Здравствуйте, в этой статье мы постараемся ответить на вопрос: «Обязанности оператора персональных данных с 1 сентября 2022 года». Если у Вас нет времени на чтение или статья не полностью решает Вашу проблему, можете получить онлайн консультацию квалифицированного юриста в форме ниже.
Закон отдельно упоминает комплекс задач, которые должен решать оператор для обеспечения защиты персональных данных. Они указаны в ст. 19 закона. Задачи относятся к нескольким группам – правовым, организационным, техническим. Их выполнение должно гарантировать защиту ПД от утечек, уничтожения, неправомерного доступа, разглашения.
Проведя работу над ошибками, команда поняла, что правильнее будет все же дублировать инфраструктуру в защищенной зоне и скопировать лишь файлы с данными. Было принято решение не требовать от заказчика доплаты за дополнительные серверные мощности, которые пришлось развернуть для завершения миграции.
В результате, когда кластеры в защищенной зоне были полностью продублированы, миграция прошла без проблем.
Далее требовалось лишь разделить сети защищенной и незащищенной зон. Здесь обошлось несколькими незначительными перебоями в работе. Этап тестирования всей системы в защищенной зоне без какой-либо защиты удалось запустить в штатном режиме. Собрав положительную статистику работы системы в таком режиме, мы перешли к последнему этапу: запуску систем защиты и ограничению доступа.
Нормативно-правовое регулирование
Персональные данные – это практически любая информация, имеющая отношение к гражданину. К ним относятся:
- паспортные данные;
- адрес проживания;
- номер телефона;
- биометрические сведения;
- номер банковской карты.
Организации, использующие в своей работе персональные данные граждан, которые не являются их работниками, признаются операторами персональных данных. Первой обязанностью оператора становится отправка уведомления о начале обработки данных в Роскомнадзор.
Обязанности оператора при сборе персональных данных устанавливаются ст. 18 закона «О персональных данных». Они не ограничиваются только нормами федерального закона, более подробно обязанности оператора описаны в нормативно-правовых актах Роскомнадзора и ФСТЭК РФ.
Но конкретизирующие требования основываются на общих, первым среди них становится обязанность оператора предоставить субъекту персональных данных, если он обратится к нему, следующую информацию:
- подтверждение, что ПД действительно обрабатываются оператором;
- основания для обработки ПД, предусмотренные законом, и цели осуществления этой деятельности;
- способы обработки ПД оператором или третьими лицами по его поручению;
- сведения, идентифицирующие оператора, а также третьих лиц, имеющих доступ к ПД. Эти сведения не касаются работников оператора;
- перечень обрабатываемых ПД и источник их получения;
- сроки обработки и хранения ПД;
- порядок, в котором оператор ПД осуществляет предоставленные ему законом права;
- сведения о том, осуществляется или предполагается ли трансграничная передача данных.
Отдельные обязанности оператора ПД
Роскомнадзор отдельно разъяснил, что некоторые биометрические данные, если они не используются для установления личности гражданина, к охраняемым законом персональным сведениям не относятся. Это:
- ксерокопия паспорта, предоставляемая оператору при заключении договора с ним;
- фотографии в личном деле;
- рентгеновские и флюорографические снимки.
При этом, например, фотография на пропуск к биометрическим ПД относится. Существует судебная практика, на основании которой за использование фотографии без оформления согласия на обработку персональных данных оператора привлекали к ответственности. Также закон защищает сведения о размере зарплаты. Их разглашение станет основанием для увольнения виновного сотрудника и возмещения ущерба, причиненного гражданину, в судебном порядке.
Оформление согласия на обработку персональных данных – одна из первых обязанностей оператора, о которой часто забывают организации, имеющие дело с большим объемом персональной информации. Согласие на обработку должны предложить подписать гражданину не только МФЦ или банки, закон требует этого от медицинских и образовательных учреждений, организаций ЖКХ, интернет-магазинов.
