Тем не менее, минимальную систему защиты персональных данных компания может создать самостоятельно, не прибегая к услугам специализированных компаний.

Порядок действий Организатора по построению системы защиты персональных данных:

1. Приобретать для Промосайтов хостинг, который использует сертифицированные средства защиты информации (СЗИ) и соблюдает Закон о защите персональных данных (эти положения должны быть предусмотрены договором).

2. Во всех случаях важно получить от Участников явное согласие на отработку передаваемых данных. Причём, Организатор должен затем суметь доказать, что он получил согласие на обработку персональных данных от того или иного лица. Идеальный вариант – заполненное собственноручно Участником согласие на обработку персональных данных, которое должно содержать (п. 4 ст. 9 Закона о защите персональных данных):

1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;

3) цель обработки персональных данных;

4) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;

5) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;

6) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;

7) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

8) подпись субъекта персональных данных.

Получать письменные согласия от гражданина на обработку его данных необходимо в ограниченных случаях, когда обрабатываются 1) особенные данные, касающиеся его национальности, расовой принадлежности, состояние здоровья и т.п. специальные данные; 2) биометрические персональные данные, описывающие физиологические особенности человека (в Акциях это бывает копия паспорта, в которой содержится фотография и личная подпись гражданина, в связи с чем рекомендуем получать копии паспортов, в которых указанные данные любым способом скрыты).

Во всех остальных случаях достаточно согласия в любой, явно выраженной форме. При этом Оператор персональных данных должен иметь доказательство такого согласия.

Обычно в Правилах указывается, что, принимая участие в Акции, совершая установленные действия, гражданин выражает своё согласие на обработку его персональных данных в соответствии с Правилами. Этого достаточно, чтобы говорить о полученном согласии. Однако можно усилить это доказательство, если ввести процедуру подтверждения номера мобильного телефона или электронной почты, указанных при регистрации.

В Правилах также указываются: цель обработки персональных данных; перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; наименование и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу; перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

3. Далее компания обязана установить для себя тип имеющейся угрозы. Стандартно для данных, собираемых на Промосайтах, тип угрозы третий (Подробнее: http://www.rskb48.ru/stati/urovni.html).

Для указанного типа угроз компания обязана выполнить следующие действия:

– Создать комиссию из сотрудников (оформить приказ) и классифицировать информационную систему (оформить акт, подписанный членами комиссии).

– Утвердить приказом ответственное лицо, перечень обрабатываемых персональных данных, а также список лиц (сотрудников), имеющих право доступа к данным.

– Не допускать в помещения и к компьютерам, где расположена информационная система, обрабатывающая персональные данные, посторонних лиц (разработать положение).

– Обеспечивать сохранность носителей персональных данных (разработать положение).

– Опубликовать на Промосайте или в Мобильном приложении политику обработки персональных данных.

– На компьютерах, на которых осуществляется обработка персональных данных, установить пароли и использовать сертифицированные средства защиты, реестр которых находится на сайте ФСТЭК.

– Соблюдать конфиденциальность и безопасность работы с данными (например, нельзя хранить на столе в офисе копии паспортов участников или пересылать их по электронной почте без архивации).

– Уничтожить персональные данные после того как Акция завершена (в течение 30-ти дней, составить акт).

– Предоставлять доступ к данным по запросам Участников (в правилах указать электронный адрес для получения таких запросов).

4. В договорах с подрядчиками, которые получают от Оператора персональные данные, необходимо указывать положения о конфиденциальности работы с персональными данными.

5. В случае если Организатор планирует использовать персональные данные участников для дальнейшей рассылки рекламных предложений (самостоятельно или передать своему клиенту), то необходимо специально оговорить это в правилах акции.

6. Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении осуществлять обработку персональных данных, за исключением некоторых случаев, предусмотренных ч. 2 ст. 22 Закона о защите персональных данных.

В уведомлении указывается:

1) наименование (фамилия, имя, отчество), адрес оператора;

2) цель обработки персональных данных;

3) категории персональных данных;

4) категории субъектов, персональные данные которых обрабатываются;

5) правовое основание обработки персональных данных;

6) перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;

7) описание мер, предусмотренных статьями 18.1 и 19 Закона о защите персональных данных, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;

7.1) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты;

8) дата начала обработки персональных данных;

9) срок или условие прекращения обработки персональных данных;

10) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;

10.1) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;

11) сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации.

