ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

Скорректирован порядок трансграничной передачи персональных данных

Оператор до начала осуществления деятельности по трансграничной передаче персональных данных будет обязан уведомить Роскомнадзор о своем намерении осуществлять трансграничную передачу персональных данных. Указанное уведомление направляется в виде документа на бумажном носителе или в форме электронного документа отдельно от уведомления о намерении осуществлять обработку персональных данных.

Оператор до подачи уведомления обязан получить от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача персональных данных, ряд сведений.

Трансграничная передача персональных данных может быть запрещена или ограничена в целях защиты основ конституционного строя РФ, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства, защиты экономических и финансовых интересов РФ, обеспечения дипломатическими и международно-правовыми средствами защиты прав, свобод и интересов граждан РФ, суверенитета, безопасности, территориальной целостности РФ и других ее интересов на международной арене с даты принятия Роскомнадзором соответствующего решения.

Также предусматривается, что в случае изменения сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить Роскомнадзор обо всех произошедших за указанный период изменениях.

Для учета информации о фактах неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Роскомнадзор будет вести реестр учета инцидентов в области персональных данных.

Информация о компьютерных инцидентах, повлекших неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, будет передаваться в ФСБ России.

Операторы, которые ранее осуществляли трансграничную передачу персональных данных и продолжают осуществлять такую передачу, обязаны не позднее 1 марта 2023 года направить в Роскомнадзор уведомления об осуществлении трансграничной передачи персональных данных.

Установлен перечень случаев, при которых к операторам, осуществляющим трансграничную передачу персональных данных в целях выполнения функций, полномочий и обязанностей, возложенных международным договором или законодательством на государственные и муниципальные органы, не применяются требования частей 3 - 6, 8 - 11 статьи 12 Закона о персональных данных.

(Федеральный закон от 14.07.2022 N 266-ФЗ; постановления Правительства РФ от 29.12.2022 N 2526, от 10.01.2023 N 6 и от 16.01.2023 N 24; Приказы Роскомнадзора от 05.08.2022 N 128, от 27.10.2022 N 178, от 28.10.2022 N 179; письма Роскомнадзора от 09.11.2022 N 08ВМ-98928 и от 06.12.2022 N 08ВМ-107716)

Установлены требования к подтверждению уничтожения персональных данных

В случае если обработка персональных данных осуществляется оператором без использования средств автоматизации, подтверждающим документом является акт об уничтожении персональных данных.

В случае если обработка персональных данных осуществляется оператором с использованием средств автоматизации, подтверждающими документами являются акт и выгрузка из журнала регистрации событий в информационной системе персональных данных.

Акт в электронной форме признается электронным документом, равнозначным акту на бумажном носителе.

В случае если обработка персональных данных осуществляется оператором одновременно с использованием средств автоматизации и без использования средств автоматизации, подтверждающими документами являются акт и выгрузка из журнала.

Акт и выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения персональных данных.

(Приказ Роскомнадзора от 28.10.2022 N 179)

Установлены правила и условия взаимодействия Роскомнадзора с операторами в рамках ведения реестра учета инцидентов в области персональных данных

В рамках взаимодействия операторы направляют в Роскомнадзор уведомления о фактах неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных.

Уведомление должно содержать:

- информацию о произошедшем инциденте (первичное уведомление);

- информацию о результатах внутреннего расследования инцидента (дополнительное уведомление).

Установлены требования к содержанию первичного и дополнительного уведомления.

Уведомление направляется в виде документа на бумажном носителе или в форме электронного документа.

(Приказ Роскомнадзора от 14.11.2022 N 187)

Определен порядок взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ

Государственные и муниципальные органы, юридические или физические лица, организующие или осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными, взаимодействуют с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (ГосСОПКА).

Взаимодействие, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу персональных данных, осуществляется через Национальный координационный центр по компьютерным инцидентам (НКЦКИ).

Операторы, с которыми взаимодействие по получению информации организовано в соответствии с подпунктом 4.8 пункта 4 Положения о НКЦКИ, направляют информацию о компьютерных инцидентах в НКЦКИ в течение 24 часов с момента обнаружения компьютерного инцидента. Иные операторы направляют информацию о компьютерных инцидентах в Роскомнадзор в срок не позднее 24 часов с момента обнаружения компьютерного инцидента, а также уведомляют Роскомнадзор о результатах внутреннего расследования в срок не позднее 72 часов с момента обнаружения компьютерного инцидента.

(Приказ ФСБ России от 13.02.2023 N 77)