Какие изменения внесены в Закон № 152-ФЗ о персональных данных
Для бизнеса изменения затрагивают оформление согласий, размещение баз и сообщения об утечках. Отдельные правила регулируют передачу обезличенных сведений и ответы на требования человека прекратить обработку.
Коротко
Это зависит от вида обработки: изменения в 152-ФЗ касаются отдельного согласия, запрета зарубежных баз при сборе данных граждан России, обезличивания и уведомлений. Оператору — тому, кто организует обработку, — нужно учитывать свою задачу: получение согласия, начало работы с данными, утечку либо требование человека прекратить обработку. Для этих случаев действуют разные обязанности.
Ответ подробно: какие правила изменились для оператора
Если вы собираете согласия клиентов или работников, оформляйте согласие отдельно от прочих подписываемых документов и подтверждаемой информации. Человек должен понимать, на какую именно обработку соглашается; его решение должно быть свободным и однозначным. Подтверждение получения согласия хранит оператор: доказать его получение обязан именно он. При обращении представителя нужно проверить его полномочия. Эти требования закреплены в ч. 1 и 3 ст. 9 152-ФЗ.
Если данные граждан России собираются через сайт или иным способом, учитывайте запрет использовать находящиеся за рубежом базы для записи, систематизации, накопления, хранения, уточнения и извлечения таких сведений. Он относится именно к перечисленным операциям при сборе. Для предусмотренных законом случаев сохраняются исключения. При выборе базы для сбора сведений ориентируйтесь на ч. 5 ст. 18 152-ФЗ.
Для обезличенных сведений действует особый порядок. Обезличивание означает, что последующая обработка не позволит установить, какому человеку принадлежат сведения. Если уполномоченный орган в сфере регулирования информационных технологий направил требование, оператор обязан обезличить сведения и передать их в государственную информационную систему. Перечень и сроки передачи указываются в требовании. Сгруппированные сведения образуют составы данных; пользователи обрабатывают их только внутри этой системы, без извлечения и передачи наружу. Основание — ч. 1–4 и 10 ст. 13.1 Закона № 152-ФЗ.
Если произошла неправомерная или случайная передача данных, нарушившая права людей, отсчитывайте сроки сообщения с момента выявления инцидента. Уполномоченный орган по защите прав субъектов персональных данных нужно уведомить в течение 24 часов: сообщить о происшествии, предполагаемых причинах и вреде, принятых мерах и ответственном за взаимодействие лице. В течение 72 часов ему направляют результаты внутреннего расследования и сведения о виновных лицах, если они установлены. Это обязанность по ч. 3.1 ст. 21 152-ФЗ.
Если человек требует прекратить обработку, общий срок исполнения составляет десять рабочих дней после получения требования. Продление допускается максимум на пять рабочих дней с мотивированным уведомлением заявителя. При предусмотренных законом основаниях обработка может продолжаться. Требование прекратить обработку следует отличать от отзыва согласия: для отзыва действуют правила о прекращении и уничтожении сведений с учетом цели обработки, договора и законных оснований их сохранения — ч. 5 и 5.1 ст. 21 152-ФЗ.
До начала обработки направьте уведомление уполномоченному органу по защите прав субъектов персональных данных, если ваш случай не относится к исключениям. Одно из них — работа исключительно без автоматизации. Для каждой цели в уведомлении указывают категории сведений и людей, правовое основание, действия и способы обработки. Об изменениях сообщают не позднее 15-го числа следующего месяца, о прекращении обработки — в течение десяти рабочих дней. Эти обязанности установлены ч. 1–3.1 и 7 ст. 22 Закона № 152-ФЗ.
Что говорит закон: использование баз за рубежом
Статья в редакции Федерального закона от 28.02.2025 № 23-ФЗ. Текст — из базы законов «ВРУЦКИЙ ПРАВО».
Что говорит закон: согласие отдельно от других документов
Статья в редакции Федерального закона от 24.06.2025 № 156-ФЗ. Текст — из базы законов «ВРУЦКИЙ ПРАВО».
Документы: оформление обработки и уведомлений
Комплект зависит от того, получаете ли вы согласие, начинаете обработку или сообщаете об инциденте.
| Документ |
|---|
| Отдельно оформленное согласие и подтверждение его получения — ст. 9 152-ФЗ. |
| Документ о полномочиях представителя, если согласие дает представитель человека — ст. 9 152-ФЗ. |
| Уведомление о намерении обрабатывать данные с разбивкой сведений по целям — ст. 22 Закона № 152-ФЗ. |
| Сообщение об инциденте и результаты внутреннего расследования при нарушающей права людей передаче данных — ст. 21 152-ФЗ. |
Частые вопросы: применение изменений в 152-ФЗ
О согласии, уведомлении оператора и работе с обезличенными сведениями.
Можно ли включить согласие на обработку в подписываемый договор?
Согласие нужно оформить отдельно от договора и другой информации, которую человек подписывает или подтверждает. Для оператора это означает отдельное оформление решения человека об обработке его сведений по ч. 1 ст. 9 152-ФЗ.
Нужно ли уведомление, если все сведения обрабатываются без автоматизации?
При обработке исключительно без средств автоматизации оператор вправе работать без уведомления уполномоченного органа по защите прав субъектов персональных данных. Такое исключение предусмотрено ч. 2 ст. 22 Закона № 152-ФЗ; оно относится именно к полностью неавтоматизированной обработке.
Можно ли выгрузить составы обезличенных данных из государственной системы?
Пользователям разрешена обработка составов данных только в государственной информационной системе уполномоченного органа в сфере регулирования информационных технологий. Запись, извлечение и передача составов за ее пределы запрещены ч. 10 ст. 13.1 Закона № 152-ФЗ.
Услуги и темы рядом
Требования к обработке сведений и обязанности бизнеса.
Не откладывайте защиту