Приказ Роскомнадзора №178 — требования к оценке вреда субъектам персональных данных

Требования к оценке вреда, который может быть причинён субъектам персональных данных в случае нарушения 152-ФЗ. Оператор определяет одну из трёх степеней вреда (высокая, средняя, низкая) по основаниям пункта 2, при совпадении разных степеней применяется более высокая. Результат оформляется актом оценки вреда. Действует с 1 марта 2023 г. по 1 марта 2029 г.

Приказ Роскомнадзора от 27 октября 2022 г. №178 (зарегистрирован в Минюсте 28.11.2022, №71166) утверждает Требования к оценке вреда субъектам персональных данных. Оценка вреда — обязанность оператора по пункту 5 части 1 статьи 18.1 Федерального закона №152-ФЗ, введённая поправками 266-ФЗ. Приказ действует с 1 марта 2023 года по 1 марта 2029 года.

Кто и как проводит оценку

Оценку вреда проводит лицо, ответственное за организацию обработки персональных данных, либо комиссия, образуемая оператором (пункт 1 Требований). Оператор определяет для своей обработки одну из трёх степеней вреда по основаниям пункта 2.

Высокая степень вреда (подпункт 2.1)

обработка биометрических персональных данных, используемых оператором для установления личности субъекта, — кроме случаев, установленных федеральными законами;
обработка специальных категорий персональных данных (расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь, сведения о судимости) — кроме случаев, установленных федеральными законами;
обработка персональных данных несовершеннолетних для заключения или исполнения договора, стороной, выгодоприобретателем или поручителем по которому является несовершеннолетний, в случаях, не предусмотренных законодательством РФ;
обезличивание персональных данных, в том числе для оценочных (скоринговых) исследований и прогнозирования поведения потребителей, кроме исследований по пункту 9 части 1 статьи 6 152-ФЗ;
поручение иностранному лицу (иностранным лицам) осуществлять обработку персональных данных граждан Российской Федерации;
сбор персональных данных с использованием баз данных, находящихся за пределами Российской Федерации.

Средняя степень вреда (подпункт 2.2)

распространение персональных данных на официальном сайте оператора либо предоставление неограниченному кругу лиц — кроме случаев, установленных федеральными законами;
обработка персональных данных в дополнительных целях, отличных от первоначальной цели сбора;
продвижение товаров, работ, услуг прямыми контактами с потенциальным потребителем с использованием баз персональных данных, владельцем которых является иной оператор;
получение согласия через функционал официального сайта, не предполагающий дальнейшую идентификацию и (или) аутентификацию субъекта;
обработка, предполагающая получение согласия с положениями о предоставлении права обрабатывать персональные данные определённому и (или) неопределённому кругу лиц в целях, несовместимых между собой (часть 2 статьи 5 152-ФЗ).

Низкая степень вреда (подпункт 2.3)

ведение общедоступных источников персональных данных, сформированных в соответствии со статьёй 8 152-ФЗ;
назначение ответственным за обработку персональных данных лица, не являющегося штатным сотрудником оператора.

Оформление результата

Если применимы основания разных степеней, применяется более высокая степень вреда (пункт 6 Требований). Результаты оценки оформляются актом оценки вреда (пункт 3). По пункту 4 акт содержит наименование либо ФИО и адрес оператора, дату издания акта, дату проведения оценки, ФИО и должности проводивших оценку лиц с их подписями, а также степень вреда со ссылкой на подпункты 2.1–2.3. Акт в электронной форме, подписанный электронной подписью, равнозначен бумажному (пункт 5).

Определить степень вреда по основаниям приказа можно в калькуляторе оценки вреда субъектам ПДн. Подробный разбор — в статье об оценке вреда субъектам ПДн. Вести обработку и документы по 152-ФЗ можно в сервисе ГрамотаИБ.