Personopplysningsoperatøren er Funksjoner og ansvar, funksjoner

2024 Forfatter: Howard Calhoun | [email protected]. Sist endret: 2023-12-17 10:37

Persondataoperatør - hvem er dette? Ikke alle vet hva slags aktivitet dette er. I mellomtiden, i teknologiens tidsalder, er det stadig mer etterspurt. Så hvem er operatøren av personopplysninger? La oss snakke om det i artikkelen. Og for å gjøre det klarere, la oss starte med en definisjon.

Definition

En personopplysningsoperatør er en fysisk eller juridisk person, samt en kommunal eller statlig institusjon som behandler og mottar personopplysninger, bestemmer formål og prosedyrer for de oppgitte dataene.

Operatøren har rett til å jobbe selvstendig, eller kan henvende seg til tredjeparter for å få hjelp. Sistnevnte regnes også som operatører i dette tilfellet.

Hva er personopplysninger

Vi fant ut hvem som behandler personopplysninger. Dette er operatøren av personopplysninger. Men hva menes med personopplysninger? Loven har ikke en liste som gir et klart svar på dette spørsmålet. Personopplysninger inkluderer som regel passdata, identifikasjonsnummer, ansiennitet, stedregistrering og bosted, arbeidssted, familiesammensetning, utdanning. I sjeldne tilfeller kan dette inkludere data om fordeler eller helsestatus.

Faktisk er en personopplysningsoperatør en institusjon som godtar personlig informasjon fra en person. Selv om dette kun er passdata, anses organisasjonen fortsatt som operatør av personopplysninger.

De mest kjente eksemplene på slike operatører kan gis. Dette er banker som jobber med kunder og informasjon om skattebetalere, reisebyråer. Dette inkluderer også sider som krever informasjon om abonnenten for registrering, butikker hvor rabattkort utstedes. Listen inkluderer også klinikker som har tilgang til legekort. Dette er ikke en endelig liste, det er rett og slett umulig å liste opp alle organisasjoner og institusjoner som behandler personopplysninger.

Hvor informasjonen finnes

Naturligvis må en slik mengde informasjon finnes et sted. Av denne grunn ble det innført et register over personopplysningsaktører. Dette er en spesifikk base for Roskomnadzor, som gjenspeiler alle juridiske enheter og enkeltpersoner som anses som operatører.

For å bli inkludert i databasen er det nok å selvstendig erklære til Roskomnadzor-myndighetene ved å sende inn en skriftlig søknad eller sende en e-post. Og du kan også varsle myndighetene på brevpapiret til bedriften. Denne prosedyren ble beskrevet i detalj i ordre fra det russiske departementet for telekom og massekommunikasjon i 2011.

Siden alle operatører er inkludert i registeret over personopplysningsoperatører, er de pålagt å varsle Roskomnadzor om alle endringer,som er relatert til operasjoner med personopplysninger, behandlingen av dem. Sistnevnte kontrollerer på sin side operatørenes arbeid og utfører med jevne mellomrom kontroller.

Listen over personopplysningsoperatører til Roskomnadzor er tilgjengelig for alle, den kan sees på den offisielle nettsiden til tjenesten.

Tilsynet kan for øvrig ikke nekte å gå inn i registeret til en juridisk eller fysisk person. Hvis dette skjer, bryter tjenesten loven, noe som betyr at Roskomnadzor ilegges bot. Beløpet av sistnevnte kan nå fem hundre tusen rubler.

Operatørenes forpliktelser

Som med all aktivitet, er arbeid med personlig informasjon underlagt forpliktelser og rettigheter. Vurder ansvaret til personopplysningsoperatører.

