Нарушение защиты персональных данных — это противоправное получение, запись, использование, передача или раскрытие сведений о человеке. Ваше имя, телефон, адрес, идентификационный номер, данные о местоположении, аудио- и видеозаписи являются персональными данными. Сведения о здоровье, биометрические данные, вероисповедание, половая жизнь и судимость относятся к данным особой категории и защищаются намного строже.
Какие ситуации являются нарушением? #
- Обработка данных без согласия или без законного основания
- Использование номера телефона, данного для покупки, для рассылки рекламных сообщений
- Утечка базы данных компании и распространение сведений о клиентах
- Передача резюме, полученного при приёме на работу, другим компаниям, куда заявка не подавалась
- Публикация записей камер объекта в социальных сетях
- Неудаление данных, об удалении которых заявлено требование
- Полное неисполнение обязанности информировать
Последовательность: сначала обращение к оператору данных #
Жаловаться напрямую в Совет по защите персональных данных нельзя. Сначала обязательно письменно обратиться к оператору данных, то есть к организации, обрабатывающей данные. Обращение можно подать письменным заявлением, зарегистрированной электронной почтой, с защищённой электронной подписью либо с адреса электронной почты, ранее сообщённого этой организации.
В обращении должны быть чётко указаны данные о личности, требование и сведения, на которых оно основано. Требовать можно: узнать, обрабатывались ли данные; узнать цель; узнать третьих лиц, которым они переданы; потребовать исправления, если обработаны неполно или неверно; потребовать удаления или уничтожения; и потребовать сообщить об этих действиях тем, кому данные были переданы.
Оператор данных обязан завершить рассмотрение обращения не позднее тридцати дней. Если действие требует дополнительных расходов, может быть взята плата по тарифу; по общему правилу обращение бесплатно.
Жалоба в Совет #
Если обращение отклонено, ответ признан недостаточным либо ответа вовсе не последовало в течение тридцати дней, можно подать жалобу в Совет. Сроков два, и оба должны быть соблюдены: жалобу нужно подать в течение тридцати дней со дня, когда стало известно об ответе, и в любом случае в течение шестидесяти дней с даты обращения.
Жалоба подаётся через онлайн-систему Совета или письменно. Установив нарушение, Совет требует от оператора данных устранить несоответствие и может наложить административный штраф. При угрозе трудновозместимого ущерба и явном несоответствии может быть также принято решение о приостановлении обработки данных.
Уведомление об утечке данных #
При нарушении защиты персональных данных — например, при утечке из системы — оператор данных обязан уведомить об этом Совет в кратчайший срок и не позднее семидесяти двух часов. Кроме того, лицам, чьи данные затронуты, уведомление должно быть направлено в разумно кратчайший срок. Ненаправление уведомления само по себе является нарушением и основанием для административной санкции.
Иск о возмещении вреда #
Административная процедура понесённый ущерб не возмещает. Независимо от пути жалобы в Совет, по общим нормам можно подать иск о возмещении имущественного и морального вреда. При определении размера учитываются характер данных, широта распространения, репутационные потери пострадавшего и длительность нарушения.
В делах, где раскрыты данные особой категории — сведения о здоровье, судимость, — суммы компенсации морального вреда заметно выше. Обращение в Совет не является условием для иска о возмещении; но решение Совета образует сильное доказательство в гражданском деле.
Случаи, образующие преступление #
Нарушение защиты персональных данных может одновременно быть преступлением. Уголовный кодекс Турции отдельно устанавливает ответственность за противоправную запись персональных данных, за передачу их другому лицу или завладение ими и за неуничтожение по истечении установленного законом срока. Эти преступления не зависят от заявления потерпевшего; прокуратура начинает расследование по собственной инициативе.
Заявление о преступлении можно подать независимо от иска о возмещении и от жалобы в Совет. Три пути можно вести одновременно. О действиях на стадии расследования см. наше руководство по даче показаний и праву на защиту.
Рекламные сообщения без согласия #
Коммерческое электронное сообщение, отправленное без согласия, противоречит и правилам о защите данных, и правилам о коммерческих коммуникациях. По таким сообщениям согласие можно отозвать через систему управления сообщениями и подать жалобу в Министерство торговли. А вопрос о том, откуда получен ваш номер, является предметом обращения по защите данных; оператор данных обязан раскрыть источник данных.
Как сохранять доказательства? #
Самая частая проблема в таких делах — доказывание. Скриншот сам по себе слабое доказательство; если есть вероятность, что содержимое исчезнет, следует просить суд об обеспечении доказательств. Сохранение полученных сообщений вместе с датой и временем, хранение писем с их заголовками и нотариальное удостоверение веб-содержимого оказываются решающими на последующем этапе.
По теме в целом см. нашу страницу информационного права и защиты данных, а для проверки сроков — наш инструмент проверки сроков и исковой давности.
Что можно сделать против решения Совета? #
Совет по защите персональных данных рассматривает жалобу и, установив нарушение, указывает оператору данных путь его устранения; он может также наложить административный штраф. Если Совет не ответит на жалобу в течение шестидесяти дней, требование считается отклонённым. И этот подразумеваемый отказ, и прямой отказ являются административными актами: иск об их отмене может быть подан в административный суд в течение шестидесяти дней с вручения. На стороне оператора данных административный штраф оспаривается не у мирового судьи по уголовным делам, а также в административном суде.
Если вы компания: первые 72 часа после нарушения #
При утечке данных обязанность оператора действует независимо от самой утечки: о положении нужно уведомить Совет в разумных пределах в течение семидесяти двух часов, а затронутых лиц — в кратчайший срок. Ненаправление уведомления влечёт наказание как нарушение, отдельное от самой утечки.
В этом окне нужно сделать по порядку следующее: изолировать затронутую систему, сохранить журналы событий в неизменном виде, установить, какая категория данных и скольких людей затронула, заполнить форму уведомления Совета о нарушении и подготовить текст уведомления для затронутых лиц. То, что эти шаги опираются на заранее подготовленный письменный план реагирования, а не импровизируются в момент инцидента, прямо влияет и на соблюдение срока уведомления, и на объём наказания.
Всегда ли требуется прямое согласие? #
Распространённое заблуждение — что всякая обработка данных требует прямого согласия. На деле закон перечисляет и иные условия обработки: прямое указание в законах, непосредственная связь с заключением или исполнением договора, исполнение оператором данных своей правовой обязанности, обнародование данных самим лицом, необходимость для установления или защиты права и законный интерес.
Из этого два практических вывода. Во-первых, для данных, необходимых для исполнения договора, отдельного согласия испрашивать не нужно — а если его испрашивают, такое согласие может не отвечать условию «свободной воли», поскольку его отзыв прервал бы услугу. Во-вторых, согласие нельзя ставить условием оказания услуги: согласие, полученное со словами «если не согласитесь, мы не сможем оказать услугу», действительным не считается.
Различие между коммерческими электронными сообщениями и защитой данных #
При рассылке рекламы без согласия действуют два разных свода правил. По правилам о коммерческих коммуникациях жалоба подаётся в систему управления сообщениями и в Министерство торговли, и встаёт вопрос об административном штрафе. По защите данных же выясняется, откуда получены данные; лицо может обратиться к оператору и потребовать удалить свои данные. Эти два пути не альтернативны друг другу и могут вестись вместе.
