Новости
26 авг. 2022
Персональные данные: какие изменения учесть компаниям с 1 сентября
Изменения коснулись широкого круга вопросов. Среди них: когда нужно уведомить о намерении обрабатывать персональные данные; что включать в локальные акты и как их правильно размещать на сайте компании; что делать, если произошла утечка данных.
Сроки предоставления информации Роскомнадзору
Срок ответа ведомству сократили с 30 календарных до 10 рабочих дней. Он может быть увеличен в пределах 5 рабочих дней на основании мотивированного уведомления.
Уведомление об обработке персональных данных
1. Из Закона о персональных данных исключают большинство случаев, когда компаниям не нужно было уведомлять Роскомнадзор о намерении начать обрабатывать персональные данные.
Таким образом, следует проинформировать ведомство, если компания собирается обрабатывать, в частности, персональные данные (ссылки ведут на утрачивающие силу нормы о случаях, когда уведомление не требовалось):
• своих работников;
• клиентов (когда данные о них нужны исключительно для заключения и исполнения договоров);
• физлиц, которые разрешили их распространять;
• физлиц — только в части Ф.И.О.;
• физлиц — для однократного пропуска на территорию или в аналогичных целях.
Если для обработки персональных данных не используют средства автоматизации, уведомлять ведомство не нужно. Например, данные о посетителях организации записывают в бумажный журнал при выдаче им разовых пропусков.
2. Скорректировали требования к содержанию уведомления. Если данные будут обрабатывать в разных целях, то для каждой из них понадобится указать:
• категорию данных и их субъектов;
• правовое основание обработки;
• перечень действий с данными и способы их обработки.
Если у физлиц или юрлиц есть доступ к персональным данным в государственных (муниципальных) информационных системах или они обрабатывают данные из этих систем по договору, Ф.И.О. таких физлиц (наименование юрлиц) нужно привести в уведомлении.
3. В законе закрепили положение о том, что формы уведомлений должен установить Роскомнадзор (пока действует рекомендуемая форма, которую можно заполнить и подать через портал персональных данных).
Локальные акты по вопросам обработки персональных данных
В законе конкретизировали требование о том, что локальные акты должны содержать:
• категории и перечни обрабатываемых данных;
• категории субъектов данных;
• способы и сроки обработки, хранения данных;
• порядок их уничтожения.
Эти положения нужно установить для каждой цели обработки данных.
Если компания собирает персональные данные граждан через свой сайт, проверьте, где именно на сайте опубликован документ о политике обработки данных и сведения о реализуемых компанией требованиях к их защите.
Такая информация должна быть опубликована в том числе на страницах сайта, где непосредственно идет сбор персональных данных (например, на страницах с формами, которые заполняют пользователи).
Обязанности в случае компрометации персональных данных
У компании есть 24 часа с момента происшествия, чтобы сообщить в Роскомнадзор:
• об инциденте;
• его предполагаемой причине и вреде, причиненном субъектам данных;
• мерах по устранению последствий инцидента;
• представителе компании, который уполномочен взаимодействовать с Роскомнадзором по вопросам, связанным с происшествием.
У компании есть 72 часа с момента инцидента, чтобы провести внутреннее расследование и сообщить в Роскомнадзор о его результатах, а также о виновниках (при наличии).
Компания обязана взаимодействовать с госсистемой обнаружения компьютерных атак (ГосСОПКА), в том числе направлять сообщения об утечке данных. Механизм взаимодействия определит ФСБ.
Читайте полный обзор в КонсультантПлюс:
Персональные данные: какие изменения учесть компаниям с 1 сентября
30 апреля
Бюджетная отчетность финорганов и других: Минфин изменил порядок заполнения ряда форм
Ведомство скорректировало Инструкцию N 191н.
30 апреля
Споры с работниками из-за внешнего вида: интересные примеры из практики за 2023 - 2026 годы
Можно ли уволить сотрудницу, которая носит кольцо и красит ногти, несмотря на запреты? Признают ли нарушением то, что работник не надел жилет или пиджак надлежащим образом? Допустимо ли наказать специалиста, если он в выходные пришел на смену в джинсах?
30 апреля
Подразделы, КВР и КОСГУ на 2026 год: Минфин обновил таблицы соответствия кодов
Ведомство добавило увязку КВР 248 со статьей 310 КОСГУ для расходов по договору лизинга в части выкупа ОС – предмета лизинга, если эти затраты не являются бюджетными инвестициями и капвложениями в недвижимость.
30 апреля
Проектирование сложных объектов капстроительства: новая позиция в дополнительных требованиях с 5 мая
С 5 мая 2026 года заказчики по Закону N 44-ФЗ станут устанавливать доптребования при закупках работ по проектированию, выполнению инженерных изысканий в отношении особо опасных, технически сложных, уникальных объектов капстроительства.
29 апреля
Ответственность за опоздание с подачей деклараций и расчетов
Проекты с изменениями внесли в Госдуму.
