Внесенные законом изменения в ФЗ «О персональных данных»:

1. в новой части 1.1 статьи 1 закреплена экстерриториальность действия Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», т. е. установлено, что его применяются к обработке персональных данных граждан Российской Федерации, осуществляемой иностранными юридическими лицами или иностранными физическими лицами, на основании договора, стороной которого являются граждане Российской Федерации, иных соглашений между иностранными юридическими лицами, иностранными физическими лицами и гражданами Российской Федерации либо на основании согласия гражданина Российской Федерации на обработку его персональных данных;

2. в ст. 4 введена новая часть 3.1, предусматривающая обязательное согласование с Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) нормативных правовых актов, регулирующих отношения, связанные с осуществлением трансграничной передачи персональных данных, обработкой специальных категорий персональных данных, биометрических персональных данных, персональных данных несовершеннолетних, предоставлением, распространением персональных данных, полученных в результате обезличивания;

3. пункт 5 ч. 1 ст. 6, предусматривающий случай обработки персональных данных, «необходимой для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем», дополнен уточнением о том, что заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных;

4. в ч. 3 ст. 6 конкретизирован перечень обязанностей лица, осуществляющего обработку персональных данных по поручению оператора. В договоре оператора персональных данных с таким лицом должны быть определены:

• перечень персональных данных;
• перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных;
• цели их обработки;
• обязанность такого лица соблюдать конфиденциальность персональных данных;
• обязанность обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, и меры, направленные на выполнение обязанностей, предусмотренных ФЗ «О персональных данных» (ст. 18.1);
• обязанность по запросу оператора персональных данных в течение срока действия поручения оператора, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований;
• обязанность обеспечивать безопасность персональных данных при их обработке, а также требования к защите обрабатываемых персональных данных (ст. 19), в том числе требование об уведомлении оператора о случаях обращения субъекта персональных данных о прекращении обработки персональных данных;

Еще одним изменением в ст. 6 является включение в нее новой части 6, закрепляющей, что в случае, если оператор поручает обработку персональных данных иностранному физическому лицу или иностранному юридическому лицу, ответственность перед субъектом персональных данных за действия указанных лиц несет оператор и лицо, осуществляющее обработку персональных данных по поручению оператора;

5. часть 1 ст. 9 дополнена, что согласие субъекта на обработку его персональных данных должно быть не только конкретным, информированным и сознательным, но также и «предметным и однозначным» (содержание этих понятий не раскрывается);

6. часть 15 статьи 10.1 изложена в новой редакции, расширяющей перечень государственных органов и организаций, к которым не применятся требования законодательства об обработке персональных данных, разрешенных субъектом персональных данных для распространения, а именно к ним добавлены подведомственные организации;

7. статья 11, регулирующая обработку биометрических персональных данных дополнена новой частью 3, устанавливающей, что предоставление биометрических персональных данных не может быть обязательным, за исключением случаев, предусмотренных законом. Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на обработку персональных данных, если в соответствии с федеральным законом получение оператором согласия на обработку персональных данных не является обязательным;

8. статья 12, регулирующая трансграничную передачу персональных данных, изложена в новой редакции (вступает в силу с 1 марта 2023 года), предусматривающей, что оператор персональных данных до ее начала обязан направить уведомление об этом в Роскомнадзор (в письменной или электронной форме). Роскомнадзор в течение 10 рабочих дней рассматривает данное уведомление, после чего вправе вынести решение о запрете трансграничной передачи персональных данных. В течение этих 10 рабочих дней оператор:

• вправе осуществлять трансграничную передачу персональных данных на территории государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных или включенных в специальный перечень Роскомнадзора;
• не вправе осуществлять трансграничную передачу персональных данных на территории государств, не являющихся сторонами Конвенции или не включенных в перечень Роскомнадзора (за исключением случая защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц).

В случае вынесения Роскомнадзором решения о запрете трансграничной передачи персональных данных по результатам рассмотрения уведомления, оператор обязан обеспечить уничтожение органом власти иностранного государства, иностранным физическим лицом, иностранным юридическим лицом ранее переданных им персональных данных. Наличие согласия субъекта персональных данных или договора, стороной которого он является, разрешающих трансграничную передачу персональных данных, значения не имеет.

