Как изменился закон о персональных данных с 1 сентября 2022 года

До 1 сентября

В законе было много исключений, когда операторам не требовалось регистрироваться в Роскомнадзоре. Например, когда оформляли одноразовые допуски.

После

Все исключения убрали. Уведомления в РКН разрешается не подавать компаниям и ИП, работающим с ПД:

• без средств автоматизации (например сведения записываются в журнал или в тетрадь и не будут куда-либо передаваться в будущем);
• для защиты безопасности страны или транспортной безопасности.

То есть даже пиццерии или интернет-магазины, собирающие ФИО и адрес клиента, должны оповещать об этом РКН. То же самое касается и работодателя, который заключает трудовой договор или оформляет пропуск работников на территорию компании.
Узнать, зарегистрирована ли ваша компания как оператор ПД, можно в реестре Роскомнадзора, вбив ее ИНН.

До 1 сентября

Оператору давали 30 дней, чтобы ответить на запрос Роскомнадзора или владельца персональных данных.

После

Отреагировать надо за 10 дней. Если есть уважительная причина — можно отложить ответ еще на 5 дней. Но в этом случае оператор должен направить уведомление с указанием причины отсрочки ведомству или владельцу ПД.

До 1 сентября

Особых распоряжений на счет биометрии не было. Сюда входят фото, отпечатки пальцев и другие уникальные биофизические особенности.

После

Запрашивать их могут только государственные органы. От того же фотографирования граждане имеют права отказаться. Компаниям следует убрать из договоров пункт об обязательном предоставлении биометрии.
Нельзя обрабатывать биометрические данные подростков. К примеру, если в штат для практики взяли несовершеннолетнего, нельзя использовать его фотографии в личном деле или для пропуска.
Передачу биометрии за рубеж тоже запретили. Вся биометрическая информация будет храниться на территории России.

До 1 сентября

Оператор может поручить работу с данными стороннему обработчику, выдав ему письменное поручение.

После

По новым правилам в нем нужно прописать требования:

• пользоваться российскими базами данных;
• соблюдать закон по обработке ПД;
• сообщать оператору об утечке данных.

В поручении обязательно указать, какие именно сведения поручитель будет обрабатывать.

До 1 сентября

Зарубежные обработчики отвечали только перед оператором ПД.

После

Иностранные компании, которые обрабатывают данные россиян, теперь обязаны соблюдать нормы закона №152. Без разницы, в какой стране они располагаются. Сейчас они в ответе и перед владельцем.