Статья о персональных данных: Как защищены персональные данные россиян

Федеральный закон «О персональных данных» от 27.07.2006 N 152-ФЗ (последняя редакция) \ КонсультантПлюс

• Главная
• Документы

Подготовлена редакция документа с изменениями, не вступившими в силу

27 июля 2006 года N 152-ФЗ

---

РОССИЙСКАЯ ФЕДЕРАЦИЯ

ФЕДЕРАЛЬНЫЙ ЗАКОН

О ПЕРСОНАЛЬНЫХ ДАННЫХ

Принят

Государственной Думой

8 июля 2006 года

Одобрен

Советом Федерации

14 июля 2006 года

Список изменяющих документов

(в ред. Федеральных законов от 25.11.2009 N 266-ФЗ,

от 27.12.2009 N 363-ФЗ, от 28.06.2010 N 123-ФЗ, от 27.07.2010 N 204-ФЗ,

от 27.07.2010 N 227-ФЗ, от 29.11.2010 N 313-ФЗ от 23.12.2010 N 359-ФЗ,

от 04.06.2011 N 123-ФЗ, от 25.07.2011 N 261-ФЗ, от 05.04.2013 N 43-ФЗ,

от 23.07.2013 N 205-ФЗ, от 21.12.2013 N 363-ФЗ, от 04.06.2014 N 142-ФЗ,

от 21.07.2014 N 216-ФЗ, от 21.07.2014 N 242-ФЗ, от 03.07.2016 N 231-ФЗ,

от 22.02. 2017 N 16-ФЗ, от 01.07.2017 N 148-ФЗ, от 29.07.2017 N 223-ФЗ,

от 31.12.2017 N 498-ФЗ, от 27.12.2019 N 480-ФЗ, от 24.04.2020 N 123-ФЗ,

от 08.12.2020 N 429-ФЗ, от 30.12.2020 N 515-ФЗ, от 30.12.2020 N 519-ФЗ,

от 11.06.2021 N 170-ФЗ, от 02.07.2021 N 331-ФЗ, от 14.07.2022 N 266-ФЗ)

(см. Обзор изменений данного документа)

• Глава 1. Общие положения
• Статья 1. Сфера действия настоящего Федерального закона
• Статья 2. Цель настоящего Федерального закона
• Статья 3. Основные понятия, используемые в настоящем Федеральном законе
• Статья 4. Законодательство Российской Федерации в области персональных данных
• Глава 2. Принципы и условия обработки персональных данных
• Статья 5. Принципы обработки персональных данных
• Статья 6. Условия обработки персональных данных
• Статья 7. Конфиденциальность персональных данных
• Статья 8. Общедоступные источники персональных данных
• Статья 9. Согласие субъекта персональных данных на обработку его персональных данных
• Статья 10. Специальные категории персональных данных
• Статья 10.1. Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения
• Статья 11. Биометрические персональные данные
• Статья 12. Трансграничная передача персональных данных
• Статья 13. Особенности обработки персональных данных в государственных или муниципальных информационных системах персональных данных
• Глава 3. Права субъекта персональных данных
• Статья 14. Право субъекта персональных данных на доступ к его персональным данным
• Статья 15. Права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации
• Статья 16. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных
• Статья 17. Право на обжалование действий или бездействия оператора
• Глава 4. Обязанности оператора
• Статья 18. Обязанности оператора при сборе персональных данных
• Статья 18.1. Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом
• Статья 19. Меры по обеспечению безопасности персональных данных при их обработке
• Статья 20. Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных
• Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных
• Статья 22. Уведомление об обработке персональных данных
• Статья 22.1. Лица, ответственные за организацию обработки персональных данных в организациях
• Глава 5. Федеральный государственный контроль (надзор) за обработкой персональных данных. Ответственность за нарушение требований настоящего Федерального закона
• Статья 23. Уполномоченный орган по защите прав субъектов персональных данных
• Статья 23.1. Федеральный государственный контроль (надзор) за обработкой персональных данных
• Статья 24. Ответственность за нарушение требований настоящего Федерального закона
• Глава 6. Заключительные положения
• Статья 25. Заключительные положения

Глава 1. Общие положения

Статья 10. Специальные категории персональных данных \ КонсультантПлюс

Статья 10. Специальные категории персональных данных

1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частями 2 и 2. 1 настоящей статьи.