Трансграничная передача персональных данных также может быть ограничена Роскомнадзором по представлению ФСБ России, Минобороны России, МИД России, иных федеральных органов исполнительной власти, уполномоченных Президентом Российской Федерации или Правительством Российской Федерации;

9. в части 3 ст. 14 установлен срок 10 рабочих дней (с возможностью продления, но не более чем на 5 рабочих дней) для передачи по запросу субъекта персональных данных сведений, касающихся обработки его персональных данных, в той же форме, в которой был направлен запрос (обращение). Перечень сведений, которые должны быть сообщены субъекту персональных данных, дополнен «информацией о способах исполнения оператором обязанностей, установленных статьей 18.1 настоящего Федерального закона» (новый пункт 9.1 ч. 7);

10. в статье 18 уточнено, что оператор персональных данных обязан разъяснить субъекту персональных данных юридические последствия его отказа предоставить персональные данные или дать согласие на их обработку, в случае если такое предоставление или дача согласия являются обязательными (в действовавшей ранее редакции закона случаи обязательного получения согласия не упоминались). Также дополнен объем сведения, предоставляемых оператором субъекту персональных данных, если персональные данные получены не от него: будет необходимо предоставить перечень таких персональных данных;

11. в статье 18.1 (п. 2 ч. 1) конкретизированы требования к содержанию документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных. Они должны включать в себя (для каждой цели обработки):

• категории и перечень обрабатываемых персональных данных;
• категории субъектов, персональные данные которых обрабатываются;
• способы, сроки их обработки и хранения;
• порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований.

Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности;
В пункт 5 ч. 1 внесено дополнение (вступает в силу с 1 марта 2023 года), обязывающее Роскомнадзор установить требования к проводимой оператором процедуре оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения закона (тем самым устраняется правовая неопределенность: обязанность оператора проводить оценку закреплена, но утвержденных требований и методик не существует).
В часть 2 внесено уточнение о том, что оператор, осуществляющий сбор персональных данных в сети Интернет, обязан опубликовать на принадлежащем ему сайте (а не просто в сети Интернет) документ, определяющий политику в отношении обработки персональных данных;

12. статья 19, регулирующая меры по обеспечению безопасности персональных данных при их обработке, дополнена новыми частями 12−14:
«12. Оператор обязан в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности (ФСБ России), обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных.

13. Указанная в части 12 настоящей статьи информация (за исключением информации, составляющей государственную тайну) передается федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности (ФСБ России), в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор).

14. Порядок передачи информации в соответствии с частью 13 настоящей статьи устанавливается совместно федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности (ФСБ России), и уполномоченным органом по защите прав субъектов персональных данных (Роскомнадзор).».

Проект предусмотренного ч. 12 порядка в настоящее время ФСБ России не опубликован.

13. в статье 20, закрепляющей обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных, с 30 дней до 10 рабочих дней сокращены сроки направления оператором субъекту персональных данных информации о наличии персональных данных, относящихся к соответствующему субъекту персональных данных (ч. 1), мотивированного ответа об отказе в предоставлении информации о наличии персональных данных (ч.2), а также в Роскомнадзор необходимую информацию по запросу;

14. статья 21, предусматривающая обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных, дополнена новыми частями 3.1, 5.1 и 7:
«3.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:

1. в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
2. в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

5.1. В случае обращения субъекта персональных данных к оператору с требованием о прекращении обработки персональных данных оператор обязан в срок, не превышающий десяти рабочих дней с даты получения оператором соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2 — 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 настоящего Федерального закона. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
(вступает в силу с 1 марта 2023 года) 7. Подтверждение уничтожения персональных данных в случаях, предусмотренных настоящей статьей, осуществляется в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных.»;

Таким образом, на оператора возложена обязанность информирования Роскомнадзора об инцидентах с персональными данными и результатах их внутреннего расследования (24 часа и 72 часа соответственно), установлен срок (10 рабочих дней) для прекращения обработки персональных данных по требованию субъекта, на Роскомнадзор возложена обязанность по утверждению требований к подтверждению уничтожения персональных данных (подробнее см. в разделе «Проекты ведомственных приказов»).

15. в ч. 2 ст. 22 существенно сокращен перечень исключений, позволяющих оператору персональных данных не подавать в Роскомнадзор уведомление об обработке персональных данных. Фактически остается лишь 3 случая обработки без уведомления Роскомнадзора персональных данных (п.п. 7−9 ч. 2):

• включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
• в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
• обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

В соответствии с изменениями, внесенными в часть 3 и вновь введенной части 3.1, при подаче уведомления об обработке персональных данных оператор для каждой цели обработки персональных данных указывает категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных.

