атьей 60 Федерального закона "О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации".
VIII. Ключевой показатель федерального контроля и его целевые значения
62. Ключевым показателем государственного контроля (надзора) и его целевыми значениями является доля контролируемых лиц, категория риска которых повышена в отчетном периоде по причинам, не связанным с изменением группы тяжести указанных контролируемых лиц, к общему числу контролируемых лиц в 2022 году - не более 5 процентов, в 2023 году - не более 5 процентов, в 2024 году - не более 4 процентов, в 2025 году - не более 4 процентов и в 2026 году - не более 3 процентов.
(Дополнено разделом с 1 марта 2022 г. - Постановление Правительства Российской Федерации от 16.12.2021 № 2311)
____________
ПРИЛОЖЕНИЕ к Положению о федеральномгосударственном контроле (надзоре) за обработкой персональных данных
КРИТЕРИИ отнесения объектов контроля к определенной категории риска
1. С учетом тяжести потенциальных негативных последствий возможного несоблюдения контролируемым лицом обязательных требований деятельность контролируемого лица, подлежащая федеральному государственному контролю (надзору) , разделяется на группы тяжести "А", "Б", "В" и "Г" (далее - группы тяжести) .
2. К группе тяжести "А" относятся следующие виды деятельности:
а) обработка специальной категории персональных данных и (или) биометрических персональных данных;
б) сбор персональных данных, в том числе в информационно-телекоммуникационной сети "Интернет" (далее - сеть "Интернет") , осуществляемый с использованием баз данных, находящихся за пределами Российской Федерации;
в) трансграничная передача персональных данных на территорию иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включенных в перечень иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных, утверждаемый Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в соответствии с частью 2 статьи 12 Федерального закона "О персональных данных";
г) передача третьим лицам персональных данных, полученных в результате обезличивания с использованием методов обезличивания, утвержденных в соответствии с законодательством Российской Федерации в области персональных данных.
3. К группе тяжести "Б" относятся следующие виды деятельности:
а) обработка персональных данных в целях, отличных от заявленных целей обработки персональных данных на этапе их сбора;
б) обработка персональных данных несовершеннолетних лиц в случаях, не предусмотренных федеральными законами;
в) обработка персональных данных в информационных системах персональных данных, содержащих персональные данные более чем 20000 субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;
г) сбор персональных данных, в том числе в сети "Интернет", осуществляемый с использованием иностранных программ и сервисов.
4. К группе тяжести "В" относятся следующие виды деятельности:
а) обработка персональных данных близких родственников субъекта персональных данных;
б) обработка персональных данных в информационных системах персональных данных, содержащих персональные данные от 1000 до 20000 субъектов персональных данных;
в) трансграничная передача персональных данных на территорию иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и включенных в перечень иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных, утверждаемый Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в соответствии с частью 2 статьи 12 Федерального закона "О персональных данных";
г) обезличивание персональных данных, обработка персональных данных, полученных в результате обезличивания, с использованием методов обезличивания, утвержденных в соответствии с законодательством Российской Федерации в области персональных данных, без передачи третьим лицам.
5. К группе тяжести "Г" относятся следующие виды деятельности:
а) обработка персональных данных в информационных системах персональных данных, содержащих персональные данные менее чем 1000 субъектов персональных данных;
б) обработка персональных данных без предоставления в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций информации уведомительного характера, предоставление которой предусмотрено Федеральным законом "О персональных данных";
в) обработка персональных данных, полученных из общедоступных источников персональных данных;
г) трансграничная передача персональных данных на территорию иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных.
6. При наличии критериев, позволяющих отнести деятельность контролируемого лица к различным группам тяжести, подлежит применению критерий, позволяющий отнести деятельность контролируемого лица к более высокой категории риска.
7. С учетом оценки вероятности несоблюдения контролируемыми лицами обязательных требований деятельность, подлежащая государственному контролю (надзору) , разделяется на группы вероятности "1", "2", "3", "4" (далее - группы вероятности) .
8. К группе вероятности "1" относится деятельность контролируемых лиц, осуществляемая с нарушениями требований законодательства Российской Федерации в области персональных данных, ответственность за которые предусмотрена частями 1.1, 2.1, 5.1, 9 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях:
по фактам которых Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в течение последних 2 лет были выданы контролируемому лицу предписание об устранении выявленных нарушений, требование об устранении нарушений, предупреждение о недопущении нарушений;
в отношении которых вступили в законную силу в течение 3 календарных лет, предшествующих дате принятия решения об отнесении деятельности контролируемого лица к категории риска, о назначении административного наказания.
9. К группе вероятности "2" относится деятельность контролируемых лиц, осуществляемая с нарушениями требований законодательства Российской Федерации в области персональных данных, ответственность за которые предусмотрена частями 1, 2, 5, 6, 8 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях:
по фактам которых Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в течение последних 2 лет были выданы контролируемому лицу предписание об устранении выявленных нарушений, требование об устранении нарушений, предупреждение о недопущении нарушений;
в отношении которых вступили в законную силу в течение 3 календарных лет, предшествующих дате принятия решения об отнесении деятельности контролируемого лица к категории риска, о назначении административного наказания.
10. К группе вероятности "3" относится деятельность контролируемых лиц, осуществляемая с нарушениями требований законодательства Российской Федерации в области персональных данных, ответственность за которые предусмотрена частями 4, 7 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях:
по фактам которых Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в течение последних 2 лет были выданы контролируемому лицу предписание об устранении выявленных нарушений, требование об устранении нарушений, предупреждение о недопущении нарушений;
в отношении которых вступили в законную силу в течение 3 календарных лет, предшествующих дате принятия решения об отнесении деятельности контролируемого лица к категории риска, о назначении административного наказания.
11. К группе вероятности "4" относится деятельность контролируемых лиц при отсутствии обстоятельств, указанных в пунктах 8 - 10 настоящего приложения.
12. При наличии критериев, позволяющих отнести деятельность контролируемого лица к различным группам вероятности, подлежит применению критерий, позволяющий отнести деятельность контролируемого лица к более высокой категории риска.
13. Отнесение деятельности контролируемого лица к определенной категории риска основывается на соотнесении группы тяжести и группы вероятности согласно таблице:
| Категория риска | Группа тяжести | Группа вероятности |
Высокий риск | А | 1 |
Б | 1 | |
Значительный риск | А | 2 |
А | 3 | |
Б | 2 | |
В | 1 | |
В | 2 | |
Средний риск | А | 4 |
Б | 3 | |
В | 3 | |
Г | 1 | |
Г | 2 | |
Умеренный риск | Б | 4 |
В | 4 | |
Г | 3 | |
Низкий риск | Г | 4 |
____________