(в ред. Федерального закона от 24.04.2020 N 123-ФЗ)

(см. текст в предыдущей редакции)

2. Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если:

1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;

2) обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных статьей 10.1 настоящего Федерального закона;

(п. 2 в ред. Федерального закона от 30.12.2020 N 519-ФЗ)

(см. текст в предыдущей редакции)

2.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;

(п. 2.1 введен Федеральным законом от 25.11.2009 N 266-ФЗ)

2.2) обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года N 8-ФЗ «О Всероссийской переписи населения»;

(п. 2.2 введен Федеральным законом от 27.07.2010 N 204-ФЗ)

2.3) обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации;

(п. 2.3 введен Федеральным законом от 25.07.2011 N 261-ФЗ, в ред. Федерального закона от 21.07.2014 N 216-ФЗ)

(см. текст в предыдущей редакции)

3) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;

(п. 3 в ред. Федерального закона от 25.07.2011 N 261-ФЗ)

(см. текст в предыдущей редакции)

4) обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;

5) обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;

6) обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия;

(п. 6 в ред. Федерального закона от 25.07.2011 N 261-ФЗ)

(см. текст в предыдущей редакции)

7) обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, об исполнительном производстве, уголовно-исполнительным законодательством Российской Федерации;

(п. 7 в ред. Федерального закона от 25.07.2011 N 261-ФЗ)

(см. текст в предыдущей редакции)

7.1) обработка полученных в установленных законодательством Российской Федерации случаях персональных данных осуществляется органами прокуратуры в связи с осуществлением ими прокурорского надзора;

(п. 7.1 введен Федеральным законом от 23.07.2013 N 205-ФЗ)

8) обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;

(п. 8 в ред. Федерального закона от 25. 07.2011 N 261-ФЗ)

(см. текст в предыдущей редакции)

9) обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации, государственными органами, муниципальными органами или организациями в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан;

(п. 9 введен Федеральным законом от 25.07.2011 N 261-ФЗ)

10) обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о гражданстве Российской Федерации.

(п. 10 введен Федеральным законом от 04.06.2014 N 142-ФЗ)

2.1. Обработка персональных данных, касающихся состояния здоровья, полученных в результате обезличивания персональных данных, допускается в целях повышения эффективности государственного или муниципального управления, а также в иных целях, предусмотренных Федеральным законом от 24 апреля 2020 года N 123-ФЗ «О проведении эксперимента по установлению специального регулирования в целях создания необходимых условий для разработки и внедрения технологий искусственного интеллекта в субъекте Российской Федерации — городе федерального значения Москве и внесении изменений в статьи 6 и 10 Федерального закона «О персональных данных» и Федеральным законом от 31 июля 2020 года N 258-ФЗ «Об экспериментальных правовых режимах в сфере цифровых инноваций в Российской Федерации», в порядке и на условиях, которые предусмотрены указанными федеральными законами.

(часть 2.1 введена Федеральным законом от 24.04.2020 N 123-ФЗ; в ред. Федерального закона от 02.07.2021 N 331-ФЗ)

(см. текст в предыдущей редакции)

3. Обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.

4. Обработка специальных категорий персональных данных, осуществлявшаяся в случаях, предусмотренных частями 2 и 3 настоящей статьи, должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка, если иное не установлено федеральным законом.

(в ред. Федерального закона от 25.07.2011 N 261-ФЗ)

(см. текст в предыдущей редакции)

Защита данных и конфиденциальность потребителей

По мере того, как потребители все чаще используют цифровую технологию , генерируемые ими данные создают для предприятий возможность улучшить взаимодействие с потребителями и несут ответственность за обеспечение безопасности данных потребителей. Эти данные, включая отслеживание местоположения и другие виды личной информации, чрезвычайно ценны для компаний: многие организации, например, используют данные, чтобы лучше понять болевые точки и неудовлетворенные потребности потребителей. Эти идеи помогают разрабатывать новые продукты и услуги, а также персонализировать рекламу и маркетинг (общая глобальная стоимость цифровой рекламы в настоящее время оценивается в 300 миллиардов долларов).

Данные о потребителях явно трансформируют бизнес, и компании несут ответственность за управление данными, которые они собирают. Чтобы узнать, что потребители думают о конфиденциальности и сборе данных, McKinsey провела опрос 1000 потребителей из Северной Америки. Чтобы определить их взгляды на сбор данных, взломы и взломы, правила, коммуникации и конкретные отрасли, мы задали им конкретные вопросы об их доверии к компаниям, которым они покровительствуют.

