Как и когда уведомлять Роскомнадзор о неправомерном доступе третьих лиц к персональным данным?

В новом выпуске ответим на вопросы:

• Какие есть законодательные основания на предоставление уведомления в Роскомнадзор?
• На каких сотрудников нужно подавать уведомление?
• Как уведомить Роскомнадзор о неправомерном доступе третьих лиц к персональным данным?

Законодательное подтверждение

1 сентября 2022 года вступили в силу изменения в Федеральный закон от 27.07.2006 №152‑ФЗ «О персональных данных». С этого момента операторы персональных данных должны уведомлять Роскомнадзор о своем намерении обрабатывать персональные данные.

Обратите внимание: крайний срок подачи заявления не установлен.

На каких сотрудников нужно подавать уведомление?

Федеральным законом не предусмотрены переходные положения, конкретизирующие, на каких сотрудников подавать уведомление.

Работодатель предоставляет в Роскомнадзор уведомление единожды.

Обратите внимание: в уведомление не включаются сведения о конкретных сотрудниках компании.

Из этого можно сделать вывод, что работодатель должен подать уведомление единожды, не указав при этом данные своих сотрудников, а значит и разделять сотрудников на «новых» и «старых» не нужно.

Как уведомить Роскомнадзор о неправомерном доступе третьих лиц к персональным данным?

Если организация установила факт неправомерной или случайной передачи персональных данных, повлекшей за собой нарушение прав субъектов персональных данных, оператор обязан уведомить об этом Роскомнадзор.

Для этого установлены определенные временные ограничения:

1. Уведомить в течение 24 часов:

• о произошедшем инциденте;
• о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных;
• о предполагаемом вреде, нанесенном правам субъектов персональных данных;
• о принятых мерах по устранению последствий соответствующего инцидента;
• о лице, уполномоченном оператором на взаимодействие с Роскомнадзором по вопросам, связанным с выявленным инцидентом.

2. Уведомить в течение 72 часов:

• о результатах внутреннего расследования выявленного инцидента;
• о сведениях о лицах, действия которых стали причиной выявленного инцидента, если они имеются.

Резюмируя

• Работодатель должен подать уведомление единожды, не указав при этом данные своих сотрудников.
• Если организация установила факт неправомерной или случайной передачи персональных данных, повлекшей за собой нарушение прав субъектов персональных данных, оператор обязан уведомить об этом Роскомнадзор в течение 24 и 72 часов.

Подписывайтесь на Telegram-канал «ЛК 1С‑Рарус отвечает», чтобы быть в курсе новостей из мира бухгалтерии.

Вам также может понравиться:

• Необходимо ли удалять персональные данные сотрудников после их увольнения?
• Популярные вопросы о работе с персональными данными.