Новое в законе о персональных данных 2019: Что меняется в обработке персональных данных с 1 сентября 2022 года — Контур.Экстерн

Положение о персональных данных работников — образец 2023 года

Положение о персональных данных работников — образец 2023 года вы найдете в этой статье — должно быть обязательно включено в структуру кадрового документооборота фирмы, имеющей наемных сотрудников. Каковы нюансы составления этого источника? Для чего нужно положение о работе с персональными данными работников? Рассмотрим ответы на эти и другие вопросы, а также приведем образец заполнения такого положения.

Есть вопросы, какие кадровые документы должны быть оформлены в обязательном порядке, как их вести и заполнять? Задайте их на нашем форуме. Например, здесь можно узнать, чем грозит отсутствие согласия на обработку данных.

Что такое персональные данные

Под персональными данными принято понимать любую информацию, относящуюся к человеку — субъекту, определяемому прямо либо косвенно согласно критериям закона «О персональных данных» от 27.07.2006 № 152-ФЗ.

Данные о человеке попадают под юрисдикцию закона № 152-ФЗ в том случае, если находятся в распоряжении оператора персональных данных или подлежат обработке с его участием (п.  1 ст. 1 закона № 152-ФЗ). Признакам оператора, в частности, соответствуют фирмы, имеющие наемных работников, поскольку они осуществляют обработку широкого спектра сведений о субъектах в процессе выстраивания с ними трудовых отношений.

Полный перечень сведений о работниках, являющихся персональными данными, вы найдете в «КонсультантПлюс». Это важно знать, поскольку к персональной информации относятся не только сведения о работнике, но и его фото, например. Есть и другие интересные моменты. А ведь за нарушения в работе с персональными данными установлены довольно существенные штрафы. Получите бесплатный доступ к К+ и переходите в Путеводитель. Это убережет вас от ошибок и позволит избежать ответственности.

Как составить согласие на обработку персональных данных, смотрите здесь.

См. также «Пропуск с фото может повлечь штраф за персональные данные».

Для чего нужно положение о работе с персональными данными

Нормы ст. 87 ТК РФ, а также п. 2 ст. 18.1 закона № 152-ФЗ предписывают работодателям регламентировать операции с персональными данными своих работников — посредством издания документов, определяющих политику предприятия в области персональных данных, локальных актов по вопросам обработки данных. При этом соответствующие документы и акты должны определять (для каждой цели обработки данных):

• категории и перечни данных;
• категории субъектов, в отношении которых осуществляется обработка персональных данных;
• способы, сроки обработки, хранения данных;
• порядок уничтожения данных при достижении целей осуществления их обработки либо при появлении иных законных оснований.

Документы и акты не могут включать норм, ограничивающих прав субъектов данных, так же, как и возлагающих на предприятие полномочия и обязанности, что не предусмотрены законом.

Отметим, что в действующих федеральных источниках права, четко не определено, каким именно образом данная обязанность должна выполняться. На практике это чаще всего осуществляется посредством разработки и утверждения фирмой внутрикорпоративного положения о персональных данных нанятых работников.

ВАЖНО! С 1 сентября 2022 года у операторов персональных данных появилась новая обязанность — уведомление Роскомнадзора об установлении фактов неправомерной или случайной утечки персональных данных в течение 24 часов после инцидента (ч. 3.1 ст. 21 закона № 156-ФЗ в редакции, действующей с 01.09.2022).

Узнайте больше из специального материала о новых обязанностях операторов персональных данных.

Является ли положение о персональных данных обязательным для работодателя документом? Ответ на этот вопрос дали эксперты «КонсультантПлюс». Получите пробный доступ к системе и переходите в материал.

Положение о персональных данных работников: структура документа

Рассматриваемый документ содержит локальные нормы, определяющие:

• цели и задачи фирмы при работе с персональными данными;
• перечни фактических и потенциально задействуемых в бизнес-процессах компании персональных данных;
• описание операций с данными, практикуемых компанией;
• способы доступа к данным, используемые в фирме;
• обязанности сотрудников фирмы, задействующих при выполнении трудовой функции те или иные данные;
• права сотрудников фирмы на приобретение санкционированного доступа к данным;
• правовые механизмы ответственности работников фирмы за нарушения при операциях с данными.

Персональные данные без штрафов Время прохождения около 5 мин. Пройти тест

Исходя из отмеченного перечня норм, положение об обработке персональных данных работников может быть представлено следующими ключевыми разделами:

• устанавливающим общие положения документа;
• фиксирующим критерии выделения персональных данных из массива информации, задействуемой в документообороте и на иных участках внутрикорпоративных коммуникаций;
• определяющим перечень ключевых операций с персональными данными;
• регламентирующим осуществление соответствующих операций;
• определяющим порядок доступа работников фирмы и иных лиц к данным;
• устанавливающим обязанности сотрудников, участвующих в операциях с данными;
• устанавливающим права сотрудников компании в части получения доступа к таким данным и осуществления необходимых операций с ними;
• определяющим механизмы ответственности сотрудников фирмы за нарушения локальных норм и положений законодательства РФ, регламентирующих операции с персональными данными.

Положение о внутрикорпоративных операциях с персональными данными должен заверить руководитель фирмы. С копией этого документа обязаны ознакомиться все сотрудники под расписку (подп. 6 п. 1 ст. 18.1 закона № 152-ФЗ).

Эксперты «КонсультантПлюс» подробно разъяснили специфику обработки персональных данных работников предприятия. Получите пробный доступ к публикации на данную тему бесплатно.

Где можно скачать образец положения об обработке персональных данных работников

Загрузить актуальный для 2023 года образец внутрикорпоративного положения об операциях с подобными данными вы можете на нашем портале, по ссылке ниже. Для вас доступен источник, соответствующий структуре, рассмотренной нами выше.

Скачать образец

Альтернативный бланк положения о персональных данных работников и образец его заполнения предоставили эксперты КонсультантПлюс. Вы можете скачать бланк и образец такого положения бесплатно по этой ссылке.

Итоги

Каждая фирма, имеющая статус оператора персональных данных (таковыми являются все работодатели), обязана утвердить локальный правовой акт, который регламентирует операции с подобными данными. Чаще всего таким локальным актом становится положение, утверждаемое генеральным директором фирмы.

Ознакомиться с прочими аспектами кадрового документооборота вы можете в статьях:

• «Воинский учет в организации — пошаговая инструкция»;
• «Какой срок хранения документов в архиве организации».