Оформлять согласие не нужно только в следующих случаях:
- данные обрабатываются в целях, установленных законом или международным договором РФ;
- персональные данные требуются в судебном процессе или для исполнения судебного акта;
- данные необходимы госорганам для выполнения их задач;
- данные передаются в рамках договора, стороной по которому оказывается субъект ПД;
- сведения необходимы для защиты жизни или здоровья гражданина, а получение согласия на обработку в конкретной жизненной ситуации невозможно;
- данные нужны для профессиональной деятельности журналиста с учетом установленных законом ограничений;
- сведения раскрываются на основании требований закона.
Во всех остальных случаях получение согласия обязательно. Российская судебная практика знает ситуации, когда по закону преследовалось опубликование персональных данных умерших граждан. Даже размещение гражданином информации о себе в социальных сетях автоматически не превращает эти сведения в общедоступные, поэтому их распространение наказуемо. Так, Роскомнадзор выиграл дело против Бюро кредитных историй, которое собирало данные о заемщиках без их согласия.
Форма согласия предполагает создание письменного или электронного документа при условии его подписания электронной подписью. При помощи телефона, смс-сообщения или мессенджера оформить согласие невозможно. Его требуется оформлять при передаче данных на обработку оператору или третьему лицу. Известны случаи, когда операторов привлекали к ответственности за передачу данных соискателей вакантных должностей кадровому агентству. Если гражданин отзывает свое согласие, что он вправе сделать в любой момент, оператор обязан в течение 30 дней уничтожить данные. Это требование не распространяется на ситуации, когда сведения обрабатываются на основании закона.
Эксперты отмечают, что наиболее частым нарушением оператора становится неполучение согласия на:
- обработку данных;
- передачу персональных данных третьим лицам;
- трансграничную передачу данных.
Хранение персональных данных на территории России
Может быть, помните, что начиная с лета 2014 года было много шума из-за принятия закона о персональных данных (№242-ФЗ)? Этот закон обязывает операторов персональных данных обеспечить запись, хранение (и прочие операции) персональных данных граждан РФ с использованием баз данных на территории РФ с 1 сентября 2015 года. Это означает, что персональные данные наших соотечественников должны храниться на российской территории. Однако это не означает, что за рубежом они не могут храниться вовсе. Согласно позиции Министерства связи, хранение данных за пределами РФ является возможным, если первоначальная обработка осуществлялась на территории РФ. Другими словами, можно иметь две базы данных – одна в России, а другая – за рубежом. При этом Роскомнадзор, скорее всего, не сможет проверить, насколько эти базы идентичны.
Штрафы за неуведомление Роскомнадзора
Если работодатель или любая другая компания, планирующая заключать договоры (соглашения) с физлицами, в том числе через свой официальный сайт, не представит уведомление в Роскомнадзор о планируемой обработке персональных сведений, ее оштрафуют по ст. 19.7 КоАП РФ. Данная норма устанавливает административную ответственность за непредставление или несвоевременное представление сведений в государственный орган, осуществляющий государственный контроль (надзор).
Величина штрафа для должностных лиц организации составит от 300 до 500 рублей. Такой же штраф уплатят и ИП, осуществившие обработку персональных данных без предварительного уведомления Роскомнадзора. При этом штраф для организаций устанавливается уже в размере от 3 000 до 5 000 рублей.
Подотчетным станет сбор персональных данных:
- в ходе трудовых отношений,
- при заключении договоров с мобильными операторами, общественными объединениями или религиозными организациями, государственными автоматизированными информационными системами,
- уже упомянутых ФИО,
- даже если люди дают согласие на сбор и обработку своих персональных данных. Поэтому мы так часто должны были ставить галочки в окошках согласия на обработку данных: это снимало с компаний обязанность отчитываться перед Роскомнадзором, но с 1 сентября 2022 года наше согласие перестанет что-то значит и требовать его с нас не будет смысла,
- для выдачи пропуска (в том числе одноразового) на территорию или в здание (с 1 сентября 2022 года это становится незаконным, если организация не уведомила Роскомнадзор о сборе персональных данных).
