Новости

26 авг. 2022

Персональные данные: какие изменения учесть компаниям с 1 сентября

Изменения коснулись широкого круга вопросов. Среди них: когда нужно уведомить о намерении обрабатывать персональные данные; что включать в локальные акты и как их правильно размещать на сайте компании; что делать, если произошла утечка данных.

Сроки предоставления информации Роскомнадзору

Срок ответа ведомству сократили с 30 календарных до 10 рабочих дней. Он может быть увеличен в пределах 5 рабочих дней на основании мотивированного уведомления.

Уведомление об обработке персональных данных

1. Из Закона о персональных данных исключают большинство случаев, когда компаниям не нужно было уведомлять Роскомнадзор о намерении начать обрабатывать персональные данные.

Таким образом, следует проинформировать ведомство, если компания собирается обрабатывать, в частности, персональные данные (ссылки ведут на утрачивающие силу нормы о случаях, когда уведомление не требовалось):

• своих работников;

• клиентов (когда данные о них нужны исключительно для заключения и исполнения договоров);

• физлиц, которые разрешили их распространять;

• физлиц — только в части Ф.И.О.;

• физлиц — для однократного пропуска на территорию или в аналогичных целях.

Если для обработки персональных данных не используют средства автоматизации, уведомлять ведомство не нужно. Например, данные о посетителях организации записывают в бумажный журнал при выдаче им разовых пропусков.

2. Скорректировали требования к содержанию уведомления. Если данные будут обрабатывать в разных целях, то для каждой из них понадобится указать:

• категорию данных и их субъектов;

• правовое основание обработки;

• перечень действий с данными и способы их обработки.

Если у физлиц или юрлиц есть доступ к персональным данным в государственных (муниципальных) информационных системах или они обрабатывают данные из этих систем по договору, Ф.И.О. таких физлиц (наименование юрлиц) нужно привести в уведомлении.

3. В законе закрепили положение о том, что формы уведомлений должен установить Роскомнадзор (пока действует рекомендуемая форма, которую можно заполнить и подать через портал персональных данных).

Локальные акты по вопросам обработки персональных данных

В законе конкретизировали требование о том, что локальные акты должны содержать:

• категории и перечни обрабатываемых данных;

• категории субъектов данных;

• способы и сроки обработки, хранения данных;

• порядок их уничтожения.

Эти положения нужно установить для каждой цели обработки данных.

Если компания собирает персональные данные граждан через свой сайт, проверьте, где именно на сайте опубликован документ о политике обработки данных и сведения о реализуемых компанией требованиях к их защите.

Такая информация должна быть опубликована в том числе на страницах сайта, где непосредственно идет сбор персональных данных (например, на страницах с формами, которые заполняют пользователи).

Обязанности в случае компрометации персональных данных

У компании есть 24 часа с момента происшествия, чтобы сообщить в Роскомнадзор:

• об инциденте;

• его предполагаемой причине и вреде, причиненном субъектам данных;

• мерах по устранению последствий инцидента;

• представителе компании, который уполномочен взаимодействовать с Роскомнадзором по вопросам, связанным с происшествием.

У компании есть 72 часа с момента инцидента, чтобы провести внутреннее расследование и сообщить в Роскомнадзор о его результатах, а также о виновниках (при наличии).

Компания обязана взаимодействовать с госсистемой обнаружения компьютерных атак (ГосСОПКА), в том числе направлять сообщения об утечке данных. Механизм взаимодействия определит ФСБ.

Читайте полный обзор в КонсультантПлюс:

Персональные данные: какие изменения учесть компаниям с 1 сентября

Распечатать

03 сентября

Налоговая реформа - 2025. Все материалы по теме

Для вашего удобства мы собрали все ключевые материалы по изменениям налогового законодательства в 2025 году в один обзор.

19 сентября

УФАС: для оценки опыта по Закону N 223-ФЗ можно не учитывать обычные гражданско-правовые договоры

По условиям закупки подтвердить опыт участники могли только исполненным госконтрактом или договором по Закону N 223-ФЗ.

19 сентября

Величины пожарного риска на производственных объектах будут рассчитываться по новой методике

Новый порядок заработает с 2025 года вместо действующего.