Riepilogo del disegno di legge che modifica la legge federale del 27.07.2006 N 152-FZ «Sui dati personali» (152-FZ). Con queste modifiche, il 152-FZ «consentirà il commercio» di Big Data, rafforzando i diritti dell'operatore dei dati personali. I lettori potrebbero essere interessati a notare i punti chiave. Per un'analisi dettagliata, ovviamente è consigliato leggere .
Come indicato nella nota esplicativa:
Il disegno di legge è stato sviluppato in attuazione del punto 01.01.003.002.001 del piano di misure nel campo della «Regolamentazione normativa» del programma «Economia digitale», approvato dalla Commissione governativa per l'uso delle tecnologie informatiche per migliorare la qualità della vita e le condizioni di conduzione delle attività imprenditoriali il 18 dicembre 2017, protocollo n. 2.
Cosa sembra più interessante?
(A seguito del testo, in tutte le citazioni si intende 152-FZ)
- Presentiamo i «Dati anonimizzati».
«Dati anonimizzati» non è uguale a «Dati personali anonimizzati». «Dati anonimizzati» sono identici ai dati personali anonimizzati, descritti ad esempio nel contesto del GDPR.
- Si genera un ulteriore consenso: per il trattamento dei dati personali, incompatibile con gli scopi di raccolta dei dati personali (si completa con il comma 2 dell'articolo 5).
- Il trattamento dei dati personali ora sarà consentito per prevenire danni patrimoniali, avvertire e prevenire atti illeciti (modifica nel comma 7 del comma 1 dell'articolo 6) e per raggiungere obiettivi socialmente significativi (si completa il comma 7.1 del comma 1 dell'articolo 6).
- Nel comma 9 del comma 1 dell'articolo 6 «o altri di ricerca» cambiano in «di ricerca e (o) analisi» (punto importante, torneremo su questo più avanti).
- Nuova base per il trattamento nel comma 1 dell'articolo 6 «12) il trattamento dei dati personali, ottenuti dall'operatore su basi legali, ai fini di ottenere dati anonimizzati». Qui si legalizza il trattamento per l'anonimizzazione dei dati senza il coinvolgimento del soggetto dei dati personali.
- Si aggiunge l'articolo 8.1, che consente il commercio giuridico dei dati anonimizzati. Cioè, i dati potranno essere utilizzati per scopi commerciali e venduti a terzi. Per scopi statistici, di ricerca e (o) analisi, non è necessario il consenso del soggetto.
- Se durante il trattamento dei dati personali anonimizzati si perde l'«anonimato», non è necessario chiedere nuovamente il consenso (ma dovrà essere trovata una base legale). Questo è indicato dall'aggiunta di «(o)» nella frase «...viene effettuato con il consenso dell'interessato e(o) in presenza di motivazioni indicate nei punti 2-11 della parte 1 dell'articolo 6...».
- I dati anonimizzati possono essere utilizzati liberamente senza il consenso dell'interessato (modifiche secondo il comma 4 dell'articolo 8.1).
- I requisiti e i metodi di anonimizzazione sono stati trasferiti al livello del Governo della Federazione Russa.
- Vengono precisate le modalità di acquisizione dei dati personali secondo il comma 1 dell'articolo 9, legalizzando formalmente le modalità elettroniche di acquisizione del consenso: SMS, modulo sul sito, e altri modi.
- L'interessato avrà la possibilità di modificare le finalità del trattamento dei dati personali dichiarate nel consenso (unico). Qui viene annullato il principio: «Una finalità – un consenso». Le modifiche relative alla fusione delle finalità saranno apportate al comma 4 dell'articolo 9. In caso di rifiuto da parte dell'operatore dei dati personali di modificare il consenso, il rifiuto motivato potrà essere impugnato presso il Roskomnadzor.
- Secondo il comma 4 dell'articolo 9, viene semplificata la firma del consenso in forma elettronica; ora invece di «in forma di documento elettronico firmato secondo la legge federale con la firma elettronica» si prevede: «firmato secondo la legge federale con la firma elettronica o confermato in qualsiasi modo che consenta di identificare in modo affidabile l'interessato e stabilire la sua volontà».
- Di fatto, viene legalizzata la pratica informale esistente di pubblicare sul sito un elenco dei terzi che trattano dati personali.
Come riporta il canale Telegram Privacy Experts ():
Il progetto di legge contiene concetti ampiamente interpretabili. Ad esempio, «prevenzione e contrasto di atti illegali» o «finalità di interesse pubblico».
Allo stesso tempo, il progetto di legge non contiene soluzioni nel caso in cui, a seguito del trattamento di un insieme di dati, diventi possibile associare dati personali specifici a un determinato soggetto.
È evidente che la posizione del soggetto dei dati personali sta peggiorando, mentre non si possono escludere i rischi per l'operatore dei dati personali legati alla documentazione dei processi di trattamento dei dati personali per i nuovi tipi di trattamento.
Non è chiaro in quale ordine debbano essere eliminati i dati al cambiare degli scopi di trattamento nel "Consenso Unico".
La nota esplicativa si conclude con l'indicazione che il progetto di legge è conforme alle disposizioni del Trattato sull'Unione Economica Euroasiatica del 29 maggio 2014, così come alle disposizioni di altri trattati internazionali della Federazione Russa, e non influirà sugli indicatori dei programmi statali della Federazione Russa e sui loro risultati.
Fonte: habr.com
