То, что система защиты персональных данных граждан в нашей стране имеет огрехи, признают даже представители верхних эшелонов власти.
Поэтому был принят пакет поправок в действующий Закон № 152-ФЗ «О персональных данных», которые вступят в силу с 1 сентября этого года (Закон от 14.07.2022 № 266-ФЗ). Разберем основные из них.
1. Операторы будут сообщать в Роскомнадзор об утечке персональных данных
Те организации и физические лица, которые собирают, хранят и обрабатывают персональные данные граждан, именуются в законе «операторами персональных данных» (это и органы власти, и банки, и страховые компании, и нотариусы, и все иные субъекты хозяйственной деятельности, которые оказывают гражданам услуги, являются их работодателями и т.д.).
Для них с сентября вводятся дополнительные обязанности:
— они будут обеспечивать безопасность персональных данных путем взаимодействия со специальной государственной системой по обнаружению компьютерных атак на информационные ресурсы,
— через эту систему они будут в т.ч. сообщать обо всех компьютерных инцидентах, которые повлекли утечку персональных данных.
О каждом факте «утечек» операторы должны будут сообщать в Роскомнадзор в течение 24 часов (в т.ч. о принятых мерах по устранению последствий случившегося) и через 72 часа — о результатах своего внутреннего расследования произошедшего.
2. Установлены сроки, когда должно быть исполнено требование гражданина прекратить обработку его персональных данных
Гражданин может в любое время обратиться к оператору с заявлением о прекращении обработки его персональных данных. По новым правилам оператор обязан прекратить обработку в течение 10 рабочих дней со дня обращения гражданина.
В исключительных случаях допускается продление этого срока еще на 5 рабочих дней, но при условии, что оператор направит гражданину уведомление с указанием причин такого продления.
Роскомнадзору поручается разработать порядок того, как операторы будут подтверждать факт уничтожения персональных данных гражданина, если тот заявит о прекращении их обработки.
3. Запрещается вынуждать граждан предоставлять свои биометрические данные
Закон теперь прямо запрещает операторам отказывать гражданам в обслуживании по той причине, что те отказались предоставить свои биометрические персональные данные или дать согласие на их обработку. То есть нельзя такими способами вынуждать граждан сдавать биометрию.
Только закон может устанавливать случаи, когда предоставление таких данных является обязательным (в частности, сейчас это предусмотрено законодательством о нотариате, гражданстве, о государственной службе и т. д. — ст. 11 Закона №152-ФЗ).
4. Сокращаются сроки исполнения запросов по поводу использования персональных данных
Гражданин имеет право обратиться к оператору для получения информации о том, есть ли у того персональные данные этого гражданина и какие именно.
При положительном ответе гражданину должны предоставить возможность ознакомиться с его персональными данными. Срок исполнения соответствующих требований гражданина сокращается с 30 дней до 10 рабочих дней.
5. Ограничивается трансграничная передача данных
Все случаи передачи персональных данных за пределы РФ теперь тщательно регламентируются законом. Так, Роскомнадзор утвердит перечень иностранных государств, которые обеспечивают адекватную защиту персональных данных.
Только в эти государства операторам разрешается осуществлять трансграничную передачу персональных данных. Но предварительно операторы будут направлять уведомление в Роскомнадзор, где будет подробно указываться, какие данные будут передаваться, в какие государства и с какой целью.
Роскомнадзор может запретить трансграничную передачу персональных данных, если она нарушает интересы РФ в целом или права отдельных граждан.