Персональные данные

С 1 сентября 2022 года вступают в силу изменения в Федеральный закон от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее – Федеральный закон № 152-ФЗ):

- ч.3 ст. 6 Федерального закона № 152-ФЗ дополнена положением о включении в поручение оператора персональных данных на обработку персональных данных другому лицу обязанности в течение срока действия поручения предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора установленных требований.

- конкретизированы положения п.2 ч.1 ст. 18.1 Федерального закона № 152-ФЗ в части содержания локальных актов по вопросам обработки персональных данных;

- положения ч.2 ст. 18.1 Федерального закона № 152-ФЗ дополнены обязанностью оператора персональных данных, осуществляющего сбор персональных данных с использованием информационно-телекоммуникационных сетей, опубликовать на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети «Интернет», с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных;

- устанавливается обязанность оператора персональных данных в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных (ч.12 ст. 19 Федерального закона № 152-ФЗ);

- устанавливается обязанность оператора персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, уведомления уполномоченного органа по защите прав субъектов персональных данных (ч.3.1 ст. 21 Федерального закона № 152-ФЗ);

- сокращается срок представления необходимой информации по запросу уполномоченного органа по защите прав субъектов персональных данных с 30 дней до 10 рабочих дней с даты получения запроса (ч.4 ст. 21 Федерального закона № 152-ФЗ);

- сокращается количество случаев, допускающих обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных (ч.2 ст. 22 Федерального закона № 152-ФЗ).

Так, с 1 сентября 2022 года не требуется уведомление уполномоченного органа по защите прав субъектов персональных данных только в случае обработки персональных данных:

- включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

- в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;

- обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

   Проверить направление ранее уведомления об обработке (о намерении осуществлять обработку) персональных данных и включение в реестр операторов, осуществляющих обработку персональных данных, можно по адресу https://pd.rkn.gov.ru/operators-registry/operators-list/, указав ИНН и осуществив поиск по реестру (функция «Найти»).

При отсутствии по состоянию на 1 сентября 2022 года сведений в реестре операторов, осуществляющих обработку персональных данных, в целях обеспечения соблюдения требований законодательства в области персональных данных (за исключением случаев, предусмотренных ч.2 ст. 22 Федерального закона № 152-ФЗ) необходимо направить в адрес Управления Роскомнадзора по Калужской области уведомление об обработке (о намерении осуществлять обработку) персональных данных.

Электронная форма уведомления об обработке (о намерении осуществлять обработку) персональных данных, предусмотренного ч.1 ст. 22 Федерального закона № 152-ФЗ, размещена по адресу: https://pd.rkn.gov.ru/operators-registry/notification/form/.

Консультацию по заполнению можно получить по телефонам: (4842) 27-73-15, 27-73-11.

  Кроме того, Федеральным законом от 14.07.2022 № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных», отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона «О банках и банковской деятельности» (далее – Федеральный закон № 266-ФЗ) вносятся изменения в ст. 12 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», регулирующую вопросы трансграничной передачи персональных данных.

Частью 3 ст. 12 Федерального закона № 152-ФЗ (в редакции Федерального закона № 266-ФЗ) будет предусмотрено, что оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган о своем намерении осуществлять трансграничную передачу персональных данных. Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного ст. 22 Федерального закона № 152-ФЗ.

        При этом, операторы персональных данных, которые осуществляли трансграничную передачу персональных данных до дня вступления в силу Федерального закона № 266-ФЗ и продолжают осуществлять такую передачу после вступления его в силу, обязаны не позднее 1 марта 2023 года направить в уполномоченный орган по защите прав субъектов персональных данных уведомление об осуществлении трансграничной передачи персональных данных, содержащее сведения, перечисленные в ч. 4 ст.12 Федерального закона № 152-ФЗ  (в редакции Федерального закона № 266-ФЗ).

 Возможность уведомления уполномоченного органа по защите прав субъектов персональных данных об осуществлении трансграничной передачи в соответствии с ч. 5 ст. 6 Федерального закона № 266-ФЗ будет доступна начиная с 01.09.2022 посредством Портала персональных данных (https://pd.rkn.gov.ru/).

Любая информация, позволяющая прямо или косвенно установить конкретное физическое лицо, является персональными данными и подлежит защите в соответствии с действующим законодательством Российской Федерации.

Обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, является основной целью Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». 

Законодательство возлагает на юридических лиц, организующих или осуществляющих обработку персональных данных, необходимость принятия достаточных мер для защиты персональных данных.

Обязанность хозяйствующих субъектов, осуществляющих в процессе своей деятельности обработку персональных данных, предоставить, за исключением установленных законодательством случаев, в уполномоченный орган уведомление об обработке (намерении осуществлять обработку) персональных данных, предусмотрена ч. 1 ст. 22 Федерального закона «О персональных данных».

Кроме того, часть 7 указанной статьи возлагает на операторов, включенных в реестр, обязанность по поддержанию предоставленной  информации в актуальном состоянии путем предоставления информационных писем о внесении изменений в реестр операторов персональных данных.

Анализ причин не предоставления операторами в уполномоченный орган указанных уведомлений и информационных писем свидетельствует, что: во-первых, часть операторов не располагает сведениями о наличии обязанности по регистрации в реестре, или полагает, что в ходе деятельности обработку персональных данных не осуществляют; во-вторых, ряд хозяйствующих субъектов считает, что включение их в реестр повлечет за собой проверку уполномоченным органом на предмет исполнения  требований законодательства в сфере персональных данных; в-третьих, наиболее частой причиной отказа оператора предоставить уведомление является заблуждение в части осуществления действий с персональными данными, подпадающих под предусмотренные законодательством исключения.

