Resumo do projeto de lei que altera a Lei Federal de 27.07.2006 N 152-FZ "Sobre Dados Pessoais" (152-FZ). Com essas modificações, a 152-FZ "permitirá a comercialização" de Big Data e fortalecerá os direitos do operador de dados pessoais. Pode ser de interesse para os leitores prestar atenção aos pontos-chave. Para uma análise detalhada, é claro que recomenda-se a leitura. .
Como indicado na nota explicativa:
O projeto de lei foi desenvolvido em cumprimento ao item 01.01.003.002.001 do plano de ações na direção "Regulação Normativa" do programa "Economia Digital", aprovado pela Comissão Governamental para o Uso de Tecnologias da Informação para Melhorar a Qualidade de Vida e as Condições de Negócios em 18 de dezembro de 2017, protocolo nº 2.
O que parece mais interessante?
(Abaixo no texto, as referências sempre se referem à 152-FZ)
- Estamos apresentando "Dados Despersonalizados".
"Dados Despersonalizados" não é igual a "Dados Pessoais Despersonalizados". "Dados Despersonalizados" são idênticos a dados pessoais anonimizados, descritos, por exemplo, no contexto do GDPR.
- Surge um novo consentimento: para o tratamento de dados pessoais que não seja compatível com os objetivos de coleta de dados pessoais (acrescentado o parágrafo 2 do art. 5).
- O tratamento de dados pessoais agora será permitido para prevenir danos patrimoniais, advertir e evitar atos ilícitos (modificação no item 7 do parágrafo 1 do art. 6) e para alcançar objetivos de interesse público (acrescentado o item 7.1 do parágrafo 1 do art. 6).
- No item 9 do parágrafo 1 do art. 6, "ou outras pesquisas" muda para "pesquisas e (ou) analíticas" (um ponto importante, voltaremos a isso abaixo).
- Uma nova base para o tratamento no parágrafo 1 do art. 6 "12) é realizado o tratamento de dados pessoais, obtidos pelo operador de maneira legal, com o objetivo de obter dados despersonalizados". Aqui é legalizada a despersonalização de dados sem a participação do sujeito dos dados pessoais.
- Adiciona-se o art. 8.1, que permite a circulação civil e legal de dados pessoais despersonalizados. Ou seja, os dados poderão ser utilizados para fins comerciais, vendidos a terceiros. Para fins estatísticos, de pesquisa e (ou) analíticos, o consentimento do sujeito não é necessário.
- Se a "desidentificação" de dados pessoais anônimos for perdida durante o processamento, não será necessário solicitar consentimento posteriormente (mas será necessário encontrar uma base legal). Isso é indicado pelo "(ou)" adicionado na frase "...realizado com o consentimento do sujeito dos dados pessoais e(ou) na presença de bases indicadas nos itens 2-11 da parte 1 do artigo 6...".
- Dados anônimos podem ser usados livremente sem o consentimento do sujeito (alterações no parágrafo 4 do art. 8.1).
- Os requisitos e métodos de desidentificação estão subordinados ao nível do Governo da Federação Russa.
- Esclarecem-se as formas de obtenção de dados pessoais conforme o parágrafo 1 do art. 9, e as formas eletrônicas de obtenção de consentimento são formalmente legalizadas: SMS, formulário no site, entre outras maneiras.
- O sujeito dos dados pessoais terá a possibilidade de modificar a finalidade do processamento de dados pessoais declaradas no consentimento (único). Aqui, o princípio "Uma finalidade – um consentimento" é abolido. As alterações correspondentes sobre a união de propósitos estão previstas no parágrafo 4 do art. 9. Em caso de recusa do operador de dados pessoais em alterar o consentimento, a recusa motivada poderá ser contestada no Roskomnadzor.
- A assinatura de consentimento em forma eletrônica é simplificada no parágrafo 4 do art. 9; agora, em vez de "na forma de documento eletrônico assinado de acordo com a legislação federal com assinatura eletrônica", está previsto: "assinado de acordo com a legislação federal com assinatura eletrônica ou confirmado de qualquer maneira que permita identificar de forma confiável o sujeito dos dados pessoais e estabelecer sua vontade."
- Na prática, é legalizada a prática informal de publicar no site uma lista de terceiros que processam dados pessoais.
Como informa o canal do Telegram Privacy Experts ():
O projeto de lei contém conceitos amplamente interpretados. Por exemplo, "advertências e prevenção de atos ilícitos" ou "finalidades socialmente significativas."
Ao mesmo tempo, o projeto de lei não contém soluções se, como resultado do processamento de um conjunto de dados, for possível atribuir dados pessoais específicos a um determinado sujeito.
É evidente que a situação do sujeito dos dados pessoais está se deteriorando, ao mesmo tempo em que não se excluem os riscos para o operador de dados pessoais, relacionados à documentação dos processos de tratamento de dados pessoais em novos tipos de processamento.
Não está claro em que ordem os dados devem ser excluídos ao alterar os objetivos do processamento no "Consentimento Único".
A nota explicativa é encerrada com a indicação de que o projeto de lei está em conformidade com as disposições do Tratado sobre a União Econômica da Eurásia de 29 de maio de 2014, bem como com as disposições de outros tratados internacionais da Federação da Rússia, e não afetará os indicadores dos programas estatais da Federação da Rússia e seus resultados.
Fonte: habr.com
