В связи с изменениями, внесенными Федеральным законом от 14.07.2022 N 266-ФЗ, которые вступят в силу с 1 марта 2023 года, Роскомнадзором утверждены требования, предусмотренные принятыми поправками.
1. Приказом Роскомнадзора от 28.10.2022 N 179 утверждены требования к подтверждению уничтожения персональных данных.
Документальное оформление факта уничтожения персональных данных будет зависеть от того, как они обрабатываются оператором. При обработке персональных данных без средств автоматизации подтверждающим документом является акт об уничтожении персональных данных.
При обработке персональных данных с использованием средств автоматизации (или при одновременном использовании автоматизированной и ручной обработки) нужно оформить акт об уничтожении персональных данных, соответствующий специальным требованиям, и сделать выгрузку из журнала регистрации событий в информационной системе персональных данных.
Если выгрузка из журнала не позволяет указать отдельные сведения, предусмотренные требованиями, недостающие сведения вносятся в акт об уничтожении.
Акт об уничтожении персональных данных и выгрузка из журнала подлежат хранению в течение трех лет с момента уничтожения персональных данных.
2. Приказом Роскомнадзора от 27.10.2022 N 178 определены требования к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных».
Оценка вреда осуществляется ответственным за организацию обработки персональных данных либо комиссией, которую формирует оператор. Оператор определяет одну из степеней вреда, который может быть причинен субъекту персональных данных: высокую, среднюю или низкую.
Высокая степень вреда устанавливается, в частности, в определенных случаях обработки биометрических, специальных категорий персональных данных, данных несовершеннолетних; средняя – например, в случае распространения персональных данных на официальном сайте оператора; низкая – в случае ведения общедоступных источников персональных данных.
Результаты оценки вреда оформляются актом.
Новые приказы вступают в силу с 1 марта 2023 года и действуют до 1 марта 2029 года.
На заметку: оператор обязан уничтожить персональные данные субъекта (или обеспечить их уничтожение) в определенных случаях (например, при достижении цели обработки). В настоящее время порядок документального оформления факта уничтожения персональных данных определяется оператором самостоятельно. Подробнее – в ответе эксперта на Вопрос: «Каков порядок уничтожения персональных данных оператором при достижении цели обработки персональных данных либо при отзыве согласия на их обработку?».
Также оператор должен проводить оценку вреда, который может быть причинен субъектам персональных данных, однако требования к оценке не регламентировались.
Подробнее об обязанностях оператора персональных данных рассказано в Готовом решении: Каковы обязанности оператора персональных данных (КонсультантПлюс, 2022).
Читайте подробнее