Вероятнее всего, потребуется обеспечение 4-го уровня защищенности персональных данных, для которого в соответствии с Постановлением N 1119 необходимы:
- организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
- обеспечение сохранности носителей персональных данных;
- утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;
- использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.
Порядок хранения и использования персональных данных работников
Разделим все требования для простоты на 4 группы. Работая с персональными данными, вы должны:
1. Подготовить пакет организационно-распорядительной документации. 2. Привести процессы работы с персональными данными в соответствие с законом. 3. Реализовать техническую защиту персональных данных в информационных системах. 4. Хранить базы с персональными данными на территории Российской Федерации.
Закон в ст. 18.1 требует от операторов персональных данных иметь локальные акты и политику, регламентирующую обработку и защиту персональных данных. Точного перечня необходимых документов не предлагается.
При этом Роскомнадзор во время проверок компаний запрашивает перечень необходимых документов и сведений, которые на практике ему передают в виде копий внутренних документов.
Поскольку точного перечня документов не существует, каждый оператор персональных данных составляет их по своему усмотрению на основании текста закона и подзаконных актов.
Здесь
вы найдете полный перечень необходимых документов, которых достаточно для соответствия требованиям.
Если персональные данные хранятся или как-то иначе обрабатываются в информационных системах (например, в «1С: Бухгалтерии», в базе данных сайта, CRM и других), нужно определить уровень их технической защищенности, составив соответствующий акт.
Затем нужно разработать модель угроз и на основании Постановления Правительства № 1119 и Приказа ФСТЭК России № 21 составить техническое задание на систему защиты персональных данных.
После этого разрабатывается и внедряется проект системы защиты. Внедрением может заняться сама компания или подрядчик, имеющий определенную лицензию ФСТЭК России.
Данное требование, по нашим данным, выполнили лишь 1% операторов. Во-первых, антивирус дорого стоит (закон говорит применять не просто антивирус, а сертифицированный ФСТЭК, при этом функционально они не отличаются, а по деньгам в 1.5–3 раза). Во-вторых, данное требование проверяется ФСТЭК и ФСБ России у малого и среднего бизнеса очень, очень, очень редко. Риск проверки крайне мал.
Что такое обработка персональных данных?
Обработка ПД – это любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
- работодатель заключил с вами трудовой договор, и вы передали в отдел кадров свои документы, где была создана папка с вашим личным делом, – работодатель осуществил сбор, запись и хранение ПД;
- работодатель передал ваши данные типографии для печати визитки – он осуществил передачу ПД;
- продавец сжег документы, в которых содержались данные покупателей, – он уничтожил ПД;
- покупатель при покупке товара через интернет передал владельцу сайта свои ПД – указал Ф.И.О., адрес, почту и телефон. Данные были сохранены в электронной базе сайта – его владелец осуществил сбор, запись и хранение ПД.
Из примеров видно, что ваши ПД могут храниться как на бумажных носителях, так и на электронных.
Согласие на обработку персональных данных
В соответствии со ст. 9 закона «О персональных. » от 27.07.2006 № 152-ФЗ субъект персональных данных самостоятельно принимает решение о предоставлении права на обработку и использование этой информации третьими лицами. Согласие оформляется в письменном виде (а если данные передаются через интернет, в электронном).
Необходимость в предоставлении личной информации возникает постоянно: при медицинском осмотре в поликлинике, трудоустройстве на работу и даже оформлении заказа в интернет-магазине.
Сторона, получающая личные сведения, обязана:
- заручиться согласием их владельца на обработку и использование;
- обеспечивать конфиденциальность;
- хранить документ, подтверждающий, что владелец разрешил работать с ними.
ВАЖНО! Работник в любое время вправе отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона о персональных данных). В подобной ситуации продолжение обработки персональных данных работника без его согласия возможно при наличии оснований, перечисленных в п. п. 2 — 11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 Закона о персональных данных.
Нарушение этих требований влечет за собой применение к оператору персональных данных мер ответственности.
На кого распространяются нормы Закона?
