Генератор152ФЗ · База знаний
Правовые обязанности и требования к операторам, осуществляющим обработку персональных данных
Согласно статьям 18, 19, 22 Федерального закона №152-ФЗ "О персональных данных"
Норма
Оператор обязан принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения.
Норма
Оператор обязан до начала обработки персональных данных уведомить уполномоченный орган (Роскомнадзор) о своем намерении осуществлять обработку персональных данных, за исключением случаев, когда обработка не требует уведомления.
Норма
Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите данных.
Норма
Оператор обязан получить согласие субъекта на обработку его персональных данных, за исключением случаев, когда обработка осуществляется без согласия в соответствии с законом.
Норма
Оператор обязан по запросу субъекта предоставить информацию об обработке его персональных данных, а также осуществить блокирование, уточнение или удаление данных при получении соответствующего требования.
Норма
Оператор обязан прекратить обработку и уничтожить персональные данные по достижении целей обработки или в случае отзыва субъектом согласия на обработку, если иное не предусмотрено законом.
Подробный перечень обязанностей согласно 152-ФЗ
| Статья ФЗ | Обязанность оператора |
|---|---|
| ст. 18.1 | Принимать меры, необходимые и достаточные для выполнения обязанностей по 152-ФЗ (в том числе назначение ответственного – для оператора-юридического лица) |
| ст. 19 | Принять меры по обеспечению безопасности персональных данных |
| ст. 20 | Предоставлять субъекту персональных данных сведения и отвечать на его обращения в установленные сроки |
| ст. 21 | Уведомлять Роскомнадзор и субъектов о нарушении (инциденте) в случаях, предусмотренных статьёй |
| ст. 22 | Уведомить Роскомнадзор о намерении осуществлять обработку персональных данных (если не применяется освобождение) |
| ст. 22.1 | Назначить лицо, ответственное за организацию обработки персональных данных (обязанность оператора – юридического лица) |
Подробный разбор назначения ответственного лица для юридических лиц, ИП и самозанятых — в статье «Ответственный за организацию обработки персональных данных».
Оператор обязан принять необходимые организационные и технические меры для защиты персональных данных (ст. 19 152-ФЗ), в том числе:
Читать аналитическую статью о мерах защиты персональных данных
Оператор определяет, требуется ли уведомление Рокомнадзора об обработке персональных данных. Уведомление не требуется, если обработка осуществляется в исключительных случаях, указанных в части 2 статьи 22 152-ФЗ (на практике Уведомление требуется практически всем Операторам персональных данных, так как с 2022 года исключений стало в разы меньше).
Оператор подготавливает Уведомление, содержащее сведения, указанные в части 3 статьи 22 152-ФЗ, включая наименование оператора, цели обработки, категории данных, категории субъектов, правовые основания обработки и др.
Уведомление направляется в территориальный орган Роскомнадзора по месту нахождения оператора в бумажном виде, в электронном виде с использованием усиленной квалифицированной электронной подписи или с использованием средств аутенфикации ЕСИА. Уведомление формируется на специальном Портале персональных данных уполномоченного органа по защите прав субъектов персональных данных.
Роскомнадзор в течение 30 дней с даты поступления уведомления вносит сведения, указанные в уведомлении, в реестр операторов, осуществляющих обработку персональных данных.
Согласно части 2 статьи 22 152-ФЗ, уведомление не требуется, если:
1. Обработка осуществляется в государственных информационных системах персональных данных, созданных в целях защиты безопасности государства и общественного порядка.
2. Обработка осуществляется исключительно без использования средств автоматизации.
3. Обработка осуществляется в автоматизированных централизованных базах персональных данных о пассажирах и персонале (экипаже) транспортных средств, входящих в состав единой государственной информационной системы обеспечения транспортной безопасности (АЦБПДП, ЕГИС ОТБ).