Денис Лукаш | Privacy Expert

Когда большую часть времени находишься внутри юридического бизнеса, полезно выйти за пределы привычного и посмотреть, как похожие задачи решают другие управляющие партнёры и собственники. 8–9 октября планирую посетить конференцию «Юридический бизнес России», есть онлайн формат. Организатор Наталья Никольская, с которой много раз имел честь лично общаться. В программе заявлены сессии по ключевым вопросам роста, управления и устойчивости юридической практики: формирование обоснованного чека, партнёрство, передача управления, цифровые риски бизнеса, лидерские и управленческие компетенции первых лиц и создание личного бренда юриста. Хорошая возможность для обмена опытом с представителями профессиональной среды и поиска бизнес-партнёров. Конференция платная, регистрация по ссылке https://urbiz.pro/11conf.

Передача персональных данных кандидата бывшему работодателю для проверки опыта работы признана обработкой без законного основания. Общество привлечено к ответственности по ч. 1 ст. 13.11 КоАП РФ за использование персональных данных кандидата при проверке опыта работы через бывшего работодателя. Размещение данных в открытых источниках по поиску работы не означает согласия субъекта на их дальнейшую обработку в иных целях. Назначено административное наказание в виде предупреждения. Суть спора: В рамках подбора специалистов для работы на судах крюинговое агентство (далее – Общество) проверяло сведения о профессиональном опыте кандидатов. Из общедоступных сайтов, на которых моряки публикуют анкеты в поисках работы, Общество получило персональные данные гражданина Ш. и направило запрос о подтверждении его опыта работы в компанию, где он отработал предыдущий контракт. В запросе были указаны персональные данные: ФИО, гражданство, дата рождения, должность, место работы и период работы на судне. Гражданин Ш. обратился в прокуратуру, указав, что не имел и не имеет никаких отношений с Обществом, не предоставлял свои персональные данные и не давал согласие на их использование. По результатам проверки поступившей из прокуратуры жалобы Роскомнадзор пришел к выводу, что Общество обработало персональные данные без предусмотренного законом основания, и обратился в суд с заявлением о привлечении Общества к ответственности по ч. 1 ст. 13.11 КоАП РФ. Позиции судов: Первая инстанция Получив персональные данные кандидата из открытых источников, Общество обязано обеспечить законность последующей обработки полученных персональных данных. Кроме того, согласно положениям статьи 7 Закона № 152-ФЗ операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Законом № 152-ФЗ. Доказательств того, что Обществом были приняты все зависящие от него меры по соблюдению правил и норм, за нарушение которых предусмотрена административная ответственность, не представлено и судом не установлено. Вина Общества установлена. При назначении наказания суд учел, что нарушение совершено впервые, вред не установлен, а отягчающие обстоятельства отсутствуют. Общество привлечено к административной ответственности по ч. 1 ст. 13.11 КоАП РФ, назначено наказание в виде предупреждения. Апелляция Гражданин Ш. не согласился с мерой наказания и подал апелляционную жалобу. Суд апелляционной инстанции подтвердил выводы первой инстанции. Управлением достоверно установлено, что Общество допустило обработку персональных данных третьего лица в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, а также в отсутствие его согласия. Доказательства невозможности соблюдения Обществом требований законодательства в силу чрезвычайных событий и обстоятельств, которые оно не могло предвидеть и предотвратить, равно как и доказательства принятия Обществом необходимых и своевременных мер, направленных на недопущение правонарушения при соблюдении той степени заботливости и осмотрительности, которая от него требовалась, в материалы дела не представлены, что свидетельствуют о наличии вины Общества во вменяемом правонарушении применительно к части 2 статьи 2.1 КоАП РФ. Таким образом, суд первой инстанции обоснованно посчитал, что действия Общества образуют событие и состав вмененного правонарушения. Решение оставлено без изменения, жалоба - без удовлетворения. Кассация Гражданин Ш. подал кассационную жалобу. Оставлена без движения в связи с неоплатой госпошлины.