Источники:

• Федеральный закон от 27.07.2006 № 152-ФЗ
• Трудовой кодекс РФ

Вступает в силу новый закон о персональных данных

В ближайшее время вступит в действие новый закон о персональных данных, который будет актуален для всех организаций, работающих с клиентами. Архитектор по информационной безопасности ActiveCloud Антон Грецкий рассказал о том,

кого коснется новый закон, что будет относиться к персональным данным, какие изменения должны будут произвести компании после вступления закона в силу.

Так что же такое персональные данные? Закон определяет их следующим образом:

Как любой закон, закон о персональных данных имеет свою область применения. Это важно понимать при работе с персональными данными. Так в каких случаях он работает?

А в каких нет? Вот они: Например, вы спокойно можете фотографировать своих друзей на вечеринке, а потом обмениваться фотографиями, а если на фотосессии в парке к вам в кадр попал человек – вы не нарушили закон, так как он не запрещает вести фотосъемку в общественных местах.

В отдельных случаях обрабатывать персональные данные субъекта можно без его согласия.

 

• Во-первых, это касается обработки данных в рамках оперативной и следственной деятельности. 

• Во-вторых, в рамках налогового законодательства – ваша налоговая не только про вас не забудет, но имеет право собирать информацию о вашей финансовой активности. 

• И в третьих в случаях, когда субъект не может как предоставить информацию о себе, так и дать согласие на ее обработку – например, когда человек поступает в больницу после тяжелого ДТП. Также без согласия можно обрабатывать персональные данные, которые стали общедоступными – например, когда человек сам выложил в открытый доступ в социальных сетях свой номер телефона, адрес или дату рождения.

С вступлением в силу нового закона у нас появится новое действующее лицо – оператор персональных данных

. Кто он такой?

То есть новый закон о персональных данных придется соблюдать любой организации и физическому лицу, которые собирают и обрабатывают данные.

Оператор персональных данных имеет право:

Поручать обработку данных третьим лицам. Например, вы можете допустить обработку данных аутсорс-разработчикам сайта для интернет-магазина, при условии получения согласия на обработку от субъектов данных. Чтобы реализовать это требование, наниматели и работники, так же будут заключать соглашения о неразглашении;

Предоставлять информацию третьим лицам. Но если, например, для доставки товара из интернет-магазина оператор должен сообщить адрес и ФИО клиента своему курьеру, сделать это без согласия клиента будет нельзя.

Обязанности оператора персональных данных будут следующие:

Важно запомнить, что обработка персональных данных будет невозможна без получения согласия субъекта данных. Это основное законное основание. Как правильно получать согласие на обработку?

Согласие субъекта имеет обязательный перечень информации, которую оно должно включать:

Субъект персональных данных — это физическое лицо, в отношении которого осуществляется сбор, обработка, распространение, предоставление персональных данных.  Какие права будут у субъекта персональных данных согласно новому законодательству?

А как теперь защищать персональные данные? Как и к защите любой информации ограниченного распространения, не отнесенной к государственным секретам, требования к защите персональных данных определены в законе «Об информации информатизации и защите информации», а требования к системам защиты информации в приказе ОАЦ №62.

Однако в части защиты персональных данных закон определяет перечень обязательных мер.

Закон устанавливает, что уполномоченный орган по защите прав субъектов данных вправе требовать от оператора изменения, удаления или блокирования недостоверных, или полученных незаконным путем данных и устранения прочих нарушений закона. Других мер реагирования, которые может применить уполномоченный орган в отношении нарушителей, закон не содержит.

Меры ответственности за неправомерные действия в отношении данных уже предусмотрены в законодательстве. Согласно статье 22.13 Кодекса Республики Беларусь об административных правонарушениях (далее — КоАП) умышленное незаконное разглашение данных человеком, которому они стали известны в связи с его профессиональной деятельностью, —

влечет штраф от четырех до двадцати базовых величин.

Это то, что необходимо знать о Законе о персональных данных уже сейчас. Возможно, до его вступления в силу произойдут другие изменения. Будем наблюдать. И обязательно расскажем об этом вам.

Часто задаваемые вопросы:

1. Когда планируется вступление в силу нового закона о персональных данных с РБ?

Закон после второго чтения был направлен на доработку. К примеру, изменится название закона. Планируется, что он будет называться «Закон о ЗАЩИТЕ персональных данных». Ожидается, что закон вступит в силу в марте 2020г.

2. Можно ли публиковать в открытом доступе серию и номер паспорта клиента?

Конечно, нет. Это один из видов персональных данных, который подлежит защите. В случае, если сам клиент опубликует где-то в открытых источниках эти данные, то они автоматически станут общедоступными персональными данными и требования по их защите предъявляться не будут, но это частный случай и вряд ли такое произойдет.

3. Какие требования (обязанности/ответственность) будут предъявлены к владельцам систем безопасности на объектах (системы контроля и управления доступом, системы видеонаблюдения) после принятия Закона о персональных данных?

После принятия Закона о защите персональных данных владельцы систем, в случае, если они будут являться операторами, будут обязаны реализовать меры по защите информации, указанные в данном законе. Подробнее требования по организации защиты персональных данных (информации ограниченного распространения) указаны в приказе ОАЦ №62. Помните, что предпринимаемые меры по защите информации также зависят от класса системы, в которой она обрабатывается. Класс системы определяется согласно СТБ 34.101.30-2017г.

4. Как в соответствии с нормами планируемого закона о персональных данных построить процесс обработки и хранения персональных данных при получении их по электронным каналам, например, данных из резюме кандидата на работу?

Во-первых, необходимо получить согласия субъекта на обработку данных. Удобнее всего разместить его на сайте вашей компании. После ознакомления с перечнем обрабатываемой вами информации и целями обработки, субъект может дать осознанное согласие. Далее субъект сможет загрузить резюме или заполнить форму прямо на вашем сайте. Помните, что вы обязаны в любой момент удалить всю информацию о субъекте и прекратить обработку его данных, как только он этого потребует. Так же, без согласия субъекта резюме, к примеру, не может быть передано из одной компании в другую с той же целью – найма на работу.

