Приложение

к Положению о федеральном

государственном контроле (надзоре)

за обработкой персональных данных

КРИТЕРИИ
ОТНЕСЕНИЯ ОБЪЕКТОВ КОНТРОЛЯ К ОПРЕДЕЛЕННОЙ КАТЕГОРИИ РИСКА

1. С учетом тяжести потенциальных негативных последствий возможного несоблюдения контролируемым лицом обязательных требований деятельность контролируемого лица, подлежащая федеральному государственному контролю (надзору), разделяется на группы тяжести "А", "Б", "В" и "Г" (далее - группы тяжести).

2. К группе тяжести "А" относятся следующие виды деятельности:

а) обработка специальной категории персональных данных и (или) биометрических персональных данных;

б) обработка персональных данных в информационных системах персональных данных, содержащих персональные данные более чем 100000 субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;

в) обработка персональных данных на основании согласия субъекта персональных данных на обработку его персональных данных в случаях, если федеральным законом не предусмотрена обязанность получения такого согласия;

г) сбор персональных данных, в том числе в информационно-телекоммуникационной сети "Интернет" (далее - сеть "Интернет"), осуществляемый с использованием принадлежащих иностранным юридическим лицами и (или) иностранным гражданам информационных систем и (или) программ для электронных вычислительных машин;

д) трансграничная передача персональных данных на территории иностранных государств, не включенных в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждаемый Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в соответствии с частью 2 статьи 12 Федерального закона "О персональных данных";

е) передача третьим лицам персональных данных, полученных в результате обезличивания персональных данных с использованием методов обезличивания персональных данных, утвержденных в соответствии с законодательством Российской Федерации в области персональных данных.

3. К группе тяжести "Б" относятся следующие виды деятельности:

а) обработка персональных данных несовершеннолетних лиц в случаях, предусмотренных законодательством Российской Федерации;

б) обработка персональных данных в информационных системах персональных данных, содержащих персональные данные более чем 10000 субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;

в) сбор персональных данных, в том числе в сети "Интернет", осуществляемый с использованием баз данных, находящихся за пределами Российской Федерации в случаях, указанных в пунктах 2, 3, 4 и 8 части 1 статьи 6 Федерального закона "О персональных данных";

г) осуществление трансграничной передачи персональных данных без подачи уведомления, предусмотренного частью 3 статьи 12 Федерального закона "О персональных данных", в случаях, определяемых Правительством Российской Федерации в соответствии с частью 15 статьи 12 указанного Федерального закона;

д) обезличивание персональных данных, обработка персональных данных, полученных в результате обезличивания персональных данных, с использованием методов обезличивания персональных данных, утвержденных в соответствии с законодательством Российской Федерации в области персональных данных, без передачи третьим лицам.

4. К группе тяжести "В" относятся следующие виды деятельности:

а) обработка персональных данных близких родственников субъекта персональных данных;

б) обработка персональных данных в информационных системах персональных данных, содержащих персональные данные от 1000 до 10000 субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;

в) трансграничная передача персональных данных на территории иностранных государств, включенных в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждаемый Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в соответствии с частью 2 статьи 12 Федерального закона "О персональных данных";

г) распространение персональных данных на основании согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, полученного в соответствии со статьей 10.1 Федерального закона "О персональных данных".

5. К группе тяжести "Г" относятся следующие виды деятельности:

а) обработка персональных данных в информационных системах персональных данных, содержащих персональные данные менее чем 1000 субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;

б) обработка персональных данных, полученных из общедоступных источников персональных данных.

6. При наличии критериев, позволяющих отнести деятельность контролируемого лица к различным группам тяжести, подлежит применению критерий, позволяющий отнести деятельность контролируемого лица к более высокой категории риска.

7. С учетом оценки вероятности несоблюдения контролируемыми лицами обязательных требований деятельность, подлежащая государственному контролю (надзору), разделяется на группы вероятности "1", "2", "3", "4" (далее - группы вероятности).

8. К группе вероятности "1" относится деятельность контролируемых лиц, осуществляемая с нарушениями требований законодательства Российской Федерации в области персональных данных, ответственность за которые предусмотрена частями 1.1, 2.1, 5.1, 8, 9, 12 - 18 статьи 13.11 и статьей 13.11.3 Кодекса Российской Федерации об административных правонарушениях:

по фактам которых Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в течение последних 2 лет были выданы контролируемому лицу предписание об устранении выявленных нарушений, требование об устранении нарушений, предупреждение о недопущении нарушений;

в отношении которых вступили в законную силу в течение 3 календарных лет, предшествующих дате принятия решения об отнесении деятельности контролируемого лица к категории риска, о назначении административного наказания.

9. К группе вероятности "2" относится деятельность контролируемых лиц, осуществляемая с нарушениями требований законодательства Российской Федерации в области персональных данных, ответственность за которые предусмотрена частями 1, 2, 5, 6, 10, 11 статьи 13.11 и статьей 13.11.2 Кодекса Российской Федерации об административных правонарушениях:

по фактам которых Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в течение последних 2 лет были выданы контролируемому лицу предписание об устранении выявленных нарушений, требование об устранении нарушений, предупреждение о недопущении нарушений;

в отношении которых вступили в законную силу в течение 3 календарных лет, предшествующих дате принятия решения об отнесении деятельности контролируемого лица к категории риска, о назначении административного наказания.

10. К группе вероятности "3" относится деятельность контролируемых лиц, осуществляемая с нарушениями требований законодательства Российской Федерации в области персональных данных, ответственность за которые предусмотрена частями 4, 7 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях:

по фактам которых Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в течение последних 2 лет были выданы контролируемому лицу предписание об устранении выявленных нарушений, требование об устранении нарушений, предупреждение о недопущении нарушений;

в отношении которых вступили в законную силу в течение 3 календарных лет, предшествующих дате принятия решения об отнесении деятельности контролируемого лица к категории риска, о назначении административного наказания.

11. К группе вероятности "4" относится деятельность контролируемых лиц при отсутствии обстоятельств, указанных в пунктах 8 - 10 настоящего приложения.

12. При наличии критериев, позволяющих отнести деятельность контролируемого лица к различным группам вероятности, подлежит применению критерий, позволяющий отнести деятельность контролируемого лица к более высокой категории риска.

13. Отнесение деятельности контролируемого лица к определенной категории риска основывается на соотнесении группы тяжести и группы вероятности согласно таблице: