Extracto breve del proyecto de ley para enmendar la Ley Federal del 27.07.2006 N 152-FZ «Sobre datos personales» (152-FZ). Con estas modificaciones, la Ley 152-FZ «permitirá comerciar» con Big Data y fortalecerá los derechos del operador de datos personales. Es posible que a los lectores les interese prestar atención a los puntos clave. Para un análisis detallado, se recomienda, por supuesto, leer .
Como se indica en la nota explicativa:
El proyecto de ley fue desarrollado en cumplimiento del punto 01.01.003.002.001 del plan de actividades en el área de «Regulación normativa» del programa «Economía digital», aprobado por la Comisión Gubernamental para el uso de tecnologías de la información para mejorar la calidad de vida y las condiciones para el emprendimiento el 18 de diciembre de 2017, protocolo N° 2.
¿Qué parece más interesante?
(A lo largo del texto, todas las referencias se refieren a la Ley 152-FZ)
- Nos encontramos con «Datos despersonalizados».
«Datos despersonalizados» no es igual a «Datos personales despersonalizados». «Datos despersonalizados» son equivalentes a datos personales anonimizados, descritos, por ejemplo, en el contexto del GDPR.
- Nace otro consentimiento: para el procesamiento de datos personales, incompatible con los fines de recolección de datos personales (se añade parte 2 del art. 5).
- El procesamiento de datos personales ahora se permitirá para prevenir daños a la propiedad, advertir y prevenir actos ilícitos (modificación en el párrafo 7 de la parte 1 del art. 6) y para lograr objetivos de interés público (se añade el párrafo 7.1 de la parte 1 del art. 6).
- En el párrafo 9 de la parte 1 del art. 6 «o de otras investigaciones» se cambia a «investigaciones y (o) analíticas» (un punto importante, volveremos a esto más adelante).
- Una nueva base para el procesamiento en la parte 1 del art. 6 «12) se realiza el procesamiento de datos personales, obtenidos por el operador de manera legal, con el propósito de obtener datos despersonalizados». Aquí se legaliza el procesamiento para la despersonalización de datos sin la participación del sujeto de datos personales.
- Se añade el art. 8.1, que permite la circulación de datos personales desidentificados en el ámbito civil. Es decir, estos datos podrán ser utilizados con fines comerciales y vendidos a terceros. No se requerirá el consentimiento del sujeto para fines estadísticos, investigativos y/o analíticos.
- Si al procesar datos personales desidentificados se pierde la 'desidentificación', no será necesario solicitar el consentimiento posteriormente (aunque será necesario encontrar una base legal). Esto se indica por la adición de 'y/o' en la frase '...se lleva a cabo con el consentimiento del sujeto de datos personales y/o cuando existen fundamentos indicados en los puntos 2-11 de la parte 1 del artículo 6...'.
- Los datos desidentificados podrán ser utilizados libremente sin el consentimiento del sujeto (cambios en la parte 4 del art. 8.1).
- Los requisitos y métodos de desidentificación serán asignados al nivel del Gobierno de la Federación Rusa.
- Se especifican las formas de obtención de datos personales en la parte 1 del art. 9, legalizando formalmente las formas electrónicas de obtención de consentimiento: SMS, formulario en el sitio web y otros métodos.
- El sujeto de datos personales tendrá la posibilidad de modificar el conjunto de objetivos del procesamiento de datos personales declarados en el consentimiento (único). Aquí se elimina el principio: 'Un objetivo – un consentimiento'. Los cambios correspondientes sobre la unificación de objetivos se introducen en la parte 4 del art. 9. En caso de rechazo del operador de datos personales a realizar cambios en el consentimiento, el rechazo motivado podrá ser apelado ante Roskomnadzor.
- Se simplifica la firma del consentimiento en forma electrónica en la parte 4 del art. 9, ahora en lugar de 'en forma de documento electrónico, firmado de acuerdo con la ley federal con firma electrónica' se prevé: 'firmado de acuerdo con la ley federal con firma electrónica o confirmado de cualquier manera que permita determinar de manera confiable al sujeto de datos personales y establecer su voluntad'.
- De hecho, se legaliza la práctica no oficial de publicar en el sitio una lista de terceros que procesan datos personales.
Como informa el canal de Telegram Privacy Experts ():
El proyecto de ley contiene conceptos de amplia interpretación. Por ejemplo, 'advertencias y prevención de actos ilegales' o 'fines de interés público'.
Al mismo tiempo, el proyecto de ley no contiene soluciones para el caso de que, como resultado del procesamiento de los datos agregados, sea posible vincular ciertos datos personales a un sujeto específico.
Es evidente que la situación del sujeto de datos personales está empeorando; al mismo tiempo, no se excluyen los riesgos para el operador de datos personales, relacionados con la documentación de los procesos de procesamiento de datos personales por nuevos tipos de procesamiento.
No está claro en qué orden deben eliminarse los datos al cambiar los propósitos de procesamiento en el 'Consentimiento Unificado'.
La nota explicativa concluye señalando que el proyecto de ley cumple con las disposiciones del Tratado sobre la Unión Económica Euroasiática del 29 de mayo de 2014, así como con las disposiciones de otros tratados internacionales de la Federación Rusa, y no afectará los indicadores de los programas estatales de la Federación Rusa ni sus resultados.
Fuente: habr.com