5. Какие действия в рамках планируемого к принятию закона необходимы при получении от клиента заявления об отзыве/запрете на обработку персональных. Например, клиент-физлицо является должником компании, после начала процесса досудебного взыскания (письма, телефонные звонки и т.д.) компания получает от клиента-должника заявление об отзыве/запрете на обработку персональных данных. Какие действия и каким образом может далее предпринимать компания?

В случае, если клиент является должником компании, но в процессе досудебного взыскания вдруг решает заявить об отзыве/запрете на обработку своих персональных данных вам следует обратиться в суд. В таком случае сразу же начнут действовать иные нормы законодательства, а предоставление персональных данных судебным органам в рамках процесса, даже в случае если субъект данных против (а это всегда так) не противоречит нормам Закона.

6. Произошло слияние двух компаний А и В. Вся клиентская база компании А перешла в компанию В. У компании А были письменные (или иные) разрешения от клиентов на обработку персональных данных. У компании В нет разрешений на обработку клиентов компании А. Каким образом и на основании каких норм законодательства компания В может осуществлять обработку персональных данных пула клиентов компании А?

Для осуществления компанией B обработки персональных данных пула клиентов компании А ей необходимо получить согласие каждого клиента из пула. Процедура получения согласия и его содержание описано выше. В случае отсутствия согласия каждого конкретного клиента, обработка его персональных данных невозможна.

7. Будет ли установлена по новому закону:

— необходимость аттестации негосударственной информационной системы в связи с хранением в ней персональных данных.

— необходимость аттестации негосударственной информационной системы если планируется ее взаимодействие с государственными информационными системами.

Нет, данные нормы закон не затрагивает. Они регулируются Законом «Об информации, информатизации и защите информации» и приказом ОАЦ №62.

8. Предусмотрена ли новым законом о персональных данных ОБЯЗАТЕЛЬНАЯ аттестация уполномоченными организациями используемых информационных систем субъектов хозяйствования РБ (например таких как: CRM, 1С, собственные кадровые БД и т.п.), содержащих персональные данные (или их отдельные элементы: имя, фамилию, телефон)? Если да, то в какие сроки?

Данный закон не касается вопросов, связанных с аттестацией. Хочу обратить внимание, что аттестации подлежит не информационная система, а система защиты информации информационной системы. Закон «Об информации, информатизации и защите информации» говорит о том, что системы защиты информации любых информационных систем (не зависимо от формы собственности) должны быть аттестованы, если в информационных системах обрабатывается информация ограниченного распространения. В то числе и персональные данные.

Вопрос о защите персональных данных в соответствии с требованиями нового закона становится все более актуальным. Как правильно реализовать поставленную задачу? 

Компания ActiveCloud окажет вам услуги по IT-консалтингу, проведет аудит и поможет построить эффективную и экономически обоснованную систему защиты информации, проведет аттестацию уже существующей системы защиты информации или выполнит работы по актуализации в связи с изменениями в законодательстве. 

Присылайте свои вопросы по информационной безопасности и защите персональных данных на е-мейл: [email protected]

калифорнийских звонков в новом году с новым законом о конфиденциальности данных: NPR

30 декабря 2019 г., 9:00 по восточноевропейскому времени

Слышали обо всем

Рэйчел Мироу

Из

Новый закон Калифорнии о цифровой конфиденциальности вступает в силу 1 января. Сол Грэви/Getty Images/Ikon Images скрыть заголовок

переключить заголовок

Сол Грэви/Getty Images/Ikon Images

Новый закон штата Калифорния о цифровой конфиденциальности вступает в силу 1 января.

Сол Грэви/Getty Images/Ikon Images

1 января вступает в силу самый строгий закон о конфиденциальности данных в США: Калифорнийский закон о конфиденциальности потребителей, или CCPA.

Вот почему вы видите множество писем, всплывающих в вашем почтовом ящике, от различных компаний, сообщающих об обновлениях своих условий обслуживания, особенно политики конфиденциальности. Поскольку аналогичный федеральный закон не появится на горизонте, ожидается, что на какое-то время этот закон станет общенациональным стандартом.

Так что же он предписывает?

«1 января 2020 года все жители Калифорнии смогут узнать, какую личную информацию компания собирает о них, их устройствах и их детях», — сказала Мэри Стоун Росс, один из соавторов нового закона, и признанный на национальном уровне эксперт по конфиденциальности данных.

Согласно закону, потребители смогут отказаться от продажи своей личной информации. Если компания не сможет внедрить разумные методы обеспечения безопасности, а личная информация потребителей будет взломана, они смогут подать в суд на эти компании.

Технологии

Как много большие технологии должны знать о наших личных медицинских данных и истории?

Компании по-прежнему могут собирать данные: что вы покупаете; куда вы идете и когда; все фотографии, которые вы когда-либо делали; ваши электронные письма, даже те, которые вы удалили.

Но теперь компании должны сообщить вам, что они собирают, когда вы спросите, и удалить все это, если вы об этом попросите. Однако некоторые компании могут отклонить ваш запрос на удаление, если данные необходимы для совершения финансовой операции или защиты от мошенничества.

Чего компании больше не могут делать по закону, так это продавать эти данные, если вы запретите им это делать. Но если они все равно это сделают, потребители не смогут подать в суд. Закон резервирует судебные иски для другой слишком распространенной проблемы: «Это только для утечек данных. Поэтому, если определенные категории личной информации, например, ваш номер социального страхования, нарушены, и бизнес не может внедрить разумные меры безопасности, тогда у вас есть причина, — сказал Стоун Росс.

Генеральный прокурор Калифорнии

Генеральная прокуратура Ксавьера Бесерра не начнет применять закон до 1 июля 2020 года, но Бесерра сказал, что он считает закон вступившим в силу с 1 января 2020 года, «сразу после тот первый поцелуй, и объятия, и шампанское».

Однако бюджет генерального прокурора ограничен. Он сказал, что его офис, вероятно, будет проводить только три принудительных действия в год. Против кого? Он пока не говорит, хотя Бесерра сказал, что «чем больше компания, тем больше проблема. Чем больше вселенная, в которой есть данные, которые используются определенным образом, что может привести к этому нарушению, тем больше будет дело».

Существуют особо важные виды защиты информации, которым его офис уделяет приоритетное внимание.

«Я думаю, что информация о моем здоровье является конфиденциальной. Я думаю, что мой номер социального страхования является конфиденциальным. Я думаю, что мои схемы свиданий, особенно с учетом того, что я замужем, могут быть конфиденциальными», — пошутил Бесерра.

