Изменения в области перс.данных: траснграничная передача, оценка вреда и другое

С первого марта закон о персональных данных снова изменен и снова касается практического каждого предпринимателя. Разберемся, что за нововведения и с извечным вопросом что делать.

Запреты и ограничения на трансграничную передачу

В законе появился новый вид уведомления. Теперь до начала трансграничной передачи данных надо направлять такое уведомление в РКН.

Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку ПД, предусмотренного статьей 22 Закона о ПД.

В случае с обычным уведомление, которое мы направляем, когда обрабатываем ПД граждан России, по результатам «трансграничного уведомления» РКН может ограничить передачу или вовсе её запретить.

Перед подачей уведомления необходимо:

• получить сведения от иностранных коллег-операторов о том, какие меры по защите ПД они принимают и в каких случаях прекращают обработку данных
• запросить информацию о правовом регулировании в области ПД иностранного государства, под юрисдикцией которого находятся иностранные коллеги
• запросить контактную информацию ответственного (фио, почта, телефон)
• всё это дело самостоятельно оценить (и желательно зафиксировать актом)

Хитрить не рекомендуется. Если у РКН возникнут подозрения, то он может проверить достоверность информации и надо будет ответить в течение 10 дней.

Ну, а если процедура пройдена, далее, указывайте все эти сведения в уведомлении и спокойно осуществляйте трансграничную передачу.

Как говорится «сложно, но можно».

Важный момент – уведомление, которое направляют все операторы в РФ связано с новым, которое касается трансграничной передачи. Новое уведомление не подать, если не подано предыдущее.

Оценка вреда

Статья 18.1 Закона о ПД дополнена новыми мерами, которые должны предпринимать операторы.

Теперь к таким мерам дополнительно относится:

• Оценка вреда, который может быть причинен субъектам ПД
• Соотношение указанного вреда и принимаемых оператором мер

Соответственно, всем операторам на досуге надо открыть Приказ РКН №178, провести оценку степени вреда и закрепить всё это дело актом.

Уничтожение ПД

Теперь в законе есть указание на обязанность операторов фиксировать уничтожение персональных данных.

Если ПД обрабатываются с использованием средств автоматизации (Например, хранятся в 1C), необходимо подготовить:

• Выгрузку из журнала регистрации событий в информационной системе
• Акт об уничтожении персональных данных

Если данные обрабатываются без использования средств автоматизации, то достаточно акта об уничтожении.

Порядок действий определен в Приказе №179

Реестр инцидентов

РКН будет вести реестр инцидентов, связанных с персональными данными (утечки, неправомерная передача и пр.). Порядок ведения реестра и взаимодействия с операторами для целей его ведения определен Приказом №187

В случае инцидента необходимо направить в РКН очередное уведомление.

На этот раз уведомление двухэтапное.

• Первое уведомление направляется в течение 24 часов с момента инцидента. В нем нужно указать причину инцидента, меры по устранению инцидента и прочее.
• Второе уведомление надо направить в течение 72 часов, где указать о результатах внутреннего расследования по факту инцидента.

Срок уведомления об изменениях

Для «обычных» уведомлений, которые мы подаем перед началой обработки персональных данных изменились сроки.

Теперь об изменениях в ранее поданных данных необходимо сообщать в РКН не позднее 15 числа следующего месяца.

А о завершении обработки необходимо сообщать в течение 10 дней с момента прекращения обработки.

Ранее срок на первое и на второе был общий – 10 дней.

#персональныеданные ркн #юристыдлябизнеса #mollislex