Фактически, это означает, что такое Уведомление должно быть направлено в Роскомнадзор до старта каждой Акции, в которой собираются персональные данные. На основании первого поступившего уведомления Роскомнадзор включает Организатора в Реестр операторов персональных данных.

Однако существует нюанс, который позволяет упростить ситуацию для Организатора. Часть 2 ст. 22 Закона о защите персональных данных указывает, что Оператор персональных данных вправе осуществлять без Уведомления обработку персональных данных полученных оператором в следующих случаях:

– в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

– персональных данных, сделанных субъектом персональных данных общедоступными (например, при авторизации через социальные сети);

– включающих в себя только фамилии, имена и отчества субъектов персональных данных.

Таким образом, если отношения Участников Акции и Организатора основаны на договоре, если они берутся из социальных сетей или ограничиваются только ФИО, Организатор вправе осуществлять обработку данных без Уведомления Роскомнадзора.

Для того чтобы в полной мере использовать эти возможности, Организатор может включить в правила положения о том, что, принимая участие в Акции, Участник фактически заключает договор с Организатором, текстом которого выступают правила, а также Правила должны содержать положения, установленные в статье (ч. 2 п. 2 ст. 22 Закона о защите персональных данных: персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора). В таком случае обработка персональных данных возможна без направления соответствующего Уведомления в Роскомнадзор и без постановки и Организатора на учёт в Реестр операторов персональных данных.

Подводя итог, следует признать, что создать систему защиты персональных данных и следовать букве Закона о защите персональных данных – это сложное дело. Для Организатора открывается три варианта действий: 1) привлечь специализированную компанию и заплатить ей достаточно крупную сумму, и построить качественную систему защиты персональных данных; 2) своими силами сформировать пакет документов и сделать минимальный набор действий по защите персональных данных, здесь нужно будет составить ряд документов и закупить сертифицированный хостинг; 3) ничего этого не делать, отложить в резервный фонд 20 – 50 тысяч на случай штрафов. Здесь важно понимать, что проведение рекламной акции, по идее, никак не связано с построением системы защиты персональных данных. Система уже должна быть разработана в компании, как только компания наняла первого сотрудника.

Кто в Акции выступает Оператором персональных данных

Обычно в Правилах указывается, что именно Организатор Акции является Оператором персональных данных. В то же время, может быть исключение. Если есть необходимость, обязанности Оператора персональных данных можно передать заказчику Акции, а также подрядчику, который в рамках Акции обрабатывает персональные данные (сведения о таких лицах указываются в Правилах). Также сторонам необходимо в договоре на оказание услуг закрепить, кто именно выступает Оператором персональных данных.

3.3.5. Правила Акции

Закон не устанавливает специальных требований к правилам Акции, не устанавливает их форму, содержание, перечень пунктов. Каждый Организатор вправе разработать правила в том виде, который наиболее удобен для него. Это может быть многостраничный юридический документ, содержащий не только условия Акции, но и ряд правовой информации, а может быть и небольшое объявление на сайте или пост в социальной сети.

Правила обязательны в двух случаях:

1) Проведение Стимулирующего мероприятия (это Акция, связанная с необходимостью покупки товара и носит соревновательный характер: конкурс, игра, иное подобное мероприятие). Статья 9 Закона о рекламе устанавливает обязанность при рекламе таких мероприятий указывать источник информации о его правилах. Соответственно, правила должны существовать, и в таких правилах должно быть указано: количество выигрышей, срок, место и порядок их выдачи.

Ответственность за нарушение: Применяется общая ответственность за любые нарушения законодательства о рекламе, установленная ст. 14.3 КоАП РФ: штраф на граждан в размере от 2000 до 2500 рублей; на должностных лиц (руководитель компании или ИП) – от 4000 до 20 000 рублей; на юридических лиц – от 100 000 до 500 000 рублей. Здесь важно понимать, что наказание может быть наложено только за ненадлежащую рекламу Стимулирующего мероприятия (например, в рекламе не указан источник информации о правилах), а не за факт отсутствия правил. Наказываются лица, причастные к размещению рекламы (рекламодатель, рекламоизготовитель, рекламорапространитель).