Затем он добавил, что «агрессивное, раннее, решительное правоприменение», вероятно, будет направлено на продажу данных, касающихся детей. «Последнее, что вы хотите, — это чтобы какая-либо компания думала, что мы собираемся быть мягкими, позволяя вам злоупотреблять личной информацией детей».

Технологические гиганты

Весь последний год промышленные группы пытались переписать и смягчить закон. Ожидается, что они подадут в суд, чтобы остановить его развертывание в новом году, даже несмотря на то, что большинство из них предприняли некоторые шаги для соблюдения CCPA. Многие предприятия жалуются на отсутствие ясности в правилах, которые генеральный прокурор все еще находится в процессе разработки.

Common Sense Media, группа по защите конфиденциальности, разместила на своем веб-сайте шаблон формы запроса «Не продавать мои данные». Но предприятия хотят, чтобы Генеральная прокуратура подготовила образцы форм и уведомлений. Генеральная прокуратура выпустила стандартизированную оценку регулирующего воздействия, которая демонстрирует потенциальную сферу применения нового закона.

Тем временем некоторые компании, такие как Microsoft, сразу же принимают новые правила по всей стране.

Но в то время как Facebook упростил загрузку ваших данных (как и Twitter и Google), гигант социальных сетей из Менло-Парка утверждает, что он продает рекламодателям доступ к пользователям, поэтому рекламодатели должны разрешить пользователям отказаться или нет.

Это не проходит тест на обоняние для ряда отраслевых наблюдателей, включая Криса Хуфнэгла, который преподает регулирование технологий в Калифорнийском университете в Беркли.

«В частности, Facebook, похоже, очень оппортунистически интерпретирует закон. Так что на самом деле им не нужно ничего делать для его соблюдения», — сказал он.

Хуфнэгл считает, что крупнейшие технологические компании Силиконовой долины находятся в таком финансовом положении, что могут поспорить, что пройдет некоторое время, прежде чем за ними придет офис генерального прокурора.

Тем временем технологические компании могут зарабатывать серьезные деньги. Только Facebook заработал 55 миллиардов долларов в 2018 году, предоставляя рекламодателям доступ к пользователям.

«Осуществление правоприменения — это большое неизвестное здесь. Но у Facebook будут проблемы, если генеральный прокурор примет закон и применит его», — сказал Хуфнэгл.

Брокеры данных

Менее обсуждаемым, но столь же драматичным будет влияние закона на брокеров данных, компании, построенные на сборе и продаже информации, знают об этом потребители или нет.

Закон применяется к любой компании, которая ежегодно соответствует одному из трех пороговых значений: имеет доход не менее 25 миллионов долларов, зарабатывает не менее половины своих денег за счет продажи данных или собирает информацию не менее чем о 50 000 потребителей. Компании, которые не устранят нарушения в течение 30 дней с момента получения уведомления, могут быть оштрафованы на сумму до 7500 долларов США за каждое умышленное нарушение.

Отслеживание и продажа данных стали крупным бизнесом для самых разных компаний, включая автопроизводителей, розничных продавцов, разработчиков программного обеспечения и других, о которых вы не обязательно догадываетесь, что они занимаются побочным бизнесом, обслуживающим рекламодателей.

Многие потребители формально соглашаются на отслеживание и продажу своих данных, нажимая «да» в этих сложных для понимания формах согласия, необходимых для использования множества веб-сайтов и приложений.

Обратите внимание на последнее приглашение на вечеринку, которое вы получили через Evite.

«Они собирают выводы, сделанные по приглашению», — объяснила Мэри Стоун Росс. «Итак, они собирают и продают наличие детей в семье, вашу религию, если вы переезжаете или ожидаете ребенка. Это то, что CCPA разоблачит, потому что теперь вы можете прочитать их политику конфиденциальности».

Активисты защиты конфиденциальности данных, такие как Стоун Росс, надеются, что даже если отдельные люди не очень хотят копаться в мелком шрифте, юристы и журналисты будут делать это так, чтобы привлечь внимание общественности.

Ожидается, что другие законы о конфиденциальности данных, подобные этому, появятся в других штатах, поскольку федерального закона нет, несмотря на принятие нескольких законопроектов в Вашингтоне, округ Колумбия, таких как Закон о конфиденциальности в Интернете, выдвинутый конгрессменами Анной Эшу и Зои Лофгрен. .

«Защитники отрасли были обеспокоены тем, что другие штаты последуют примеру Калифорнии и введут собственную версию CCPA», — сказал Стоун Росс. «Вероятно, потребуется только еще один штат, чтобы принять свою версию CCPA, и тогда на Конгресс будет оказано большое давление, чтобы он принял федеральный закон».

Подход США к защите конфиденциальности

Поскольку защита конфиденциальности данных стала приоритетом для отдельных лиц, правительства всех уровней приняли различные законы о правах на неприкосновенность частной жизни, чтобы контролировать, как организации собирают, хранят и обрабатывают личную информацию, такую ​​как имена, адреса , медицинские данные, финансовые отчеты и кредитную информацию.

Узнайте больше о законах о конфиденциальности данных в США, а также о том, каких изменений и других изменений можно ожидать в существующих законах, регулирующих персональные данные.

Законы о конфиденциальности данных в США

Как обеспечивается соблюдение конфиденциальности данных в США?

Необходимость решения современных проблем конфиденциальности и защиты прав на конфиденциальность данных является глобальной тенденцией. Один из определяющих моментов наступил в мае 2018 года, когда ЕС ввел в действие Общий регламент по защите данных (GDPR) — обширный законодательный акт, который применяется не только к государствам-членам ЕС, но и к любой организации, которая собирает или обрабатывает данные жителей Европы.

Проще говоря, в США нет эквивалента GDPR ЕС. Действительно, по состоянию на 2021 год США являются одной из немногих демократий и единственным членом Организации экономического сотрудничества и развития, у которого нет федерального агентства по защите данных, хотя сенатор Кирстен Гиллибранд и другие предложили создать его. В отсутствие всеобъемлющего закона о защите данных на федеральном уровне США продолжают регулировать конфиденциальность данных с помощью набора законов, принятых на уровне штатов и на федеральном уровне.

Компании должны быть осведомлены обо всем соответствующем законодательстве, прежде чем они начнут собирать или обрабатывать какие-либо данные, которые могут считаться «личными данными». Несоблюдение применимых законов о конфиденциальности данных может привести к судебным искам и штрафам.

