#ркн #пдн #152фз

Сессия вопросов/ответов:

⁃ на сайте должны быть размещены Политика обработки ПДн, Пользовательское соглашение (если предоставляете товары, услуги), условия использования сервисов (телеметрия, обратная связь);
⁃ При передаче ПДн работников внутри Группы компаний согласие должно быть в письменной форме. Одно согласие на все цели брать нельзя. При обработке ПДн работника: одна цель, одно согласие. Конкретные контрагенты должны быть указаны в согласии;
⁃ ИНН, СНИЛС и электронная почта - ПДн; сведения из доверенности не являются общедоступными;
⁃ Для субъектов (не работников, к примеру, клиентов) нет ограничений по количеству целей в согласии (если согласие не в письменной форме);
⁃ При обработке ПДн родственников работника в объеме, предусмотренном законодательством, согласие с родственников брать не требуется, в ином случае (при отсутствии других правовых оснований) - нужно;
⁃ В качестве срока в согласии можно указывать «при достижении цели»;
⁃ Провайдер облачных услуг осуществляет хранение ПДн на своих мощностях, поэтому договор поручения должен быть заключён; такой провайдер должен также подать уведомление в РКН

#fines #gdpr

Где: Франция
Кого: SERGIC
Штраф: 400 000€, первоначальная сумма штрафа: 900 000€
Нарушение: не внедрены соответствующие меры защиты данных (отсутствие процедур аутентификации субъектов при доступе к документам), не определены сроки хранения ПДн; нарушения были выявлены на основании жалобы субъекта
Статьи: 5, 32
Источник: здесь, статья на английском, здесь