В статью 22 введена новая часть 4.1, закрепляющая порядок исключения Роскомнадзором сведений из реестра операторов в случае подачи такого уведомления.

В новой редакции части 7 установлены сроки для подачи оператором в Роскомнадзор уведомлений об изменении сведений в реестре операторов (не позднее 15-го числа следующего месяца) и о прекращении обработки персональных данных (10 рабочих дней с даты прекращения).

Сама форма уведомления об обработке персональных данных, в соответствии с новой частью 8, будет установлена приказом Роскомнадзора (подробнее см. раздел «Проекты ведомственных приказов»).

В статье 23 уточняется компетенция Роскомнадзора как уполномоченного органа по защите прав субъектов персональных данных, в т. ч. по созданию реестра учета инцидентов, о которых будут обязаны сообщать операторы (изменения вступят в силу с 1 марта 2023 года).

Данное постановление Правительства РФ принято в целях реализации норм Федерального закона от 1 апреля 2022 года № 89-ФЗ «О внесении изменений в статьи 6 и 7 Федерального закона «О национально-культурной автономии» (вступил в силу с 12 апреля 2022 года), в соответствии с которым, полномочия по формированию и ведению реестра национально-культурных автономий были переданы от Минюста России в Федеральное агентство по делам национальностей (ФАДН). При этом сведения для нового реестра ФАДН будут передаваться Минюстом после завершения процедур регистрации НКА.

Единственным отличием, содержащимся в новом порядке ведения реестра НКА, является то обстоятельство, что в реестр ФАДН в открытом доступе предлагается включать ФИО и должность лица, имеющего право без доверенности действовать от имени НКА.

Данный законопроект, разработанный Минюстом России, дважды в разных редакциях проходил процедуру общественного обсуждения: с 25 августа по 8 сентября 2021 года – и с 29 октября по 15 ноября 2021 года.

В соответствии с внесенным законопроектом, планируется предоставить некоммерческим организациям возможность действовать на основании типового устава, утвержденного уполномоченным органом – Минюстом России, но для общественных объединений такой возможности не предусматривается.


Законопроектом предлагается исключить из обязательных положений уставов НКО и общественных объединений сведения об источниках формировании имущества НКО, о порядке внесения изменений в устав НКО, сведения о филиалах и представительствах, о порядке реорганизации и ликвидации, поскольку эти положения, как правило, дублируют нормы закона. При желании организации могут оставить в своих уставах названные выше сведения, а могут и отказаться от их включения.


В случае принятия, законопроект вступит в силу с 1 марта 2023 года.

Законопроекты направлены на нормативную правовую регламентацию права добровольцев (волонтеров) на получение поддержки в форме предоставления оплаты услуг связи и включение данного вида доходов физических лиц в перечень доходов, не подлежащих налогообложению (освобождаемых от налогообложения) налогом на доходы физических лиц (НДФЛ), наравне с остальными доходами, полученными добровольцами (волонтерами) в рамках гражданско-правовых договоров, предметом которых является безвозмездное выполнение работ, оказание услуг.

В настоящее время, в соответствии со ст. 17.1 Федерального закона от 11.08.1995 № 135-ФЗ «О благотворительной деятельности и добровольчестве (волонтерстве)», добровольцы (волонтеры) имеют право получать поддержку в поддержку в форме предоставления питания, форменной и специальной одежды, оборудования, средств индивидуальной защиты, помещения во временное пользование, оплаты проезда до места назначения и обратно, уплаты страховых взносов на добровольное медицинское страхование добровольца (волонтера) либо на страхование его жизни или здоровья или в форме возмещения понесенных добровольцем (волонтером) расходов на приобретение указанных товаров или услуг.

Проект приказа разработан в целях замены действующего Приказа Федеральной службы безопасности Российской Федерации от 28.09.2021 № 379 «Об утверждении Перечня сведений в области военной, военно-технической деятельности Российской Федерации, которые при их получении иностранным государством, его государственными органами, международной или иностранной организацией, иностранными гражданами или лицами без гражданства могут быть использованы против безопасности Российской Федерации», в связи со вступлением в силу с 1 декабря 2022 года Федерального закона от 14.07.2022 № 255-ФЗ «О контроле за деятельностью лиц, находящихся под иностранным влиянием».

Проект приказа полностью воспроизводит отменяемый Приказ ФСБ России № 379 и вступит в силу одновременно с Федеральным законом № 255-ФЗ.

