Кратък преглед на законопроекта за изменение на Федералния закон от 27.07.2006 N 152-ФЗ «За личните данни» (152-ФЗ). С предложените изменения 152-ФЗ ще «позволи търговия» с големи данни, ще укрепи правата на оператора на лични данни. Възможно е читателите да се интересуват от ключовите моменти. За подробен анализ разбира се е препоръчително да се чете .
Както е посочено в пояснителната записка:
Законопроектът е разработен в изпълнение на точка 01.01.003.002.001 от плана за действия в направление «Нормативно регулиране» на програмата «Цифрова икономика», одобрен от правителствената комисия за използване на информационни технологии за подобряване на качеството на живот и условията за предприемаческа дейност на 18 декември 2017 г., протокол № 2.
Какво изглежда най-интересно?
(По-долу в текста в референциите навсякъде се има предвид 152-ФЗ)
- Срещаме «Анонимизирани данни».
«Анонимизирани данни» не равно «Анонимизирани лични данни». «Анонимизирани данни» са идентични на анонимизираните лични данни, описани например в контекста на GDPR.
- Се ражда още едно съгласие: за обработка на лични данни, несъвместима с целите на събиране на лични данни (допълва се ч. 2 от чл. 5).
- Обработката на лични данни вече ще е разрешена за предотвратяване на материални щети, предупреждение и предотвратяване на противозаконни деяния (поправка в п. 7 ч. 1 от чл. 6) и за постигане на обществено значими цели (допълва се п. 7.1. ч. 1 от чл. 6).
- В п. 9 ч. 1 от чл. 6 «или други изследователски» се заменя с «изследователски и (или) аналитични» (важен момент, ще се върнем на това по-долу).
- Ново основание за обработка в ч. 1 от чл. 6 «12) обработка на лични данни, получени от оператора на законни основания, с цел получаване на анонимизирани данни». Тук се легализира обработката за анонимизиране на данни без участието на субекта на личните данни.
- Добавя се чл. 8.1., който допуска гражданско-правен оборот на анонимизирани лични данни. Т.е. данните ще могат да се използват за търговски цели, да се продават на трети лица. При статистически, изследователски и (или) аналитични цели не е нужно съгласие от субекта за това.
- Ако при обработката на анонимизирани лични данни се загуби «анонимността», съгласието впоследствие не е необходимо (но ще трябва да се намери законно основание). Това е посочено с добавеното «(или)» в фразата «…осъществява се със съгласието на субекта на личните данни и(или) при наличие на основанията, посочени в точки 2-11 от част 1 на член 6…».
- Анонимизираните данни могат свободно да се използват без съгласието на субекта (промени по чл. 4 от чл. 8.1).
- Изискванията и методите за анонимизация са отнесени на ниво на Правителството на Руската федерация.
- Уточняват се формите за получаване на лични данни по чл. 1 от чл. 9, формално се легализират електронните форми на получаване на съгласие: SMS, форма на сайта, други методи.
- Субектът на личните данни ще има възможност да промени състава на целите за обработка на личните данни, заявени в (единното) съгласие. Тук се отменя принципът: «Една цел – едно съгласие». Съответните промени по обединяването на целите са внесени в чл. 4 от чл. 9. В случай на отказ на оператора на лични данни да внесе промяна в съгласието, мотивираният отказ може да бъде обжалван в Роскомнадзор.
- Съгласно чл. 4 от чл. 9 подписването на съгласие в електронна форма се опростява, сега вместо «в форма на електронен документ, подписан в съответствие с федералния закон с електронен подпис» се предвижда следното: «подписано в съответствие с федералния закон с електронен подпис или потвърдено по какъвто и да е начин, позволяващ надеждно да се определи субектът на личните данни и да се установи неговата воля».
- На практика се легализира неформално съществуващата практика за публикуване на сайта на списък на трети лица, които обработват лични данни.
Както съобщава Телеграм-каналът Privacy Experts ():
Законопроектът съдържа широко тълкувани понятия. Например, «предупреждение и предотвратяване на престъпни действия» или «общо значими цели».
В същото време, законопроектът не съдържа решения, ако в резултат на обработката на набор от данни стане възможно отнасянето на отделни лични данни към конкретен субект.
Ясно е, че положението на субекта на личните данни се влошава, като в същото време не са изключени рисковете за оператора на личните данни, свързани с документирането на процесите на обработка на лични данни по нови видове обработка.
Не е ясно в какъв ред трябва да се изтриват данните при промяна на целите за обработка в „Единното съгласие.“
Обяснителната записка завършва с указание, че законопроектът отговаря на разпоредбите на Договора за Евразийския икономически съюз от 29 май 2014 година, а също и на разпоредбите на други международни договори на Руската федерация и няма да влияе на индикаторите на държавните програми на Руската федерация и техните резултати.
Източник: habr.com