Ответы показывают, что потребители все более осознанно относятся к тому, какими типами данных они делятся и с кем. Они гораздо чаще делятся личными данными, которые являются необходимой частью их взаимодействия с организациями. По отраслям потребители наиболее комфортно обмениваются данными с поставщиками медицинских и финансовых услуг, хотя ни одна отрасль не достигла рейтинга доверия 50 процентов для защиты данных.

Такое недоверие понятно, учитывая недавнюю историю громких утечек данных потребителей. Респонденты знали о таких нарушениях, что повлияло на их ответы в опросе о доверии. Масштабы потребительских данных, раскрытых в результате самых катастрофических утечек, ошеломляют. В результате двух взломов в одной крупной корпорации было обнародовано более 3,5 миллиардов записей. Взломы в нескольких других выявили сотни миллионов записей. Ставки высоки для компаний, обрабатывающих данные потребителей: даже потребители, которые не пострадали от этих утечек, обратили внимание на то, как компании отреагировали на них.

Распространение нарушений и требование потребителей о конфиденциальности и контроле своих собственных данных побудили правительства принять новые правила, такие как Общее положение о защите данных (GDPR) в Европе и Калифорнийский закон о конфиденциальности потребителей (CCPA) в этом штате США.

Многие другие следуют их примеру.

Взломы также способствовали более широкому использованию инструментов, которые дают людям больший контроль над своими данными. Каждый десятый интернет-пользователь в мире (и три из десяти пользователей в США) использует программное обеспечение для блокировки рекламы, которое может помешать компаниям отслеживать онлайн-активность. Подавляющее большинство респондентов — 87 % — заявили, что не будут иметь дело с компанией, если у них есть опасения по поводу ее методов обеспечения безопасности. Семьдесят один процент заявили, что прекратят вести дела с компанией, если она разглашает конфиденциальные данные без разрешения.

Поскольку ставки очень высоки — и осведомленность об этих проблемах растет — то, как компании обращаются с данными потребителей и конфиденциальностью, может стать отличительной чертой и даже источником конкурентного преимущества в бизнесе. Основные результаты нашего исследования представлены ниже. Затем мы предлагаем предписывающие шаги для сопоставления данных, операций и инфраструктуры, а также лучшие практики для клиентов. Это может помочь компаниям позиционировать себя, чтобы получить это конкурентное преимущество.

Вопрос доверия или его отсутствия

Ответы потребителей на наш опрос позволили сделать ряд важных выводов об управлении данными и конфиденциальности. Во-первых, уровень потребительского доверия в целом низок, но варьируется в зависимости от отрасли. Два сектора — здравоохранение и финансовые услуги — получили наивысший балл доверия: 44%. Примечательно, что взаимодействие с клиентами в этих секторах связано с использованием личных и особо конфиденциальных данных. Уровень доверия гораздо ниже для других отраслей. Только около 10 процентов респондентов-потребителей сказали, что они доверяют, например, потребительским товарам или медиа- и развлекательным компаниям (Иллюстрация 1).

Экспонат 1

Мы стремимся предоставить людям с ограниченными возможностями равный доступ к нашему веб-сайту. Если вам нужна информация об этом контенте, мы будем рады работать с вами. Пожалуйста, напишите нам по адресу: [email protected]

Около двух третей интернет-пользователей в Соединенных Штатах говорят, что «очень важно», чтобы содержимое их электронной почты оставалось доступным только тем, кого они уполномочили, и чтобы имена и личности их корреспондентов по электронной почте оставались конфиденциальными (Приложение 2). .

Экспонат 2

Мы стремимся предоставить людям с ограниченными возможностями равный доступ к нашему веб-сайту. Если вам нужна информация об этом контенте, мы будем рады работать с вами. Пожалуйста, напишите нам по адресу: [email protected]

Около половины респондентов-потребителей сказали, что они с большей вероятностью будут доверять компании, которая запрашивает только информацию, относящуюся к ее продуктам, или которая ограничивает объем запрашиваемой личной информации. Эти маркеры, по-видимому, сигнализируют потребителям о том, что компания тщательно подходит к управлению данными.

Половина наших респондентов-потребителей также с большей вероятностью доверяют компаниям, которые быстро реагируют на взломы и взломы или активно сообщают о таких инцидентах общественности. Эти методы становятся все более важными как для компаний, так и для потребителей, поскольку влияние нарушений растет, а сроки раскрытия информации об утечке данных регулируются все большим числом нормативных актов.

Согласно опросу, другие вопросы имеют меньшее значение для завоевания доверия потребителей: уровень регулирования в конкретной отрасли, наличие штаб-квартиры компании в стране с заслуживающим доверия правительством или активное распространение компанией киберпрактик на веб-сайтах или в рекламных объявлениях (Приложение 3).