Федеральные законы о конфиденциальности в США и их применение

Федеральные законы, которые считаются законами о конфиденциальности данных, включают:

• Закон Грамма-Лича-Блайли (GLBA): требует, чтобы финансовые корпорации объясняли, как они защищают конфиденциальные данные клиентов и делятся ими.0136
• Закон о переносимости и подотчетности медицинского страхования (HIPAA): Этот федеральный закон регулирует раскрытие и использование защищенной медицинской информации (PHI).
• Закон о защите конфиденциальности детей в Интернете (COPPA): Этот закон ограничивает сбор личной информации о детях младше 13 лет.
• Закон о правах семьи на образование и конфиденциальность (FERPA): Этот федеральный закон защищает конфиденциальность личных данных учащихся и применяется ко всем школам, которые получают средства от Министерства образования США.
• Закон о достоверной кредитной отчетности (FCRA): Регулирует сбор и использование информации о потребителях

На федеральном уровне Федеральная торговая комиссия (FTC) обладает широкой юрисдикцией в отношении коммерческих организаций для предотвращения «мошеннических торговых практик», которые могут включать вопросы конфиденциальности данных. FTC имеет право обеспечивать соблюдение законов о конфиденциальности, издавать правила и принимать меры для защиты потребителей. В частности, FTC может действовать против компаний, которые:

• Неспособность создать, внедрить и поддерживать разумные меры по нарушению безопасности данных
• Нарушение прав потребителей на конфиденциальность данных путем сбора, обработки или обмена информацией о потребителях без их согласия
• Публиковать и устанавливать неточные или вводящие в заблуждение политики конфиденциальности и безопасности для потребителей на веб-сайтах и ​​в приложениях
• Собирать, обрабатывать, передавать или делиться личной информацией способами, не указанными в политике конфиденциальности

Законы штата о конфиденциальности данных в США

Во многих штатах США также действуют собственные законы о конфиденциальности и безопасности данных. Генеральные прокуратуры штатов несут ответственность за надзор за соблюдением этих законов.

Положения на государственном уровне часто дублируют друг друга или несовместимы. Например, все 50 штатов США приняли законы об уведомлении об утечке данных, но существуют различия в определении персональных данных и даже в том, что представляет собой утечку данных. Точно так же по крайней мере 35 штатов (и Пуэрто-Рико) ввели в действие те или иные правила удаления данных, причем многие из этих законов конкретно касаются цифровых данных.

Вот основные принятые законы о конфиденциальности данных по штатам:

Закон штата Калифорния о конфиденциальности потребителей

Вступление в силу Дата: 1 января 2020 г. инициатива голосования в ответ на растущую обеспокоенность общественности по поводу объема частных данных, которые цифровые и технологические компании в Силиконовой долине незаметно собирают и продают на протяжении десятилетий. Калифорнийский закон включает в себя основные принципы требований к защите данных и конфиденциальности данных в GDPR Европейского Союза.

CCPA регулирует сбор, продажу и раскрытие личной информации жителей Калифорнии. Он применяется к деятельности предприятий, поставщиков услуг, обслуживающих предприятия, и третьих лиц (которые могут быть отдельными лицами или организациями). Одним из ключевых условий закона является то, что предприятия должны оперативно отвечать на запросы потребителей Калифорнии относительно того, какие личные данные собираются о них и продаются ли они или разглашаются. Закон не допускает дискриминации потребителей, осуществляющих свои права; потребителям должно быть предоставлено такое же качество обслуживания, даже если они возражают против определенного действия, такого как продажа их данных. Поставщики услуг могут использовать данные потребителей только по указанию бизнеса, который они обслуживают, и должны удалять личную информацию потребителя из своих записей по запросу.

Сфера действия : CCPA применяется ко всем коммерческим предприятиям, действующим в Калифорнии, которые удовлетворяют определенным условиям, таким как порог дохода. Он имеет экстерриториальное действие, поскольку распространяется на предприятия, не входящие в штат Калифорния, но работающие в Калифорнии.

Другие важные факты:

• Определенные конфиденциальные данные не подпадают под действие требований CCPA, включая защищенную медицинскую информацию (PHI), уже подпадающую под действие Закона о переносимости и подотчетности медицинского страхования (HIPAA), медицинскую информацию, уже подпадающую под действие Закона штата Калифорния о конфиденциальности Закон о медицинской информации и некоторая информация, подпадающая под действие Закона Грэмма-Лича-Блайли (GLBA).
• В настоящее время закон требует, чтобы предприятия распространяли права, предоставляемые CCPA, на своих сотрудников. Однако на рассмотрении находится законопроект, который внесет поправки в этот закон, чтобы исключить сотрудников из определения «потребитель».
• Когда компания получает запрос о собранной и хранимой информации о физическом лице, она должна убедиться, что человек, делающий запрос, действительно является тем, за кого он себя выдает, прежде чем отвечать.

Штрафы за нарушения : Закон дает компаниям 30 дней на «лечение» нарушений. Неустранение нарушения влечет за собой гражданский штраф в размере до 7500 долларов США за каждое преднамеренное нарушение и 2500 долларов США за каждое непреднамеренное нарушение.

Закон штата Калифорния о правах на неприкосновенность частной жизни (CPRA)

Официальное название: Предложение 24

Дата вступления в силу: 1 января 2023 г., но не будет применяться до 1 июля 2023 г. дает новые права потребителям, такие как право на:

• Исправление неточной информации.
• Собирать личную информацию с учетом ограничений цели и минимизации данных.
• Получите уведомление от компаний, планирующих использовать конфиденциальную личную информацию, и попросите их прекратить это. Это включает биометрическую информацию, генетические данные и любую информацию, касающуюся здоровья человека, сексуальной ориентации или сексуальной жизни.

Область действия: Этот закон имеет более широкую сферу действия, чем CCPA, поскольку он предлагает следующие расширенные права потребителям:

• Право подавать в суд на предприятия, когда они раскрывают пароли и имена пользователей: CPRA расширяет определение CCPA « личная информация», включая имена пользователей и пароли.
• Право отказаться от обмена информацией с третьими лицами: В соответствии с Законом о защите конфиденциальности и защиты населения (CCPA) этот вопрос обсуждался, поскольку «продажа» явно не включала передачу. С помощью CPRA потребители теперь могут отказаться от продажи и передачи личной информации третьим лицам.
• Право на доступ к дополнительной информации: Потребители могут запросить доступ к любой личной информации, собранной предприятием, а не только к информации, собранной за предшествующий 12-месячный период.

