Оценка степени вреда персональным данным, должна осуществляться в соответствии с требованиями Роскомнадзора (Приказ Росокмнадзора от 27 октября 2022 г. № 178). Данная статья о том, как правильно оценивать степень вреда персональным данным в целях исполнения требований ст. 18.1 Закона о персональных данных.
Три степени вреда персональным данным
Оценку осуществляет ответственный за организацию обработки персональных данных либо комиссия, образуемая оператором. Оператор обязан установить одну из степеней вреда: высокую, среднюю или низкую.
Высокая степень вреда, если:
- Обработка биометрических данных и данных, которые используются оператором для установления личности субъекта персональных данных, за исключением случаев, установленных законом;
- Обработка специальных категорий персональных данных;
- обработка персональных данных несовершеннолетних для заключения и (или) исполнения договора;
- Обезличивания персональных данных, в том числе с целью проведения оценочных (скоринговых) исследований, оказания услуг по прогнозированию поведения потребителей товаров и услуг, а также иных исследований, не предусмотренных п. 9 ч. 1 ст. 6 Закона о персональных данных;
- Поручение иностранному лицу (иностранным лицам) осуществлять обработку персональных данных граждан РФ;
- Сбора персональных данных с использованием баз данных, находящихся за пределами РФ.
Средняя степень вреда в случаях:
- Распространение персональных данных на официальном сайте оператора;
- предоставление персональных данных неограниченному кругу лиц, за исключением случаев, установленных законом;
- Обработка персональных данных в дополнительных целях, отличных от первоначальной цели сбора;
- Продвижение товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с использованием баз персональных данных, владельцем которых является иной оператор;
- Получение согласия на обработку персональных данных посредством реализации на сайте функционала, который не предполагает дальнейшую идентификацию и (или) аутентификацию субъекта персональных данных;
- Осуществление деятельности по обработке персональных данных, которая предполагает получение согласия на обработку персональных данных, содержащего положения о предоставлении права осуществлять обработку определенному и (или) неопределенному кругу лиц в целях, несовместимых между собой.
Низкая степень вреда в случаях:
- Ведение общедоступных источников персональных данных, сформированных в соответствии со ст. 8 Закона о персональных данных;
- Назначение в качестве ответственного за обработку персональных данных лица, не являющегося штатным сотрудником оператора.
Как оформить результаты оценки вреда персональным данным?
Результаты оценка степени вреда персональным данным оформляются актом. Акт оценки вреда должен содержать:
- Наименование или ФИО и адрес оператора;
- Дата издания акта оценки вреда;
- Дата проведения оценки вреда;
- ФИО, должность лиц (лица), проводивших оценку вреда, а также их (его) подпись;
- Степень вреда, которая может быть причинена субъекту персональных данных, в соответствии с указанными выше критериями.
Нюанс. Если в рамках деятельности по обработке персональных данных субъекту персональных данных могут быть причинены различные степени вреда, то подлежит применению более высокая степень вреда.
Автор: Марина Новицкая, юрист и основатель юридической фирмы Итербиум.
Еще статьи о мерах безопасности в области персональных данных:
- Обзор мер по обеспечению безопасности обработки персональных данных
- Политика обработки персональных данных — 2024
- Меры защиты информационных систем персональных данных
Если у вас остались вопросы о том, как правильно организовать всю работу с персональными данными с учетом специфики вашего бизнеса, вы можете обратиться к нам за консультацией.
Специализированные юристы фирмы Итербиум знают нюансы и помогут вам.
