Статья 8

Статья 8

Внести в Федеральный закон от 27 июля 2006 года N 152-ФЗ "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2009, N 48, ст. 5716; N 52, ст. 6439; 2011, N 23, ст. 3263; N 31, ст. 4701; 2013, N 14, ст. 1651; N 51, ст. 6683; 2016, N 27, ст. 4164; 2017, N 27, ст. 3945; N 31, ст. 4272; 2020, N 17, ст. 2701; 2021, N 1, ст. 54, 58; N 27, ст. 5159; 2022, N 29, ст. 5233) следующие изменения:

1) статью 6 дополнить частью 1.2 следующего содержания:

"1.2. Особенности обработки персональных данных отдельных категорий лиц, определяемых Президентом Российской Федерации, устанавливаются статьей 13.1 настоящего Федерального закона и иными федеральными законами и нормативными правовыми актами Российской Федерации, не противоречащими порядку обработки персональных данных, устанавливаемому в соответствии с частью 1 статьи 13.1 настоящего Федерального закона.";

2) главу 2 дополнить статьей 13.1 следующего содержания:

"

Статья 13.1. Обработка персональных данных отдельных категорий лиц, осуществляемая в особом порядке

1. Обработка персональных данных лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона, включая принятие мер по защите персональных данных, осуществляется с их согласия в письменной форме (далее - согласие на обработку персональных данных в особом порядке), за исключением случаев, когда обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно.

2. Согласие субъекта персональных данных, указанное в части 1 настоящей статьи, оформляется отдельно от иных его согласий на обработку персональных данных и дается федеральному органу исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны или в сфере внутренних дел либо органу внешней разведки Российской Федерации.

3. Федеральные органы исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны, в сфере внутренних дел, органы внешней разведки Российской Федерации в рамках реализации установленных законодательством Российской Федерации полномочий направляют требование оператору соответствующей информационной системы персональных данных, включенной в реестр информационных систем персональных данных в соответствии со статьей 19.1 настоящего Федерального закона, о предоставлении доступа к информационным системам персональных данных, об уточнении, извлечении, обезличивании, о блокировании, об удалении или уничтожении персональных данных с указанием необходимости (отсутствия необходимости) сохранения обрабатываемых оператором персональных данных, а также о восстановлении уточненных, извлеченных, обезличенных или заблокированных персональных данных и дополнении информационных систем персональных данных ранее не учтенными персональными данными лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона.

4. В случае, если действия по уточнению, извлечению, обезличиванию, блокированию, удалению или уничтожению персональных данных осуществлялись федеральным органом исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны или в сфере внутренних дел либо органом внешней разведки Российской Федерации посредством получения удаленного доступа, обязанность по сохранению персональных данных, а также по восстановлению уточненных, извлеченных, обезличенных или заблокированных персональных данных и дополнение информационных систем персональных данных ранее не учтенными персональными данными лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона, возлагается на соответствующий орган.

5. Субъект персональных данных вправе отозвать ранее данное согласие на обработку персональных данных в особом порядке и направить соответствующему федеральному органу исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны, в сфере внутренних дел или органу внешней разведки Российской Федерации обращение о восстановлении уточненных, извлеченных, удаленных, обезличенных или заблокированных персональных данных. В случае отзыва согласия на обработку персональных данных в особом порядке федеральный орган исполнительной власти, обеспечивающий его безопасность, вправе продолжить обработку персональных данных в особом порядке без указанного согласия при условии необходимости обеспечить конфиденциальность сведений, позволяющих определить ведомственную принадлежность субъекта персональных данных.";

3) пункт 1 части 8 статьи 14 дополнить словами ", в том числе с учетом особенностей обработки персональных данных в информационных системах персональных данных, устанавливаемых статьей 13.1 настоящего Федерального закона";

4) в статье 19:

а) пункт 2 части 2 дополнить словами ", в том числе с учетом особенностей обработки персональных данных в информационных системах персональных данных, устанавливаемых статьей 13.1 настоящего Федерального закона";

б) часть 3 дополнить пунктами 4 и 5 следующего содержания:

"4) критерии значимости информационных систем персональных данных, в которых осуществляется обработка персональных данных лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона;

5) дополнительные требования к защите персональных данных лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона, при их обработке в информационных системах персональных данных, исполнение которых обеспечивает защищенность персональных данных в зависимости от критериев значимости информационных систем персональных данных, а также порядок взаимодействия операторов информационных систем персональных данных с федеральными органами исполнительной власти, обеспечивающими безопасность указанных лиц.";

в) дополнить частями 15-17 следующего содержания:

"15. В целях обеспечения соблюдения операторами требований, предъявляемых к обработке персональных данных лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона, а также включения информационных систем персональных данных, в которых осуществляется обработка персональных данных указанных лиц, в реестр информационных систем персональных данных в соответствии со статьей 19.1 настоящего Федерального закона федеральные органы исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны, в сфере внутренних дел, органы внешней разведки Российской Федерации с учетом возможного вреда субъекту персональных данных, объема и содержания обрабатываемых персональных данных, включая сведения, позволяющие определить их ведомственную принадлежность, вида деятельности, при осуществлении которого обрабатываются персональные данные, актуальности угроз безопасности персональных данных в соответствии с критериями значимости, предусмотренными пунктом 4 части 3 статьи 19 настоящего Федерального закона, присваивают указанным информационным системам одну из категорий значимости.

