Закон о персональных данных и их защите

[Лоскутов Игорь Юрьевич]

Статья 9. Сбор, обработка персональных данных без согласия субъекта

Сбор, обработка персональных данных производятся без согласия субъекта или его законного представителя в случаях:

7) опубликования персональных данных в соответствии с законами Республики Казахстан

[Вовун]

А если нет опубликования? АО ведет учет афиилированным лиц, отправляет раз в квартал эти списки в НБ, а публикует ли их НБ - его дело))) Хотя отправка списков в НБ подходит еще и под пп.9) ст.9..

С практической точки зрения ищу выход как уклониться от указания даты рождения. У нас нарисовался российский крупный акционер, который прислал список своих афилирок на 40 страниц, одних физиков несколько сотен. Большинство будут и нашими афилированными лицами. У россиян форма списка другая, вместо даты рождения должны указывать место жительства. Так в этой графе они указывают напротив всех - "согласие не получено". Вот бы и мне так поступить с датами рождения, потому как реально на эти сотни физиков никто мне не даст эти данные. 

[Гость Заинтересованное лицо]

Добрый день!

Подскажи пожалуйста, какие последствия будут в случае сбора персональных данных (Ф.И.О., адрес, телефон, электронный адрес) для использования в предпринимательских целях?!

[Лоскутов Игорь Юрьевич]

Если Нацбанку отправлять, то, имхо, не отвертеться. Если россиянам, задвинуть про трансграничную передачу и вообще закинуть мяч на их сторону, типа требуется по закону, но не получено и пусть доказывают обратное :)

Кодекс Республики Казахстан об административных правонарушениях от 30 января 2001 года № 155-II (с изменениями и дополнениями по состоянию на 17.11.2014 г.)

Статья 84-1. Нарушение законодательства Республики Казахстан о персональных данных и их защите

1. Незаконный сбор и (или) обработка персональных данных -

влекут штраф на физических лиц в размере двадцати, на должностных лиц, индивидуальных предпринимателей, юридических лиц, являющихся субъектами малого или среднего предпринимательства или некоммерческими организациями, - в размере пятидесяти, на юридических лиц, являющихся субъектами крупного предпринимательства, - в размере ста месячных расчетных показателей с конфискацией предметов и (или) орудия административного правонарушения.

2. Те же деяния, совершенные собственником, оператором или третьим лицом с использованием своего служебного положения, -

влекут штраф на физических лиц в размере пятидесяти, на должностных лиц, индивидуальных предпринимателей, юридических лиц, являющихся субъектами малого или среднего предпринимательства или некоммерческими организациями, - в размере ста, на юридических лиц, являющихся субъектами крупного предпринимательства, - в размере от двухсот месячных расчетных показателей с конфискацией предметов и (или) орудия административного правонарушения.

3. Несоблюдение собственником, оператором или третьим лицом мер по защите персональных данных -

влечет штраф на физических лиц в размере ста, на должностных лиц, индивидуальных предпринимателей, юридических лиц, являющихся субъектами малого или среднего предпринимательства или некоммерческими организациями, - в размере двухсот, на юридических лиц, являющихся субъектами крупного предпринимательства, - в размере трехсот месячных расчетных показателей.

[Гость Гость]

Игорь Юрьевич! 

большое спасибо за информацию!

[Ажар]

Коллеги, опять вопрос. что имеет в виду ст. 16 Закона о персональных данных и их защите?

 

Статья 16. Трансграничная передача персональных данных

1. Трансграничная передача персональных данных - передача персональных данных на территорию иностранных государств.

2. В соответствии с настоящим Законом трансграничная передача персональных данных на территорию иностранных государств осуществляется только в случае обеспечения этими государствами защиты персональных данных. и в ссылке Конвенция о защите физических лиц
при автоматизированной обработке персональных данных (Страсбург, 28 января 1981 г.).

 

Означает ли, что в страны, не входящие в Совет Европы нельзя передавать ПД без наличия согласия субъекта, и далее по списку п. 3 ст. 16? Относится ли такое ограничение ко всем ПД или только к ПД, ограниченного доступа?

---------------------------------------------------------------------------------

 

Для сравнения почитала российский закон, так там четко написано-

Статья 12. Трансграничная передача персональных данных

 

(в ред. Федерального закона от 25.07.2011 N 261-ФЗ)

 

1. Трансграничная передача персональных данных на территории иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, а также иных иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с настоящим Федеральным законом и может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства.

