С 1 сентября 2022 года существенно изменились правила работы с персональными данными. Некоторые нововведения касаются практически всех бизнесменов и некоммерческих организаций. Расскажем, о чем идет речь и как уведомлять Роскомнадзор об обработке персональных данных после 1 сентября 2022 года.
Основные понятия, связанные с персональными данными, перечислены в статье 3 закона от 27.07.2006 № 152-ФЗ.
Персональные данные (ПД) — это любая информация, которая прямо или косвенно относится к конкретному физическому лицу: субъекту персональных данных.
Списка персональных данных в законе нет, поэтому любые сведения о физическом лице, которые позволяют его идентифицировать, могут быть отнесены к персональным данным.
Например, ФИО плюс номер телефона позволяют однозначно определить человека, поэтому эта информация относится к персональным данным. А фамилия сама по себе не является персональными данными, так как у человека может быть немало однофамильцев.
Оператор персональных данных — это госструктура, юридическое или физическое лицо, которые осуществляют любые операции с персональными данными. К операциям относится сбор, накопление, систематизация, передача другим лицам и т.п.
Например, если работодатель внес в свою базу данных ФИО и телефон кандидата на вакансию, чтобы пригласить его на собеседование — это уже будет относиться к обработке персональных данных.
С 1 сентября 2022 года существенно сокращен перечень ситуаций, когда оператор персональных данных может обрабатывать их без уведомления Роскомнадзора. В новой редакции п. 2 ст. 22 закона № 152-ФЗ остались только три случая, когда можно не уведомлять ведомство при обработке персональных данных:
Из перечня исключений исчезла обработка персональных данных для целей трудовых отношений или для исполнения договора с покупателем (заказчиком). А компании или ИП, как правило, ведут базы своих клиентов, сотрудников и кандидатов на вакансии в электронном виде.
Поэтому обязанность уведомлять Роскомнадзор об обработке персональных данных теперь распространяется практически на всех бизнесменов и некоммерческие организации.
Ведомство отдельно отметило в своем разъяснении, что уведомления должны направить все, кто обрабатывает персональные данные в связи с трудовыми отношениями (письмо от 19.08.2022 N 08-75348).
Положения закона от 14.07.2022 № 266-ФЗ, которые сократили перечень исключений при обработке персональных данных, вступили в силу с 1 сентября 2022 года.
Однако Роскомнадзор (РКН) в своем информационном письме отметил, что 1 сентября не является крайним сроком для подачи уведомления об обработке персональных данных. Ведомство планирует утвердить новую форму, а до этого операторы персональных данных могут использовать бланки, ранее утвержденные приказом Роскомнадзора от 30.05.2017 № 94. Но конкретные сроки для предоставления этой информации Роскомнадзор в своем разъяснении не указал.
Однако в п. 7 ст. 22 закона № 152-ФЗ сказано, что оператор должен уведомить Роскомнадзор об изменениях порядка работы с персональными данными в течение 10 рабочих дней. Появление у оператора новой обязанности в связи с изменениями закона тоже можно считать изменением порядка работы с персональными данными.
Поэтому всем, кто имеет дело с персональными данными, безопаснее не позднее 14 сентября 2022 года поступить следующим образом:
Далее нужно следить за новостями на портале Роскомнадзора и на других источниках, например, справочных правовых системах. Скорее всего, Роскомнадзор вместе с новой формой уведомления выпустит и разъяснения, в которых укажет, как поступать тем, кто уже направил информацию по старой форме.
Если оператор передает персональные данные за границу, он должен до 1 марта 2023 года направить в Роскомнадзор отдельное уведомление об этом (п. 5 ст. 6 закона № 266-ФЗ).
Уведомление можно заполнить в электронном виде и передать с помощью подтвержденной учетной записи на Госуслугах. Бумажная форма этого документа по состоянию на начало сентября 2022 года не утверждена.
Те операторы, которые передают данные за границу, но не зарегистрированы на Госуслугах, могут подождать, пока Роскомнадзор утвердит бумажную форму. Главное — не пропустить 1 марта 2023 года, иначе затем передача персональных данных за границу станет незаконной.
Но лучше заранее оформить учетную запись на Госуслугах и воспользоваться электронным сервисом Роскомнадзора. Тогда будет меньше вероятность ошибок и оператор персональных данных сможет без проблем работать с иностранными получателями информации.
При инцидентах, связанных с утечками персональных данных теперь действует следующий порядок (п. 3.1 ст. 21 закона № 152-ФЗ):
Электронные формы этих уведомлений также можно заполнить на портале Роскомнадзора и переслать с помощью подтвержденной учетной записи на Госуслугах.
За нарушения порядка предоставления информации в государственные контролирующие органы, в т. ч. и в Роскомнадзор, предусмотрено предупреждение или штрафы по ст. 19.7 КоАП РФ:
Плановых и внеплановых проверок Роскомнадзора до конца 2022 года не будет (постановление Правительства РФ от 10.03.2022 № 336). Но с 2023 года, если мораторий не продлят, все контрольные мероприятия возобновятся на общих основаниях.
С 1 сентября 2022 года практически все бизнесмены и некоммерческие организации обязаны уведомить Роскомнадзор об обработке персональных данных. Исключение закон делает только для тех, кто использует для обработки персональных данных исключительно бумажные носители информации.
Хотя в разъяснениях Роскомнадзора и не установлен срок подачи данного уведомления, лучше направить его до 14 сентября 2022 года, используя действующую форму.
Кроме того, теперь предусмотрены специальные правила уведомления Роскомнадзора при передаче персональных данных за границу и при их утечке.
