Статья: Обработка персональных данных: обновленные требования

(Рябинин В.)

(«Учреждения здравоохранения: бухгалтерский учет и налогообложение», 2022, № 10)

«Учреждения здравоохранения: бухгалтерский учет и налогообложение», 2022, № 10

ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ: ОБНОВЛЕННЫЕ ТРЕБОВАНИЯ

С 1 сентября 2022 года вступил в силу Федеральный закон от 14.07.2022 № 266-ФЗ <1>, который принят в целях повышения уровня защищенности персональных данных граждан Российской Федерации, обеспечивая конституционное право на неприкосновенность частной жизни. Об этих изменениях читайте в статье.

---

<1> «О внесении изменений в Федеральный закон „О персональных данных“, отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона „О банках и банковской деятельности“.»

Федеральный закон № 266-ФЗ вносит ряд новшеств в Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ). Рассмотрим их подробнее.

Сфера действия Закона № 152-ФЗ

Законом № 152-ФЗ регулируются отношения, связанные с обработкой персональных данных, осуществляемой государственными и муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.

Теперь положения данного Закона применяются к обработке персональных данных граждан РФ, осуществляемой иностранными юридическими лицами или иностранными физическими лицами, на основании договора, стороной которого являются граждане РФ, иных соглашений между иностранными юридическими лицами, иностранными физическими лицами и гражданами РФ либо на основании согласия гражданина РФ на обработку его персональных данных.

Условия обработки персональных данных

Условия обработки персональных данных прописаны в ст. 6 Закона № 152-ФЗ.

Одним из случаев, когда допускается обработка персональных данных, является случай, когда обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Дополнено, что заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством РФ, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.

Согласно п. 3 ст. 6 Закона № 152-ФЗ оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных.

К сведению. Оператор — это государственный или муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом № 152-ФЗ. Теперь данное требование дополнено: указанное лицо обязано также соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом № 152-ФЗ.

Также указано, что в поручении оператора должны быть определены в том числе перечень персональных данных, требования, предусмотренные п. 5 ст. 18 и ст. 18.1 Закона № 152-ФЗ, обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, включая обработку персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии со ст. 6 Закона № 152-ФЗ, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со ст. 19 Закона № 152-ФЗ, в том числе требование об уведомлении оператора о случаях, предусмотренных п. 3.1 ст. 21 Закона № 152-ФЗ.

Статья 6Закона № 152-ФЗ дополнена п. 6, согласно которому в случае, если оператор поручает обработку персональных данных иностранному физическому лицу или иностранному юридическому лицу, ответственность перед субъектом персональных данных за действия указанных лиц несет оператор и лицо, осуществляющее обработку персональных данных по поручению оператора.

Согласие субъекта персональных данных на их обработку

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе (ст. 9 Закона № 152-ФЗ). Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Данное требование дополнено: согласие должно быть также предметным и однозначным.

Напомним, что согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

Особенности обработки персональных данных, разрешенных к распространению

Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения, установлены ст. 10.1 Закона № 152-ФЗ. Теперь указанные требования не применяются в случае обработки персональных данных в целях выполнения возложенных законодательством Российской Федерации на государственные органы, муниципальные органы, а также на подведомственные таким органам организации функций, полномочий и обязанностей (п. 15 ст. 10.1 Закона № 152-ФЗ).

Биометрические персональные данные

Порядок обработки биометрических персональных данных дополнен новой нормой, согласно которой их предоставление не может быть обязательным, за исключением случаев, предусмотренных п. 2 ст. 11 Закона № 152-ФЗ. Установлено, что оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным (п. 3 ст. 11 Закона № 152-ФЗ).

Трансграничная передача персональных данных

Порядок трансграничной передачи данных урегулирован ст. 12 Закона № 152-ФЗ. С 1 марта 2023 года данная статья будет действовать в новой редакции.

Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан будет уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных.

Трансграничная передача персональных данных может быть запрещена или ограничена в целях защиты основ конституционного строя РФ, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства, защиты экономических и финансовых интересов РФ, обеспечения дипломатическими и международно-правовыми средствами защиты прав, свобод и интересов граждан РФ, суверенитета, безопасности, территориальной целостности РФ и других ее интересов на международной арене.

Право субъекта персональных данных на доступ к его персональным данным

Субъект персональных данных имеет право на получение информации, касающейся обработки этих данных.

Теперь указанные сведения должны предоставляться субъекту персональных данных или его представителю оператором в течение 10 рабочих дней с момента обращения либо получения оператором запроса субъекта персональных данных или его представителя. Срок может быть продлен, но не более чем на 5 рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации (п. 3 ст. 14 Закона № 152-ФЗ).

Меры по обеспечению безопасности персональных данных при их обработке

Меры по обеспечению безопасности персональных данных при их обработке закреплены в ст. 19 Закона № 152-ФЗ, которая дополнена п. 12 — 14.

