Закон требует использования операторами средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия. Кроме того, операторы должны определять угрозы безопасности, оценивать эффективность мер по обеспечению безопасности до ввода информсистемы в эксплуатацию. Также операторы должны установить правила доступа к персональным данным и обеспечить регистрацию и учет всех действий, совершаемых с данными в информсистеме.
Перечень мер безопасности при обработке и передаче персональных данных содержит требование обнаруживать факты несанкционированного доступа к данным и принимать соответствующие меры, а также требование восстановить данные в случае их модификации или уничтожения из-за несанкционированного доступа. При этом правительство должно издать ряд подзаконных актов, определяющих уровни защищенности данных при их обработке в информсистемах в зависимости от угроз безопасности и требования к материальным носителям биометрических данных и технологиям их хранения вне систем. В свою очередь органы исполнительной власти, органы власти субъектов РФ, Банк России и другие должны будут принять нормативные акты, в которых определят уровни угрозы безопасности в отдельных видах деятельности.
В соответствии с законом, субъект может дать согласие на обработку своих данных не только лично, но и через своего представителя. В этом случае оператор должен проверить сам факт согласия. Персональные данные могут быть получены оператором от лица, не являющегося субъектом персональных данных, при условии предоставления оператору подтверждения наличия оснований, в том числе при предоставлении государственных и муниципальных услуг и в том случае, если обработка необходима для осуществления правосудия.
Закон вступает в силу со дня официального опубликования. Действие положений всего закона "О персональных данных" распространяется на правоотношения, возникшие с 1 июля 2011 года.
