Роскомнадзор разъяснил операторам порядок направления уведомлений об обработке персональных данных и опубликовал некоторые формы электронных уведомлений

Юридическая компания «Пепеляев Групп» сообщает, что Роскомнадзором (далее – «РКН») выпущены разъяснения о сроках направления операторами уведомлений об обработке персональных данных. Также ведомством опубликованы электронные формы уведомлений для операторов о факте неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов, а также об осуществлении их трансграничной передачи.

1 сентября 2022 г. вступили в силу изменения в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «Закон»)[1]. Отдельные положения Закона вступят в силу с 1 марта 2023 г.

Вступившие в силу с 1 сентября 2022 г. поправки предусматривают:

• ограничение перечня случаев, позволяющих операторам не направлять уведомление об осуществлении обработки персональных данных в РКН. Операторы должны уведомлять регулятора о начале или осуществлении любой обработки персональных данных за исключением случаев, когда данные обрабатываются в целях защиты безопасности государства и общественного порядка, транспортной безопасности, или если оператор обрабатывает данные исключительно без средств автоматизации (ч. 2 ст. 22 Закона);

• обязанность операторов уведомлять РКН о фактах неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (ч. 3.1 ст. 21 Закона);

• обязанность операторов не позднее 1 марта 2023 г. направить в РКН уведомление об осуществлении трансграничной передачи персональных данных (п. 5 ст. 6 Федерального закона от 14.07.2022 № 266-ФЗ).

Подробнее об изменениях в Законе о персональных данных читайте в алерте Пепеляев Групп.

Сроки направления в РКН уведомления об обработке персональных данных

Как пояснил регулятор, 1 сентября 2022 г. не является окончательной датой направления уведомления об обработке персональных данных, поскольку ст. 22 Закона не устанавливает предельного срока направления уведомления операторами. Форма уведомления об обработке персональных данных будет утверждена РКН позднее[2].

До утверждения новой формы оператор вправе:

• заполнить форму уведомления об обработке персональных данных на Портале персональных данных

• либо направить уведомление в адрес территориального управления ведомства по месту регистрации оператора на бумажном носителе по форме, утв. Приказом РКН от 30.05.2017 № 94.

После утверждения новой формы уведомления оператор может направить уведомление о внесении изменений в ранее представленные сведения.

Портал персональных данных предоставляет возможность сформировать и отправить уведомление одним из следующих способов:

• в бумажном виде;

• в электронном виде с использованием усиленной квалифицированной электронной подписи либо при помощи средств аутентификации ЕСИА.

Электронные формы уведомлений для операторов на Портале персональных данных

Для исполнения обязанности по уведомлению РКН о фактах неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор может воспользоваться электронной формой уведомления.

До 1 марта 2023 г. операторы, осуществляющие трансграничную передачу персональных данных, могут направить уведомление о такой передаче, воспользовавшись электронной формой уведомления.

О чем подумать, что сделать

Компаниям целесообразно предпринять шаги по приведению деятельности в соответствие с новыми требованиями законодательства в области персональных данных. В частности, рекомендуется:

• провести аудит процессов обработки персональных данных компанией;

• внести изменения в локальные нормативные акты компании, регламентирующие обработку персональных данных;

• направить уведомление об обработке персональных данных в РКН;

• компаниям, осуществляющим трансграничную передачу персональных данных, определить перечень государств, на территорию которых осуществляется передача, и запросить предусмотренные Законом сведения у иностранных контрагентов для направления уведомления о трансграничной передаче персональных данных до 1 марта 2023 г.

Заблаговременное выявление и устранение нарушений позволит снизить правовые риски, возможные дополнительные расходы на устранение последствий, а также избежать репутационных потерь.

Помощь консультанта

Специалисты «Пепеляев Групп» обладают обширным опытом всесторонней поддержки бизнеса по вопросам соблюдения законодательства, выявлению и оценке правовых рисков, а также разработке бизнес-ориентированных предложений по минимизации выявленных рисков.

В спектр услуг «Пепеляев Групп» входят:

• консультирование по вопросам соблюдения законодательства в области персональных данных;

• проведение комплексного аудита процессов обработки персональных данных на предмет соответствия требованиям законодательства;

• подготовка уведомлений, подлежащих направлению в РКН;

• разработка и/или внесение изменений в локальные акты компаний, регламентирующие процессы обработки персональных данных;

• представление интересов компаний при взаимодействии с государственными органами и в судах по спорам, связанным с обработкой персональных данных.

[1] Федеральный закон от 14.07.2022 № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных», отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона «О банках и банковской деятельности».

[2] Проект приказа «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, о внесении изменений в ранее представленные сведения, о прекращении обработки персональных данных».