Экспонат 3

Мы стремимся предоставить людям с ограниченными возможностями равный доступ к нашему веб-сайту. Если вам нужна информация об этом контенте, мы будем рады работать с вами. Пожалуйста, напишите нам по адресу: McKinsey_Website_Accessibility@mckinsey. com

Расширение прав и возможностей потребителей и действия

Учитывая низкий общий уровень доверия, неудивительно, что потребители часто хотят ограничить типы данных, которыми они делятся с бизнесом. Потребители имеют больший контроль над своей личной информацией благодаря множеству доступных инструментов конфиденциальности, включая веб-браузеры со встроенными блокировщиками файлов cookie, программное обеспечение для блокировки рекламы (используемое на более чем 600 миллионах устройств по всему миру) и браузеры в режиме инкогнито ( используется более чем 40 процентами интернет-пользователей во всем мире). Однако, если предлагаемый продукт или услуга — например, здравоохранение или управление финансами — критически важны для потребителей, многие готовы отложить в сторону свои опасения по поводу конфиденциальности.

Потребители не желают делиться данными о транзакциях, которые они считают менее важными. Они могут даже «голосовать ногами» и отказываться от ведения бизнеса с компаниями, чьим методам обеспечения конфиденциальности данных они не доверяют, с которыми не согласны или не понимают. Кроме того, в то время как общие знания о конфиденциальности потребителей растут, многие потребители все еще не знают, как защитить себя: например, только 14 процентов интернет-пользователей шифруют свои онлайн-коммуникации, и только треть регулярно меняет свои пароли (приложение). 4).

Экспонат 4

Мы стремимся предоставить людям с ограниченными возможностями равный доступ к нашему веб-сайту. Если вам нужна информация об этом контенте, мы будем рады работать с вами. Пожалуйста, напишите нам по адресу: [email protected]

Новые правила

Правила конфиденциальности развиваются с заметным сдвигом в сторону защиты потребителей: например, GDPR, введенный в действие в Европе в мае 2018 года, предоставляет потребителям больше возможностей выбора и защиты в отношении того, как используются их данные. GDPR упрощает доступ потребителей к данным, которые компании хранят о них, и облегчает им обращение к компаниям с просьбой удалить их данные.

Для компаний GDPR требует существенных изменений в способах сбора, хранения, обмена и удаления данных. Несоблюдение этого требования может привести к крупным штрафам, которые могут стоить компании до 4 процентов ее глобального дохода. Одна компания понесла штраф в размере 180 миллионов долларов за утечку данных, которая включала информацию для входа в систему и платежную информацию почти 400 000 человек. ¹ 1. Штраф был наложен Управлением информационных комиссий, британским регулятором данных, и в настоящее время он находится на рассмотрении регулирующего процесса. Другой был оштрафован на 57 миллионов долларов за несоблюдение GDPR. Побочным эффектом этого правила является повышение осведомленности потребителей об их правах и средствах защиты конфиденциальности данных. Около шести из десяти потребителей в Европе теперь осознают, что правила регулируют использование их данных в их собственных странах, по сравнению с четырьмя из десяти в 2015 году9. 0005

Хотите узнать больше о нашей практике управления рисками?

GDPR считается лидером в области регулирования конфиденциальности данных. Даже в Европе директивные органы стремятся принять дополнительные меры по защите конфиденциальности потребителей, в том числе регламент ePrivacy (расширение GDPR), в котором основное внимание уделяется защите конфиденциальности данных, передаваемых в электронном виде. Его статус нормативного акта (а не директивы) означает, что он может применяться единообразно во всех государствах-членах ЕС. Положение об электронной конфиденциальности, скорее всего, вступит в силу в 2020 году9.0005

За пределами Европы

Правительства за пределами Европы также начали вводить правила конфиденциальности данных. Например, в Бразилии в августе 2020 года вступит в силу Lei Geral de Proteção de Dados, или LGPD (Общий закон о защите данных). Предыдущие правила защиты данных в Бразилии были отраслевыми. LGPD — это общенациональный закон, объединяющий и кодифицирующий правила, регулирующие сбор, использование, обработку и хранение персональных данных. Хотя штрафы менее крутые, чем в GDPR, они все же огромны: несоблюдение LGPD может стоить компаниям до 2 процентов их доходов в Бразилии.