Roskomnadzor plikter å varsle tjenesten om at de har begynt å behandle informasjon. Denne forpliktelsen er pålagt i samsvar med artikkel 22 i loven "om personopplysninger". Meldingen må inneholde følgende informasjon:

1. Operatørens adresse, navn eller fornavn, etternavn, patronym.
2. Grunnlag for behandling av personopplysninger.
3. Personlig informasjonskategori.
4. Kategori av personen hvis personopplysninger skal behandles.
5. Link til forskriftsdokumenter som tillater behandling av informasjon.
6. Liste over handlinger som operatøren vil utføre for behandling av personopplysninger, samt en beskrivelse av metodene han vil bruke i prosessen.
7. Tiltak tatt for å beskytte informasjon.
8. Navn på juridisk enhetpersonen eller navnet, etternavnet og patronymet til den personen som er ansvarlig for å organisere behandlingsprosessen. I tillegg må kontakttelefonnumre, e-postadresse og postadresse oppgis.
9. Datoen databehandlingen starter fra.
10. Vilkår for behandling og betingelser for oppsigelse.
11. Informasjon om hvorvidt det er en grenseoverskridende dataoverføring på behandlingstidspunktet.
12. Informasjon om hvor databasen befinner seg, som inneholder personopplysningene til innbyggerne i landet vårt.
13. Data om informasjonssikkerhet og om den oppfyller kravene satt av myndighetene i landet vårt.

Dette betyr ikke at operatører som behandler personopplysninger i noen situasjon må varsle Roskomnadzor. Noen ganger er dette ikke nødvendig i det hele tatt. Det er for eksempel ikke behov for varsling dersom en arbeidsgiver behandler opplysninger om sine ansatte. Dette inkluderer også situasjonen når det inngås en kontrakt med en klient om noe. I dette tilfellet fungerer regelen bare så lenge informasjonen ikke gis til tredjeparter uten samtykke fra klienten. Det er ikke nødvendig å skrive en melding til de som utsteder et engangspass til et eller annet territorium, behandler data som er fritt tilgjengelig, bruker kun fornavn, etternavn og patronym til en person.

Registeret over personopplysningsoperatører til Roskomnadzor pålegger en forpliktelse i form av å sikre konfidensialitet av personopplysninger. Det vil si at det er umulig å distribuere informasjon om en person uten hans samtykke. denet av hovedkravene til operatører.

Arbeidsgivernes forpliktelser

Det er punkter som arbeidsgivere må overholde ved overføring av data:

1. Ikke utlever informasjon om en ansatt til tredjeparter uten hans samtykke. Det er viktig å huske at samtykke må gis skriftlig. Men dette gjelder ikke for situasjoner der uttalelse av informasjon bidrar til å forhindre en trussel mot helsen og livet til en ansatt eller det er påkrevd å overføre data til offentlige tjenester. Sistnevnte inkluderer pensjonsfondet, rettshåndhevelsesbyråer, den føderale rettstjenesten, militærkommissariater, påtalemyndigheten og andre organer.
2. Advar personer som mottar personlig informasjon om at den kun kan brukes til det tiltenkte formålet. Arbeidsgiver har forresten rett til å kreve bekreftelse på at denne regelen overholdes.
3. Overfør personopplysninger innen kun én bedrift eller én gründer. Dette bør skje i samsvar med et internt dokument som den ansatte har studert og signert under.
4. Tillat kun autoriserte personer å håndtere personlig informasjon. Dette betyr ikke at disse personene kan be om informasjon, de har rett til å bruke kun de dataene som er nødvendige for å utføre visse oppgaver.
5. Ikke berør helsen til en ansatt hvis dette ikke påvirker hans direkte arbeidsoppgaver.
6. Begrens informasjonen en ansattrepresentant mottar til kun det som er nødvendig for å utføre funksjonene spesifisert av representanten.

Alle disse normene er definert av loven "om personopplysninger" og noen artikler i arbeidsloven. La oss gå tilbake til registeret over personopplysningsoperatører til Roskomnadzor og deres plikter.

Andre plikter

Vi har allerede nevnt ovenfor hva operatører bør gjøre. La oss komme tilbake til dette problemet.

Operatører er pålagt å ta skritt for å sikre sikkerheten til personlig informasjon. For dette formålet velger selskapet en person som er ansvarlig for å organisere behandlingen av personopplysninger. Denne personen må kontrollere utførelsen av plikter av operatøren av personopplysninger, overholdelse av sistnevntes krav til sikkerheten ved bruk av informasjon. Den samme personen er forpliktet til å gjøre de ansatte som er involvert i behandlingen kjent med de nye endringene i loven "Om personopplysninger", samt interne handlinger om behandlingsspørsmål. Han er også tilt alt for å organisere behandlingen av klager og forespørsler fra personer hvis data behandles, samt mottak av disse klagene. I tillegg til orientering er det nødvendig å overvåke bruken av teknisk sikkerhetsutstyr og utstede dokumenter som regulerer selskapets policy på dette spørsmålet.

