Роскомнадзор предложил три степени вреда при нарушении правил обработки данных
Проект приказа 2022 года вводил высокую, среднюю и низкую степени возможного вреда, оценку ответственным лицом или комиссией и оформление результата актом.
Что произошло
В августе 2022 года Роскомнадзор представил проект требований к оценке вреда, который может быть причинён субъектам персональных данных при нарушении законодательства. Проект выделял высокую, среднюю и низкую степени вреда.
Оценивать риск предлагалось ответственному за организацию обработки данных или специальной комиссии. Результат следовало оформлять актом с возможностью электронной подписи. Публичное обсуждение завершалось 21 сентября 2022 года; предполагаемое вступление правил в силу 1 марта 2023 года зависело от принятия приказа.
Что это значит для бизнеса
Оценка касается последствий для людей, чьи данные обрабатываются. Она помогает связать организационные решения компании с характером этих последствий; её нельзя свести к величине возможного штрафа для самой компании.
Проект описывал порядок оценки, но не сообщал о конкретной утечке и не устанавливал вред в отношении отдельного человека.
Как использовать этот вывод
Сопоставьте категории сведений, цели обработки и сценарии нарушения: кто может получить доступ и как это затронет человека. Определите, кто внутри компании собирает эти сведения для оценки и оформляет вывод. В историческом анализе учитывайте проектную стадию сентября 2022 года и не считайте предложенную дату доказательством принятия правил.