Статья 1

1. Федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий (далее - уполномоченный орган в сфере регулирования информационных технологий), в целях повышения эффективности государственного и муниципального управления, а также в иных целях, предусмотренных федеральными законами, указанными в части 1 статьи 4 настоящего Федерального закона, в случаях, определяемых Правительством Российской Федерации, формирует составы персональных данных, полученных в результате обезличивания персональных данных, сгруппированные по определенному признаку, при условии, что последующая обработка таких данных не позволит определить принадлежность таких данных конкретному субъекту персональных данных (далее - составы данных). Не допускается формирование составов данных из персональных данных, указанных в статье 10 настоящего Федерального закона, за исключением персональных данных, предусмотренных частью 2.1 статьи 10 настоящего Федерального закона, и из персональных данных, указанных в статье 11 настоящего Федерального закона.

2. Для формирования составов данных уполномоченный орган в сфере регулирования информационных технологий направляет операторам, за исключением случаев, предусмотренных статьей 6.2 Федерального закона от 24 апреля 2020 года N 123-ФЗ "О проведении эксперимента по установлению специального регулирования в целях создания необходимых условий для разработки и внедрения технологий искусственного интеллекта в субъекте Российской Федерации - городе федерального значения Москве, об особенностях обработки персональных данных при формировании региональных составов данных и предоставления доступа к региональным составам данных и внесении изменений в статьи 6 и 10 Федерального закона "О персональных данных", требование о предоставлении персональных данных, полученных в результате обезличивания персональных данных, в определяемую Правительством Российской Федерации государственную информационную систему уполномоченного органа в сфере регулирования информационных технологий. Указанное требование должно содержать перечень персональных данных, полученных в результате обезличивания персональных данных, которые предоставляются оператором для формирования составов данных, а также сроки их предоставления.

3. Оператор после получения требования, указанного в части 2 настоящей статьи, обязан обезличить обрабатываемые им персональные данные в соответствии с требованиями к обезличиванию персональных данных, методами обезличивания персональных данных и порядком обезличивания персональных данных, которые устанавливаются Правительством Российской Федерации по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности (далее - требования к обезличиванию). Выполнение оператором требований к обезличиванию должно исключить наличие в персональных данных, полученных в результате обезличивания, информации, доступ к которой ограничен федеральными законами.

4. Оператор в соответствии с требованием, указанным в части 2 настоящей статьи, обязан предоставить персональные данные, полученные в результате обезличивания персональных данных, в государственную информационную систему уполномоченного органа в сфере регулирования информационных технологий. Порядок взаимодействия уполномоченного органа в сфере регулирования информационных технологий с операторами и порядок взаимодействия государственной информационной системы уполномоченного органа в сфере регулирования информационных технологий и информационных систем операторов устанавливаются Правительством Российской Федерации по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности. Уполномоченный орган в сфере регулирования информационных технологий обязан обеспечивать конфиденциальность поступивших от операторов персональных данных, полученных в результате обезличивания персональных данных.

5. Уполномоченный орган в сфере регулирования информационных технологий после поступления от операторов персональных данных, полученных в результате обезличивания персональных данных, формирует составы данных в государственной информационной системе уполномоченного органа в сфере регулирования информационных технологий в соответствии с порядком формирования составов данных, устанавливаемым Правительством Российской Федерации по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности.

6. Доступ к составам данных предоставляется пользователям государственной информационной системы уполномоченного органа в сфере регулирования информационных технологий в соответствии с порядком, устанавливаемым Правительством Российской Федерации по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности.

7. Пользователями государственной информационной системы уполномоченного органа в сфере регулирования информационных технологий являются:

8. Порядок проверки соответствия пользователей государственной информационной системы уполномоченного органа в сфере регулирования информационных технологий требованиям, указанным в части 7 настоящей статьи, устанавливается Правительством Российской Федерации по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности.

9. Доступ к составам данных, сформированным из персональных данных, полученных в результате обезличивания персональных данных, переданных операторами, не являющимися государственными органами и подведомственными им организациями, муниципальными органами и подведомственными им организациями, органами государственных внебюджетных фондов, в случае, если такие персональные данные собраны, уточнены (обновлены, изменены) указанными операторами в течение трех лет до дня предоставления в государственную информационную систему уполномоченного органа в сфере регулирования информационных технологий, предоставляется только пользователям, указанным в пункте 1 части 7 настоящей статьи. Пользователям, указанным в пункте 2 части 7 настоящей статьи, доступ к таким составам данных предоставляется по истечении одного года со дня предоставления персональных данных, полученных в результате обезличивания персональных данных, из которых они сформированы, в государственную информационную систему уполномоченного органа в сфере регулирования информационных технологий.

10. Обработка составов данных пользователями государственной информационной системы уполномоченного органа в сфере регулирования информационных технологий осуществляется только в указанной информационной системе. Не допускаются запись, извлечение, передача (распространение, предоставление, доступ) составов данных из государственной информационной системы уполномоченного органа в сфере регулирования информационных технологий.

11. Не допускаются обработка составов данных и получение результатов обработки составов данных, если использование таких составов данных и результатов их обработки может повлечь причинение вреда жизни, здоровью людей, оскорбление нравственности, нарушение прав и законных интересов граждан и организаций, причинение вреда (ущерба) окружающей среде, обороне страны и безопасности государства, объектам культурного наследия, иным охраняемым законом ценностям. В случае, если использование результатов обработки составов данных может повлечь причинение вреда обороне страны и безопасности государства, федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, вправе принять решение о запрете предоставлять такие результаты обработки составов данных.

12. Не допускается предоставление результатов обработки составов данных иностранным юридическим лицам, иностранным организациям, не являющимся юридическими лицами, иностранным гражданам и лицам без гражданства, за исключением случаев, определенных международным договором Российской Федерации, федеральным законом, решением Президента Российской Федерации.";

"3.1) применением для уничтожения персональных данных прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации;";

"8. Контроль и надзор за выполнением организационных и технических мер по обеспечению безопасности персональных данных, установленных в соответствии с настоящей статьей, при их обработке в государственных информационных системах персональных данных, а также в эксплуатируемых в государственных органах Российской Федерации иных информационных системах персональных данных осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, в пределах его полномочий. Указанные контроль и надзор также осуществляются федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах его полномочий без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

9. Решением Правительства Российской Федерации с учетом значимости и содержания обрабатываемых персональных данных федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, может быть наделен полномочиями по контролю за выполнением организационных и технических мер по обеспечению безопасности персональных данных, установленных в соответствии с настоящей статьей, при их обработке в информационных системах персональных данных, эксплуатируемых при осуществлении определенных видов деятельности и не являющихся государственными информационными системами персональных данных. Решением Правительства Российской Федерации с учетом значимости и содержания обрабатываемых персональных данных федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, также может быть наделен указанными полномочиями без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.";