1 сентября 2022 года вступили в силу июльские поправки в Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных», направленные на повышение защищенности персональных данных граждан от несанкционированного доступа неограниченного круга лиц, а также на усиление государственного контроля в указанной сфере (Федеральный закон от 14 июля 2022 г. № 266-ФЗ).
Что изменилось для операторов ПДн?
Помимо этого, поправками:
- установлена обязанность операторов ПДн обеспечивать взаимодействие с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (ГосСОПКА), включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн;
- введены дополнительные обязанности оператора по устранению нарушений законодательства, допущенных при обработке ПДн, по уточнению, блокированию и уничтожению ПДн;
- скорректированы требования к согласию на обработку ПД (ранее от такого согласия требовалось быть конкретным, информированным и сознательным. Теперь оно должно быть еще и предметным, а также однозначным);
- уточнены требования к содержанию документов, определяющих политику оператора в отношении обработки ПДн, локальных актов по вопросам обработки ПДн.
Документ, определяющий политику в отношении обработки ПДн, и сведения о реализуемых требованиях к защите ПДн необходимо опубликовать «в том числе на страницах принадлежащего оператору сайта в интернете, с использованием которых осуществляется сбор ПДн».
Уточнены положения, касающиеся обработки биометрических персональных данных и предусмотрен целый ряд иных изменений.
Что нужно сделать Операторам, чтобы соответствовать измененному 152-ФЗ?
Неполный перечень мероприятий, который в сжатые сроки необходимо реализовать операторам ПДн, чтобы не попасть в число нарушителей законодательства РФ в области ПДн, включает в себя следующее:
- Подача уведомление о намерении осуществлять обработку ПДн по установленной Роскомнадзором форме.
- Разработка или актуализация поручения на обработку ПДн.
- Ревизия договоров, стороной которых является субъект ПДн.
- Принятие решения о способе информирования ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн.
- Определение порядка взаимодействия с ГосСОПКА. При необходимости, реализация технического подключения к инфраструктуре ГосСОПКА напрямую или через коммерческие центры мониторинга ИБ.
- Актуализация организационно-распорядительную документацию в части обработки ПДн, реагирования на обращения субъектов ПДн и реагирования на компьютерные инциденты, повлекших неправомерную передачу ПДн.
- Актуализация должностных обязанностей лиц, ответственных за обработку и защиту ПДн.
- Направление в Роскомнадзор по установленной форме уведомления о намерении осуществлять трансграничную передачу ПДн (при осуществлении трансграничной передачи ПДн).
- Актуализация организационно-распорядительную документации в части трансграничной передачи ПДн.
- Получение от иностранных лиц сведения о принимаемых мерах по защите передаваемых ПДн и об условиях прекращения их обработки.
- Проведение оценки вреда субъектам ПДн.