Проектом приказа предлагается утвердить 3 формы уведомлений:

• форму уведомления о намерении осуществлять обработку персональных данных;

• форму уведомления о внесении изменений в ранее представленные сведения;

• форму уведомления о прекращении обработки персональных данных.

В настоящее время на официальном сайте Роскомнадзора содержатся лишь формы уведомления об обработке (о намерении осуществлять обработку) персональных данных и информационного письма о внесении изменений в сведения в реестре операторов, осуществляющих обработку персональных данных.

Содержание новых форм (за исключением формы уведомления о прекращении обработки ПДн) не имеет существенных отличий от применяемых в настоящее время, но их структуру можно охарактеризовать как более понятную и удобную для заполнения операторами ПДн.

Проект приказа разработан в соответствии со вступающими в силу с 1 марта 2023 года изменениями в Федеральном законе от 27.07.2006 №152-ФЗ «О персональных данных», которыми на Роскомнадзор возлагается обязанность утвердить требования к подтверждению уничтожения персональных данных (ПДн). Приказ будет действовать с 1 марта 2023 года до 1 сентября 2029 года.

1. Документом, подтверждающим уничтожение ПДн, обрабатываемых без использования средств автоматизации, является акт, который должен содержать:

а) наименование или фамилию, имя, отчество (при наличии) и адрес оператора;

б) наименование или фамилию, имя, отчество (при наличии), адрес лица (лиц), осуществляющего (их) обработку персональных данных субъекта (ов) персональных данных по поручению оператора (если обработка будет поручена такому (им) лицу (ам);

в) фамилию, имя, отчество (при наличии) субъекта (ов) или иную информацию, относящуюся к определенному (ым) физическому (им) лицу (ам), чьи персональные данные были уничтожены;

г) фамилию, имя, отчество (при наличии), должность лиц (а), уничтоживших (его) персональные данные субъекта персональных данных, а также их (его) подпись;

д) перечень уничтоженных персональных данных субъекта (ов) персональных данных;

е) наименование уничтоженного материального (ых) носителя (ей), содержащего (их) персональные данные субъекта (ов) персональных данных, с указанием количества листов в отношении каждого материального носителя (в случае обработки персональных данных без использования средств автоматизации);

ж) наименование информационной (ых) системы (систем) персональных данных, из которой (ых) были уничтожены персональные данные субъекта (ов) персональных данных (в случае обработки персональных данных с использованием средств автоматизации);

з) способ уничтожения персональных данных;

и) причину уничтожения персональных данных;

к) дату уничтожения персональных данных субъекта (ов) персональных данных.

Акт об уничтожении ПДн может быть составлен в форме электронного документа и подписан в соответствии с законодательством РФ (т.е. с использованием ЭЦП).

2. Документами, подтверждающими уничтожение ПДн, обрабатываемых оператором с использованием средств автоматизации, являются акт об уничтожении персональных данных, соответствующий вышеуказанным требованиям, и (или) выгрузка из журнала регистрации событий в информационной системе персональных данных (лог-файл), которая должна содержать:

а) фамилию, имя, отчество (при наличии) субъекта (ов) или иную информацию, относящуюся к определенному (ым) физическому (им) лицу (ам), чьи персональные данные были уничтожены;

б) перечень уничтоженных персональных данных субъекта (ов) персональных данных;

в) наименование информационной системы персональных данных, из которой были уничтожены персональные данные субъекта (ов) персональных данных;

г) причину уничтожения персональных данных;

д) дату уничтожения персональных данных субъекта (ов) персональных данных.

3. Документами, подтверждающими уничтожение ПДн, обрабатываемых оператором с использованием средств автоматизации и без использования средств автоматизации, являются акт об уничтожении ПДн и (или) лог-файл.

Таким образом, в случае организации дистанционной работы либо путем заключения дистанционного трудового договора, либо перевода работников на временную дистанционную работу необходимо уведомлять службу занятости. Сделать это можно в том числе через Единую цифровую платформу в сфере занятости и трудовых отношений «Работа в России». Минтруд рекомендует предоставлять сведения о численности работников при изменении численности работников, находящихся на дистанционной (удаленной) работе.

Однако важно отметить, что требования отчитываться в службу занятости о дистанционных работниках Закон РФ от 19.04.1991 N 1032−1 «О занятости населения в Российской Федерации» не содержит. Ответственность за несоблюдение этой нормы также не установлена.

Таким образом, есть вероятность, что опубликованное письмо создаст некоторую путаницу в правоприменительной практике, которая затронет НКО, у которых, как правило, много дистанционных работников.