Статья: Какие новые обязанности по работе с персональными данными появились у аптек с 1 сентября. Подконтрольное личное

(Кубрина Т.)

(«Фармацевтический вестник», 2022, № 23)

«Фармацевтический вестник», 2022, № 23

Масштабные кибератаки и утечки персональных данных стали происходить регулярно. С 1 сентября вступили в силу поправки в Закон о персональных данных, которые установили новые требования для всех организаций по работе с личной информацией сотрудников и клиентов. «ФВ» разобрался с новыми правилами по работе с персональными данными.

Что изменили

Законодательство о защите персональных данных (ПДн) устанавливает унифицированные для всех отраслей требования по работе с личной информацией людей: сотрудников, партнеров по бизнесу, клиентов. Аптеки не являются исключением.

Раньше для организации правильной работы с личной информацией аптеке было достаточно минимального набора локальных актов: политики по обработке данных, приказа о назначении ответственного. Тенденция последних лет активного перехода аптек в цифровой ретейл повышает градус внимания к вопросам защиты ПДн.

С 1 сентября вступили в силу поправки в Федеральный закон № 152-ФЗ от 27.07.2006 «О персональных данных», установившие новые требования к обработке организациями персональных данных. Изменения также касаются вопросов кибербезопасности в Интернете при работе с такими данными. Часть новых правил касается не только онлайн-аптек, но и тех, что работают напрямую с покупателями.

Уведомительный режим

Значимые изменения внесли в ст. 22 ФЗ-152 о порядке подачи уведомлений об обработке персональных данных. Нововведения затронут любую организацию или индивидуального предпринимателя, т.к. по факту обязывают их встать на учет в Роскомнадзор в качестве оператора ПДн.

В новой версии Закона разработчики значительно сократили список условий, когда не нужно подавать уведомление по обработке персональных данных. Раньше под исключения подпадали работодатели в рамках трудового законодательства. Также уведомление не должны были подавать розничные продавцы или поставщики услуг при работе с потребителям или организации и ИП, заказывающие такие услуги у других граждан, например дизайнеров, научных исследователей, тайных покупателей. Без подачи уведомления можно было обрабатывать ПДн, состоящие только из фамилии, имени и отчества человека.

Теперь перечисленные и другие исключения отменены. Безуведомительный порядок остался только для операторов государственных информационных систем, например ЕГИСЗ или федерального реестра мед- и фармкадров. На аптеки, не использующие для обработки ПДн компьютерные системы (хотя таких почти нет), также будет действовать исключение.

То есть, если аптека ведет на компьютере кадровое делопроизводство, использует бонусную программу лояльности или дистанционно доставляет лекарства, то она должна направить в Роскомнадзор уведомление об обработке ПДн.

В конце августа Роскомнадзор сообщил, что разрабатывает форму уведомления, а пока за образец можно взять форму, рекомендованную Приказом службы № 94 от 30.05.2017. Уведомление можно направить в бумажном виде в территориальный орган Роскомнадзора или заполнить электронную форму на сайте госоргана. Аптеке для подачи электронного уведомления потребуется усиленная ЭЦП либо авторизация через портал госуслуг.

После того как будут утверждены новые формы уведомлений, аптека должна будет внести изменения в ранее поданное уведомление.

До какой даты необходимо подать уведомление? В том же сообщении Роскомнадзор подтвердил, что в законе нет ограничений на этот счет. С другой стороны, за отсутствие уведомления аптека может быть оштрафована на 3 — 5 тыс. руб. по ст. 19.7 КоАП РФ, поэтому затягивать с его подачей не стоит.

Защита персональных данных

Прежде чем подавать уведомление, аптека должна привести в порядок локальные акты по работе с ПДн, выполнить минимальные требования Закона по защите таких данных от несанкционированного доступа и разглашения.

При доработке документов необходимо учесть новые требования ФЗ-152. При подготовке новой версии политики по обработке ПДн аптека должна определить для каждой цели обработки категории и перечень обрабатываемых данных, категории лиц, чьи данные обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПДн при достижении целей их обработки или при наступлении иных законных оснований.

То есть все перечисленные параметры работы с ПДн необходимо будет прописать для работы с личными данными сотрудников и кандидатов на работу. Для них цель обработки — соблюдение трудового законодательства. Аналогичным образом необходимо описать условия обработки ПДн для покупателей, в том числе рецептурных препаратов, клиентов — участников бонусных программ или покупателей интернет-аптек. Если аптека работает с «физиками» по гражданско-правовым договорам на оказание услуг, то эта цель также должна быть прописана отдельно.

Не должно быть в политике ограничивающих права субъектов ПДн положений. Также не допускается включать в политику права и обязанности оператора, отсутствующие в законах.

Для интернет-аптек и онлайн-обработки ПДн появилась обязанность размещать политику на официальном сайте организации.

Законодатель закрепил в качестве обязанности шесть мер, которые операторы должны использовать для защиты личной информации. Среди них назначение ответственных за обработку ПДн, издание политики и локальных актов, применение правовых, организационных и технических мер по обеспечению безопасности данных, осуществление внутреннего контроля соблюдения требований законов, политики и локальных актов, оценка возможного вреда и эффективности принятых мер, ознакомление работающих с ПДн работников оператора с законодательством и локальными актами по вопросам обработки персональных данных.

Кроме того, аптека сможет установить иные меры по защите личной информации. Все меры должны быть прописаны в политике и внутренних приказах.

Другие изменения

В политике также необходимо учесть изменения сроков для ответа на запросы граждан об обработке их ПДн. Он теперь не должен превышать 10 рабочих дней. В особых случаях его можно продлить еще на пять рабочих дней, а о продлении сообщить заявителю. В течение 10 рабочих вместо 50 календарных дней оператор должен отвечать на запросы Роскомнадзора и других органов по обработке ПДн.

Дополнительные обязанности появились у операторов в части разъяснений потребителям их прав и обязанностей, если они отказались предоставить свои ПДн. Оказать услугу или реализовать товар без согласия потребителям на обработку персональных данных нельзя, но об этом нужно его предупредить.

Т. Кубрина

06.10.2022

---