Персональные данные: уточнены уведомления при утечке и сроки ответа субъекту

Комплект прошёл круг внешней правовой проверки. Содержание документов подтвердилось — сроки 24 и 72 часа, отдельное согласие на распространение по статье 10.1, требования к подтверждению уничтожения и порядок работы со специальными категориями были указаны верно. Исправлена одна структурная ссылка и добавлены три уточнения, которых на практике чаще всего не хватает.

Что исправлено

Обязанность уведомить надзорный орган при утечке установлена частью 3.1 статьи 21 закона № 152-ФЗ. В комплекте ссылка была оформлена как «пункт 3.1 части 3 статьи 21» — сама норма и сроки указаны правильно, но при цитировании в приказе или локальном акте структурная ссылка должна быть точной.

Что добавлено

Что именно входит в уведомления при утечке. В уведомление за 24 часа включается не только описание инцидента, предполагаемые причины, предполагаемый вред и принятые меры, но и сведения о лице, уполномоченном взаимодействовать с надзорным органом по этому инциденту. Такого человека определяют заранее — как правило, это ответственный за организацию обработки. Уведомление за 72 часа направляется о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента, причём последнее — при наличии таких сведений: если за 72 часа установить виновных не удалось, уведомление всё равно направляется с результатами на текущий момент. И ещё: отсчёт часов идёт с момента выявления инцидента, а выявить его может не только школа, но и надзорный орган либо иное заинтересованное лицо. Поэтому в порядке действий прописано немедленное сообщение ответственному и руководителю любым работником, который обнаружил утечку — внутренний доклад директору начало срока не переносит.

Сроки ответа субъекту разведены по видам требований. Десять рабочих дней с возможностью продления не более чем на пять — это срок для предоставления информации о наличии и обработке данных, для ознакомления с ними и для мотивированного отказа. Другие требования имеют свои сроки: уточнение неполных, неточных или неактуальных данных и уничтожение незаконно полученных — семь рабочих дней; требование прекратить обработку — десять рабочих дней с продлением на пять; уничтожение данных при отзыве согласия — в общем случае до тридцати дней. Путаница между этими сроками — самая частая причина просрочки, поэтому в журнале обращений теперь предлагается фиксировать не только дату получения, но и вид требования.

Для ответственного не нужна отдельная должность. Закон требует назначить лицо, ответственное за организацию обработки персональных данных, но не обязывает вводить штатную единицу или принимать нового работника — функции возлагаются на действующего сотрудника. Уточнён состав обязанностей по статье 22.1: получает указания непосредственно от руководителя и подотчётен ему, осуществляет внутренний контроль, доводит до работников требования законодательства и локальных актов, организует приём и рассмотрение обращений субъектов. Формулировку про «предоставление средств контроля» закон прямо не содержит: её можно закрепить как собственное организационное решение школы, но не выдавать за требование закона.