Når det gjelder policyen til personopplysningsoperatøren, bør den være offentlig. For å gjøre dette legges dokumentet ut på operatørens nettside, og alle som trenger det kan gjøre seg kjent med det. Hvis siden ikke er tilgjengelig, kan du installere et stativ med nødvendig informasjon på et slikt sted at alle kunder og besøkende i organisasjonen kan gjøre seg kjent med det.

Det er viktig å huske påfor de personopplysningsoperatørene hvis dokumenter etterspørres via Internett, er alternativet kun mulig med publisering på nettstedet. På nettstedet til Roskomnadzor kan du finne informasjon om operatørens retningslinjer.

Ofte er det en substitusjon av begreper om virksomhetens politikk og bestemmelsene om lagring, beskyttelse og behandling av personopplysninger. Det siste dokumentet regnes som en intern handling, så det er kun ansatte i bedriften som blir kjent med det, og deretter signerer de det.

Et annet ansvar for operatøren er å overholde kravene for lokalisering av personlig informasjon til innbyggerne i vårt land. Faktum er at siden 2015 er alle operatører, mens de samler inn personlig informasjon, forpliktet til å behandle dem ved å bruke databaser som er lokalisert i vårt land. Så snart loven ble vedtatt var det mange uklarheter, men etter hvert ble de løst. Nå er det sikkert kjent at for eksempel operatører av personopplysninger ved kommunikasjon er forpliktet til å bruke informasjonsdatabaser.

Den siste plikten er behovet for å stoppe behandlingen av personopplysninger i tide. Hvis opplysningene er brukt og personen hvis data ble behandlet, bestemmer seg for å trekke tilbake samtykket til behandlingen, må operatøren stoppe behandlingen av dataene og slette dem innen en måned. Det er viktig å forstå at et annet vilkår kan være spesifisert i avtalen, og det er derfor det er så viktig å lese dokumentene.

Operatorrettigheter

I tillegg til plikter har operatørene sine egne rettigheter. Riktignok er de få, men ikke desto mindre bør de ikke glemmes. Listen over personopplysningsoperatører gir sistnevnte kun énrett til å motta informasjon om lovendringer hvis de gjelder personopplysninger.

Hvem er inkludert i databasen

Vi har allerede sagt ovenfor at ikke alle trenger å registreres i registeret over personopplysningsoperatører. Hvem bør sende inn varselet?

1. Internettressurser. Dette inkluderer portaler, sosiale nettverk, fora, fordi registrering krever personopplysninger, om enn litt.
2. Netthandel. De trenger dette fordi kjøpere legger igjen et kontakttelefonnummer for tilbakeringing eller postadresse når de bestiller.
3. Nettsteder som publiserer informasjon om emnet eller sender det til e-post. Og også her kan du inkludere de nettstedene som allerede inneholder personlig informasjon.
4. Organisasjoner, bedrifter eller gründere som kontinuerlig behandler data. Dette er regnskaps- og juridiske kontorer, reisebyråer, bolig- og fellestjenester, registrarer, registrarer, medisinske institusjoner og banker, utdanningsinstitusjoner, selskaper som yter tjenester og utsteder klubbkort.
5. Organisasjoner som jobber under sivilrettslige kontrakter med frilansere.
6. Bedrifter som bruker CRM-systemer.

Obs! Roskomnadzor kan blokkere en Internett-ressurs hvis sistnevnte bryter loven innen databehandling.

Arbeidsgiver – operatør eller ikke?

Vi har allerede antydet at alle bør gjøre endringer i registeret over personopplysningsaktører, men oppfatningene om arbeidsgivere er fortsatt forskjellige. Hvordansom regel er de klassifisert som personopplysningsoperatører, men det finnes unntak. Dette er for eksempel de ledere som lagrer og samler inn informasjon kun for å utarbeide en arbeidskontrakt eller en intern ordre i samsvar med loven.

