Краткая выдержка из законопроекта о внесении изменений в Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» (152-ФЗ). С данными правками 152-ФЗ «позволит торговать» Big Data, усилит права оператора персональных данных. Возможно читателям будет интересно обратить внимание на ключевые моменты. Для детального разбора конечно же рекомендуется читать .
Как указано в пояснительной записке:
Законопроект разработан во исполнение пункта 01.01.003.002.001 плана мероприятий по направлению «Нормативное регулирование» программы «Цифровая экономика», утвержденного Правительственной комиссией по использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности 18 декабря 2017 г., протокол № 2.
Что кажется наиболее интересным?
(Ниже по тексту в отсылках везде имеется ввиду 152-ФЗ)
- Встречаем «Обезличенные данные».
«Обезличенные данные» не равно «Обезличенные персональные данные». «Обезличенные данные» тождественны анонимизированным персональным данным, описанным например в контексте GDPR.
- Рождается еще одно согласие: на обработку персональных данных, несовместимую с целями сбора персональных данных (дополняется ч. 2 ст. 5).
- Обработка персональных данных теперь будет допускаться для предотвращения имущественного ущерба, предупреждения и предотвращения противоправных деяний (изменение в п. 7 ч.1 ст. 6) и для достижения общественно значимых целей (дополняется п. 7.1. ч. 1 ст.6).
- В п. 9 ч. 1 ст. 6 «или иных исследовательских» меняются на «исследовательских и (или) аналитических» (важный момент, вернемся ниже).
- Новое основание обработки в ч. 1 ст. 6 «12) осуществляется обработка персональных данных, полученных оператором на законных основаниях, в целях получения обезличенных данных». Здесь легализуется обработка по обезличиванию данных без участия субъекта персональных данных.
- Добавляется ст. 8.1., которая допускает гражданско — правовой оборот обезличенных персональных данных. Т.е. данные можно будет использовать для коммерческих целей, продавать третьим лицам. При статистических, исследовательских и (или) аналитических целях согласие субъекта на это не требуется.
- Если при обработке обезличенных персональных данных теряется «обезличенность», согласие в последующем можно не спрашивать (но законное основание подобрать придется). На это указывает добавленная «(или)» во фразе «…осуществляется с согласия субъекта персональных данных и(или) при наличии оснований, указанных в пунктах 2-11 части 1 статьи 6…».
- Обезличенные данные могут использоваться свободно без согласия субъекта (изменения по ч. 4 ст. 8.1).
- Требования и методы обезличивания отнесены на уровень Правительства РФ.
- Уточняются формы получения персональных данных по ч. 1 ст. 9, формально легализуются электронные формы получения согласия: СМС, форма на сайте, иные способы.
- Субъект персональных данных будет иметь возможность изменить состав целей обработки персональных данных, заявленных в (едином) согласии. Здесь отменяется принцип: «Одна цель – одно согласие». Соответствующие изменения по объединению целей вносятся в ч. 4 ст. 9. В случае отказа оператора персональных данных внести изменение в согласие, мотивированный отказ можно будет обжаловать в Роскомнадзор.
- По ч. 4 ст. 9 упрощается подписание согласия в электронной форме, теперь вместо «в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью» планируется так: «подписанное в соответствии с федеральным законом электронной подписью или подтвержденное любым способом, позволяющим достоверно определить субъекта персональных данных и установить его волеизъявление».
- По факту легализуется неформально существующая практика публикации на сайте перечня третьих лиц, обрабатывающих персональные данные .
Как сообщает Телеграм-канал Privacy Experts ():
Законопроект содержит широко трактуемые понятия. Например, «предупреждения и предотвращения противоправных деяний» или «общественно значимые цели».
В тоже время, законопроект не содержит решений, если в результате обработки совокупности данных станет возможным отнесение отдельных персональных данных к конкретному субъекту.
Видно, что положение субъекта персональных данных ухудшается, в то же время не исключены риски для оператора персональных данных, связанные с документированием процессов обработки персональных данных по новым видам обработки.
Не ясно в каком порядке нужно удалять данные при изменении целей обработки в «Едином согласии».
Пояснительная записка завершается указанием на то, что законопроект соответствует положениям Договора о Евразийском экономическом союзе от 29 мая 2014 года, а также положениям иных международных договоров Российской Федерации, и не повлияет на индикаторы государственных программ Российской Федерации и их результаты.
Источник: habr.com