Чуть больше месяца прошло с момента вступления в силу поправок в закон «О персональных данных», который непосредственным образом касается в том числе и деятельности турагентств. Тем не менее, как оказалось, о нововведениях казанские турагенты если что-то и слышали, то корректировать в соответствии с ними свою работу пока не спешат. TurProfi.ru разбирался: что же действительно отныне придется учесть при работе с персональными данными туриста.

Кого обязывает закон

Новые требования по исполнению Закона № 152 «О персональных данных» начали действовать с 1 июля — в самый, пожалуй, напряженный период летнего сезона для турагентов. Но как отметили в Управлении Роскомнадзора по Республике Татарстан, незнание закона не освобождает от ответственности, и потому туристическим компаниям все же стоит озаботиться его исполнением.
В Управлении Роскомнадзора по Республике Татарстан TurProfi.ru пояснили, что новые требования касаются всех туристических организаций, так или иначе обрабатывающих в своих системах персональные данные клиентов, будь это туристическое агентство, или туроператор. Согласно закону все туристические компании, имеющие статус юридического или физического лица (индивидуального предпринимателя) являются операторами по обработке персональных данных.

Реализация требования Федерального закона «О персональных данных» касается всех операторов, осуществляющих обработку персональных данных (туристические компании, туристические фирмы, туристические агентства, туристических операторов и т.п.).
В части 4 статьи 6 Федерального закона «О персональных данных» указано:
В случае, если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.
Особенности обработки персональных данных при их трансграничной передаче определены в статье 12 Федерального закона «О персональных данных» (наличие согласия в письменной форме субъекта персональных данных)

Что нужно сделать в первую очередь

Согласно статье 19 Федерального закона «О персональных данных» оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

Итак, чего же требует обновленный закон от участников туристическго рынка? В первую очередь стоит обратить внимание на следующую поправку, которая также начала действовать с начала июля:

Информационные системы персональных данных, созданные до 1 января 2011 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 июля 2011 года.
(Федеральный закон Российской Федерации от 23 декабря 2010 г. № 359-ФЗ «О внесении изменения в статью 25 Федерального закона «О персональных данных»)

Под этой формулировкой скрывается немало важных пунктов, один из которых - отныне обязательное письменное согласие клиента на обработку своих персональных данных.

Согласно части 4 статьи 9 Федерального закона от 27.07.2011г. №152-ФЗ «О персональных данных» - Письменное согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя:
1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2) наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;
3) цель обработки персональных данных;
4) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
5) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
6) срок, в течение которого действует согласие, а также порядок его отзыва;
7) собственноручную подпись субъекта персональных данных.

В данном случае письменное согласие туриста вполне может быть оформлено в договоре на оказание туристических услуг, но с обязательным раскрытием всех семи вышеперечисленных пунктов. Либо, как вариант, оно должно быть написано в виде приложения к договору или отдельного заявления.
 
По словам Инны Ильиной, и. о. руководителя  Управления Роскомнадзора по Республике Татарстан, написание такого заявления целесообразнее: «Так как при изменении обстоятельств, как например, возникновении непредвиденных случаев в период оформления путевки, либо при оказании туристических услуг, в заявление туриста легче внести изменения, не нарушая Занодательство РФ в области персональных данный и не «уронить» репутацию туристической компании», — уточнила Инна Ильина.

Необходим комплекс мероприятий

Еще одним обязательным требованием стало то, что в соответствии с ч. 1 ст. 22 Федерального закона «О персональных данных» оператор до начала обработки персональных данных обязан уведомить об этом Роскомнадзор.

Независимо от того, направили или не направили туристические компании (фирмы, агентства и т.п.) в Роскомнадзор Уведомление об обработке персональных данных, они обязаны выполнять требования Законодательства Российской Федерации в области персональных данных, статьи 23 и 24 Конституции Российской Федерации. В связи с тем, что защита прав субъектов персональных данных - это социально значимый вопрос, процедура направления оператором Уведомления об обработке персональных данных в Роскомнадзор является бесплатной.
Данное уведомление является подтверждением того, что оператор ОПД обязуется соблюдать права субъектов персональных данных (работников, туристов, клиентов, абонентов, пациентов, студентов и т.д.)

Для того, чтобы привести все информационные системы персональных данных в соответствие с предписаниями закона, операторы вправе задействовать сторонние организации и кадры. В любом случае, отмечают в Управлении Роскомнадзора, затраты на обеспечение защиты персональных данных не превышают размера возможных в будущем ущербов. 

При этом, необходимо отметить, что для соблюдения требований закона к организации защиты персональных данных туристическими компаниями, необходимо немало усилий. К примеру, по инструкции, составленной Российским союзом туриндустрии, компании необходимо провести свыше десятка мероприятий, начиная от издания приказа «Об организации работ по обеспечению безопасности персональных данных» и заканчивая выбором технических средств защиты персональных данных от несанкционированного доступа.

А так ли строги требования?

Впрочем, часть 2 ст. 22  этого же закона предусматривает несколько исключений, когда оператор вправе осуществлять обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных. В этой статье, в частности, есть два пункта, подходящие к деятельности туристических организаций:

Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
— относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;
— полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных
(все пункты 2-й части ст. 22 ФЗ «О персональных данных»).

В Федеральном управлении Роскомнадзора этот нюанс TurProfi.ru тем не менее прокомментировали следующим образом: «Принимая во внимание, что в большинстве случаев деятельность туроператора (турагентства) не подпадает под исключения ч. 2 ст. 22 Федерального закона «О персональных данных», полагаем, что указанные организации обязаны представить уведомление об обработке персональных данных в адрес Роскомнадзора».

