Изменения в законодательстве о персональных данных

Меньше, чем через месяц в силу вступят изменения в закон «О персональных данных» № 152-ФЗ, которые коснутся практически каждой компании. Эти поправки внесены Федеральным законом от 14 июля 2022 г. № 266-ФЗ; таким образом законодатель оставил операторам персональных данных чуть больше месяца, чтобы разобраться в нововведениях.

Ниже мы приводим обзор основных изменений, на которые необходимо обратить особое внимание. Они вступят в силу 01.09.2022 г.

• Выросло число случаев, когда оператор должен уведомлять Роскомнадзор об обработке персональных данных. Например, когда они обрабатываются в рамках трудовых отношений, используются для оформления однократного пропуска на территорию, а также в ряде других случаев.
• Дополнены требования, которые оператор должен включать в договор в случае поручения обработки персональных данных другому лицу. Подобные поручения могут оформляться при заключении соглашений о корпоративной программе ДМС, оформлении зарплатного проекта в банке, организации обучения для сотрудников, предоставлении корпоративной мобильной связи.
• Согласие от субъекта персональных данных должно быть предметным и однозначным; таким образом, большинству компаний придется пересмотреть и дополнить стандартную форму согласия.
• Уменьшен срок реагирования на запрос субъекта персональных данных – оператор должен дать ответ в течение 10 рабочих дней. Субъект персональных данных имеет право запрашивать информацию о выполнении оператором обязанностей, предусмотренных законом № 152-ФЗ.
• Дополнен перечень документов, которые должен разработать и принять оператор. Помимо политики в отношении обработки персональных данных требуется наличие локальных актов, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, а также порядок уничтожения персональных данных.
• Политика оператора в отношении обработки персональных данных должна размещаться, в том числе, на страницах вебсайта, на которых осуществляется сбор персональных данных. Это актуально для компаний, принимающих заявки, обращения или резюме кандидатов на своем сайте, а также в том случае, если на сайте используются cookies.
• Требуется уведомлять Роскомнадзор об инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных в течение 24 часов с момента выявления инцидента, а также в течение 72 часов - о результатах внутреннего расследования и дополнительно взаимодействовать с ФСБ через новую информационную систему ГосСОПКА.
• Положения закона № 152-ФЗ применяются теперь и к иностранным юридическим и физическими лицам, если они осуществляют обработку персональных данных граждан Российской Федерации на основании договора или иного соглашения, стороной которого являются граждане Российской Федерации, либо на основании согласия гражданина Российской Федерации на обработку его персональных данных. Это актуально для компаний, которые ведут общие базы данных на стороне зарубежных компаний.

Также с 01.03.2023 г. вступают в силу изменения, связанные с трансграничной передачей персональных данных, согласно которым операторы обязаны уведомлять Роскомнадзор о намерении осуществлять трансграничную передачу персональных данных и получать разрешение в случае, если страна-получатель не относится к списку стран, обеспечивающих адекватную защиту прав субъектов персональных данных. К примеру, на момент публикации в списке стран, обеспечивающих такую защиту, нет США, Китая, стран Ближнего Востока.

В случае нарушения требований закона № 152-ФЗ на компанию могут налагаться значительные штрафы в размере до 6 миллионов рублей. Несмотря на то, что до конца 2022 года Роскомнадзор не будет проводить плановые проверки, мы рекомендуем использовать это время для разработки недостающих внутренних документов, регулирующих обработку персональных данных, и налаживания процессов взаимодействия.