Другие важные факты: Этот закон также создает новое агентство по защите конфиденциальности, Калифорнийское агентство по защите конфиденциальности (CPPA), которое будет нести ответственность за правоприменение.

Штрафы за нарушения: Штрафы могут составлять от 2500 до 7500 долларов США, в зависимости от того, являетесь ли вы юридическим или физическим лицом. Существуют также автоматические штрафы в размере 7500 долларов США за нарушение данных несовершеннолетних (лиц, не достигших 16-летнего возраста).

Закон штата Колорадо о конфиденциальности (CPA)

Официальное название: SB 21-190

Дата вступления в силу: 1 июля 2023 г. или услуги, предназначенные для жителей Колорадо, которые:

• Контролируют или обрабатывают персональные данные 100 000 или более потребителей в течение одного года
• Получать доход или получать скидки на цены услуг или товаров от продажи, обработки или контроля персональных данных 25 000 или более потребителей

Начиная с 1 июля 2024 г. контролеры, отвечающие вышеуказанным требованиям, должны разрешать отказ от целевых продаж и рекламы. CPA также дает жителям Колорадо право доступа, исправления и удаления своих личных данных в дополнение к праву на переносимость данных. У контролеров будет 45 дней, чтобы ответить на запросы.

Область применения: В отличие от Калифорнийского закона о конфиденциальности потребителей от 2018 года, CPA не имеет порога применимости в денежном выражении. Это означает, что каждый бизнес должен учитывать этот закон. Однако это не относится к следующим учреждениям:

• Финансовые учреждения, подпадающие под действие GLBA
• Различные типы данных, связанных со здравоохранением
• Данные регулируются FERPA

В отличие от законов Калифорнии, CPA не исключает некоммерческие организации.

Другие важные факты: CPA обязывает контролеров заключать соглашения об обработке данных (DPA) с обработчиками. Контроллеры также должны будут проводить и регистрировать оценки защиты данных.

Штрафы за нарушения: Частное право на иск отсутствует, поэтому генеральный прокурор Колорадо и окружные прокуроры будут обеспечивать соблюдение CPA. Они могут требовать возмещения денежного ущерба или судебного запрета. Однако, прежде чем принимать меры, генеральный прокурор и окружные прокуроры должны направить уведомление о нарушении и предоставить компаниям или частным лицам 60 дней на устранение предполагаемого нарушения. После января 2025 года это «право на исправление» будет заменено правом контролера запрашивать указания у Генеральной прокуратуры.

Закон о защите данных о потребителях Вирджинии (CDPA)

Официальное название: SB-1392

Дата вступления в силу: 1 января 2023

ПРОВОД: . Право на исправление

Право доступа

Право на переносимость данных

Право на удаление

Право на отказ

Право на обжалование

Область действия: Этот закон применяется к организациям, которые ведут бизнес в Вирджинии или создают услуги или продукты, предназначенные для жителей Вирджинии, которые:

• Контроль или обработка персональных данных более 100 000 потребителей в течение года
• Контролировать или обрабатывать персональные данные более 25 000 потребителей и получать не менее половины их валового дохода от продажи персональных данных

Как и CPA в Колорадо, CPDA в Вирджинии не имеет порога дохода. Это означает, что предприятия всех размеров должны обратить внимание на этот закон.

Определение «потребитель» не включает лицо, действующее по найму или в коммерческом контексте. Это отличает его от CPRA, который включает данные о сотрудниках. Соответственно, предприятиям не придется учитывать данные сотрудников при принятии решения о применении к ним CPDA.

Другие ключевые факты: Как и GDPR ЕС и CCPA Калифорнии, CDPA имеет положение, ограничивающее сбор данных теми данными, которые «адекватны, актуальны и разумно необходимы в связи с целями, для которых данные обрабатываются».

Штрафы за нарушения: Как и CPA штата Колорадо, CDPA штата Вирджиния не имеет частного права на иск. Правоприменение является обязанностью Генерального прокурора. У контролера есть 30 дней на устранение нарушения после того, как генеральный прокурор уведомит контролера о принятии мер. Если контролер не устранит нарушение в течение этого периода, генеральный прокурор может оштрафовать его на сумму до 7500 долларов за каждое нарушение.

Закон штата Невада о конфиденциальности в Интернете (SB260)

Официальное название: BDR-52-253

Дата вступления в силу: 1 октября 2021 г.

Положения: от продажи их личной информации. Это также создает новые требования для «брокеров данных», которые определяются как организации, основным видом деятельности которых является продажа информации о потребителях от операторов или других брокеров данных. Брокеры данных должны установить специальный адрес, по которому потребители могут потребовать от брокера данных прекратить продажу их информации. Брокер данных должен будет ответить в течение 60 дней с момента получения.

Сфера действия: Закон расширяет сферу действия права отказа, но сфера охвата «защищенной информации» уже, чем «личная информация», определяемая аналогичными законами.

«Покрываемая информация» ограничена:

• Имена и фамилии
• Домашний/физический адрес
• Адрес электронной почты
• Номера телефонов
• Номера социального страхования
• Идентификаторы, позволяющие связаться с человеком лично или через Интернет

Другие важные факты: Законопроект вносит поправки в законы штата Невада об уведомлении о конфиденциальности в Интернете, такие как NRS 603A. 300-360.

Штрафы за нарушения: Генеральному прокурору штата Невада поручено обеспечить соблюдение этого закона. Суд вынесет временный или постоянный судебный запрет или гражданский штраф в размере до 5000 долларов США за нарушение.

Закон штата Массачусетс о конфиденциальности данных

Официальное название : Стандарты защиты личной информации резидентов Содружества (201 CMR 17.00)

Дата вступления в силу : 1 марта 2010 г.

Положения : Этот закон содержит требования по защите жителей штата Массачусетс от кражи личных данных и мошенничества.

Область действия : Любая организация, которая лицензирует, хранит или поддерживает личные данные о жителях Массачусетса, обязана внедрить комплексную программу информационной безопасности.

