Разработан порядок взаимодействия Роскомнадзора и оператора персональных данных при их неправомерном распространении

© mfbs / Фотобанк Фотодженика

Роскомнадзор разместил для общественного обсуждения проект¹, который определяет правила работы операторов персональных данных при их неправомерной или случайной передаче (для обозначения такой ситуации используется слово "инцидент"). Напомним, что 1 марта 2023 года будет запущен реестр инцидентов в области персональных данных, куда будут стекаться сведения обо всех подобных нарушениях (статья 23 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" дополнена новыми пунктами 10 и 11). Все операторы персональных данных будут обязаны пополнять этот реестр по установленным правилам.

При возникновении утечки персональных данных операторы должны будут предоставить два документа: первичное уведомление (информация об инциденте) и дополнительное уведомление (информация о результатах внутреннего расследования). В первом документе содержатся такие сведения, как:

• дата и время выявления инцидента;
• содержание скомпрометированной базы данных, количество содержащихся в ней записей, ее актуальность;
• период, в течение которого собраны персональные данные;
• возможные причины инцидента;
• предполагаемый вред субъектам персональных данных;
• принятые меры по устранению последствий инцидента.

Дополнительное уведомление должно давать итоговую информацию о причинах случившегося, виновных (при их наличии), дополнительно принятых мерах и т. д.

Роскомнадзор сможет сам затребовать от оператора уведомления, если станет известно о неправомерном распространении той или иной базы данных. Оператор должен будет представить первичное уведомление в течение 24 часов, а дополнительное – в течение 72 часов.

_____________________________

¹ С текстом проекта приказа Роскомнадзора "Об утверждении Порядка и условий взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных" и материалами к нему можно ознакомиться на федеральном портале проектов нормативных правовых актов (ID: 02/08/10-22/00132272).