Роскомнадзор утвердил требования к подтверждению уничтожения персональных данных и требования к оценке вреда, который может быть причинен субъектам персональных данных

В связи с изменениями, внесенными Федеральным законом от 14.07.2022 N 266-ФЗ, которые вступят в силу с 1 марта 2023 года, Роскомнадзором утверждены требования, предусмотренные принятыми поправками.
1. Приказом Роскомнадзора от 28.10.2022 N 179  утверждены требования к подтверждению уничтожения персональных данных. 
Документальное оформление факта уничтожения персональных данных будет зависеть от того, как они обрабатываются оператором. При обработке персональных данных без средств автоматизации подтверждающим документом является  акт об уничтожении персональных данных.
При обработке персональных данных с использованием средств автоматизации (или при одновременном использовании автоматизированной и ручной обработки) нужно оформить акт об уничтожении персональных данных, соответствующий специальным требованиям, и сделать выгрузку из журнала регистрации событий в информационной системе персональных данных.
Если выгрузка из журнала не позволяет указать отдельные сведения, предусмотренные требованиями, недостающие сведения вносятся в акт об уничтожении.
Акт об уничтожении персональных данных и выгрузка из журнала подлежат хранению в течение трех лет с момента уничтожения персональных данных.
2. Приказом Роскомнадзора от 27.10.2022 N 178 определены требования к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных».
Оценка вреда осуществляется ответственным за организацию обработки персональных данных либо комиссией, которую формирует оператор. Оператор определяет одну из степеней вреда, который может быть причинен субъекту персональных данных: высокую, среднюю или низкую.
Высокая степень вреда устанавливается, в частности, в определенных случаях обработки биометрических, специальных категорий персональных данных, данных несовершеннолетних; средняя – например, в случае распространения персональных данных на официальном сайте оператора; низкая – в случае ведения общедоступных источников персональных данных.
Результаты оценки вреда оформляются актом.
Новые приказы вступают в силу с 1 марта 2023 года и действуют до 1 марта 2029 года.