В США в январе 2020 года вступил в силу Калифорнийский закон о конфиденциальности потребителей (CCPA). Он дает жителям право знать, какие данные о них собираются, и предотвращать продажу своих данных. CCPA — это широкая мера, применяемая к коммерческим организациям, ведущим бизнес в Калифорнии и отвечающим одному из следующих критериев: получение более половины своего годового дохода от продажи личной информации потребителей; получение валовой выручки более 50 миллионов долларов; или хранение личной информации о более чем 100 000 потребителей, домохозяйств или устройств.

CCPA является самым строгим регулированием конфиденциальности потребителей в Соединенных Штатах, где еще нет национального закона о конфиденциальности данных. Однако самый крупный штраф за неправильное обращение с данными был наложен Федеральной торговой комиссией США (FTC).

Инвестиции в соответствие

Компании вкладывают огромные суммы, чтобы обеспечить соблюдение этих новых правил. В общей сложности, согласно оценке Международной ассоциации профессионалов в области конфиденциальности, к 2018 году компании из списка Fortune Global 500 потратили 7,8 миллиарда долларов на подготовку к GDPR. Компании наняли сотрудников по защите данных — новую корпоративную должность, предусмотренную GDPR для всех компаний, обрабатывающих большие объемы персональных данных. Несмотря на эти меры, немногие компании полностью соответствуют требованиям, и многие все еще работают над масштабируемыми решениями.

Главной проблемой, особенно для компаний, работающих на международном уровне, является лоскутный характер регулирования. Требования сильно отличаются от одной юрисдикции или рынка к другому. Чтобы учесть разнообразие нормативных требований и предвидеть будущие правила, многие компании начали систематизировать свой подход к соблюдению требований. Некоторые начали создавать регулирующие роли и обязанности в своих организациях. Многие пытаются внедрить перспективные решения. Вместо того, чтобы выполнять требования CCPA только в Калифорнии, Microsoft применяет их ко всем гражданам США, хотя в других штатах еще нет таких ограничительных политик, как CCPA. Эта практика, вероятно, станет более распространенной, поскольку многие компании используют самые строгие юридические требования в качестве собственного стандарта. Для большинства компаний в США это означает соблюдение рекомендаций CCPA.

Еще один сложный аспект регулирования конфиденциальности связан с удалением и переносом данных: правила позволяют потребителям запрашивать удаление их данных или предоставление предприятиями пользовательских данных отдельным потребителям или другим службам. Для многих компаний эти задачи технически сложны. Наборы корпоративных данных часто фрагментированы по разнообразной ИТ-инфраструктуре, что затрудняет восстановление всей информации об отдельных потребителях. Кроме того, некоторые данные могут находиться за пределами предприятия, в партнерских или сторонних сетях. По этим причинам компаниям может быть сложно идентифицировать все данные из всех источников для передачи или удаления.

Проактивные шаги для компаний

Для компаний, стремящихся удовлетворить повышенные требования к конфиденциальности потребителей и защите данных, было предложено несколько эффективных действий. Они охватывают жизненный цикл корпоративных данных и включают этапы в операциях, инфраструктуре и методах взаимодействия с клиентами, а также реализуются путем сопоставления данных.

Отображение данных

Ведущие компании создали карты данных или реестры для классификации типов данных, которые они собирают от клиентов. Решение лучше всего подходит для увеличения объема и диапазона таких данных, которые обязательно будут поступать. Существующие инструменты каталогизации данных и отображения потоков данных могут поддерживать этот процесс.

Компании должны знать, какие данные им действительно нужны для обслуживания клиентов. Большая часть собираемых данных не используется для аналитики и не понадобится в будущем. Компании будут снижать риски, собирая только те данные, которые им, вероятно, понадобятся. Еще одним необходимым шагом является написание или пересмотр политик хранения данных и безопасности. Наилучшие подходы учитывают разные категории данных, для которых могут потребоваться разные политики хранения.

Еще одно важное значение имеет растущий спрос на прикладную аналитику. Сегодня ведущим компаниям нужна надежная политика аналитики. Учитывая распространение передовых инструментов машинного обучения, многие организации будут стремиться анализировать большие объемы данных, которые они собирают, особенно экспериментируя с неконтролируемыми алгоритмами. Но если у компаний нет продвинутых подходов к проверке моделей и тщательно продуманных потребительских данных, им следует действовать с особой осторожностью, возможно, сосредоточив внимание на алгоритмах обучения с учителем для минимизации риска.

