«Données anonymisées» ou ce qui est prévu dans la loi 152-FZ

Résumé du projet de loi introduisant des modifications à la loi fédérale du 27.07.2006 N 152-FZ «Sur les données personnelles» (152-FZ). Avec ces modifications, le 152-FZ «permettra de commercialiser» les Big Data, renforçant ainsi les droits de l'opérateur de données personnelles. Il pourrait être intéressant pour les lecteurs de prêter attention aux points clés. Pour un examen détaillé, il est bien sûr recommandé de lire. source.

Comme indiqué dans la note explicative :

Le projet de loi a été élaboré pour mettre en œuvre le point 01.01.003.002.001 du plan d'actions dans le domaine «Réglementation normative» du programme «Économie numérique», approuvé par la Commission gouvernementale sur l'utilisation des technologies de l'information pour améliorer la qualité de vie et les conditions d'exercice des activités entrepreneuriales le 18 décembre 2017, protocole n° 2.

Qu'est-ce qui semble le plus intéressant ?

(Ci-dessous, toutes les mentions se réfèrent au 152-FZ)

1. Nous rencontrons les «Données anonymisées».

   «Données anonymisées» ne sont pas «Données personnelles anonymisées». Les «Données anonymisées» sont identiques aux données personnelles anonymisées, décrites par exemple ici dans le contexte du RGPD.

2. Un nouveau consentement est requis : pour le traitement des données personnelles, incompatible avec les objectifs de collecte des données personnelles (ajout au paragraphe 2 de l'article 5).
3. Le traitement des données personnelles sera désormais autorisé pour prévenir des dommages matériels, prévenir et empêcher des actes illicites (changement dans le paragraphe 7 alinéa 1 de l'article 6) et pour atteindre des objectifs d'intérêt public significatifs (ajout au paragraphe 7.1. alinéa 1 de l'article 6).
4. Dans le paragraphe 9 alinéa 1 de l'article 6, «ou d'autres recherches» devient «recherches et (ou) analytiques» (point important, nous y reviendrons ci-dessous).
5. Une nouvelle base pour le traitement est ajoutée au paragraphe 1 de l'article 6 : «12) le traitement des données personnelles, obtenues par l'opérateur sur des bases légales, afin d'obtenir des données anonymisées». Ici, le traitement visant à anonymiser les données sans la participation de la personne concernée est légalisé.
6. L'article 8.1 est ajouté, ce qui permet le commerce civil des données personnelles anonymisées. C'est-à-dire que les données pourront être utilisées à des fins commerciales, vendues à des tiers. Dans le cadre d'objectifs statistiques, de recherche et (ou) analytiques, le consentement de la personne concernée n'est pas requis.
7. Si lors du traitement des données à caractère personnel anonymisées, l'« anonymat » est perdu, il n'est plus nécessaire de demander le consentement ultérieur (mais il faudra trouver une base légale). Ceci est indiqué par l'ajout de « (ou) » dans la phrase « ...est effectué avec le consentement de la personne concernée et(ou) en présence de bases indiquées aux paragraphes 2-11 de la partie 1 de l'article 6... ».
8. Les données anonymisées peuvent être utilisées librement sans le consentement de la personne concernée (modifications selon l'article 8.1, partie 4).
9. Les exigences et méthodes d'anonymisation sont désormais au niveau du Gouvernement de la Fédération de Russie.
10. Les formes d'obtention des données personnelles sont clarifiées selon l'article 9, partie 1, les formes électroniques d'obtention du consentement sont légalement formalisées : SMS, formulaire sur le site, et autres méthodes.
11. La personne concernée aura la possibilité de modifier les finalités du traitement des données personnelles déclarées dans le consentement (unique). Le principe « Une finalité – un consentement » est aboli. Les modifications pertinentes concernant la fusion des finalités sont introduites dans l'article 9, partie 4. En cas de refus de l'opérateur de données personnelles d'apporter une modification au consentement, le refus motivé pourra être contesté auprès de Roskomnadzor.
12. L'article 9, partie 4 simplifie la signature du consentement en forme électronique ; désormais, au lieu de « sous forme de document électronique, signé conformément à la loi fédérale par signature électronique », il est prévu que cela soit : « signé conformément à la loi fédérale par signature électronique ou confirmé de toute manière permettant de déterminer de manière fiable la personne concernée et d'établir sa volonté ».
13. En fait, la pratique non formelle déjà existante de publication sur le site d'une liste de tiers traitant des données personnelles est légalisée.

Comme le rapporte le canal Telegram Privacy Experts (@privacyexperts):

Le projet de loi contient des concepts largement interprétés. Par exemple, « avertissements et prévention d'actes illégaux » ou « objectifs d'intérêt public ».

En même temps, le projet de loi ne contient pas de solutions si, en raison du traitement d'un ensemble de données, il devient possible d'associer certaines données personnelles à une personne concernée spécifique.

Il est évident que la situation des sujets des données personnelles se dégrade, tout en n'excluant pas les risques pour l'opérateur de données personnelles liés à la documentation des processus de traitement des données personnelles selon de nouvelles modalités de traitement.

Il n'est pas clair dans quel ordre les données doivent être supprimées lors du changement des objectifs de traitement dans le « Consentement unique ».

La note explicative se conclut en indiquant que le projet de loi est conforme aux dispositions du Traité sur l'Union économique eurasienne du 29 mai 2014, ainsi qu'aux dispositions d'autres traités internationaux de la Fédération de Russie, et n'affectera pas les indicateurs des programmes gouvernementaux de la Fédération de Russie et leurs résultats.

Source : habr.com