На общественное обсуждение внесен проект приказа, которым в проверочный лист Роскомнадзора вносятся дополнительные вопросы, подлежащие проверке при осуществлении контроля (надзора) за обработкой персональных данных.
Новые вопросы:
Уничтожение или обезличивание персональных данных по достижении целей обработки или утраты необходимости в достижении этих целей (ч. 7 ст. 5 152-ФЗ);
Соответствие согласия основным требованиям: конкретность, предметность, информированность, сознательность и однозначность, а также отдельное оформление от иных документов и информации (ч. 1 ст. 9 152-ФЗ);
Соответствие содержания уведомления о начале обработки персональных данных требованиям: для каждой цели обработки персональных данных указаны категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных (ч. 3.1 ст. 22 152-ФЗ);
Обезличивание в соответствии с требованиями и методами, установленными Роскомнадзором (ч. 12 ст. 23 152-ФЗ).
Остальные изменения носят технический характер.
В целом, ожидаемые поправки с учетом произошедших за последние годы изменений Закона о персональных данных.
Рекомендуем включить в план внутреннего контроля (п. 4 ч. 1 ст. 18.1 152-ФЗ):
проверку соблюдения порядка уничтожения персональных данных. Персональные данные, по которым уже достигнуты цели обработки и хранение которых больше не требуется, уничтожить. Составить акт(-ы) уничтожения и сделать выгрузку из журнала регистрации событий в ИСПДн (при необходимости);
аудит согласий, используемых в компании, и проверить их на соответствие требований. Внести необходимые изменения и переподписать (при необходимости). Посмотреть не включены ли согласия в гражданско-правовые договоры. При наличии таких согласий скорректировать договоры;
проверку актуальности реестра обработки персональных данных в компании. При необходимости утвердить новый реестр и подать уведомление об изменении в Роскомнадзор;
при наличии процесса обезличивания, составить ЛНА с требованиями и методами обезличивания, актуальными для компании. Проверить есть ли в реестре обработки персональных данных по соответствующей цели соответствующее действие с персональными данными.
Для консультации по вопросам проведения внутреннего контроля на соответствие обработки персональных данных можно обратиться по контактным данным Lukash & Partners.
