Управлением Роскомнадзора по Ростовской области с целью выполнения Плана деятельности Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Ростовской области на 2019 год, утвержденного приказом от 20.11.2018 № 226, в 3 квартале 2019 г., было проведено 5 выездных проверок и 8 мероприятий систематического наблюдения на предмет соответствия обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

С целью выполнения Плана проведения плановых проверок органов местного самоуправления и должностных лиц местного самоуправления Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Ростовской области на 2019 год, утвержденного приказом от 26.09.2018  №  193, проведена 1 проверка - Администрации Заветинского района Ростовской области.

По результатам выездных проверок Управлением в действиях операторов, осуществляющих обработку персональных данных, было выявлено 7 нарушений норм законодательства в сфере персональных данных, выдано 4 предписания об устранении выявленных нарушений, протоколы не составлялись.

В рамках проведения мероприятий систематического наблюдения в действиях операторов, осуществляющих обработку персональных данных, было выявлено 2 нарушения законодательства в сфере персональных данных - ч. 2 ст. 18.1 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных». В адрес операторов, допустивших нарушения, направлены требование выполнения законодательства  Российской Федерации в области персональных данных.

По результатам проведенных в 3 квартале 2019 г. проверок и мероприятий систематического наблюдения типовыми (20% и выше от общего количества нарушений) являются нарушения:

ч. 5  ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: обработка персональных данных избыточных по отношению к заявленным целям их обработки.

ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: в поручении (тексте договора) на основании которого оператор поручает обработку персональных данных другому лицу не определена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, не указаны требования к защите обрабатываемых персональных данных в соответствии со ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;

ч. 7  ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: непредставление в уполномоченный орган сведений о прекращении обработки персональных данных или об изменении информации, содержащейся в уведомлении об обработке персональных данных.

ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: непринятие оператором мер по опубликованию или обеспечению неограниченного доступа к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.

Рекомендации по исполнению требований ч. 5  ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»:

Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

Рекомендации по исполнению требований ч. 3  ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»:

Включать в поручение (в текст договора), на основании которого оператор поручает обработку персональных данных другому лицу, обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также указывать требования к защите обрабатываемых персональных данных в соответствии со ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Рекомендации по исполнению требований ч. 7  ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»:

В случае изменения сведений, указанных в ч. 3 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а также в случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений или с даты прекращения обработки персональных данных.

Рекомендации по исполнению требований ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»:

В случае, если оператор в сети «Интернет» осуществляет сбор персональных данных (реализована возможность «обратной связи», с необходимостью заполнения, например, таких полей как фамилия, имя, отчество, номер телефона и/или адрес электронной почты и т.д.), то он обязан опубликовать документ, определяющий порядок обработки персональных данных (например, Положение об обработке и защите персональных данных, Политика в отношении обработки персональных данных), а также обеспечить возможность доступа в сети «Интернет» к данному документу.

Рекомендации по составлению документа, определяющего политику оператора в отношении обработки  персональных данных, размещены на официальном сайте Роскомнадзора по адресу https://rkn.gov.ru/personal-data/p908/.