Другие важные факты:

• Закон требует, чтобы компании имели специального человека для запуска программы безопасности данных и проведения регулярного обучения сотрудников.
• Закон также требует, чтобы предприятия предпринимали «разумные шаги» для проверки того, что сторонние поставщики услуг, имеющие доступ к личной информации, могут защитить эту информацию.
• Закон защищает безопасность и конфиденциальность личной информации как потребителей, так и сотрудников, включая имя, фамилию, номер социального страхования, номер водительского удостоверения, номер удостоверения личности, выданного штатом, номер финансового счета, номер кредитной или дебетовой карты и любой код доступа, который позволяет получить доступ к финансовой информации человека. Однако он исключает информацию, полученную из общедоступных источников.
• Массачусетс также работает над регулированием конфиденциальности данных, подобным CCPA. В случае принятия SD.341 «Закон о конфиденциальности данных потребителей» планируется вступить в силу 1 января 2023 года.

Штрафы за нарушения : Управление по делам потребителей и регулированию бизнеса отвечает за правоприменение. Каждое умышленное нарушение закона может повлечь за собой административный штраф в размере до 5000 долларов США плюс «разумные расходы на расследование и судебное разбирательство в связи с таким нарушением, включая разумные гонорары адвокатов».

Закон штата Миннесота о конфиденциальности данных

Официальное название : Закон штата Миннесота о практике работы с данными (MGDPA) (Закон штата Миннесота, § 13)

Дата вступления в силу : 1979

Положения о защите прав физических лиц для доступа к правительственным данным и контролирует сбор, хранение, использование и распространение частных данных. Он устанавливает систему классификации для различения различных типов информации, таких как данные об образовании и данные правоохранительных органов. Кроме того, данные о физических лицах помечаются как общедоступные или непубличные, а данные, не относящиеся к физическим лицам, помечаются как непубличные или защищенные непубличные

Область действия : Закон применяется к любому государственному учреждению штата Миннесота.

Другие важные факты:

• Закон требует, чтобы каждое государственное учреждение назначало «ответственный орган», который устанавливает процедуры, обеспечивающие «получение и выполнение запросов данных надлежащим и оперативным образом». Если государственное учреждение хочет собрать личные или конфиденциальные данные человека, оно должно предоставить этому лицу уведомление о конфиденциальности, называемое «Tennessen» 9.0136
• В случае возникновения спора между государственным органом и лицом в отношении практики работы с данными, лицо может запросить консультативное заключение у Комиссара по административным вопросам.

Штрафы за нарушения : Санкции могут включать гражданский иск за умышленное нарушение или оплату услуг адвоката, если государственный орган не выполняет консультативное заключение. За умышленные нарушения суд также может наложить уголовную ответственность на государственных служащих, отстранить их от должности без сохранения заработной платы или уволить.

Предлагаемые законы штата США о конфиденциальности данных

Все вышеуказанные законы о конфиденциальности данных приняты, но некоторые законы обсуждаются. К ним относятся следующие:

Закон штата Огайо о конфиденциальности (OPPA)

Официальное название : Законопроект Палаты представителей 376

Описание: Этот законопроект аналогичен законодательству, принятому в Калифорнии, Вирджинии и Колорадо. Если он будет принят, он даст жителям Огайо определенные цифровые права и наложит обязательства на любой бизнес, который собирает личные данные потребителей из Огайо.

Закон о защите прав потребителей Северной Каролины (CPA)

Официальное название : Сенатский законопроект 569

Описание: В случае принятия этот закон предоставит потребителям Северной Каролины следующие права:

• Право на получение информации и доступ
• Право на исправление
• Право на удаление
• Право отказа
• Частное право иска

Это будет применяться ко всем предприятиям, которые ориентируют свои услуги и продукты на жителей Северной Каролины и которые:

• Обрабатывать или контролировать персональные данные 100 000 или более потребителей ежегодно
• Обрабатывать или контролировать персональные данные не менее 25 000 потребителей и получать более половины валового дохода от продажи этих персональных данных.

Закон штата Род-Айленд о прозрачности данных и защите конфиденциальности

Официальное название : HB 5959

Описание: Этот законопроект описывает методы обмена информацией и требует прозрачности в отношении того, как собираются данные о потребителях, требуя от некоторых компаний раскрытия политики конфиденциальности. . В случае принятия закон поможет потребителям идентифицировать личную информацию, собранную, переданную или проданную третьим лицам поставщиками онлайн-услуг и коммерческими веб-сайтами.

Закон о конфиденциальности данных потребителей штата Пенсильвания

Официальное название : Счет Палаты представителей 1126

Описание: Этот закон распространяется на коммерческие компании, отвечающие всем следующим критериям:

• Ведение бизнеса в Пенсильвании 90
• Сбор, обмен или продажа личной информации потребителей
• Самостоятельно или вместе с другими определять цели и средства обработки личной информации потребителей
• Соответствует одному из следующих требований:
  • Получать половину своего годового дохода от продажи личной информации потребителей
  • Ежегодно покупать, делиться или продавать (самостоятельно или совместно с другими) личную информацию 50 000 потребителей, устройств или домохозяйств
  • Иметь годовой валовой доход не менее 10 миллионов долларов

Нью-Джерси — три законопроекта о конфиденциальности данных

Официальные названия: A5448, A3283 и A3255

Описание:

A5448 и A3255 преследуют схожие цели: они требуют, чтобы предприятия по сбору платежей лично уведомляли потребителей и раскрывали информацию о сборе платежей. идентифицирующую информацию и позволить потребителям отказаться.

A3283, Закон Нью-Джерси о раскрытии информации и прозрачности подотчетности (NJ DaTA), устанавливает требования к раскрытию и обработке личной информации. Законопроект также предусматривает создание Управления по защите данных и ответственному использованию в Отделе по делам потребителей.

Закон штата Массачусетс о конфиденциальности информации (MIPA)

Официальное название : S.46

Описание: Этот законопроект представляет собой измененную версию Закона о конфиденциальности людей в штате Вашингтон. Это защитит потребителей от несанкционированного сбора, использования и монетизации их личной информации, включая местоположение и биометрические данные; запрещать дискриминацию на основе личной информации и защищать работников от необоснованного электронного контроля на рабочем месте.

Гавайи Закон о защите прав потребителей

Официальное название : SB 418

Описание: Этот предлагаемый законопроект предоставит потребителям право доступа, удаления и отказа от продажи их личной информации. Как и CCPA, он имеет широкое определение «личной информации». Он имеет те же основные средства защиты и права, что и CCPA, но не определяет, что такое «бизнес», поэтому не исключает предприятия по размеру.

