Дайджест изменения НПА Российской Федерации по ЗПДн и ИБ (апрель 2024)

Дата: 27.04.2024 г.
Автор статьи: Мария Моисеева — Ведущий специалист по защите информации

Термины, сокращения и определения

Персональные данные (ПДн) — Любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Биометрические персональные данные — Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.

Единая биометрическая система (ЕБС) — Государственная информационная система «Единая система идентификации и аутентификации физических лиц с использованием биометрических персональных данных», которая содержит биометрические персональные данные физических лиц, векторы единой биометрической системы и иную предусмотренную информацию, которая используется в целях осуществления идентификации, аутентификации с использованием биометрических персональных данных физических лиц, а также в иных правоотношениях в случаях, установленных законодательством Российской Федерации, и оператором которой является определенная Правительством Российской Федерации организация.

НКЦКИ — Национальный координационный центр по компьютерным инцидентам.

Ключевые изменения законодательства в области защиты ПДн по состоянию на 27.04.2024

1) Центр биометрических технологий (является оператором поэтапно внедряемого со второй половины 2024 года сервиса биометрической идентификации при заселении в гостиницах) прокомментировал, что идентификация с помощью ЕБС не будет являться обязательной для гостиничного бизнеса, решение о применении данного способа принимается владельцами гостиниц самостоятельно.

2) НКЦКИ запустил сервис проверки утечки ПДн, которым субъекты ПДн могут воспользоваться для осуществляется поиска по сводной базе утечек, регулярно пополняемой из открытых источников, своих электронной почты, логина или номера телефона. Положительный ответ может содержать название сервиса, с которого произошла утечка ПДн (если такая информация присутствует в базе). Пострадавшему субъекту ПДн также предоставляются рекомендации по информационной безопасности: сменить пароль, подключить двухфакторную аутентификацию (2FA) и т. п. Введенные в веб-форму сведения нигде не сохраняются. База утечек на сайте не хранится.

Кабмин, в свою очередь, предложил уточнить штрафы в законопроекте об ужесточении санкций за утечку ПДн. Правительство РФ предлагает во втором чтении законопроекта о введении оборотных штрафов за нарушение отдельных требований законодательства в области ПДн внести уточнения, касающиеся «соразмерности и возможности исполнения такого наказания». В качестве смягчающего административную ответственность обстоятельства предлагается предусмотреть осуществление оператором денежной компенсации предполагаемого вреда, нанесенного правам субъектов ПДн, а также осуществление оператором существенных ежегодных расходов в течение не менее трех лет, предшествующих правонарушению, на мероприятия по обеспечению информационной безопасности ПДн. Предлагается также включить в перечень обстоятельств, отягчающих административную ответственность по проектируемым нормам, совершение административного правонарушения, предусмотренного статьей 13.6 КоАП. Речь идет об использовании средств связи или несертифицированных средств кодирования (шифрования), не прошедших процедуру подтверждения их соответствия установленным требованиям.