Что отель должен сделать при обработке персональных данных?

Добрый день!

На ваш вопрос отвечает Александр Лукашкин, эксперт сервиса Контур.Отель.

Нормативные акты, регламентирующие обработку персональных данных

Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Так как гостиница начинает обрабатывать данные с момента их сбора и накопления информации о клиентах (заполнение анкеты на ресепшене при заселении), то в соответствии с п. 2, 3 ст. 3 152-ФЗ она является оператором персональных данных (ПДн).

Для работы в качестве оператора ПДн гостиница:
1. Уведомляет уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) о своем намерении осуществлять обработку персональных данных (Приказ №94).

2. Разрабатывает локальные нормативные акты, регламентирующие работу с ПДн (например, фиксирование доступа к ПДн в журнале).

3. Проводит с лицами, непосредственно обрабатывающими ПДн, инструктаж о категориях обрабатываемых данных и всех особенностях, связанных с этими категориями. Программа должна включать в себя:
- перечень ПДн, которые имеются в организации и становятся доступными работнику в силу должностных обязанностей;
- порядок обработки ПДн сотрудником на данной должности;
- ответственность сотрудника при невыполнении обязанностей, а также при некачественном выполнении;
- порядок передачи ПДн третьим сторонам.

Инструктаж проводится при приеме на работу, при изменении перечня ПДн, при изменении формы обработки ПДн (с использованием информационных систем персональных данных или без средств автоматизации). Ответственность за несанкционированное использование ПДн лежит как на сотруднике, так и на операторе, как юридическом лице.

4. Получает у каждого гостя согласие на обработку персональных данных.

Требования по обеспечению защиты персональных данных (ПДн) распространяются на юридических и физических лиц, осуществляющих их обработку в процессе деятельности и регламентируются Федеральным законом от 27 июля 2006 № 152-ФЗ «О персональных данных».

Также к законодательству, регламентирующему защиту ПДн, также относятся:
- Постановление Правительства РФ от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных".

- Постановление Правительства РФ от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации".

- Приказ ФСТЭК России от 18.02.2013 N 21 (ред. от 23.03.2017) "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" (Зарегистрировано в Минюсте России 14.05.2013 N 28375).

- Приказ Роскомнадзора от 30.05.2017 N 94 (ред. от 30.10.2018) "Об утверждении методических рекомендаций по уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения".

Работа с персональными данными проверяется и контролируется сотрудниками Роскомнадзора.
За нарушения законодательства Российской Федерации в области персональных данных могут оштрафовать (статья 13.11 КоАП РФ) на сумму до 18 миллионов рублей в зависимости от состава нарушения.

Безопасность хранения данных в сервисе.
Контур.Отель и Контур.ФМС полностью соответствуют требованиям 152-ФЗ "О персональных данных " и 149-ФЗ "Об информации, информационных технологиях и о защите информации".

Это подтверждается аттестатом соответствия № 19/В объекта информатизации АО "ПФ "СКБ Контур" информационной системы "Контур.Отель" требования информационной безопасности (Выдан 13.08.2019).