Операции

Ведущие организации разработали методы управления идентификацией и доступом для отдельных лиц в соответствии с их ролями, при этом уровни безопасности доступа определены для различных категорий данных. Около трети взломов за последние годы были связаны с внутренними угрозами. Этот риск можно снизить, обеспечив доступ к наборам данных только тем, кто в них нуждается, и чтобы никто не имел доступа ко всем имеющимся данным. Даже самые надежные методы управления идентификацией и доступом могут дать сбой — некоторые нарушения могут быть вызваны лицами с утвержденным доступом, поэтому дополнительный мониторинг активности может быть полезен.

Чтобы действовать быстро при возникновении нарушений, организациям следует заранее протестировать свои процессы реагирования на кризисные ситуации. Необходимо определить людей, которые будут участвовать в реагировании, и разработать сильную коммуникационную стратегию. Одним из самых важных факторов, определяющих доверие потребителей, является скорость компании, которая сообщает о нарушениях и реагирует на них. Действительно, большинство новых правил требуют, чтобы компании очень быстро сообщали о нарушениях; GDPR, например, предписывает объявлять о нарушении в течение 72 часов после его обнаружения.

Компании должны разработать четкие стандартизированные процедуры для обработки запросов на удаление или передачу данных. Они должны обеспечивать ускоренное соблюдение правил и охватывать запросы потребителей на идентификацию, удаление и передачу данных. Процессы должны поддерживать обнаружение данных во всех соответствующих инфраструктурных средах внутри компании и ее филиалов. Большинство компаний сегодня используют ручные процессы, что создает возможность их оптимизации и автоматизации для экономии времени и ресурсов. Этот подход также подготавливает инфраструктурные среды к будущим разработкам процессов.

Компании должны разработать четкие стандартизированные процедуры для обработки запросов на удаление или передачу данных.

Тесно сотрудничая с третьими сторонами, аффилированными лицами и поставщиками, компании могут получить представление о том, как и где хранятся их данные. Эти знания особенно важны, когда третьи лица поддерживают разработку продуктов и функций и нуждаются в доступе к данным потребителей. Некоторые компании рассматривают возможность создания контрольных советов для поддержки решений об обмене данными с третьими сторонами.

Инфраструктура

Организации работают над созданием инфраструктурных сред, которые могут легко вместить растущие объемы собираемых данных, а также внедрять технологические инновации. Лучшей практикой является хранение данных в ограниченном числе систем, в зависимости от типа данных или классификации. Меньший размер системы снижает вероятность нарушений.

Передовой опыт работы с клиентами

Ведущие компании встраивают «конфиденциальность по замыслу» в ориентированные на потребителя приложения с такими функциями, как автоматический выход из системы по времени и требования к надежным паролям. Безопасность и конфиденциальность становятся параметрами по умолчанию для потребителей, а функции обеспечивают баланс с пользовательским интерфейсом.

Для организаций важно обеспечить прозрачность коммуникаций: клиенты должны знать, когда и почему собираются их данные. Многие компании добавляют конфиденциальность потребителей в свои ценностные предложения и тщательно обрабатывают сообщения в своих политиках конфиденциальности и уведомлениях о файлах cookie, чтобы они соответствовали общему бренду.

---

Наше исследование показало, что наша выборка потребителей просто не доверяет компаниям в вопросах обработки их данных и защиты их конфиденциальности. Таким образом, компании могут выделиться, приняв преднамеренные позитивные меры в этой области. По нашему опыту, потребители реагируют на компании, которые обращаются с их личными данными так же тщательно, как и они сами.

Статья 13 📖 GDPR. Информация, предоставляемая при сборе персональных данных от субъекта данных

