Новое о реестре инцидентов в области персональных данных
Роскомнадзор внес проект приказа о взаимодействии с компаниями-операторами в рамках ведения реестра учета инцидентов в области персональных данных. Версия приказа о персональных данных размещена на федеральном портале проектов. Проект подготовлен во исполнение 266-ФЗ от 14.07.2022.
Проект приказа предусматривает направление в Роскомнадзор уведомлений об инцидентах с персональными данными. В реестре планируют фиксировать сведения о фактах незаконной передачи данных, нарушившей права субъекта.
Компании будут обязаны уведомлять об инциденте и об итогах внутреннего расследования.
Уведомление с информацией об инциденте будет содержать:
- дату и время обнаружения инцидента ИБ;
- содержание скомпрометированной базы и ее актуальность;
- количество утекших записей;
- предполагаемые причины возникновения инцидента;
- предварительная оценка вреда для субъекта персональных данных;
- меры по устранению инцидента и его последствий (и материалы, это подтверждающие);
- сведения о лице компании, взаимодействующем с Роскомнадзором по возникшему инциденту.
После проведения внутреннего расследования инцидента компания будет обязана направить дополнительное уведомление, содержащее информацию:
- об итоговых причинах возникшего инцидента ИБ;
- о вреде для субъектов персональных данных;
- о дополнительных мерах для ликвидации последствий инцидента ИБ;
- о лицах, чьи действия повлекли за собой инцидент (при их наличии).
Если на момент первичного уведомления компания уже располагает результатами расследования, информацию о нем можно будет предоставить в одном уведомлении.
Уведомление можно будет отправить либо в электронном виде через специальную форму на Портале персональных данных, либо на бумажном носителе.
В случае, если Роскомнадзор установит факт незаконного распространения баз персональных данных определенной компании, в таком случае Роскомнадзор направит требование к данной компании, и в течение 24 часов она будет обязана предоставить уведомление со сведениями о произошедшем инциденте.
Проект находится на стадии публичного обсуждения, которое закончится 10 ноября 2022.