Утверждены новые правила обработки персональных данных

В конце декабря 2020 года официально опубликован Федеральный закон № 519-ФЗ о внесении поправок в Федеральный закон «О персональных данных». Изменения вступят в силу в два этапа:

• основная часть с 01.03.2021;
• остальные положения — с 01.07.2021.

Гарантии безопасности для субъектов персональных данных усилены, а их права расширены. Всем операторам до марта необходимо привести документацию в соответствие с новыми правилами, чтобы не попасть на крупные штрафы.

Что изменилось в защите персданных

Глобальных изменений несколько:

• согласия на обработку персональных данных «по умолчанию» нет, его необходимо оформить документально (исключения — государственный, общественный и публичный интерес);
• возможность выбора персональных данных для обработки и публикации;
• возможность установления субъектом запретов на передачу (кроме предоставления доступа) этих персональных данных неограниченному кругу лиц, на обработку или условия обработки;
• субъект вправе запретить использование своих данных и отозвать согласие.

Объединяет новации самое важное — понятия общедоступных персональных данных больше не существует. В новой редакции статьи 3 ФЗ о персданных указано:

Персональные данные, разрешенные субъектом персональных данных для распространения, — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом.

Это значит, что оператор персональных данных обязан получить от их владельца четкое согласие на распространение и обработку. Без такого согласия публиковать их запрещено, даже на корпоративных сайтах. Согласие не обязательно дается в письменном виде, оно может быть электронным или устным, но выраженным четко и с доказательствами. Для упрощения получения операторами согласия владельцев Роскомнадзор запустит специальный реестр-информационную систему, с собранной в ней всей информации о данных или отозванных согласиях, сроках и датах и об объеме персональных данных, подлежащих обработке и распространению. Пока такой ИС нет, она находится в разработке. Возможно ее успеют ввести в работу до марта.

Эксперты КонсультантПлюс разобрали, как работать с персданными по новым правилам. Используйте эти инструкции бесплатно.

Получить доступ ко всем материалам КонсультантПлюс на 2 дня

Согласие и его отзыв

Форму согласия на обработку и распространение персданных утвердит Роскомнадзор, это произойдет отдельным приказом. Главное, о чем следует помнить, что с 01.03.2021 по закону:

Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не является согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

Нет согласия — нет обработки и публикации. Если субъект дал согласие, а затем решил его отозвать (форму отзыва утвердит Роскомнадзор), оператор обязан не просто прекратить обработку с момента получения уведомления, но и обеспечить исполнение этого требования всеми, кто тоже получил персданные. Срок — три дня. В уведомлении обязательно указывается:

• фамилия, имя, отчество (при наличии) субъекта;
• контактная информация (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных;
• перечень персональных данных, обработка которых подлежит прекращению.

Указанные в требовании персональные данные обрабатываются только оператором, которому оно направлено. Защитить собственные права субъект вправе путем обращения в суд.

Ответственность операторов

Статья 15.5 Федерального закона «Об информации..» позволяет Роскомнадзору блокировать сайты, которые допускают нарушения законодательства в области персональных данных. Происходит это по решению суда. Для владельцев этих сайтов предусмотрена административная ответственность по КоАП РФ.