Ключевые изменения в законе о персональных данных 152-ФЗ с 1 сентября 2022 года

Содержание:

Рассмотрим, что теперь должен делать оператор, чтобы не нарушить закон 152-Ф3.

• Предупреждать Роскомнадзор об обработке ПД
• Сообщать об утечке данных
• Быстрее отвечать на запросы граждан и Роскомнадзора
• Нельзя требовать биометрические данные
• Закон больше не имеет границ
• Передавать данные за границу только с разрешения РКН
• Пересмотреть формы согласий на обработку
• Учитывать новые требования к поручению обработчику данных
• Как работать с формой обратной связи на сайте

К персональным данным (ПД) относится фамилия, номер телефона, домашний адрес и другая информация о человеке. Требования по работе с ними обозначены в законе 152-ФЗ.

Только за 2022 год о крупных утечках сообщили Яндекс, DNS, Rabota.ru, Delivery Club, «Почта России».

Новости об утечке персональных данных Delivery Club

Из-за частых и громких нарушений в закон внесли серьезные изменения. Большинство новшеств уже действуют, часть из них вступит в силу первого марта 2023 года.

Рассмотрим, что теперь должен делать оператор, чтобы не нарушить закон 152-Ф3.

Предупреждать Роскомнадзор об обработке ПД

Раньше было множество исключений, которые позволяли организациям обрабатывать данные, не сообщая об этом Роскомнадзору. К примеру, когда ПД брались для заключения трудового договора.

Больше таких послаблений не будет. Теперь компаниям почти всегда необходимо уведомлять РКН о начале обработки персданных. Исключений всего два:

• данные обрабатывают для защиты безопасности государства или транспортной безопасности;
• обработка проходит без компьютера и электронных данных (например, информация о клиентах компании записывают в журнал).

Как и прежде, направить уведомление можно:

• на сайте надзорного органа в электронном варианте;
• заполнив форму в бумажном варианте. Бланк есть на сайте госоргана, его нужно распечатать и отправить;
• на портале Госуслуг.

Форма уведомления об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных на сайте РКН

Сообщать об утечке данных

Если персональные данные попали к третьим лицам или были выложены в общий доступ, оператор должен уведомить об этом Роскомнадзор. К примеру, если фамилии и номера телефонов случайно или намеренно слили в интернет.

Сделать это можно на сайте Роскомнадзора, заполнив форму. В ней указывают причину происшествия и то, как будут устранены последствия.

У оператора есть не более суток, чтобы сообщить о неприятностях. Плюс необходимо провести внутреннее расследование и уведомить службу об его итогах не позже чем через три дня. Для этого на сайте Роскомнадзора тоже есть отдельная форма.

Форма на сайте РКН для подачи уведомления о факте утечки персональных данных

Быстрее отвечать на запросы граждан и Роскомнадзора

До поправок у оператора в распоряжении был месяц, чтобы ответить на запрос от Роскомнадзора или человека, чьи данные были взяты на обработку. Теперь на ответ дается всего 10 дней.

Можно затянуть с ответом еще на пять дней, но только при наличии уважительной причины, заранее предупредив надзорный орган или человека, от которого пришел запрос.

Если гражданин хочет остановить обработку ПД, оператор обязан выполнить требование не позднее чем через 10 дней.

Нельзя требовать биометрические данные

Раньше компании могли отказать в обслуживании клиентам, если те отказываются предоставлять биометрические данные. К ним относится любая информация о физических характеристиках (изображение лица, голос, отпечаток пальца). Например, такие данные собирают банки, чтобы клиенты могли совершать операции удаленно и без банковских карт.

После внесенных поправок, оператор не имеет права требовать биометрию от граждан. Соответственно пункты в договорах об обязательном предоставлении биометрических данных следует убрать.

Закон больше не имеет границ

Ответственность усилили по отношению к обработчикам из других стран.

Зарубежные организации, обрабатывающие ПД россиян, обязаны выполнять все положения закона. И не имеет значения, в каком государстве они находятся. Правда пока нет инструментов, которые бы контролировали, насколько добросовестно относятся к российским законам за границей.

