🥇«Анонимизирани данни» или какво се планира в 152-ФЗ

Кратък преглед на законопроекта за изменение на Федералния закон от 27.07.2006 N 152-ФЗ «За личните данни» (152-ФЗ). С тези изменения 152-ФЗ «ще позволи търговия» с Big Data и ще засили правата на оператора на лични данни. Вероятно на читателите ще им бъде интересно да обърнат внимание на ключовите моменти. За подробно разглеждане, разбира се, се препоръчва да се чете първоизточник.

Както е посочено в пояснителната записка:

Законопроектът е разработен в изпълнение на точка 01.01.003.002.001 от плана за действия в насока «Нормативно регулиране» на програмата «Цифрова икономика», одобрен от Правителствената комисия за използване на информационни технологии за подобряване на качеството на живот и условията за търговска дейност на 18 декември 2017 г., протокол № 2.

Какво изглежда най-интригуващо?

(По-долу в текста в препратките навсякъде е имало предвид 152-ФЗ)

Запознаваме се с «Анонимни данни».
«Анонимни данни» не е равно на «Анонимизирани лични данни». «Анонимни данни» са идентични на анонимизираните лични данни, описани например тук в контекста на GDPR.
Появява се още едно съгласие: за обработка на лични данни, несъвместима с целите на събирането на лични данни (допълва се ч. 2 от ст. 5).
Обработването на лични данни сега ще бъде допустимо за предотвратяване на имуществени вреди, предупреждение и предотвратяване на престъпни деяния (изменение в п. 7 ч. 1 от ст. 6) и за постигане на обществени цели (допълва се п. 7.1. ч. 1 от ст. 6).
В п. 9 ч. 1 от ст. 6 «или други изследователски» се променят на «изследователски и (или) аналитични» (важен момент, ще се върнем по-долу).
Нова причина за обработка в ч. 1 от ст. 6 «12) обработката на лични данни, получени от оператора на законни основания, с цел получаване на анонимни данни». Тук се легализира обработката на анонимизация на данни без участието на субекта на личните данни.
Добавя се ст. 8.1., която допуска гражданско-правния оборот на анонимизирани лични данни. Тоест, данните ще могат да се използват за търговски цели, да се продават на трети лица. При статистически, изследователски и (или) аналитични цели съгласието на субекта не е необходимо.
Ако при обработката на обезличени лични данни се загуби «обезличеността», по-късно не е необходимо да се иска съгласие (но законното основание ще трябва да се осигури). Това е указано с добавеното «(или)» във фразата «…осъществява се със съгласието на субекта на личните данни и(или) при наличие на основанията, посочени в точки 2-11 от част 1 на член 6…».
Обезличените данни могат да се използват свободно без съгласие на субекта (промени по ч. 4 член 8.1).
Изискванията и методите за обезличаване са отнесени на ниво Правителство на Руската федерация.
Уточняват се формите за получаване на лични данни по ч. 1 член 9, формално се легализират електронните форми за получаване на съгласие: SMS, форма на сайта, други средства.
Субектът на личните данни ще има възможност да промени целите на обработката на лични данни, посочени в (единното) съгласие. Тук се отменя принципът: «Една цел – едно съгласие». Съответните промени за обединяване на целите се внасят в ч. 4 член 9. В случай на отказ от страна на оператора на лични данни да направи промяна в съгласието, мотивираният отказ може да бъде оспорен в Роскомнадзор.
По ч. 4 член 9 се опрощава подписването на съгласие в електронна форма, сега вместо «в форма на електронен документ, подписан в съответствие с федералния закон с електронен подпис» е планирано да бъде така: «подписано в съответствие с федералния закон с електронен подпис или потвърдено по какъвто и да е начин, позволяващ надеждно да се определи субектът на личните данни и да се установи неговото волеизявление».
На практика се легализира неформално съществуващата практика на публикуване на сайта на списък с трети лица, които обработват лични данни.

Както съобщава Телеграм-каналът Privacy Experts (@privacyexperts):

Законопроектът съдържа широко тълкувани понятия. Например, «предупреждения и предотвратяване на противозаконни действия» или «обществено значими цели».
В същото време, законопроектът не съдържа решения, ако в резултат на обработката на съвкупността от данни стане възможно отнасянето на отделни лични данни към конкретен субект.
Логично е да се отбележи, че положението на субектите на личните данни се влошава, като в същото време не могат да бъдат изключени рисковете за оператора на лични данни, свързани с документирането на процесите на обработка на личните данни по новите видове обработване.
Не е ясно в какъв ред трябва да се изтриват данните при промяна на целите на обработването в „Единно съгласие“.

Обяснителната записка завършва с указание, че законопроектът отговаря на разпоредбите на Договора за Евразийския икономически съюз от 29 май 2014 година, както и на разпоредбите на други международни договори на Руската федерация, и няма да повлияе на индикаторите на държавните програми на Руската федерация и техните резултати.

Източник: habr.com