Una breve sintesi del disegno di legge che apporta modifiche alla legge federale del 27.07.2006 N 152-FZ «Sui dati personali» (152-FZ). Con queste modifiche, la 152-FZ «permetterà di commerciare» Big Data, rafforzando i diritti degli operatori di dati personali. I lettori potrebbero trovare interessanti i punti chiave. Per un'analisi approfondita, è sicuramente consigliato leggere .
Come indicato nella nota esplicativa:
Il disegno di legge è stato elaborato in attuazione del punto 01.01.003.002.001 del piano d'azione per la direzione «Regolamentazione normativa» del programma «Economia digitale», approvato dalla Commissione governativa per l'uso delle tecnologie informative per migliorare la qualità della vita e le condizioni per l'attività imprenditoriale il 18 dicembre 2017, protocollo n. 2.
Cosa sembra più interessante?
(Di seguito, nel testo, si riferisce sempre alla 152-FZ)
- Incontriamo i «Dati anonimizzati».
«Dati anonimizzati» non è uguale a «Dati personali anonimizzati». I «Dati anonimizzati» sono equivalenti ai dati personali anonimizzati, descritti ad esempio nel contesto del GDPR.
- Si genera un ulteriore consenso: per il trattamento dei dati personali incompatibile con le finalità di raccolta dei dati personali (complementato dal par. 2 dell'art. 5).
- Il trattamento dei dati personali sarà ora permesso per prevenire danni materiali, per la prevenzione e la repressione di atti illeciti (modifica al punto 7 del par. 1 dell'art. 6) e per il raggiungimento di obiettivi di interesse pubblico (complementato dal punto 7.1 del par. 1 dell'art. 6).
- Nel punto 9 del par. 1 dell'art. 6, "o altre ricerche" viene modificato in "ricerche e/o analisi" (un punto importante, torneremo su questo più avanti).
- Una nuova base giuridica per il trattamento nel par. 1 dell'art. 6 è "12) il trattamento dei dati personali ricevuti dall'operatore su basi legali, per ottenere dati anonimizzati". Qui viene legalizzato il trattamento per l'anonimizzazione dei dati senza il coinvolgimento del soggetto dei dati personali.
- Viene aggiunto l'articolo 8.1, che consente il trattamento giuridico dei dati personali anonimizzati. Ciò significa che i dati potranno essere utilizzati per scopi commerciali e venduti a terzi. Per finalità statistiche, di ricerca e/o analisi non è necessario il consenso dell'interessato.
- Se durante il trattamento dei dati personali anonimizzati si perde l'«anonimato», non sarà necessario richiedere nuovamente il consenso (ma sarà necessario trovare una base legale). Questo è indicato dalla «(o)» aggiuntiva nella frase «... viene effettuato con il consenso dell'interessato e/o in presenza di motivi indicati nei punti 2-11 della parte 1 dell'articolo 6...».
- I dati anonimizzati possono essere utilizzati liberamente senza il consenso dell'interessato (modifiche all'art. 4 dell'articolo 8.1).
- Requisiti e metodi di anonimizzazione sono stati ribassati al livello del Governo della Federazione Russa.
- Vengono precisate le modalità di acquisizione dei dati personali ai sensi dell'art. 1 dell'articolo 9, legalizzando formalmente le forme elettroniche di ottenimento del consenso: SMS, modulo sul sito, e altri mezzi.
- Il soggetto dei dati personali avrà la possibilità di modificare le finalità del trattamento dei dati personali dichiarate nel (unico) consenso. Qui si abroga il principio: «Un obiettivo – un consenso». Le modifiche pertinenti per l'unione degli obiettivi sono incluse nel comma 4 dell'articolo 9. In caso di rifiuto dell'operatore dei dati personali di modificare il consenso, il rifiuto motivato potrà essere impugnato presso il Roskomnadzor.
- Secondo il comma 4 dell'articolo 9, la firma del consenso in forma elettronica è semplificata; ora, invece di «in forma di documento elettronico, firmato secondo la legge federale con firma elettronica», è previsto che: «firmato secondo la legge federale con firma elettronica o confermato in qualsiasi modo che permetta di identificare con certezza il soggetto dei dati personali e stabilire la sua volontà».
- Di fatto, viene legalizzata la pratica non formale esistente di pubblicare sul sito un elenco di terzi che trattano dati personali.
Come riporta il canale Telegram Privacy Experts ():
Il progetto di legge contiene definizioni ampie. Ad esempio, "prevenzione e avviso di atti illeciti" o "obiettivi di interesse pubblico".
Allo stesso tempo, il progetto di legge non fornisce soluzioni nel caso in cui l'elaborazione di dati aggregati renda possibile associare dati personali specifici a un soggetto specifico.
È evidente che la situazione per il soggetto dei dati personali sta peggiorando, ma non si escludono rischi per l'operatore dei dati personali legati alla documentazione dei processi di trattamento dei dati personali secondo le nuove modalità di trattamento.
Non è chiaro in quale ordine i dati debbano essere cancellati al cambiamento degli scopi di trattamento nell' "Unico consenso".
La relazione esplicativa si conclude con un riferimento al fatto che il progetto di legge è conforme alle disposizioni del Trattato dell'Unione Economica Euroasiatica del 29 maggio 2014, così come ad altre disposizioni di accordi internazionali della Federazione Russa, e non influenzerà gli indicatori dei programmi statali della Federazione Russa e i loro risultati.
Fonte: habr.com