Плюс к этому иностранные обработчики лично отвечают перед любым владельцем персональных данных. В прошлом они были ответственны только перед оператором ПД. От них требуется сохранять информацию в тайне и не допускать утечек.

Передавать данные за границу только с разрешения РКН

Новые правила коснулись и передачи ПД на территорию других стран. Теперь необходимо отправлять в Роскомнадзор отдельное уведомление, прежде чем передавать данные иностранному обработчику. Надзорный орган решит, можно передавать информацию или нет. Подать уведомление можно на сайте Роскомнадзора.

Возможность передачи ПД за рубеж зависит от того, включена ли страна в список РКН.

Пересмотреть формы согласий на обработку

Законодатели требуют, чтобы в согласии все формулировки были предельно понятными и четкими.

Согласие должно включать:

• конкретную цель обработки ПД;
• список данных, которые можно обрабатывать;
• срок действия документа;
• подпись или другое ясное согласие гражданина.

Из действующих шаблонов «Согласия на обработку ПД» следует исключить любые двойные толкования.

Учитывать новые требования к поручению обработчику данных

Оператор может передать обработку ПД другому человеку или организации по договору. Например, компания-работодатель – это оператор, а кадровое агентство – обработчик.

По новым правилам тот, которому поручили обрабатывать данные, несет дополнительные обязанности. В поручении теперь нужно указывать:

• список действий с данными, которые будет совершать обработчик;
• обязанность обработчика соблюдать закон 152-Ф3;
• обязанность обработчика предоставлять по запросу оператору всю необходимую информацию.

Хранить и записывать данные поручитель должен только в российских базах данных.

Как работать с формой обратной связи на сайте

После внесенных изменений в закон 152-Ф3 у операторов заметно прибавилось обязанностей, невыполнение которых, приведет к большим штрафам. Это касается и работы с формами обратной связи на сайте. Штраф за отсутствие соглашения обработки ПД сейчас достигает 50 000 рублей. И это лишь мелочь по сравнению со штрафами за хранение данных за границей. Виновные должны будут заплатить в казну от 1 до 6 млн рублей.

Из-за жестких изменений в законе владельцы сайтов начали больше переживать о том, что их могут оштрафовать.

Штрафов избежать вполне реально. Для этого нужно всего-то нанять хорошего профильного юриста и программиста. Они займутся обработкой данных: подготовят документы, наладят связь с РКН, настроят формы на сайте или без него. Да, это путь для тех, у кого есть свободные деньги в бюджете и время на все эти работы.

Для всех остальных есть и более простой способ – выбирать операторов ПД, которые внесены в реестр Роскомнадзора.

Чтобы наверняка не прогадать, выбирайте оператора, который:

• хранит данные в дата-центре на территории России,
• готовит и предоставляет полный пакет персонифицированных документов для каждого клиента,
• сам берет на себя «общение» с Роскомнадзором.

Круг потенциальных операторов заметно снизился, ведь эти условия выполняют немногие. Один из них – Qform, сервис, который позволяет создавать любую форму для сайта. А самое главное: она будет полностью соответствовать требованиям 152-Ф3. Это российская облачная система сервисов, которая поможет наладить сбор данных по закону.

Qform внесен в реестр операторов, осуществляющих обработку персональных данных. Эту информацию вы можете проверить самостоятельно на сайте РКН.

QForm в реестре операторов персональных данных

Сотрудничая с этим сервисом, вы замените на своем сайте формы обратной связи – все они будут сделаны уже с помощью QForm. Вместе с тем у вас будет подготовленный юристами пакет документов для сайта (тексты соглашения и политики). С QForm ваш ресурс всегда будет готов к плановой и внеплановой проверке РКН.

Читать по теме:

1. Виды персональных данных: зачем кому-то знать ваше имя, вес и номер телефона?
2. 7 нарушений при работе с персональными данными. Что исправить, чтобы не платить штраф?
3. Вы оператор персональных данных — как избежать неприятностей?