Et kort sammendrag af lovforslaget om ændringer af den føderale lov af 27.07.2006 N 152-FZ "Om persondata" (152-FZ). Med disse ændringer vil 152-FZ "muliggøre handel" med Big Data og styrke rettighederne for operatøren af persondata. Det kunne være interessant for læserne at lægge mærke til de vigtigste punkter. For en detaljeret gennemgang anbefales det selvfølgelig at læse .
Som angivet i bemærkningen:
Lovforslaget er udarbejdet som en opfyldelse af punkt 01.01.003.002.001 i handlingsplanen "Regulering" fra programmet "Digital økonomi", godkendt af den statslige kommission for brug af informationsteknologier til at forbedre livskvaliteten og betingelserne for erhvervsdrivende den 18. december 2017, protokol nr. 2.
Hvad synes at være mest interessant?
(Nedenfor i teksten henvises der overalt til 152-FZ)
- Vi møder "Anonymiserede data".
"Anonymiserede data" er ikke ensbetydende med "Anonymiserede persondata". "Anonymiserede data" er identiske med anonymiserede persondata, som beskrevet for eksempel i konteksten af GDPR.
- Der opstår endnu en samtykke: til behandling af persondata, der ikke er forenelig med formålene for indsamling af persondata (tilføjes stk. 2, art. 5).
- Behandling af persondata vil nu være tilladt for at forhindre økonomiske tab, advare og forebygge kriminelle handlinger (ændring i punkt 7, stk. 1, art. 6) og for at nå samfundsmæssigt vigtige mål (tilføjes punkt 7.1, stk. 1, art. 6).
- I punkt 9, stk. 1, art. 6 ændres "eller andre forskningsmæssige" til "forsknings- og (eller) analytiske" (vigtigt punkt, vi vender tilbage til dette senere).
- Det nye grundlag for behandling i stk. 1, art. 6 "12) behandlingen af persondata, der er indsamlet af operatøren på lovlig basis, med henblik på at opnå anonymiserede data". Her legaliseres behandlingen med henblik på anonymisering af data uden deltagelse af den registrerede.
- Der tilføjes art. 8.1., som tillader den civile retslige omsætning af anonymiserede persondata. Altså kan data bruges til kommercielle formål, sælges til tredjeparter. Ved statistiske, forsknings- og (eller) analytiske formål kræves der ikke samtykke fra den registrerede.
- Hvis anonymiseringen af personlige data går tabt under behandlingen, er det ikke nødvendigt at anmode om samtykke efterfølgende (men der skal findes et lovligt grundlag). Dette fremgår af tilføjelsen af "(eller)" i sætningen "…gennemføres med samtykke fra den registrerede person og(eller) ved tilstedeværelsen af de grunde, der er angivet i punkterne 2-11 i del 1 af artikel 6…".
- Anonymiserede data kan frit bruges uden samtykke fra den registrerede (ændringer ifølge del 4 af artikel 8.1).
- Kravene og metoderne til anonymisering er blevet overdraget til det russiske regeringsniveau.
- Former for indhentning af personlige data præciseres i del 1 af artikel 9, og elektroniske former for indhentning af samtykke legaliseres formelt: SMS, formular på hjemmesiden og andre metoder.
- Den registrerede person vil have mulighed for at ændre formålet med behandlingen af personlige data, som er angivet i (det enhedlige) samtykke. Her afskaffes princippet: "Én anmeldelse - én samtykke". De tilsvarende ændringer vedrørende sammenslagning af formål tilføjes i del 4 af artikel 9. Hvis den dataansvarlige nægter at ændre samtykket, kan den begrundede afvisning indbringes for Roskomnadzor.
- I del 4 af artikel 9 forenkles underskrivelsen af samtykke i elektronisk form; nu er det planlagt, at det i stedet for "i form af et elektronisk dokument, der er underskrevet i overensstemmelse med den føderale lov om elektroniske underskrifter" skal være: "underskrevet i henhold til den føderale lov om elektroniske underskrifter eller bekræftet på enhver måde, der klart kan identificere den registrerede person og fastslå hans vilje".
- Der legaliseres faktiske ikke-formelle praksis for offentliggørelse af en liste over tredjeparter, der behandler personlige data på hjemmesiden.
Ifølge Telegram-kanalen Privacy Experts ():
Lovforslaget indeholder bredt tolkede begreber. For eksempel, "advarsler og forebyggelse af kriminelle handlinger" eller "samfundsmæssigt vigtige mål".
Samtidig indeholder lovforslaget ikke løsninger, hvis det i forbindelse med behandlingen af en række data bliver muligt at knytte bestemte personoplysninger til en specifik registreret person.
Det er tydeligt, at forholdene for den registrerede person forværres, samtidig med at der ikke kan udelukkes risici for dataoperatøren, der relaterer til dokumentationen af processerne for behandling af personoplysninger ved nye behandlingsmetoder.
Det er uklart, i hvilken rækkefølge data skal slettes, når formålene med behandlingen ændres i "Den Enhedslige Samtykke".
Notatet afsluttes med bemærkningen om, at lovforslaget er i overensstemmelse med bestemmelserne i Aftalen om Den Eurasiske Økonomiske Union af 29. maj 2014 samt bestemmelserne i andre internationale traktater fra Den Russiske Føderation og ikke vil påvirke indikatorerne for statslige programmer i Den Russiske Føderation og deres resultater.
Kilde: habr.com
