Согласно положениям закона № 266-ФЗ от 14.07.2022 года, с 1 марта 2023 года в сфере защиты и обработки персональных данных ожидается ряд нововведений.

«В 2022 году регулятор провел серьезную работу по совершенствованию регулирования сферы персональных данных. Существенному пересмотру нормативной базы поспособствовали факты многократных утечек данных, участившиеся хакерские атаки и перестройка отечественного рынка в целом», - отмечает Ольга Косинова, Руководитель практики Кадрового консалтинга Группы «ДЕЛОВОЙ ПРОФИЛЬ».

Кроме того, сбором, хранением и обработкой персональных данных занимались многие иностранные компании, принявшие решение уйти из России, реструктуризировать или продать бизнес и т.д. Подобные прецеденты также стимулировали повышенное внимание к трансформации работы с данными пользователей.

Новое в законодательстве

Трансграничная передача данных

Согласно ч. 2 ст. 6 Закона № 266-ФЗ операторов ожидают изменения, связанные с передачей персональных данных в другие страны. Главное нововведение заключается в том, что при каждой трансграничной передаче персональных данных нужно будет информировать Роскомнадзор.

Операторы, которые уже передают персональные данные за границу, должны уведомить федеральный орган до 1 марта 2023 года (п. 5 ст. 6 Закона № 266-ФЗ). Это можно сделать на официальном Портале персональных данных.

Таким образом, помимо уведомления о начале обработки персональных данных, придется отправлять отдельное уведомление о намерении осуществлять трансграничную передачу персональных данных, которое следует отправить до начала трансграничной передачи персональных данных (п. 3 ст. 12 Закона).

Уполномоченный орган, тем не менее, оставляет за собой право ограничить или запретить право трансграничной передачи, если посчитает, что законодательная база по защите прав субъектов персональных данных принимающего государства не отвечает требованиям безопасности.

Уничтожение персональных данных

Роскомнадзор также утвердил требования к подтверждению уничтожения личной информации, которые будут действовать с 1 марта 2023 по 1 марта 2029 года.

Комплект документов, который потребуют у оператора, зависит от степени автоматизации обработки персональных данных.

Поскольку ранее требований к фиксации факта уничтожения ПД закон не устанавливал, операторы самостоятельно определяли порядок фиксации факта их уничтожения. К 1 марта 2023 года следует привести установленный порядок в соответствие с требованиями, закрепленными приказом Роскомнадзора от 28.10.2022 № 179.

Оценка вреда

Также с 1 марта 2023 года в силу вступает Приказ Роскомнадзора от 27.10.2022 № 178, который утвердил требования к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных».

Степень вреда предлагается оценить ответственному лицу со стороны оператора по трем категориям: «Высокая», «Средняя» и «Низкая», в зависимости от «качества» обрабатываемых данных. Так, например, операторам биометрических данных необходимо присвоить «Высокую» оценку.

Такой порядок также будет действовать до 1 марта 2029 года.

Решения экспертов Группы в области защиты персональных данных

Специалисты практики Кадрового консалтинга окажут комплексную поддержку в обеспечении соответствия новым требованиям законодательства:

Проконсультируют по порядку действий в отношении защиты персональных данных в компании с учетом изменений.
Предоставят актуальные типовые шаблоны документов и локальных нормативных актов.
Проведут кадровый экспресс-аудит имеющихся документов по защите персональных данных, выявят возможные риски и минимизируют их.
Адаптируют под Вашу организацию все необходимые документы по защите персональных данных.
Подготовят персональные комплекты документов под каждого работника компании.
Окажут поддержку при взаимодействии с уполномоченным органом.

При необходимости, эксперты Группы «ДЕЛОВОЙ ПРОФИЛЬ» могут провести анализ нормативной базы в сфере персональных данных иностранных государств, с которыми вы собираетесь установить обмен информацией. Эти сведения обязательны для подачи уведомления в Роскомнадзор в соответствии с ч. 3. ст.12.