Я все чаще получаю обращения по вопросам, связанным с сервисами на базе моделей искусственного интеллекта. Например, за последние полтора года я провел правовой анализ нескольких ИИ-сервисов для подбора кандидатов, которые дополняют работу рекрутеров (а иногда и пытаются ее полностью заменить). Встречались и специфические ИТ-решения с использованием ИИ. Если обобщить, бросается в глаза несбалансированный перенос рисков на клиентов таких ИИ-сервисов. К слову, даже в некоторых традиционных рекрутинговых сервисах до сих пор не до конца решены вопросы легализации персональных данных на стороне их клиентов. Право в сфере ИИ становится нашей второй ключевой практикой. Как и персональным данным, буду по-возможности делиться инсайтами по ИИ-регулированию. Отправной точкой можно считать открытый вебинар нашей команды по законопроекту об ИИ. Если вы его еще не смотрели, запись доступна здесь. Текст законопроекта впоследствии доработали, но выводы вебинара остаются актуальными. Сейчас мы решили пойти дальше и разработали содержательный корпоративный курс по правовым рискам внедрения ИИ-сервисов. Преподавателем курса выступит Оксана Маслова, эксперт и лектор компании Lukash & Partners. Оксана имеет международные сертификаты AI & Law (Lund University), AI Regulation (Data Privacy Group), Certified Risk and Compliance Management Professional (CRCMP), обладает опытом работы более 15 лет в сфере ИТ-права и входит в индивидуальный рейтинг юристов «Право-300». Семинар длится 3 часа, проходит в онлайн-формате. Курс платный, при этом стоимость остается адекватной. На текущий момент обучение доступно только в корпоративном формате (по договору с юридическим лицом/ИП). Если вы хотите обсудить проведение короткого содержательного семинара по правовым вопросам ИИ для вашей команды, напишите на service@lukash.partners, и я пришлю типовое коммерческое предложение.

⚖️ Сделали для вас подборку полезных каналов в Telegram и Макс о законах, письмах, постановлениях и судебной практике: ▫️Самозанятость - Telegram | MAX ▫️ИП на УСН / АУСН / ПСН - Telegram | MAX ▫️Новости Минтруда РФ - Telegram | MAX ▫️Юриспруденция - Telegram | MAX ▫️Privacy Expert - Telegram | MAX ▫️Дневник юриста - Telegram | MAX ▫️Субсидиарная ответственность - Telegram | MAX ▫️IT юрист - Telegram | MAX ▫️Экспертиза в деталях - Telegram | MAX ▫️Клиент прав - Telegram | MAX ▫️LegalTech - Telegram ▫️На мушке - Telegram ▫️Елена Гринь | IP ЮРИСТ - Telegram | MAX ▫️Блог Адвоката Торозова - Telegram | MAX ▫️Сила права - Telegram | MAX ▫️Документы юриста - Telegram | MAX ▫️Адвокат Расторгуева - Telegram | MAX ▫️GoodDocs - Telegram | MAX ▫️Корпоративные споры - Telegram | MAX ▫️Новости госзакупок - Telegram | MAX ▫️Гособоронзаказ️ - Telegram | MAX ▫️Правовой дайджест - Telegram | MAX ▫️Legal.Report - Telegram | MAX ▫️Адвокатская газета - Telegram | MAX ▫️Законопроекты РФ - Telegram | MAX Подписывайтесь на эти каналы в Telegram, если вы оптимист и в Макс, если вы реалист. А лучше и там, и там!

Для многих из ИТ-сферы обезличивание приравнено к анонимизации, хотя то, что это действие по обработке ПД писалось много раз со стороны Роскомнадзора и профессионального сообщества. После обезличивания персональные данные остаются персональными. Например, в данной статье отделили псевдонимизацию и обезличивание, приравняв последнее к анонимизации. Подобные статьи на Хабре и других пабликах встречаются часто. Понятно, что в мире, где повсеместно используется ИИ на сторонних вычислительных мощностях, 152-ФЗ является сдерживающим фактором. Но закон о персональных данных тоже нужен. Хотелось бы видеть статьи о софте по обезличиванию в привязке к приказу Роскомнадзора №140.

На дне открытых дверей заместитель руководителя Роскомнадзора рекомендовал представителям операторского сообщества проходить обучение по персональным данным. Время на записи 0:11:20— 0:12:30. У коллег из Безопасность 360 как раз продолжается регистрация на 2-х дневный курс "Обработка персональных данных в организации", где буду я одним из лекторов. Даты проведения 26-27 августа, можно очно или заочно.