2. Уполномоченный орган по защите прав субъектов персональных данных утверждает перечень иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных. Государство, не являющееся стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, может быть включено в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, при условии соответствия положениям указанной Конвенции действующих в соответствующем государстве норм права и применяемых мер безопасности персональных данных.

 

 

 

А наши в законе РК "О Персональных данных и их защите" что хотели сказать в отношение Трансграничной передачи?

 

 

 

 

[Лоскутов Игорь Юрьевич]

Никто не знает :)

Ссылку я поставил, т.к. это общепризнанный в международном праве документ.

Но РК к нему не присоединялась и что понимает под надлежащим обеспечением- неизвестно.

задайте в прокуратуру вопрос, только им надо детально расписать, как именно это напрямую затрагивают вашу организацию.

[Ажар]

Никто не знает :)

Ссылку я поставил, т.к. это общепризнанный в международном праве документ.

Но РК к нему не присоединялась и что понимает под надлежащим обеспечением- неизвестно.

задайте в прокуратуру вопрос, только им надо детально расписать, как именно это напрямую затрагивают вашу организацию.

 

:))))) спасибо Игорь Юрьевич, скорее всего так и придется сделать.

[GG]

Здравствуйте! Компания (работодатель) издала положение о персональных данных и их защите, где приложениями оформлены формы получения согласия работника на передачу его персональных данных третьим лицам, т.е. в отношении своих работников компания защитилась от необоснованных претензий в незаконной передаче, использовании персональных данных работников. Как подстраховаться в отношении сотрудников поставщиков (включая их сотрудников за рубежом), которые высылают электронные сообщения, а также заявки, с указанием своего ФИО, телефона, адреса электронной почты?  В дальнейшем эти данные предоставляются либо клиентам работодателя, либо сотрудникам для осуществления предпринимательской деятельности. Вопрос - компании необходимо получить письменное согласие с каждого такого физ лица/сотрудника поставщика на передачу их персональных данных? Можно как вариант включить в договор с поставщиком пункт, предусматривающий, что он сам  обязуется получить согласие на передачу персональных данных своих сотрудников для компании? 

Буду признательна за содействие! 

[Ажар]

Включаю в договоры с такими поставщиками положение об их согласии на сбор , обработку и передачу персональных данных поставщика исключительно для целей исполнения поставщиком работ по договору. И письменное согласие поставщика на обработку его ПД считается полученным в момент подписания поставщиком договора.

[Александр Чашкин]

57 минут назад, Ажар сказал(а):

Включаю в договоры с такими поставщиками положение об их согласии на сбор , обработку и передачу персональных данных поставщика 

Мне нравится: получить согласие контрагента-юр.лица на сбор,  обработку и передачу его персональных данных. 

Я как-то не смог договор страхования заключить из-за того,  что руководитель юрслужбы страховой компании не согласилась,  что обязательство юрлица о предоставлении его персональных данных является заведомо неисполнимым по причине отсутствия таковых у юрлица.

[GG]

2 hours ago, Александр Чашкин said:

Мне нравится: получить согласие контрагента-юр.лица на сбор,  обработку и передачу его персональных данных. 

Я как-то не смог договор страхования заключить из-за того,  что руководитель юрслужбы страховой компании не согласилась,  что обязательство юрлица о предоставлении его персональных данных является заведомо неисполнимым по причине отсутствия таковых у юрлица.

Согласна, что субъектом персональных данных является физическое лицо, к которому относятся персональные данные. Но по сути, наша Компания "вынуждена" получать и в дальнейшем распространять ПД в силу договора, подписанного между двумя юридическими лицами. Персонально получать согласие у каждого сотрудника поставщика физически невозможно. Те же заявки оформляются поставщиком и подписываются первым руководителем/уполномоченным лицом. Получается, поставщик сам указывает своего сотрудника/подрядчика в заявке и по сути это он должен иметь разрешение на обработку ПД сотрудника/подрядчика. Я вижу единственный выход: в заявках включить сноску о том, что поставщик гарантирует, что получил согласие на распространение ПД сотрудника/подрядчика, указанного в заявке и дополнительно просить предоставить подписанную форму согласия, подписанную таким сотрудником/подрядчиком на дальнейшее распространение его ПД Компании. А как оформить согласие на обработку данных, полученных путем обмена электронными сообщениями, когда такие данные поставщика/клиента распространяются между сотрудниками Компании? 

