С 01.07.2021 начал действовать новый порядок организации и контроля (надзора) за обработкой персональных данных. Правительство РФ утвердило постановление от 29.06.2021 № 1046 «О федеральном государственном контроле (надзоре) за обработкой персональных данных» (далее — Постановление № 1046). Оно вступило в силу с 01.07.2021. Прежнее постановление Правительства РФ от 13.02.2019 № 146 «Об утверждении Правил организации и осуществления государственного контроля и надзора за обработкой персональных данных» признано утратившим силу.
В Постановлении № 1046 установлены критерии отнесения объектов контроля к одной из категорий риска (высокий, значительный, средний, умеренный, низкий), порядок проведения профилактических и контрольных мероприятий.
В частности, указана периодичность проведения плановых контрольных мероприятий:
-
для лиц, отнесенных к высокому риску, предусмотрены инспекционный визит или выездная проверка один раз в два года;
-
для лиц, отнесенных к значительному риску, — инспекционный визит или выездная проверка один раз в три года;
-
для лиц, отнесенных к категории среднего риска, — инспекционный визит, или документарная проверка, или выездная проверка один раз в четыре года;
-
для лиц, отнесенных к категории умеренного риска, — документарная проверка или выездная проверка один раз в шесть лет.
В отношении контролируемых лиц, деятельность которых в связи с обработкой персональных данных отнесена к категории низкого риска, плановые контрольные (надзорные) мероприятия проводить не будут.
Профилактические меры
Также в Постановлении № 1046 детально прописаны правила проведения таких профилактических мер, как информирование, обобщение правоприменительной практики, объявление предостережения, консультирование, обязательный профилактический визит.
Так, если Роскомнадзор получит сведения о готовящихся нарушениях или о признаках нарушений, то он вправе объявить организации предостережение о недопустимости нарушения обязательных требований, а также предложить ей принять меры по обеспечению соблюдения обязательных требований. В ответ организация вправе в течение 10 рабочих дней подать возражение.
Консультирование возможно по телефону, посредством видео-конференц-связи, на личном приеме. Роскомнадзор может проконсультировать по следующим вопросам:
1) наличие и содержание обязательных требований в сфере обработки персональных данных;
2) периодичность и порядок проведения контрольных (надзорных) мероприятий;
3) порядок выполнения обязательных требований в сфере обработки персональных данных;
4) выполнение предписания, выданного по итогам контрольного мероприятия (по этому пункту выдается письменное разъяснение).
Если по теме первых трех пунктов поступит 50 и более однотипных обращений, то письменное разъяснение будет размещено на сайте.
Еще Роскомнадзор будет проводить обязательные профилактические визиты в отношении организаций, которые отнесены к категориям высокого и значительного риска, а также организаций, которые начинают деятельность в сфере обработки персональных данных. О проведении этого мероприятия уведомят не позднее чем за пять рабочих дней. Срок проведения обязательного профилактического визита не может превышать тоже пять рабочих дней.
Организация может отказаться от проведения обязательного профилактического визита, при этом она должна уведомить об отказе не позднее чем за три рабочих дня до даты его проведения.
Если организация только приступила к обработке персональных данных, то контролирующий орган должен предложить обязательный профилактический визит в течение одного года с момента начала такой деятельности.
По итогам визита контролирующий орган составит разъяснения рекомендательного характера. Но если он установит, что объекты контроля представляют явную непосредственную угрозу причинения вреда охраняемым законом ценностям или такой вред (ущерб) причинен, должностное лицо незамедлительно направит информацию в уполномоченный орган для принятия решения о проведении контрольных (надзорных) мероприятий.
Перенос мероприятий
В случае временной нетрудоспособности, нахождения в служебной командировке индивидуальный предприниматель или гражданин, являющиеся контролируемыми лицами, вправе представить информацию о невозможности присутствия при проведении контрольного (надзорного) мероприятия. Тогда уполномоченный орган может принять решение о переносе сроков проведения на срок, необходимый для устранения обстоятельств, послуживших поводом для данного обращения.
Обжалование
Жалобу на решение, действия (бездействие) должностных лиц Роскомнадзора и его территориальных отделений можно подать в течение 30 календарных дней со дня, когда контролируемое лицо узнало или должно было узнать о нарушении своих прав. А если нужно подать жалобу на предписание, то срок — 10 рабочих дней с момента получения предписания.