Сфера применения Закона о персональных данных достаточно широка, он охватывает отношения, связанные с обработкой персональных данных, осуществляемой госорганами, юридическими и физическими лицами с использованием или без использования средств автоматизации. Цель такого регулирования — обеспечение защиты прав и свобод человека и гражданина при обработке его личных сведений. Это информация, относящаяся к определенному физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, число и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другие сведения. Этот перечень открыт, что дает основание включить в него практически любую индивидуальную информацию о субъекте персональных данных (в том числе паспортные данные, с которыми работают операторы связи).
Коммуникационные компании подпадают под категорию операторов, занимающихся обработкой персональных данных. Сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение и уничтожение персональных данных составляют основу такой обработки. Компании связи могут не только заниматься сбором и систематизацией личных сведений абонентов, но и передавать их партнерам в целях оказания услуг связи и проведения расчетов. Работа с индивидуальными данными абонентов — физических лиц обязывает учитывать требования Закона о персональных данных. В то же время при работе с предпринимателями на оператора связи не распространяются требования этого Закона. На это, в частности, указано в Постановлении ФАС МО от 11.02.2008 N КА-А40/36-08. Предприниматель обратился с жалобой на действия оператора мобильной связи, который обработал его персональные данные и оставил без ответа его просьбу разъяснить ему механизм и цель такой обработки. Если бы на месте предпринимателя оказался обычный гражданин, у последнего были бы шансы уличить оператора в нарушении норм Закона о персональных данных. Но к предпринимателю этот нормативный акт отношения не имеет, на что указали и управление Россвязькомнадзора, и арбитражный суд. Вернемся к основной категории клиентов операторов связи — абонентов-граждан, права которых на неприкосновенность частной жизни, личную и семейную тайну защищает Закон о персональных данных.
Нюансы «ручной» обработки персональных данных
В процессе работы с клиентами еще до того, как заключить договор на оказание услуг связи, операторы иногда используют типовые формы самостоятельно разработанных документов, которые предполагают включение в них персональных данных. Такие действия, как использование, уточнение, распространение, уничтожение личных данных, произведенные при непосредственном участии человека, в соответствии с Законом о персональных данных считаются обработкой персональных данных, осуществляемой без использования средств автоматизации. Даже если персональные сведения просто находятся в какой-либо базе данных или извлечены из нее, они будут считаться обработанными без использования средств автоматизации. Обработка персональных данных не может быть признана как производимая с использованием средств автоматизации только на том основании, что эти данные содержатся в информационной системе. Об этом говорится в отдельном Положении об особенностях обработки персональных данных без использования средств автоматизации .
Постановление Правительства РФ от 15.09.2008 N 687.
В указанном документе содержится ряд требований к типовым формам документов, характер информации в которых предполагает включение в них персональных данных. Начать следует с того, что форма запроса и иные связанные с ним документы должны содержать информацию о цели обработки личных данных. Основная часть типовой формы включает данные организации, занимающейся «ручной» обработкой, используемые персональные данные клиентов, информацию о сроке их обработки, перечень совершаемых с ними действий и общее описание используемых способов работы с индивидуальными сведениями. Если необходимо письменное согласие на обработку персональных данных (в том числе на передачу третьим лицам), в типовом бланке следует оставить место, где клиент может поставить отметку о своем согласии. Следует учесть еще одно ограничение, суть которого в том, что каждый из субъектов персональных данных, содержащихся в типовой форме, имел возможность ознакомиться только со своими данными. Проще всего это сделать посредством занесения сведений о клиентах в отдельные типовые формы, в которых фирма для учета основных сведений может составить реестр или журнал, доступный лишь для сотрудников компании. Лучше установить строго определенный перечень лиц, которые обрабатывают тот или иной информационный блок либо получают к нему доступ.
Общие рекомендации по выполнению требований Закона № 242-ФЗ
Операторам информационных систем с ПДн (далее – ИСПДн), обрабатывающим персональные данные граждан РФ, следует соблюдать следующие принципы:
- сбор ПДн, в том числе с территории иностранных государств, ведется только в БД на территории РФ;
- объем и актуальность ПДн, хранящихся в БД на территории РФ, должны быть равны или превосходить соответствующие показатели в отношении ПДн, хранящихся в зарубежных БД;
- получение новых ПДн посредством использования (анализа) имеющихся ПДн, которые были собраны в БД на территории РФ и переданы за рубеж, может производиться с помощью зарубежных БД и без предварительной локализации в РФ1.