2) Проведение публичного Конкурса. В соответствии с п. 3 ст. 1057 ГК РФ объявление о публичном конкурсе (а Правила, по своей сути, и есть такое объявление) должно содержать по крайней мере условия, предусматривающие:

– существо задания,

– критерии и порядок оценки результатов работы или иных достижений,

– место, срок и порядок их представления,

– размер и форму награды,

– а также порядок и сроки объявления результатов конкурса.

Ответственность за нарушение: ответственность за нарушение п. 3 ст. 1057 ГК РФ не установлена.

В остальных случаях правила не обязательны, так как их наличие законом не требуется. В то же время, есть случаи, когда Правила крайне желательны. Это такие случаи, как:

1. Если в Акции разыгрываются более-менее крупные призы. Когда возникнет спорная ситуация и Участник пойдёт в суд, то правила будут помогать организатору в разборе конфликта.

2. Также правила пригодятся, если Организатор выполняет обязанности налогового агента по призам стоимостью выше 4000 рублей. Для налоговой инспекции необходимо будет обосновать выдачу выигрышей, правила помогут.

3. Правила важны для компании, которая ведёт качественный бухгалтерский и налоговый учёт. Проведение рекламных Акций связано с оформлением определённого пакета документации: акты, приказы, протоколы, в том числе, и правила. И здесь уже не важно, что разыгрывается: автомобиль среди покупателей или коробка конфет среди подписчиков группы ВКонтакте. Бухгалтерия не имеет право списать эти расходы без подтверждающих документов. В этом случае правила нужны.

4. Также правила необходимо составлять, если идёт сбор персональных данных для дальнейших sms или e-mail рассылок или Организатору важны результаты Акции (например, предложенный в конкурсе дизайн футболок будет выпущен в оборот). Правила помогут легализовать базу данных и защитить права организатора на произведения, полученные по результатам Акции.

3.3.6. Публикация правил Акции

Согласно ст. 9 Закона о рекламе рекламное объявление о проведении Стимулирующего мероприятия должно содержать источник информации о правилах его проведения. Соответственно, Организатор мероприятия обязан позаботиться о том, чтобы правила были размещены в удобном месте. Чаще всего правила размещаются в интернете, на Промосайте. Ранее правила публиковали в печати. При проведении Акций в магазинах правила размещают в самом месте совершении покупок. Организатор может выбрать любой, удобный ему способ. Отсутствие правил в Стимулирующих мероприятиях может повлечь ответственность за нарушения законодательства о рекламе, установленную ст. 14.3 КоАП РФ (от 100 до 500 тысяч рублей). Здесь важно понимать, что наказание может быть наложено только за ненадлежащую рекламу Стимулирующего мероприятия (например, в рекламе указан источник информации, но правила там не размещены), а не за факт отсутствия правил. Наказываются лица, причастные к размещению рекламы (рекламодатель, рекламоизготовитель, рекламорапространитель).

В отношении творческих Конкурсов есть особое ограничение: п. 3 ст. 1057 ГК РФ определяет, что объявление (по сути, Правила – это и есть объявление) о проведении открытого публичного конкурса размещается в средствах массовой информации (далее – СМИ). Статус СМИ присваивает Роскомнадзор, выдавая соответствующее свидетельство. Если прямо следовать букве закона, то правила Конкурсов следует размещать только в тех источниках, которые имеют статус СМИ (это могут быть как печатные СМИ, так и сетевые издания – сайты, получившие статус СМИ). Добросовестным Организаторам Конкурсов следует озаботиться поиском такого доступного СМИ, на котором можно было бы официально опубликовать правила (пример – сайт didri.ru), либо заранее зарегистрировать промосайт в качестве СМИ (процедура достаточно проста, занимает около 45-ти дней). В то же время, если правила Конкурса будут размещены на обычном сайте, не имеющем статуса СМИ, это будет незначительным проступком. За указанное нарушение какая-либо ответственность не установлена.

3.3.7. Добросовестная реклама Акции

Закон о рекламе устанавливает ряд требований, которые необходимо знать Организатору Акции:

1) Реклама должна быть достоверной. Рекламное объявление об Акции должно соответствовать порядку проведения Акции.