16. Присвоение информационной системе персональных данных одной из категорий значимости, изменение сведений, указанных в части 2 статьи 19.1 настоящего Федерального закона, в том числе ранее присвоенной категории значимости, а также исключение информационной системы персональных данных из реестра информационных систем персональных данных в связи с прекращением оператором обработки персональных данных лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона, осуществляются по согласованию с федеральными органами исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны, в сфере внутренних дел, органами внешней разведки Российской Федерации в порядке, установленном указанными органами.

17. Федеральные органы исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны, в сфере внутренних дел, органы внешней разведки Российской Федерации осуществляют мониторинг соблюдения операторами требований, установленных настоящей статьей.";

5) дополнить статьей 19.1 следующего содержания:

"

Статья 19.1. Реестр информационных систем персональных данных

1. В целях учета информационных систем персональных данных, в которых осуществляется обработка персональных данных лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона, включая сведения, позволяющие определить ведомственную принадлежность таких лиц, федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, ведет реестр информационных систем персональных данных, на которые распространяются требования, предусмотренные статьей 13.1 настоящего Федерального закона (далее - реестр информационных систем).

2. В реестр информационных систем по представлению федеральных органов исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны, в сфере внутренних дел, органов внешней разведки Российской Федерации подлежат включению информационные системы персональных данных, которым присвоена одна из категорий значимости с учетом критериев значимости информационных систем персональных данных, устанавливаемых Правительством Российской Федерации в соответствии с пунктом 4 части 3 статьи 19 настоящего Федерального закона. Указанное представление должно включать в себя следующие сведения:

1) наименование информационной системы персональных данных;

2) наименование (фамилия, имя, отчество), адрес оператора;

3) категория значимости, которая присвоена информационной системе персональных данных.

3. Федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, в течение тридцати рабочих дней со дня получения представления, указанного в части 2 настоящей статьи, проверяет правильность присвоения информационной системе персональных данных одной из категорий значимости, в том числе отсутствие в реестре информационных систем информации о ранее присвоенной информационной системе персональных данных категории значимости, и принимает решение о включении такой информационной системы персональных данных в реестр информационных систем или возвращает указанное представление с мотивированным обоснованием причин возврата.

4. Федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, в течение десяти рабочих дней со дня включения информационной системы персональных данных в реестр информационных систем информирует оператора о таком включении.

5. В случае изменения сведений, указанных в части 2 настоящей статьи, включая категорию значимости, которая присвоена информационной системе персональных данных, а также в случае прекращения оператором обработки персональных данных лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона, орган (федеральный орган исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны, в сфере внутренних дел, орган внешней разведки Российской Федерации), вынесший представление, указанное в части 2 настоящей статьи, обязан уведомить об этом федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, в течение десяти рабочих дней со дня возникновения таких изменений или со дня прекращения обработки персональных данных.

6. Федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, в течение десяти рабочих дней со дня получения уведомления, указанного в части 5 настоящей статьи, вносит соответствующие изменения в реестр информационных систем и (или) исключает ранее внесенную в указанный реестр информационную систему персональных данных, а также в течение десяти рабочих дней со дня внесения указанных изменений информирует об этом оператора.

7. Порядок создания и ведения реестра информационных систем, а также порядок доступа федеральных органов исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны, в сфере внутренних дел, органов внешней разведки Российской Федерации к информации, содержащейся в указанном реестре, устанавливаются Правительством Российской Федерации.";

6) в статье 21:

а) дополнить частью 5.2 следующего содержания:

"5.2. Оператор обязан по требованию федерального органа исполнительной власти в области обороны, в области обеспечения безопасности, в области государственной охраны или в сфере внутренних дел либо органа внешней разведки Российской Федерации, направленному в соответствии с частью 3 статьи 13.1 настоящего Федерального закона, в течение трех рабочих дней со дня получения такого требования обеспечить предоставление доступа к информационным системам персональных данных, включенным в реестр информационных систем в соответствии со статьей 19.1 настоящего Федерального закона, уточнение, извлечение, обезличивание, блокирование, удаление, уничтожение персональных данных лиц, указанных в требовании, а также, при наличии в требовании соответствующих положений, сохранение обрабатываемых оператором персональных данных, восстановление уточненных, извлеченных, обезличенных или заблокированных персональных данных и дополнение информационных систем персональных данных ранее не учтенными персональными данными лиц, указанных в части 1.2 статьи 6 настоящего Федерального закона.";

б) в части 6 слова "в частях 3-5.1" заменить словами "в частях 3-5.2".