В начале августа 2015 г. Минкомсвязь на своем сайте открыла раздел «Обработка и хранение персональных данных в РФ. Изменения с 1 сентября 2015 года». В нем предлагаются разъяснения и ответы на вопросы, подготовленные на основании информации, полученной от представителей бизнеса, научного сообщества и органов государственной власти (Совета Федерации, Минкомсвязи, Роскомнадзора). Роскомнадзор в ноябре 2021 г. опубликовал свой комментарий к Закону № 242-ФЗ. Следует обратить внимание, что публикуемые в этих источниках разъяснения иногда противоречат друг другу2.
На текущий момент несколько органов государственной власти высказали свою позицию, которая суммирует результаты толкования ими требований Закона № 242-ФЗ в отношении размещения БД с данными российских граждан. Необходимо отметить, что нижеприведенные интерпретации норм не всегда могут считаться официальными разъяснениями, так как не все эти органы, например Роскомнадзор, наделены таким правомочием.
Позиция Государственно-правового управления Президента РФ
- Обработка ПДн российских граждан должна осуществляться с использованием БД, находящихся на территории РФ, если только в конкретной ситуации не применимы случаи, указанные в п. 2, 3, 4, 8 ч. 1 ст. 6 Закона № 152-ФЗ.
- В Законе № 242-ФЗ отсутствует упоминание о дублирующих БД или актуальных копиях данных.
- Исходя из положений ч. 1 ст. 1 Закона № 242-ФЗ он распространяется на всех операторов.
- Запреты, установленные в Законе № 242-ФЗ, распространяются и на те ПДн, которые были ранее переданы за пределы РФ.
Позиция Роскомнадзора
- Роскомнадзор при проведении проверок опирается на определение БП с ПДн. Согласно ему БД можно считать таблицу в формате Excel, Word, в которой содержится информация о ПДн граждан или иным образом упорядоченный массив ПДн, в том числе поддающийся обработке при помощи ЭВМ3.
- В Законе № 242-ФЗ отсутствует запрет на трансграничную передачу ПДн, так как ст. 12 Закона № 152-ФЗ не подверглась изменениям. Обработка ПДн посредством их передачи, в том числе на территорию иностранного государства, является трансграничной передачей. Допускается передача ПДн российских граждан, содержащихся в БД, находящихся в РФ, в том числе на территорию иностранных государств, в порядке и в соответствии с условиями, определенными законодательством о ПДн.
- Нормы Закона № 152-ФЗ не применяются за пределами территории РФ. Зарубежная обработка ПДн регулируется нормативными правовыми актами тех стран, в которых она осуществляется.
- Порядок определения оператором места нахождения БД с ПДн нормативно закрепляться не будет.
- Формирование и актуализация БД с ПДн российских граждан должны осуществляться на территории РФ. Требования Закона № 242-ФЗ не позволяют осуществлять отдельные процедуры, в том числе «хранение ПДн» в БД на территории иностранного государства.
- Каждый случай, в котором при сборе ПДн будет осуществляться одновременное хранение БД на территории РФ и иностранного государства, будет являться нарушением Закона № 242-ФЗ, поскольку оператор при сборе ПДн допустит их хранение в БД за пределами РФ. После сбора ПДн, т.е. после формирования БД на территории РФ, недопустимо изменение условий ее хранения путем переноса БД на территорию иностранного государства.
- Операторы должны самостоятельно определять процедуру установления гражданства субъекта ПДн. Если у оператора возникли трудности или сомнения в правильной идентификации гражданства субъектов ПДн, то он может осуществлять хранение ПДн этих субъектов в БД, размещенных на территории РФ.
Позиция Минкомсвязи
- Субъект ПДн имеет право дать согласие на обработку своих ПДн и предоставить их любому юридическому или физическому лицу, находящемуся как на территории РФ, так и за ее пределами.