Статья 1. Предмет и целиСтатья 2. Существенный объемСтатья 3. Территориальный охватСтатья 4. ОпределенияСтатья 5. Принципы обработки персональных данныхСтатья 6. Законность обработкиСтатья 7. Условия согласияСтатья 9. Обработка особых категорий персональных данныхСтатья 10. Обработка персональных данных, касающихся уголовных судимостей и правонарушенийСтатья 11. Обработка, не требующая идентификацииСтатья 12. Прозрачная информация, общение и способы осуществления прав субъекта данныхСтатья 13. Информация, которая должна быть предоставлена, если персональные данные получены от субъекта данных Статья 14. Информация, которая должна быть предоставлена, если персональные данные не были получены от субъекта данных Статья 15. Право доступа субъекта данных Статья 16. Право на исправление Статья 17. Право на стирание («право на забвение») Статья 18. Право на ограничение обработки Статья 19. Обязательство уведомления об исправлении или удалении персональных данных или ограничении обработкиСтатья 20. Право на переносимость данныхСтатья 21. Право на возражениеСтатья 22. Автоматизированное индивидуальное принятие решений, включая профилированиеСтатья 23. ОграниченияСтатья 24. Предмет и целиСтатья 25. Защита данных по дизайну и по умолчаниюСтатья 26. Совместные контролерыСтатья 27. Представители контролеров или обработчиков, не зарегистрированных в СоюзеСтатья 28. ПроцессорСтатья 29. Обработка под руководством контролера или обработчикаСтатья 30. Записи об обработкеСтатья 31. Сотрудничество с надзорным органомСтатья 32. Безопасность обработкиСтатья 33. Уведомление надзорного органа о нарушении персональных данныхСтатья 34. Сообщение об утечке персональных данных в отношении данных предметСтатья 35. Оценка воздействия на защиту данныхСтатья 36. Предварительные консультацииСтатья 37. Назначение уполномоченного по защите данныхСтатья 38. Должность уполномоченного по защите данныхСтатья 39. Задачи уполномоченного по защите данныхСтатья 40. Кодексы поведенияСтатья 41. Мониторинг утвержденных кодексов поведенияСтатья 42. СертификацияСтатья 43. Органы по сертификацииСтатья 44. Общий принцип передачиСтатья 45. Передача на основании решения об адекватностиСтатья 46. Передача с соблюдением соответствующих гарантийСтатья 47 Обязательные корпоративные правилаСтатья 48. Передача или раскрытие информации, не разрешенные законодательством СоюзаСтатья 49. Отступления для конкретных ситуацийСтатья 50. Международное сотрудничество по защите персональных данныхСтатья 51. Надзорный органСтатья 52. НезависимостьСтатья 53. Общие условия для членов надзорного органаСтатья 54. Правила образования надзорного органаСтатья 55. КомпетенцияСтатья 56. Компетенция головного надзорного органаСтатья 57. ЗадачиСтатья 58. ПолномочияСтатья 59. Отчеты о деятельностиСтатья 60. Сотрудничество между головным надзорным органом и другими заинтересованными надзорными органамиСтатья 61. ВзаимопомощьСтатья 62. Совместная деятельность надзорных органовСтатья 63. Механизм согласованностиСтатья 64. Мнение ПравленияСтатья 65. Разрешение споров ПравлениемСтатья 66. Экстренная процедураСтатья 67. Обмен информациейСтатья 68. Европейский совет по защите данныхСтатья 69. НезависимостьСтатья 70. Задачи советаСтатья 71. ОтчетыСтатья 72. ПроцедураСтатья 73. ПредседательСтатья 74. Задачи председателяСтатья 75. СекретариатСтатья 76. КонфиденциальностьСтатья 77. Право на подачу жалобы в надзорный органСтатья 78. Право на эффективное средство судебной защиты от надзорного органаСтатья 79. Право на эффективное средство судебной защиты против контролера или обработчикаСтатья 80. Представительство субъектов данныхСтатья 81. Приостановление производстваСтатья 82. Право на компенсацию и ответственностьСтатья 83. Общие условия наложения административных штрафовСтатья 84. НаказанияСтатья 85. Обработка и свобода выражения мнений и информацииСтатья 86 .Обработка и публичный доступ к официальным документамСтатья 87. Обработка национального идентификационного номераСтатья 88. Обработка в контексте трудоустройстваСтатья 89. Гарантии и отступления, связанные с обработкой в ​​целях архивирования в общественных интересах, в целях научных или исторических исследований или в статистических целях Отмена Директивы 95/46/ЕССтатья 95. Связь с Директивой 2002/58/ЕССтатья 96. Связь с ранее заключенными СоглашениямиСтатья 97. Commission reportsArticle 98. Review of other Union legal acts on data protectionArticle 99. Entry into force and applicationRecital 1Recital 2Recital 3Recital 4Recital 5Recital 6Recital 7Recital 8Recital 9Recital 10Recital 11Recital 12Recital 13Recital 14Recital 15Recital 16Recital 17Recital 18Recital 19Recital 20Recital 21Recital 22Recital 23Recital 24Recital 25Recital 26Recital 27Recital 28Recital 29 Сольный концерт 30 Сольный концерт 31 Сольный концерт 32 Сольный концерт 33 Сольный концерт 34 Сольный концерт 35 Сольный концерт 36 Сольный концерт 37 Сольный концерт 38 Сольный концерт 39Recital 40Recital 41Recital 42Recital 43Recital 44Recital 45Recital 46Recital 47Recital 48Recital 49Recital 50Recital 51Recital 52Recital 53Recital 54Recital 55Recital 56Recital 57Recital 58Recital 59Recital 60Recital 61Recital 62Recital 63Recital 64Recital 65Recital 66Recital 67Recital 68Recital 69Recital 70Recital 71Recital 72Recital 73Recital 74Recital 75Recital 76Recital 77Recital 78Recital 79Recital 80Recital 81Recital 82Recital 83Recital 84Recital 85Recital 86Recital 87Recital 88Recital 89Сольный концерт 90Recital 91Recital 92Recital 93Recital 94Recital 95Recital 96Recital 97Recital 98Recital 99Recital 100Recital 101Recital 102Recital 103Recital 104Recital 105Recital 106Recital 107Recital 108Recital 109Recital 110Recital 111Recital 112Recital 113Recital 114Recital 115Recital 116Recital 117Recital 118Recital 119Recital 126Recital 127Recital 128Recital 129Recital 130Recital 131Recital 132Recital 133Recital 134Recital 135Recital 136Recital 137Recital 138Recital 139Recital 140Recital 141Recital 142Recital 120Recital 121Recital 122Recital 123 Сольный концерт 124 Сольный концерт 125 Сольный концерт 143 Сольный концерт 144 Сольный концерт 145 Сольный концерт 146 Сольный концерт 147 Сольный концерт 148 Сольный концерт 149Секретат 150 -рецтатный 151 декабря 152 декабря 153 деката 154 -декал. GDPR > Статья 13. Информация, предоставляемая при сборе персональных данных субъекта данных