Стоит отметить, что под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая их сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Таким образом, любое юридическое или физическое лицо, располагающее персональными данными своих сотрудников (как действующих, так и уволенных), клиентов, абонентов, обучающихся и иных субъектов персональных данных, и производящее их сбор, хранение, передачу или иные действия, осуществляет обработку персональных данных и является оператором персональных данных.

Отсутствие в реестре операторов персональных данных на практике является одним из критериев включения организации, осуществляющей обработку персональных данных значительного числа физических лиц, либо обработку специальных категорий персональных данных (сведения о состоянии здоровья, национальной принадлежности, наличии судимости и др.) в план проверок на очередной календарный год.

Анализ результатов контрольно-надзорной деятельности свидетельствует, что в большинстве случаев представляемая хозяйствующими субъектами информация об осуществлении обработки персональных данных только в подпадающих под исключения случаях действительности не соответствует, что влечет административную ответственность. 

Так, к наиболее часто встречающимся на практике случаям осуществления обработки персональных данных, когда операторы ошибочно относят свою деятельность к подпадающей под исключения, относятся:

- осуществление сбора персональных данных на сайтах операторов различных категорий в сети Интернет  (формы обратной связи, Интернет-приемные, формы онлайн-заявок на предоставление кредитов, подключение услуги, оформление полисов страхования, бронирование туров, формы отзывов, жалоб, предложений и иное);

- опубликование на сайтах операторов в сети Интернет персональных данных (сведения о сотрудниках организации, участников и победителей различного рода  конкурсов, соревнований и пр.);

- использование информационных систем персональных данных, не носящих статус государственных информационных систем, для осуществления  ведения учета сотрудников, клиентов и в иных случаях.

При наличии сведений об операторе в реестре основной причиной неполноты или недостоверности предоставленной информации является формальный подход к исполнению требований законодательства.

В настоящее время одним из критериев оценки деятельности организаций, предоставляющих населению различного рода услуги, является их информационная открытость.

Реестр операторов подлежит размещению в части общедоступных  сведений на  Портале персональных данных (www.pd.rkn.gov.ru) и  позволяет организациям обеспечить информационную открытость в сфере обработки персональных данных, что в свою очередь усиливает доверие населения к деятельности таких организаций.

В целях исполнения требований законодательства в сфере персональных данных, Управление Роскомнадзора по Калужской области информирует о наличии на Портале персональных данных www.pd.rkn.gov.ru и интернет-странице Управления Роскомнадзора по Калужской области http://40.rkn.gov.ru реализованной возможности формирования уведомления и информационного письма в электронном виде, а также методических материалов по их заполнению.

Сотрудниками Управления Роскомнадзора по Калужской области  при личном приеме, а также по телефону (4842) 27-73-15 осуществляется консультирование по вопросам подачи уведомлений и информационных писем.

Сайт управление Роскомнадзора по Калужской области

Управление Роскомнадзора по Калужской области информирует:

1. В соответствии с ч. 1. ст. 23 Федерального закона от 27 июля 2006 №152-ФЗ «О персональных данных» (далее - Федеральный закон) и пунктов 1, 5.2.4 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного постановлением Правительства Российской Федерации от 16 марта 2009 № 228, Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее - Роскомнадзор), является Уполномоченным органом по защите прав субъектов персональных данных (далее - Уполномоченный орган) и ведет реестр операторов, осуществляющих обработку персональных данных (далее - Реестр).
На территории г. Калуги и Калужской области Уполномоченным органом является Управление Роскомнадзора по Калужской области.
В соответствии с ч. 1 ст. 22 Федерального закона, оператор до начала обработки персональных данных обязан уведомить Уполномоченный орган о своем намерении осуществлять обработку персональных данных. Операторы, осуществляющие обработку персональных данных, обязаны направить в Уполномоченный орган уведомление об обработке персональных данных (далее - Уведомление).

2. Операторы, которые осуществляли обработку персональных данных до 1 июля 2011 года, обязаны представить в Управление сведения (информационное письмо), указанные в пунктах 7, 7.1, 10 и 11 ч. 3 ст. 22 Федерального закона. 
В случаях изменения сведений, указанных в ч. 3 ст. 22, а также в случае прекращения обработки персональных данных оператор обязан уведомить об этом Управление в течение 10 рабочих дней с даты возникновения таких изменений или с даты прекращения обработки персональных данных.
Формы Уведомления и информационного письма, а также рекомендации по их заполнению размещены на Портале персональных данных http://pd.rkn.gov.ru/ и на сайте http://40.rkn.gov.ru. Консультацию по заполнению можно получить по телефонам: (4842) 76-23-75, 59-18-94.

3. За непредставление или несвоевременное представление сведений, представление которых предусмотрено законом (Уведомление и информационное письмо), а также представление таких сведений в неполном объеме или в искаженном виде предусмотрена административная ответственность в соответствии с ч. 1 ст. 19.7 Кодекса Российской Федерации об административных правонарушениях.
За нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) предусмотрена административная ответственность в соответствии со ст. 13.11 Кодекса Российской Федерации об административных правонарушениях.