Оператор обязан в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных. Указанная информация (за исключением информации, составляющей государственную тайну) передается федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, в уполномоченный орган по защите прав субъектов персональных данных. Порядок ее передачи устанавливается совместно федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и уполномоченным органом по защите прав субъектов персональных данных.

Обязанности оператора при обращении к нему субъекта персональных данных

С 30 до 10 рабочих дней сокращены сроки предоставления информации при обращении субъекта персональных данных к оператору, а также предоставления информации уполномоченному органу по защите прав субъектов персональных данных по его запросу (ст. 20 Закона № 152-ФЗ). Срок может быть продлен, но не более чем на 5 рабочих дней в случае направления оператором в адрес субъекта персональных, уполномоченного органа данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных

Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, дополнены п. 3.1 и 5.1 (ст. 21 Закона № 152-ФЗ).

В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:

• в течение 24 часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
• в течение 72 часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

В случае обращения субъекта персональных данных к оператору с требованием о прекращении обработки персональных данных оператор обязан в срок, не превышающий 10 рабочих дней с даты получения оператором соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пп. 2 — 11 п. 1 ст. 6, п. 2 ст. 10 и п. 2 ст. 11 Закона № 152-ФЗ. Указанный срок может быть продлен, но не более чем на 5 рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

С 1 марта 2023 года подтверждение уничтожения персональных данных в случаях, предусмотренных ст. 21 Закона № 152-ФЗ, осуществляется в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных.

Уведомление об обработке персональных данных

По общему правилу оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.

Исключения из этого правила установлены п. 2 ст. 22 Закона № 152-ФЗ, в которой внесены изменения: количество случаев, когда оператор не обязан уведомлять уполномоченный орган, сокращено с 9 до 3.

Одновременно уменьшено количество сведений, которые нужно указывать в уведомлении. Теперь не надо указывать:

• категории персональных данных;
• категории субъектов, персональные данные которых обрабатываются;
• правовое основание обработки персональных данных;
• перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных.

Но при этом дополнительно отмечено, что в уведомлении нужно указать сведения о фамилии, имени, отчестве физического лица или наименование юридического лица, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах.

Но согласно новому п. 3.1 ст. 22 Закона № 152-ФЗ при предоставлении сведений, предусмотренных п. 3 настоящей статьи, оператор для каждой цели обработки персональных данных указывает категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных.

Уточнено, что уполномоченный орган по защите прав субъектов персональных данных в течение 30 дней с даты поступления от оператора уведомления о прекращении обработки персональных данных исключает сведения, указанные в уведомлении, из реестра операторов.

С 1 марта 2023 года в случае изменения сведений, указанных в уведомлении, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган по защите прав субъектов персональных данных обо всех произошедших за указанный период изменениях. В случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение 10 рабочих дней с даты прекращения обработки персональных данных.

Уполномоченный орган по защите прав субъектов персональных данных

С 1 марта 2023 года ст. 23 Закона № 152-ФЗ будет дополнена п. 10 и 11.

Для учета информации об инцидентах, поименованных в п. 3.1 ст. 21 Закона № 152-ФЗ, уполномоченный орган по защите прав субъектов персональных данных будет вести реестр учета инцидентов в области персональных данных, а также определять порядок и условия взаимодействия с операторами в рамках ведения указанного реестра.

Информация о компьютерных инцидентах, повлекших неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, в порядке, установленном совместно федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и уполномоченным органом по защите прав субъектов персональных данных, будет передаваться в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности.

Кратко сформулируем основные выводы.

Федеральным законом от 14.07.2022 № 266-ФЗ обновлены требования по обработке персональных данных: соответствующие поправки внесены в Закон № 152-ФЗ.

Как было отмечено в пояснительной записке к соответствующему законопроекту, в настоящее время проблема защищенности персональных данных от несанкционированного доступа неограниченного круга лиц имеет чрезвычайно высокую актуальность. Анализ инцидентов последних лет, когда персональные данные граждан массово попадали в открытый доступ, свидетельствует о недостаточности существующих законодательных механизмов в этом вопросе.

Так, по данным разработчиков рассматриваемых новшеств, в настоящее время более 2 500 операторов персональных данных осуществляют трансграничную передачу персональных данных российских граждан в недружественные страны, где не обеспечивается их должная защита (данные Роскомнадзора).

В этой связи внесен ряд изменений, направленных на совершенствование правовой защищенности субъектов персональных данных, а также на усиление государственного контроля в указанной сфере.

Введена обязанность операторов незамедлительно информировать об инцидентах с принадлежащими им базами персональных данных уполномоченные органы власти, а также обязанность обеспечивать непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.

Втрое (с 30 до 10 дней) сокращаются сроки исполнения операторами запросов органов власти и граждан по вопросам, связанным с незаконной обработкой персональных данных.

Устанавливается прямой запрет операторам на отказ гражданам в оказании услуг при отказе предоставить свои персональные данные (в том числе биометрические), если такое предоставление не является обязательным. На операторов также возлагается обязанность прекратить дальнейшую обработку персональных данных по требованию их владельца в течение 10 дней.

В. Рябинин

---