Закон штата Нью-Йорк о конфиденциальности потребителей (NYPA)

Официальное название: Сенатский законопроект S567

Описание: Предлагаемый Нью-Йоркский закон о конфиденциальности данных очень похож на CCPA. Это позволит людям узнать, какие данные о них собрала компания и с кем они ими поделились, запросить у компании исправление или удаление данных и отказаться от передачи или продажи своих данных третьим лицам. NYPA дополнит существующий в Нью-Йорке закон об уведомлении об утечке данных, расширив защиту личной информации.

Предлагаемый законопроект устанавливает высокие стандарты защиты конфиденциальности данных, такие как следующие:

• Он налагает фидуциарные обязанности на любое юридическое лицо, которое собирает, продает или лицензирует личные данные, и определяет эти обязанности в широком смысле. Предприятия должны защищать личные данные потребителей от любого риска, который их затрагивает. Более того, в нем говорится, что фидуциарная ответственность за данные заменяет «любые обязанности перед владельцами или акционерами».
• Он сильнее, чем законы других штатов, поскольку требует от компаний ставить конфиденциальность своих клиентов выше собственной прибыли. В этом законе о конфиденциальности есть очень спорная строчка, в которой говорится, что организации должны «действовать в интересах потребителя». Однако это не объясняет, что компании должны на самом деле понимать в отношении интересов жителей Нью-Йорка и других клиентов.
• Он предлагает частное право на иск, предоставляя потребителям право напрямую предъявлять иски компаниям в связи с нарушением конфиденциальности, а не оставлять исполнение на усмотрение Генерального прокурора штата.

Заключение

Штаты США принимают собственные правила конфиденциальности данных и кибербезопасности, поскольку, в отличие от ЕС, США еще не приняли всеобъемлющий федеральный закон о конфиденциальности данных. Ситуация будет продолжать усложняться по мере того, как в ближайшие месяцы и годы вступит в силу больше законов штата. Чтобы избежать серьезных штрафов, судебных исков и других последствий несоблюдения требований, организациям следует внимательно изучить законы о конфиденциальности данных в США и убедиться, что они соответствуют всем применимым требованиям.

 

Часто задаваемые вопросы.

Какие законы США предъявляют требования к обеспечению конфиденциальности данных?

Ввиду отсутствия комплексного федерального законодательства, регулирующего конфиденциальность данных, в США действуют отраслевые законы и законы отдельных штатов, которые контролируют обмен определенными типами персональных данных. Эти законы включают:

• Закон о конфиденциальности от 1974 г. — защищает личную информацию, хранимую федеральными агентствами
• Закон о переносимости и подотчетности медицинского страхования (HIPAA) и Закон об информационных технологиях здравоохранения для экономического и клинического здравоохранения (HITECH) — Защищает личную медицинскую информацию (PHI)
• Закон Грэмма-Лича-Блайли (GLBA) — Защита финансовой информации
• Закон о защите конфиденциальности детей в Интернете (COPPA) — защищает конфиденциальность детей
• Закон о правах семьи на образование и неприкосновенность частной жизни (FERPA) — защищает личную информацию учащихся
• Закон Калифорнии о конфиденциальности потребителей (CCPA) — защищает права на неприкосновенность частной жизни жителей Калифорнии
• The New York SHIELD Act — Защищает личную и частную информацию жителей штата Нью-Йорк

Какие типы данных подпадают под действие законов США о конфиденциальности?

Информация, считающаяся конфиденциальной в соответствии с законодательством США, включает:

• Персональные данные (PII) — Информация, которая может быть использована для идентификации, установления контакта или местонахождения человека или для различения одного человека от другого, например, имя, адрес и Номер социального страхования
• Личная медицинская информация (PHI) — Информация о состоянии здоровья, история болезни, страховая информация и другие личные данные, которые собираются поставщиками медицинских услуг и могут быть связаны с определенным лицом
• Личная финансовая информация (PIFI) — Номера кредитных карт, реквизиты банковского счета или другие данные, касающиеся финансов человека
• Записи учащихся — Индивидуальные оценки, стенограммы, расписание занятий, платежные реквизиты и другие образовательные записи

Что защищает Закон о конфиденциальности 1974 года?

Закон о конфиденциальности от 1974 г. регулирует то, как федеральные агентства обрабатывают документы федерального правительства о физических лицах, и требует от федеральных агентств соблюдения различных строгих требований к ведению документации. Это позволяет людям получать доступ к записям о себе, узнавать, были ли эти записи раскрыты, и запрашивать исправления или поправки к этим записям, если только записи не подпадают под действие закона.

В скольких штатах США действуют законы о конфиденциальности данных?

По крайней мере, в 16 штатах действуют законы о конфиденциальности данных, а в трех из них действуют всеобъемлющие законы о конфиденциальности данных потребителей. В Калифорнии был принят хорошо известный Калифорнийский закон о конфиденциальности потребителей (CCPA), который послужил толчком к принятию аналогичных законов в Колорадо и Вирджинии.

Распространяются ли федеральные законы США и законы штата о конфиденциальности на иностранные компании?

Это зависит от нескольких факторов, включая влияние на отдельных лиц, влияние на торговлю в США и наличие у компании дочерней компании в США. Иностранные предприятия могут подпадать под действие законов США, если они собирают, обрабатывают или передают личную Информация о резидентах США. Например, если иностранная компания ведет бизнес в Калифорнии и собирает личную информацию жителей Калифорнии, в то время как потребители находятся в Калифорнии, она подпадает под действие закона CCPA.

Чем законы о конфиденциальности в США отличаются от GDPR ЕС?

GDPR — это всеобъемлющий мандат на конфиденциальность данных, который распространяется на все государства-члены и любую компанию в мире, которая собирает или обрабатывает данные жителей ЕС. В США нет эквивалентного закона; вместо этого конфиденциальность данных регулируется набором отраслевых федеральных законов и законов различных штатов.

Стоит упомянуть одно конкретное право, защищенное GDPR: право на забвение, то есть право требовать удаления личной информации из записей организации. Это право часто считается несовместимым с правом на свободу слова, закрепленным в Первой поправке к Конституции Соединенных Штатов, поскольку принуждение к исключению информации из перечня может рассматриваться как ограничение свободы слова и риск цензуры.