[Александр Чашкин]

12 минуты назад, GG сказал(а):

по сути, наша Компания "вынуждена" получать и в дальнейшем распространять ПД в силу договора, подписанного между двумя юридическими лицами.

А можно уточнить ситуацию/работы/услуги, "вынуждающие" вас распространять чьи-то ПД? Какие ПД распространяются?

Действительно ли эти данные являются "персональными" и для их распространения требуется согласие физлица:

 

[GG]

Just now, Александр Чашкин said:

А можно уточнить ситуацию/работы/услуги, "вынуждающие" вас распространять чьи-то ПД? Какие ПД распространяются?

Действительно ли эти данные являются "персональными" и для их распространения требуется согласие физлица:

 

Конечно, деятельность - транспортная экспедиция. ПД - ФИО, телефон, адрес. 

[Александр Чашкин]

4 минуты назад, GG сказал(а):

Конечно, деятельность - транспортная экспедиция. ПД - ФИО, телефон, адрес. 

Домашний адрес работника контрагента? 

А ФИО ответственного работника контрагента, сообщенный контрагентом (включая его работников), и номер телефона, используемого этим работником при исполнении своих трудовых обязанностей, полагаю, мы смело можем не относить к персональным данным на сбор и обработку которых требуется согласие субъекта.

 

[GG]

33 minutes ago, Александр Чашкин said:

Домашний адрес работника контрагента? 

А ФИО ответственного работника контрагента, сообщенный контрагентом (включая его работников), и номер телефона, используемого этим работником при исполнении своих трудовых обязанностей, полагаю, мы смело можем не относить к персональным данным на сбор и обработку которых требуется согласие субъекта.

 

Прошу прощение за дезинформацию.  ФИО, телефон сотрудника и адрес погрузки предоставляются клиентом, которые в последующем предоставляются контрагенту. И если у клиента и есть разрешение на распространение ПД сотрудника, то у нас-то нет. И потом, мы предоставляем по электронной почте данные водителя - ФИО, телефон, клиенту. Вот вся суть. 

[Omega]

Коллеги!

Заказчик запрашивает номера удостоверений личности работников подрядчика для выдачи пропусков на территорию объекта. Сразу скажу, что общаться с заказчиком крайне сложно, и объяснения о персональных данных воспринимаются как просто нежелание давать информацию. Но вопрос все же не в этом...

Как посоветуете поступить? Возможно ли предоставить такие данные, как номер удостоверения, когда и кем выдано? (Эти данные точно не являются общедоступными). И если все же предоставлять, то что затребовать от заказчика? Ведь сотрудники заказчика будут иметь доступ к этим данным, а имея номер и дату выдачи удостоверения можно много чего сделать...

[Egoiste]

В соответствии с пунктом 1 статьи 8 Закона, согласие на сбор, обработку персональных данных дается письменно или в электронной форме либо иным способом с применением элементов защитных действий. Про устное согласие ни слова.

Получается устное согласие субъекта (например при телефонном разговоре, как в колл-центрах банков, где стандартное: продолжая разговор Вы даете согласие на сбор и обработку данных...) по сути не является дачей своего согласия на на сбор и обработку персональных данных? Как оформили свои действия такие службы (колл-центры и прочие)?

[АдвоКот]

В 12.02.2016 at 16:10, Egoiste сказал(а):

В соответствии с пунктом 1 статьи 8 Закона, согласие на сбор, обработку персональных данных дается письменно или в электронной форме либо иным способом с применением элементов защитных действий. Про устное согласие ни слова.

Получается устное согласие субъекта (например при телефонном разговоре, как в колл-центрах банков, где стандартное: продолжая разговор Вы даете согласие на сбор и обработку данных...) по сути не является дачей своего согласия на на сбор и обработку персональных данных? Как оформили свои действия такие службы (колл-центры и прочие)?

Дык, записывается же разговор. И согласие, данное продолжением того разговора, таким образом тоже фиксируется в электронной форме (или иным способом).

[Egoiste]

В 13.02.2016 at 16:59, АдвоКот сказал(а):

Дык, записывается же разговор. И согласие, данное продолжением того разговора, таким образом тоже фиксируется в электронной форме (или иным способом).

Ок, спасибо.

Если "в электронной форме либо иным способом" можно применить к устному согласию, то следует прояснить что подразумевается под "с применением элементов защитных действий".

Означает ли это (i) обеспечением защиты этой записи устного соглашения либо (ii) все таки подразумевается требование о наличии например ЭЦП к согласию в электронном виде?