Hvem regnes ikke som en operatør

Registrering av en personopplysningsoperatør er ikke nødvendig for alle mennesker og organisasjoner. Hvem kan klare seg uten det?

1. Telefonselskaper som bruker abonnentdata kun for å tilby kommunikasjonstjenester.
2. Religiøse og sosiale organisasjoner som bruker personopplysninger om medlemmer kun til formålene spesifisert i stiftelsesdokumentene.
3. Institusjoner og enkeltpersoner som bruker dataene som forsøkspersonen selv har offentliggjort.
4. Bedrifter som utsteder engangskort.
5. Offentlige datasystemer utviklet for å beskytte og opprettholde offentlig orden.
6. Organisasjoner som behandler data uten automatiserte systemer.
7. Transportselskaper som mottar informasjon for utstedelse av reisebilletter.

Det er viktig å forstå at for Roskomnadzor spiller det ingen rolle om en organisasjon eller person er inkludert i registeret over operatører som behandler personopplysninger eller ikke. Tjenesten har rett til å avlegge tilsynsbesøk til enhver institusjon. Det vil si at selv de som ikke er juridisk betraktet som operatører, kan være ansvarlig for manglende overholdelse av kravene til beskyttelse av personopplysninger.

Hvordan få rett til å behandle personopplysninger

For å sikre sikkerheten for overføring og lagring av personlig informasjon, er det utviklet en lisensierings- og sertifiseringsprosess for organisasjoner som lagrer og samler inn data.

For å få lisens er det ikke nok å sende ansatte til opplæring, du må også kjøpe tekniske beskyttelsesmidler. Innhenting av lisens skjer i flere stadier:

1. Sende en melding til registeret over persondatabehandlere angående den eksisterende intensjonen om å behandle.
2. Bestått en foreløpig undersøkelse av informasjonssystemer som er tilgjengelige for bedriften.
3. Designe et beskyttelsessystem som tar hensyn til infrastrukturen til automasjon og datautstyr.
4. Anskaffelse og implementering av verneutstyr.
5. Bringe lokalene i tråd med kravene til sikkerhet, brannsikkerhet, strømforsyning.
6. Opplæring av ansatte eller forbedring av deres ferdigheter innen personvern med påfølgende sertifisering.

Hvis alle punkter er oppfylt, vil lagring og beskyttelse av personlig informasjon være effektiv.

Det er viktig å forstå at alle punkter er knyttet til behandling av informasjon i elektronisk form, selv om denne metoden ikke kan kalles sikker for lagrede data.

Sjekker aktivitetene til operatører

Operatøren som behandler personopplysninger blir med jevne mellomrom utsatt for inspeksjon av Roskomnadzor. Sistnevnte kan utføres i henhold til planen, eller den kan være basert på klagen fra personen som led under operatørens ulovlige handlinger.

Kontrollere overholdelse av lov om behandling av personopplysninger tre avdelinger:

1. Roskomnadzor. Han utfører samsvarskontroller og er også ansvarlig for å utføre kontrollene.
2. Federal Service for Export and Technical Control. Denne tjenesten beskytter dataene som er på datamaskiner i organisasjonen, og deres overføringskanaler. Sistnevnte skjer bare når informasjonen ikke er kryptert.
3. Federal Security Service. Kontrollerer krypteringsmidler for overføring og behandling av personopplysninger. Hun utvikler og distribuerer også disse produktene.

Du kan sjekke hvilken organisasjon denne eller den operatøren tilhører deg selv. For å gjøre dette, gå til Roskomnadzors nettsted og finn registeret over operatører.

For å se informasjonen trenger du bare å skrive inn registreringsnummeret til selskapet eller navnet. Et skatte-ID-nummer fungerer også.

Du kan også finne ut hvor legitim informasjonen ble forespurt. Hvis selskapet ikke er på listen, kan du kontakte Roskomnadzor. Han vil enten inkludere det i registeret, eller forby ulovlige aktiviteter for å samle inn personopplysninger.