По мнению же юриста Евгения Албула, практикующего в туристической сфере, турфирмы, заключающие договор непосредственно с туристами, все же могут попадать под действие пункта 2 ч. 2 ст. 22 Закона № 152-ФЗ и осуществлять обработку персональных данных без уведомления уполномоченного органа.

«Если персональные данные туриста получены в связи с заключением договора с ним и они не предоставляются третьим лицам без согласия туриста и используются исключительно для исполнения указанного договора, то учет в Роскомнадзоре вовсе не обязателен, — считает Евгений Албул, отметив, что в индустрии отдыха инициатива заключения договорных отношения исходит от туриста, и сбор данных турагентом не является профессиональной деятельностью (операторством) в сфере персональных данных. — Проще говоря, турагентству достаточно заключить с туристом договор, в котором есть пункт об использовании персональных данных, либо можно закрепить это соглашение, оформив отдельный документ».

Поправки приняли, сомнения остались

И все же, несмотря на то, что закон «О персональных данных» работает не один год, а поправки действуют больше месяца, нужно заметить, что практически все профессионалы туризма, обсуждая нововведения признали, что закон, конечно, нужен, но скорее в несколько другом варианте. Поскольку в его содержании по-прежнему остается довольно много противоречий и неточностей.
 
«На мой взгляд, закон достаточно сырой, — рассуждает Константин Новиков, директор туристической компании «Магеллан Трэвел», — в нашем договоре есть пункт о защите персональных данных, но я, честно говоря, до сих пор не очень понимаю, каким образом и о чем конкретно мы должны уведомлять Роскомнадзор. Если о том, что будем обрабатывать данные каждого клиента, то в таком случае нам придется только этим и заниматься. Также неясно, как уничтожать все данные туриста после отправки, если потом их необходимо еще предоставить в налоговую службу. Кроме того, — добавляет Константин Новиков, — остается непонятным алгоритм действий для субагентов, и как применим закон к онлайн-бронированию, когда турист самостоятельно размещает свои данные в сети».

С тем, что закон нуждается в доработке согласен и Евгений Никулин, генеральный директор компании «Спутник»: «В туристическом бизнесе и без того достаточно обширный документооборот, и от того, что он с каждым разом увеличивается, никому не легче. Если бы требования были сформулированы более четко и перечень необходимых документов составлен отдельно для каждой отрасли, то наверняка многие турфирмы отреагировали бы быстрее. Но иногда складывается впечатление, что контролирующим органам легче и выгоднее выписать очередной штраф. Я думаю, тенденция будет такова, что каждое агентство, особенно, если у него нет своего юриста, «прочитает» поправки по-своему и будет действовать сообразно своей трактовке».

А что на практике?  

В личной беседе с TurProfi.ru многие турагенты признались, что хоть и слышали про поправки, но вникать-не вникали и пока ничего не сделали. Одни ссылаются на и без того высокую занятость, другие — на малопонятные требования закона, третьи в принципе не видят в выполнении требований особой необходимости. Другими словами, пока проверка не нагрянет, беспокоиться не о чем.

Впрочем, нельзя сказать, что все казанские турагентства заняли равнодушную позицию. В некоторых, как правило, в крупных компаниях уже начали внедрять новые требования в практику: «С нашими сотрудниками мы подписали дополнительные договоры о том, что мы используем персональные данные клиента только в его интересах и о том, какую ответственность в связи с этим несет менеджер. Что же касается пункта о согласии на обработку персональных данных, то он в нашем договоре существовал и до принятия поправок. Я думаю, что закон в большей степени ориентирован на тех, кто занимался продажей баз данных с целью заработка, в то время как мы и прежде использовали сведения  клиентов только по назначению, то есть для бронирования туров», — рассказывает Наиля Валиуллина, генеральный директор копании «Бюро путешествий «Столица».

В свою очередь, все документы казанской компании «STEN travel» были приведены в соответствие еще в прошлом году. Как рассказал директор компании Леонид Пресс, на предстоящие изменения в законе они обратили внимание давно:
«Еще в прошлом году в рамках деловой встречи с представителями Управления Роскомнадзора по РТ было подробно рассказано, что и как нам предстоит сделать. Поэтому все необходимые действия мы выполнили еще в прошлом году. В настоящее время туркомпаниям нужно, в первую очередь, навести порядок в бумагах и смысл в этом, конечно, есть. Ни для кого не секрет, что многие агентства работают нелегально и без кассовых аппаратов,но предлагая туристам солидные скидки, тем самым разрушая рынок», — считает  Леонид Пресс.
 
Как бы то ни было, эксперты все же советуют отнестись к закону серьезно, потому что рано или поздно контролирующие органы начнут проводить проверки. К слову, достаточно показательным на туррынке стал тот факт, что запрашивать соглашения о защите персональных данных на каждого выезжающего начали визовые центры. Так, на сайте визового центра Франции уже опубликован текст заявления для аппликантов о согласии на обработку данных, которое должно быть приложено к пакету документов на получение визы.

Примут ли в итоге туроператоры какие-то дополнительные меры по защите информации, и повлияют ли они на дальнейшую жизнь туристических компаний — TurProfi.ru будет следить. Но очевидно, что вникнуть в тему защиты персональных данных туристов не помешает все-таки каждому турпрофи.