Ключевое из законопроекта "Антифрод 3.0"

Запреты

В смс-рассылках нельзя указывать персональные данные абонента или его родственников, если у заказчика рассылки нет правовых оснований обработки их персональных данных.

Где найти в законопроекте: п. 3 ст. 1.

Куда вносятся изменения: ст. 44.1 Закона о связи.

Полномочия

Федеральные органы государственной власти, органы государственной власти субъектов, муниципальные органы и Банк России наделяются в пределах своих полномочий правом принимать нормативные правовые акты, определяющие для каждой цели обработки персональных данных состав персональных данных и действия (операции), совершаемые с ними.

Отраслевыми актами будут устанавливаться требования к согласию (п. 1 ч. 1 ст. 6 152-ФЗ) и условиям договоров, заключаемых с субъектом (п. 5 ч.1 ст. 6 152-ФЗ). Состав персональных данных и перечень действий в рамках законного интереса оператора (п. 7 ч. 1 ст. 6 152-ФЗ) также будет определяться нормативными правовыми актами.

Где найти в законопроекте: п. 1 и п. 2 ст. 6.

Куда вносятся изменения: ст. 4 и ст. 6 Закона о персональных данных.

Согласия

Согласие на обработку персональных данных может быть дано оператору:

• непосредственно, в том числе в электронной форме с использованием информационных систем и (или) телекоммуникационных каналов связи. Оператор обязан внести информацию о согласии в ЕСИА. Состав, порядок и случаи установит Правительство РФ;

• с использованием ЕСИА. Порядок и случаи установит Правительство РФ. Типовые формы согласий разработают Роскомнадзор и Минцифры России.

Где найти в законопроекте: пп. «а» п. 3 ст. 6.

Куда вносятся изменения: ст. 9 Закона о персональных данных.

При этом оператор не вправе требовать согласия на обработку персональных данных, если это не предусмотрено законом или отраслевым нормативным правовым актом.

Где найти в законопроекте: п. 7 ст. 6.

Куда вносятся изменения: ст. 18 Закона о персональных данных.

Требования к порядку отзыва согласия устанавливаются аналогично его получению.

Где найти в законопроекте: пп. «б» п. 3 ст. 6. Куда вносятся изменения: ст. 9 Закона о персональных данных.

Согласие на распространение предоставляется оператору непосредственно, в том числе в электронной форме с использованием информационных систем и (или) телекоммуникационных каналов связи. Предоставление согласия на распространение через информационную систему Роскомнадзора исключается.

Где найти в законопроекте: п. 4 ст. 6.

Куда вносятся изменения: ч. 6 и ч. 7 ст. 10.1 Закона о персональных данных.

Единая платформа согласий

На Госуслугах (ЕСИА) планируется создать базу согласий. Зарегистрированным пользователям будет предоставлено право:

• увидеть согласия на обработку персональных данных, которые он ранее давал онлайн и офлайн. Состав, порядок и случаи предоставления информации определит Правительство РФ;

• отозвать согласия. Состав, порядок и случаи передачи оператором информации об отозванных согласиях, предоставленных ему напрямую, а также порядок и случаи отзыва согласия через ЕСИА, установит Правительство РФ;

• сообщить о возможных нарушениях в Роскомнадзор.

Где найти в законопроекте: пп. «б» п. 3, п.п. 5 и 6 ст. 6.

Куда вносятся изменения: ст. ст. 9, 14 и 17 Закона о персональных данных

Договор, заключаемый непосредственно с субъектом

В части условий обработки персональных данных договор:

• должен соответствовать отраслевым актам;

• не может содержать положения:

- ограничивающие права и свободы субъекта персональных данных;

- устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации;

- положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.

Где найти в законопроекте: пп. «б» п. 2 ст. 6.

Куда вносятся изменения: ч. 1 ст. 6 Закона о персональных данных.

Вводятся новые требования к авторизации:

• способы авторизации разделены для российских и иностранных лиц. Для российских лиц остаются установленные действующей ч. 10 ст. 8 Закона № 149-ФЗ способы (по мобильному номеру, через ЕСИА, ЕБС или иную систему российского юридического лица (например, Яндекс ID, VK ID и т.п.)). Для иностранных лиц единственный способ авторизации российских пользователей – по мобильному номеру;

• устанавливается трехгодичный срок для хранения сведений о регистрации, авторизациях и прекращении регистрации пользователей. Указанные сведения необходимо предоставлять уполномоченным органам. Состав и порядок утвердит Правительство РФ.

Где найти в законопроекте: п. 1 ст. 5.

Куда вносятся изменения: ст. 8 Закона об информации, информационных технологиях и о защите информации.

Использование мобильного номера в мошеннических целях

Один скомпрометированный номер и юридическое лицо может лишиться всех номеров мобильной связи, которые были ему выделены по договору оператором связи.

Где найти в законопроекте: ст. 7.

Куда вносятся изменения: ст. 1 Закона о создании ГИС противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий.

Уточняются правила для корпоративных SIM и M2M-устройств: сведения об абонентском номере и оборудовании должны вноситься в ЕСИА.

Где найти в законопроекте: пп. «б» п. 2 ст. 1.

Куда вносятся изменения: абз. 8 п. 1.1 ст. 44 Закона о связи.

Рассылки будут осуществлять только операторы связи

Услуги по формированию сообщений для рассылки и саму рассылку смогут оказывать только операторы подвижной радиотелефонной связи. Договор на рассылки должен быть заключен напрямую между заказчиком рассылки и оператором связи.

Где найти в законопроекте: пп. «б» п. 3 ст. 1.

Куда вносятся изменения: ст. 44.1 Закона о связи.

Законодатель проводит последовательную политику, направленную на сокращение случаев сбора персональных данных на основании согласий на их обработку.

Поэтому рекомендуем уже сейчас провести аудит правовых оснований обработки персональных данных в бизнес-процессах компании.

1. Минимизировать количество согласий: где возможно, переводить обработку на иные законные основания (договор (п. 5 ч. 1 ст. 6 152-ФЗ), исполнение обязанностей оператора (п. 2 ч. 1 ст. 6 152-ФЗ)).

2. Где согласие является единственным основанием обработки, рассмотреть возможность его перевода в электронный (машиночитаемый) вид.

3. Наладить оперативное реагирование на запросы субъектов: назначить ответственных лиц. Провести тест прохождения обращения внутри компании от момента получения и регистрации запроса до направления ответа субъекту.

4. Обеспечить учет регистрационных действий: просчитать необходимые затраты по перестройке процесса хранения информации об авторизации с учетом необходимости длительного хранения.

5. Сим-карты: провести аудит имеющихся сим-карт, принадлежащих компании. Когда, кому и на каком основании были предоставлен корпоративный номер телефона. Проверить все ли сим-карты зарегистрированы через Госуслуги в установленном порядке.

Срок вступления в силу в случае одобрения законопроекта – 1 марта 2028 г.

Потребуется дополнительно отслеживать появление отраслевых нормативных правовых актов в части обработки персональных данных.