Один язык Два языка Три языка

Скачать PDF

Текст

Преамбула

Руководящие принципы и прецедентное право

Комментарии экспертов

Регистрация | Войти

Болгарский (bg)Чешский (sc)Датский (da)Немецкий (de)Греческий (el)Английский (en)Испанский (es)Эстонский (et)Финский (fi)Французский (fr)Ирландский (ga)Хорватский (hr)Венгерский (hu)Итальянский (it)Корейский (ko)Литовский (lt)Латышский (lv)Мальтийский (mt)Голландский (nl)Норвежский (no)Польский (pl)Португальский (pt)Румынский (ro)Русский (ru)Словацкий (sk )Словенский (sl)Шведский (sv)Украинский (uk)Китайский (zh)

Комментарий эксперта ИСО 27701 Сольные концерты Руководящие принципы и прецедентное право

Комментарий эксперта

ИСО 27701

Сольные концерты

(61) Информация об обработке персональных данных, касающихся субъекта данных, должна быть предоставлена ​​ему или ей в момент сбора от субъекта данных или, если персональные данные получены из другого источника в разумный срок, в зависимости от обстоятельств дела. Если личные данные могут быть раскрыты другому получателю на законных основаниях, субъект данных должен быть проинформирован, когда личные данные впервые раскрываются получателю. Если контролер намеревается обрабатывать персональные данные с целью, отличной от той, для которой они были собраны, контролер должен предоставить субъекту данных до такой дальнейшей обработки информацию об этой другой цели и другую необходимую информацию. Если источник персональных данных не может быть предоставлен субъекту данных из-за использования различных источников, должна быть предоставлена ​​общая информация.

(62) Однако нет необходимости налагать обязательство по предоставлению информации, если субъект данных уже владеет информацией, если запись или раскрытие персональных данных прямо предусмотрено законом или если предоставление информации субъекту данных оказывается невозможным или требует непропорциональных усилий. Последнее может иметь место, в частности, в случае, когда обработка осуществляется для целей архивирования в общественных интересах, научных или исторических исследований или статистических целей. В связи с этим следует принимать во внимание количество субъектов данных, возраст данных и любые соответствующие принятые меры безопасности.

(63) Субъект данных должен иметь право доступа к личным данным, которые были собраны о нем или ней, и осуществлять это право легко и через разумные промежутки времени, чтобы знать и проверять, законность обработки. Это включает в себя право субъектов данных на доступ к данным, касающимся их здоровья, например, к данным в их медицинских записях, содержащих такую ​​информацию, как диагнозы, результаты обследований, оценки лечащих врачей и любое предоставленное лечение или вмешательства. Поэтому каждый субъект данных должен иметь право знать и получать информацию, в частности, в отношении целей, для которых обрабатываются персональные данные, по возможности, периода обработки персональных данных, получателей персональных данных, вовлеченной логики. при любой автоматической обработке персональных данных и, по крайней мере, на основе профилирования, последствиях такой обработки.