрафные санкции в ближайшее время должны увеличиться
В настоящее время ответственность по ст. 13.11. КоАП РФ за нарушение
установленного законом порядка сбора, хранения, использования или
распространения информации о гражданах (персональных данных) — влечет
предупреждение или наложение административного штрафа на граждан в размере от
трехсот до пятисот рублей; на должностных лиц — от пятисот до одной тысячи
рублей; на юридических лиц — от пяти тысяч до десяти тысяч рублей.
Согласно законопроекту Минэкономразвития РФ, штрафы по статье 13.11 КоАП РФ
увеличатся для граждан до 3 000–5 000 руб., для должностных лиц – до 30 000-50 000
руб., а для юридических лиц – до 200 000–500 000 руб. Также обещают ввести штраф и
для ИП – в размере 30 000–50 000 руб.
И срок давности привлечения к ответственности по этой статье планируют увеличить до 1
года (сейчас он составляет всего 3 месяца).