Tilsyn foretas på grunnlag av klage fra innbyggere eller etter initiativ fra et avdelingsorgan, for eksempel påtalemyndigheten. For brudd på behandling og lagring av personopplysninger gis ansvar. Straff kan være administrativ, strafferettslig eller disiplinær, alt avhenger av hvor alvorlig overtredelsen er.

Hvordan har du detsikker?

I teorien, for å unngå slike problemer, anbefales innbyggerne å sjekke at organisasjonen er på den aktuelle listen før de gir samtykke til behandling av personopplysninger.

Faktisk gjør folk sjelden dette, om ikke annet fordi folk flest ikke en gang vet om eksistensen av et slikt register.

Det er spesielt verdt å se på små organisasjoner som ikke alltid har de rette betingelsene for å behandle informasjon. Dersom det er mistanke om dette, er samtykke ikke nødvendig. La dem nekte deg på ett sted, men du kan finne en mer passende organisasjon og du vil ikke ha noen problemer.

Datasubjektrettigheter

Til tross for at hver operatør har sin egen personopplysningspolicy, bør det ikke gå i strid med loven. Det vil si at alle rettigheter til personer som oppgir personlig informasjon om seg selv må respekteres.

Grunnleggende rettigheter inkluderer:

1. Retten til å få tilgang til din egen informasjon. Det vil si at en person har rett til å vite hvem som behandler opplysningene hans, til hvilket formål og hvem som skal se informasjonen. En person kan kreve klargjøring av data, blokkere dem eller slette dem helt. For å få tilgang til dataene dine må du sende inn en forespørsel til operatøren. Dette kan gjøres både av subjektet selv og av hans representant. Det er også begrensninger på denne retten, for eksempel hvis dataene påvirker statens sikkerhet, krenker konstitusjonelle friheter og rettighetene til tredjeparter, eller forstyrrer operasjonelle søk.
2. Retten til å behandle personopplysninger for promotering av varer, tjenester eller verk på markedet eller for formål med politisk kampanje. Databehandling skjer kun dersom subjektet samtykker til det. Ved konflikt anses behandlingen for å ha skjedd uten samtykke fra oppdragsgiver, med mindre operatøren har kunnet bevise noe annet. Så snart personen ber om å stoppe behandlingen av data, er operatøren forpliktet til å gjøre det.
3. Retten til subjektet til å ta en beslutning basert på automatisert behandling av personopplysninger. Det er forbudt ved lov å behandle data uten skriftlig samtykke fra personen, kun på grunnlag av automatisert behandling. Unntak er gitt av føderal lov.
4. Rett til å anke operatørens passivitet eller handling. En person har rett til å søke det autoriserte organet for beskyttelse av rettighetene til subjekter av personopplysninger eller til domstolen. Det må imidlertid være grunnlag for slik behandling, for eksempel brudd på rettigheter eller feilaktig behandling av data.

Forsøkspersonen kan også kreve erstatning eller materiell kompensasjon i retten.

Konklusjon

Som du kan se, er dette problemet sterkt regulert. Tross alt er det nettopp på grunn av ukontrollert mottak av personlig informasjon at innbyggerne i landet vårt blir ofre for svindlere og rett og slett uærlige mennesker. Staten prøver å stramme inn kravene så mye som mulig slik at den i det minste på en eller annen måte kan garantere sikkerheten ved lagring av data.

Ulike beskyttelsessystemer er under utvikling, bedrifterblir sertifisert og lisensiert bare for å gjøre livet enklere for vanlige borgere.

Men folk bør heller ikke være ledige. Vårt eget velvære avhenger tross alt av oss. I artikkelen beskrev vi hvordan du kan sjekke om en organisasjon er i registeret eller ikke. Bruk denne informasjonen, ikke samtykke til behandling av data av tvilsomme institusjoner, og da slipper du å bevise at rettighetene dine er krenket. Problemene til de fleste av oss skyldes uoppmerksomhet, og alt fordi de ikke er vant til å lese dokumenter før de signerer dem. I mellomtiden må dette læres fra vuggen, samt ta vare på den juridiske kunnskapen til barnet. Jo raskere vi begynner å forberede barn på voksenlivet, jo lettere blir det for dem.