- Оператор по-прежнему обладает правом поручить обработку ПДн иностранному лицу и осуществлять трансграничную передачу ПДн. Например, российские дочерние организации могут передавать ПДн своих работников в глобальные ИС (HR-системы, ERP-системы и т.п.), операторами которых являются иностранные материнские компании или иные организации.
- ИСПДн может обладать географически распределенной структурой. Часть ее элементов может находиться за пределами РФ.
- Применение дублирующих БД, находящихся на территории РФ или за ее пределами, прямо не запрещено действующим законодательством РФ.
- Нормы Закона № 152-ФЗ применимы только на территории РФ, а Конвенция о защите физических лиц при автоматизированной обработке персональных данных ETS от 28 января 1981 г. № 108 имеет приоритет над этим законом. Соответственно, иностранные лица не обязаны соблюдать его требования за пределами РФ, и они не подлежат юридической ответственности, предусмотренной действующим законодательством РФ.
- Закон № 242-ФЗ обратной силы не имеет. Следовательно, его положения не распространяются на правоотношения с иностранными лицами, ведущими БД с ПДн, оформленные до 1 сентября 2015 г.
- На деятельность авиакомпаний, осуществляемую в рамках реализации международного договора РФ или федерального закона, не распространяется положения ч. 5 ст. 18 Закона № 152-ФЗ об обязательной локализации БД с ПДн на территории РФ.
- Обработка ПДн для целей, не предусмотренных международным договором РФ или законом, может быть осуществлена оператором в рамках исполнения требований, предусмотренных ч. 5 ст. 18 Закона № 152-ФЗ, путем размещения в центрах обработки данных на территории РФ БД, содержащей ПДн граждан РФ, большего размера или аналогичного объему ПДн, передаваемому на территорию иностранного государства.
В целом вышеописанные позиции иллюстрируют два обобщенных подхода органов госвласти к толкованию норм Закона № 242-ФЗ:
- жесткий подход Государственно-правового управления Президента РФ и Роскомнадзора: запрещено все, что прямо не разрешено законом;
- мягкий подход Минкомсвязи: разрешено все, что прямо не запрещено законом.
Требования к сроку хранения персональных данных по ФЗ-152
Абсолютно любые операции с Ф.И.О., адресом и другими сведениями, которые дают возможность идентифицировать гражданина, предполагают следование установленным законом требованиям. То есть работодатель не может произвольно решить, как долго будут сохраняться ПДн, как он их будет использовать и т.д. Все эти процессы регулируется ФЗ-152. Кроме определения терминов и других общих положений в документе содержатся статьи, регламентирующие сроки обработки и хранения персональных данных, а также сам процесс их применения. Вот главные моменты:
- нахождение в базе личной информации и на материальных носителях не должно быть дольше, чем время, необходимое на выполнение задач, ради которых она была собрана;
- когда цели получения и обработки выполнены, запрещено продолжать хранить ПДн. Их требуется обезличить и уничтожить в установленном законом порядке, если нет других предусмотренных законом обстоятельств этого не делать;
- уничтожению подлежат те сведения, необходимость в которых, по тем или иным причинам отпала;
- нельзя выполнять какие-либо операции до получения письменного согласия от субъекта в установленной форме либо после того, как владелец отозвал ранее предоставленное разрешение;
- оператор обязуется в период использования личной информации обеспечивать её защиту от распространения и кражи третьими лицами, а за нарушение этого правила он несет как административную, так и уголовную ответственность.
Политика обработки персональных данных на сайте
Пункт 3 статьи 13.11 КоАП РФ: невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных — влечет предупреждение или наложение административного штрафа:
- на граждан в размере от 700 до 1 500 рублей;
- на должностных лиц — от 3 000 до 6 000 рублей;
- на индивидуальных предпринимателей — от 5 000 до 10 000 рублей;
- на юридических лиц — от 15 000 до 30 000 рублей.
Минимум, что нужно сделать сейчас, — разместить на сайте политику обработки персональных данных.