Сегодняшний день открытых дверей Роскомнадзора по ПД - это еще не всё. Сегодня в в 17:00, онлайн обсудим итоги и самые важные моменты трехчасового мероприятия Роскомнадзора. Неофициальная онлайн-встреча экспертов по ПД, на которой могут побыть слушателями все желающие. Участники дискуссии: Кирилл Зюбанов, Денис Лукаш, Герман Сабиров, Алексей Мунтян, Артём Дмитриев. Задает вопросы: Кристина Боровикова. 🔜 Регистрация по ссылке.

Послезавтра (14 августа) день открытых дверей Роскомнадзора (анонс). Начало в 13.00 мск. Прием вопросов закончен, подготовлена ссылка на трансляцию https://vkvideo.ru/live-76229642_456240202

32 вопроса и ответа от территориальных Управлений Роскомнадзора здесь. На сайтах территориальных управлений Роскомнадзора встречаются ответы по различным вопросам персональных данных. Некоторые из них устарели, но другие все еще имеют значимость. Мы собрали вопросы и ответы со всех сайтов территориальных управлений Роскомнадзора, проверили их на актуальность, сгруппировали и опубликовали в одном месте. По возможности добавили наш комментарий. Для опытных экспертов открытий не будет. Подойдет для базового понимания 152-ФЗ или что бы дать ссылку коллеге - не эксперту.

26-27 августа я совместно с коллегами проводим практический семинар "Обработка персональных данных в организации". Два для погружения, курс проводят 4 эксперта, каждому из которых отводится примерно по половине дня: 📍Денис Лукаш - управляющий партнер юридической компании "Лукаш и партнеры", DPO и практикующий юрист в области ИТ-права, ранее начальник отдела в региональном управлении Роскомнадзора; 📍Екатерина Ефимова - руководитель направления персональных данных ФГУП ГРЧЦ (Роскомнадзор); 📍Алена Геращенко - эксперт по правовой защите ПДн и биометрии, комплаенс-менеджер "ТБанка"; 📍Валерий Комаров - независимый эксперт по защите информации и КИИ, автор книги "Опасная профессия". На курсе подробно рассмотрим вопросы определения правовых оснований обработки ПДн, примеры приведения бизнес-процессов в соответствие с требованиями законодательства, взаимодействия операторов и обработчиков персональных данных, операторов и контрольно-надзорного органа (Роскомнадзора), организации защиты ПДн. На курсе много примеров из судебной практики по гражданским и административным делам в сфере ПДн, позиций Роскомнадзора. Для участия в семинаре нужно написать запрос по контактам организатора.