2) Статья 9 Закона о рекламе устанавливает специальные требования к рекламе Стимулирующих мероприятий, которые хорошо было бы соблюдать при рекламе любых Акций, а именно: в рекламе, содержащей сведения о проведении Стимулирующего мероприятия, должны быть указаны:

– сроки проведения такого мероприятия;

– источник информации об организаторе такого мероприятия, о правилах его проведения, количестве призов или выигрышей по результатам такого мероприятия, сроках, месте и порядке их получения.

При этом, согласно практики применения, недостаточно в рекламном объявлении указать слова «подробности смотрите на таком-то сайте», важно привести всю фразу полностью. Пример:

«ФАС РФ обвинила ООО «ПепсиКо Холдингс» в ненадлежащей рекламе сока «Тропиканка» поскольку в ней нарушены требования части 2 статьи 9 Закона «О рекламе», а именно, в рекламе не указан источник информации об организаторе такого мероприятия, о правилах его проведения, а также о сроках, месте и порядке получения призов или выигрышей.

В рекламе сообщалось: «Пей «Тропикана», участвуй в акции и выиграй путешествие во Флориду или сумку для путешествий. Заставка для мобильного каждому участнику!». В нижней части плаката маленьким шрифтом указано: «*Сотри защитный слой, с 15.01.09 до 30.04.09 (по московскому времени) отправляй SMS с кодом на номер 5767 или вводи код на сайте www*** и ты сможешь получить гарантированные призы. Акция проводится с 15.01.2009 до 30.05.2009 на территории РФ. Стоимость СМС – не более 3 руб (с НДС), все подробности на www***»»

Таким образом, ФАС РФ признаёт недостаточным указание источника информации о мероприятии (в рассматриваемом случае рекламодатель ограничился словами: «все подробности на» и дал ссылку на сайт)».

Получается, что, по мнению ФАС РФ, в целях исполнения ч.2 чт. 9 Закона о рекламе необходимо указывать, о чём же конкретно информирует данный источник информации (Письмо ФАС от 1 октября 2009 г. N АК/34209 "О разъяснении некоторых положений закона "О рекламе").

Как выполнить это требование? Полностью переписать текст из ст. 9 Закона о рекламе. Фраза должна звучать примерно так: «источник информации об организаторе, о правилах проведения, количестве призов, сроках, месте и порядке их получения: сайт …». При этом, указанная информация должна быть выполнена читаемым (не очень мелким или незаметным) шрифтом.

Пример:

«УФАС России в Хабаровском крае оштрафовало ООО "АромаЛюкс" за ненадлежащую рекламу сети магазинов косметики и парфюмерии "Рив Гош". Предприятие торговли предстоит выплатить в пользу государства 100 тысяч рублей, сообщили ИА AmurMedia в пресс-службе краевого УФАС.

Рекламная информация, размещенная на баннерах и транслируемая на телевидении, содержала в себе заманчивые предложения для потребителей. В частности, наружная реклама на пересечении улицы Шеронова и Амурского бульвара обещала "5 вкусных путешествий в Европу" и "500000 удивительных призов". Однако существенные условия акции выполнены шрифтом 2,9 см и фактически не читаемы даже при максимальном приближении к рекламоносителю.

Также в телевизионном рекламном ролике сети магазинов содержится информация о 50 % скидках. Однако информация о возможности и условиях получения скидки выполнена мелким шрифтом и транслируется слишком короткое время, что не позволяет потребителю ее воспринимать» (Источник: http://fas.gov.ru/fas-in-press/fas-in-press_38791.html).

Как уже было указано выше, ответственность за ненадлежащее рекламирование несёт то лицо, которое непосредственно заказывает рекламу или участвует в её изготовлении/размещении. Если Организатор Акции непосредственно в процессе рекламирования не участвует, он ответственности не несёт.

3.3.8. Проведение розыгрыша

Организатор обязан разыграть объявленные призы. Это следует из общих положений о гражданских обязательствах, а также прямо указано в ст. 1055 ГК РФ. Лицо, публично объявившее о выплате награды, обязано это сделать. Участники, претендующие на призы, вправе в течение 3-х лет после окончания Акции предъявить претензию к Организатору и взыскать неполученные призы.

Закон не устанавливает обязательных требований к документальному оформлению результатов Акции. В отношении публичных Конкурсов п. 1 ст. 1059 ГК РФ говорит только о том, что Организатор Конкурса обязан вынести решение о выплате награды и сообщить его участникам.

