Приказ Роскомнадзора от 27 октября 2022 г. №178 (зарегистрирован в Минюсте 28.11.2022, №71166) утверждает Требования к оценке вреда субъектам персональных данных. Оценка вреда — обязанность оператора по пункту 5 части 1 статьи 18.1 Федерального закона №152-ФЗ. Сама обязанность существует с появления статьи 18.1 в 2011 году, а поправками 266-ФЗ Роскомнадзор наделён полномочием установить порядок её проведения — во исполнение которого и принят настоящий приказ. Приказ действует с 1 марта 2023 года по 1 марта 2029 года.
Кто и как проводит оценку
Оценку вреда проводит лицо, ответственное за организацию обработки персональных данных, либо комиссия, образуемая оператором (пункт 1 Требований). Оператор определяет для своей обработки одну из трёх степеней вреда по основаниям пункта 2.
Высокая степень вреда (подпункт 2.1)
- обработка биометрических персональных данных, используемых оператором для установления личности субъекта, — кроме случаев, установленных федеральными законами;
- обработка специальных категорий персональных данных (расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь, сведения о судимости) — кроме случаев, установленных федеральными законами;
- обработка персональных данных несовершеннолетних для заключения или исполнения договора, стороной, выгодоприобретателем или поручителем по которому является несовершеннолетний, в случаях, не предусмотренных законодательством РФ;
- обезличивание персональных данных, в том числе для оценочных (скоринговых) исследований и прогнозирования поведения потребителей, кроме исследований по пункту 9 части 1 статьи 6 152-ФЗ;
- поручение иностранному лицу (иностранным лицам) осуществлять обработку персональных данных граждан Российской Федерации;
- сбор персональных данных с использованием баз данных, находящихся за пределами Российской Федерации.
Средняя степень вреда (подпункт 2.2)
- распространение персональных данных на официальном сайте оператора либо предоставление неограниченному кругу лиц — кроме случаев, установленных федеральными законами;
- обработка персональных данных в дополнительных целях, отличных от первоначальной цели сбора;
- продвижение товаров, работ, услуг прямыми контактами с потенциальным потребителем с использованием баз персональных данных, владельцем которых является иной оператор;
- получение согласия через функционал официального сайта, не предполагающий дальнейшую идентификацию и (или) аутентификацию субъекта;
- обработка, предполагающая получение согласия с положениями о предоставлении права обрабатывать персональные данные определённому и (или) неопределённому кругу лиц в целях, несовместимых между собой (часть 2 статьи 5 152-ФЗ).
Низкая степень вреда (подпункт 2.3)
- ведение общедоступных источников персональных данных, сформированных в соответствии со статьёй 8 152-ФЗ;
- назначение ответственным за обработку персональных данных лица, не являющегося штатным сотрудником оператора.
Оформление результата
Если применимы основания разных степеней, применяется более высокая степень вреда (пункт 6 Требований). Результаты оценки оформляются актом оценки вреда (пункт 3). По пункту 4 акт содержит наименование либо ФИО и адрес оператора, дату издания акта, дату проведения оценки, ФИО и должности проводивших оценку лиц с их подписями, а также степень вреда со ссылкой на подпункты 2.1–2.3. Акт в электронной форме, подписанный электронной подписью, равнозначен бумажному (пункт 5).
Определить степень вреда по основаниям приказа можно в калькуляторе оценки вреда субъектам ПДн. Подробный разбор — в статье об оценке вреда субъектам ПДн. Вести обработку и документы по 152-ФЗ можно в сервисе ГрамотаИБ.