Изменения в законодательстве о персональных данных. Поправки 2022 года
Сведения о вступивших в силу поправках от 14 июля 2022 г. № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных», отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона «О банках и банковской деятельности» в Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных», направленные на повышение защищенности персональных данных граждан от несанкционированного доступа неограниченного круга лиц, а также на усиление государственного контроля в указанной сфере.
Одним из основных изменений является уведомление Роскомнадзора в необходимости обработки персональных данных (ПД). Перечень ситуаций, когда уведомление не требуется — существенно сокращен. К таким случаям можно отнести:
-
обработку ПД в соответствии с трудовым законодательством;
-
ПД, полученные оператором в связи с заключением договора, стороной которого является субъект персональных данных, при этом сведения не распространяются, не предоставляются третьим лицам без согласия субъекта и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
-
ПД, включающие в себя только фамилии, имена и отчества физических лиц;
-
ПД необходимые для однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
-
обработка персональных данных без применения автоматизации.
-
и в некоторых иных ситуациях, перечень которых приведен в ч. 2 ст. 22 Закона о персональных данных.
Исключая вышеперечисленные случаи, с 1 сентября 2022 года перед началом обработки персональных данных нужно будет отправить сообщение в Роскомнадзор, о том, как это сделать, можно прочесть в письме Роскомнадзора от 19 августа 2022 г. № 08-75348. Кроме того, помимо уведомлений о начале обработки данных необходимо будет также подать уведомление о прекращении процесса обработки ПД и об изменении ранее представленных сведений, которые устанавливаются Роскомнадзором (см. проект соответствующего приказа ведомства).
-
установлена обязанность операторов персональных данных обеспечивать взаимодействие с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (ГосСОПКА), включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПД;
-
введены дополнительные обязанности оператора по устранению нарушений законодательства, допущенных при обработке ПД, по уточнению, блокированию и уничтожению ПД;
-
скорректированы требования к согласию на обработку ПД (ранее от такого согласия требовалось быть конкретным, информированным и сознательным. Теперь оно должно быть еще и предметным, а также однозначным);
-
уточнены требования к содержанию документов, определяющих политику оператора в отношении обработки ПД, локальных актов по вопросам обработки ПД.
Также с 1 сентября конкретизировано, где именно в соответствующей информационно-телекоммуникационной сети оператор, осуществляющий сбор ПД с использованием таких сетей, обязан опубликовать документ, определяющий его политику в отношении обработки ПД, и сведения о реализуемых требованиях к защите ПД. Согласно поправкам, опубликовать их необходимо «в том числе на страницах принадлежащего оператору сайта в интернете, с использованием которых осуществляется сбор ПД».
Уточнены положения, касающиеся обработки биометрических персональных данных. Установлено, что предоставление биометрических персональных данных не может быть обязательным, за исключением ряда случаев, указанных напрямую в Федеральном законе № 152-ФЗ. Также, установлен прямой запрет операторам на отказ гражданам в обслуживании при отказе субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если такое предоставление не является обязательным.