Такое решение лучше всего оформить в виде документа и хранить его по окончанию Акции в течение 3-х лет. На тот случай, если будут претензии по итогам Акции, такой документ станет единственным доказательством правомерности выбора победителей.

Обычно оформляют итоги Акции следующим образом. Организатор Акции своим приказом назначает комиссию (в неё входят любые лица, в том числе, сотрудники Организатора). Эти лица обязаны адекватно провести отбор победителей (согласно алгоритму, заложенному в Правила), оформить и подписать документ (акт или протокол). В случае если выбор победителей происходит по объективным показателям (например, Промосайт отбирает каждого N-го участника и присуждает ему приз), также полезно, чтобы комиссия ознакомилась с выбором и зафиксировала его итоги.

3.3.9. Передача обязанностей Организатора

Закон не предъявляет каких-то особых требований к Организатору Акции, это может быть любая компания, более того, ИП и даже физическое лицо.

Обязанности Организатора Акции традиционно лежат на компании, которая задумала проведение Акции, выделяет средства на её проведение.

В то же время, функции Организатора могут быть переданы рекламному агентству, сопровождающему в полной мере Акцию, а также подрядчику, выполняющему одну из функций, связанных с организацией Акции (передача обязанностей Организатора закрепляется в договоре).

3.4. Налогообложение доходов Участников при проведении Акций

3.4.1. Налогообложение призов в Рекламных акциях (Призёр – физическое лицо, конечный покупатель)

3.4.1.1. Общие положения

В соответствии с гл. 23 НК РФ любые физические лица, получившие любой доход от источника, расположенного на территории Российской Федерации, обязаны заплатить налог на доходы физических лиц (далее – НДФЛ).

НДФЛ взимается по формуле: доход (налоговая база) х ставка налога = сумма НДФЛ.

В некоторых случаях законодатель устанавливает необлагаемую сумму, в таком случае налоговая база уменьшается на эту сумму и действует такая логика исчисления НДФЛ: (доход – необлагаемая сумма) х ставка налога = сумма НДФЛ.

Под любым доходом подразумевается:

– Денежные средства (ст. 210 НК РФ).

– Вещи, имущество, товар; работы, услуги, полученные Призёром безвозмездно (ст. 211 НК РФ).

– Оплата за Призёра услуг, работ, имущественных прав (ст. 211 НК РФ). Например, если в Акции оплачивается проезд и проживание Призёра до места награждения, это также включается в налоговую базу.

При расчёте налоговой базы стоимость вещевых призов включает НДС, а также должна соответствовать рыночной стоимости (ст. 211 НК РФ).

Днём получения дохода признаётся дата фактической передачи имущества, чаще всего – это дата, указанная в акте приёмки-передачи приза для вещевых призов (ст. 223 НК РФ). Вместо акта призы можно выдать по накладной, общей ведомости (форму документа устанавливает бухгалтерия Организатора). В случае если акт не подписывается, то дату получения дохода следует определять на основании документов почтовой службы, подтверждающих вручение почтового отправления.

3.4.1.2. Ставка НДФЛ 35%

Ставка НДФЛ 35% установлена в отношении стоимости любых выигрышей и призов, получаемых в проводимых конкурсах, играх и других мероприятиях в целях рекламы товаров, работ и услуг (п. 2 ст. 224 НК РФ). При этом налогооблагаемая база (стоимость любых выигрышей и призов, получаемых в проводимых конкурсах, играх и других мероприятиях в целях рекламы товаров (работ, услуг)) уменьшается на сумму в размере 4000 рублей (абз. 6 п. 28 ст. 217 НК РФ).

Обращаем внимание, что ставка действует именно для Акций, проводимых в целях рекламы товаров, работ, услуг. Как понять, попадает ли Акция под эту категорию в смысле налогового законодательства? Понятие «реклама» в НК РФ не установлено. Соответственно, мы обращаемся за толкованием к Закону о рекламе (п. 1 ст. 11 НК РФ). Понятие рекламы установлено Законом о рекламе (п. 1 ст. 3) и оно предусматривает, что Акция должна быть 1) адресована неопределённому кругу лиц; 2) привлекать внимание к объекту рекламирования. А п. 2 ст. 224 НК РФ добавляет, что 3) объектом рекламирования в такой Акции являются товары, работы, услуги.

<<1 2 3 4 5 >>

На страницу:

Перейти

2 из 5