Предоставление управляющей компанией третьим лицам доступа к ПДн собственников многоквартирного дома без надлежащего согласия Формулировка «иные лица», «иные цели» в согласии на передачу персональных данных в договоре не отвечает требованиям конкретности, информированности и однозначности; компания привлечена к ответственности по ч. 1 ст. 13.11 КоАП за передачу персональных данных без правового основания; кассация снизила штраф со 200 000 до 100 000 рублей, применив правила назначения наказания для субъектов малого предпринимательства (ст. 4.1.2 КоАП РФ) 🔹Суть спора: Гражданка обратилась в Управление Роскомнадзора по Оренбургской области: УК предоставила третьим лицам доступ к базе пользователей ограждающего устройства, содержащей ПДн собственников многоквартирного дома (ФИО, сведения о праве собственности, абонентские номера), без правового основания. На основании предоставленных УК данных Управление нарушений не усмотрело и отказало в возбуждении дела. Гражданка обратилась повторно, указав на подлог данных со стороны УК. По повторному обращению Управление направило запросы по всей цепочке лиц, связанных с доступом к базе, и выявило нарушения со стороны УК. Составлен протокол по ч. 1 ст. 13.11 КоАП РФ. 🔹Позиции сторон: УК: производство должно быть прекращено, поскольку протокол составлен с нарушениями (неизвещение, неверные место, дата, время совершения правонарушения и адрес УК), административный орган вынес два противоположных решения, а запросы направлены без контрольно-надзорного мероприятия и решения о расследовании. УК настаивала: данные передал Совет дома, а согласие собственников закреплено в договоре управления домом. В апелляции просила заменить штраф предупреждением (ст. 4.1.1 КоАП РФ). Роскомнадзор: УК извещалась по адресу из ЕГРЮЛ, протокол соответствует ч. 2 ст. 28.2 КоАП РФ; два определения вынесены по двум обращениям; запросы - в рамках полномочий по 152-ФЗ. Доступ третьим лицам предоставлен на основании заявки УК, что подтверждено ИП, с которым УК заключен договор на предоставление доступа к ограждающему устройству, а формулировки договора «иные лица», «иные цели» не конкретны, не информированы и не однозначны. 🔹Позиции судов: Мировой судья Судья признал УК виновной по ч. 1 ст. 13.11 КоАП РФ и назначил штраф 200 000 рублей. Апелляция Доступ к базе предоставлен третьим лицам без правового основания и повлёк распространение ПДн жителей дома без их согласия. Ссылка на условия договора отклонена: формулировка о согласии на передачу и обработку ПДн «иным лицам» не соответствует принципам и требованиям 152-ФЗ, поскольку её буквальное толкование может свидетельствовать о неограниченном круге лиц, имеющих доступ к данным жителей. Довод о передаче данных Советом дома признан противоречащим материалам дела (по ответу ИП доступ предоставлен по заявке УК; регистрация лиц с доступом производилась только по электронным адресам, предоставленным УК). Извещение о составлении протокола признано надлежащим (техническая ошибка в указании года очевидна), место совершения правонарушения определено по юридическому адресу из ЕГРЮЛ, вынесение двух определений правомерно. Оснований для применения ст. 2.9 КоАП РФ (малозначительность) и ст. 4.1.1 КоАП РФ (замена штрафа предупреждением) суд не усмотрел. Постановление оставлено без изменений. Кассация Суд согласился с выводами о виновности УК и отсутствии оснований для замены штрафа предупреждением (ст. 4.1.1 КоАП РФ), однако изменил судебные акты в части наказания. Суд указал, что УК с 10.05.2018 состоит в Едином реестре субъектов малого и среднего предпринимательства и отнесена к микропредприятию, что не было учтено ни мировым судьей, ни районным судом. Штраф микропредприятию по правилам ст. 4.1.2 КоАП РФ должен назначаться в размере от половины минимального до половины максимального размера санкции. С учетом этого штраф снижен со 200 000 до 100 000 рублей; в остальной части судебные акты оставлены без изменений. #практика

Об операторе и обработчике в договорах В договорах всё чаще стороны искусственно закрепляют, кто оператор, а кто обработчик. И часто это делается не по факту реального процесса, а исходя из соображений удобства и собственного ощущения безопасности. Понятие оператора чётко прописано в законе. Чтобы считаться оператором, нужно реально соответствовать этим признакам. Статус можно изменить, перестроив бизнес-процесс, но на практике это получается не всегда. Нельзя просто так присвоить себе удобную роль, если фактические отношения говорят об обратном, так как условия договора в этой части не будут соответствовать закону. Когда роли определены правильно (в соответствии с реальной обработкой), прямое указание оператора и обработчика в поручении - это хорошая практика. Но здесь важно помнить: такое разграничение обычно действует только для одного, основного потока персональных данных. Простой пример. Стороны подписывают поручение на обработку данных кандидатов на вакансии, заверяя его подписями своих представителей. Сразу видны две категории: кандидаты и подписанты. По кандидатам — поручение, по подписантам — уже межоператорская передача, которая в поручение не попадает. Лучше, если DPO участвует с момента обсуждения нового бизнес-направления. Если DPO получает готовое поручение с уже распределёнными ролями, оптимально выяснить бизнес-потребность, понять, почему именно так структурировали сделку и определили стороны. В большинстве случаев это не занимает много времени. Но в практике L&P частые случаи, когда это приводило к каскаду переговоров (в интересах заказчика на сопровождении), длинной ветке комментариев в Word. После чего контрагент менял правовую природу сделки или даже предлагал новую и правомерную (с позиции 152-ФЗ) структуру отношений между двумя группами компаний. Если Вы DPO, надеюсь, этот пост поможет поймать нужный ориентир, когда коллеги вокруг говорят, что Вы перегибаете. Возможно, Вы ещё и не дорабатываете. #практика

Летний топ юридических ТГ-каналов: В одной папке собрали 25 качественных каналов о праве, проверенных временем и заслуживающих вашего внимания. В папке топ-каналы:

• юридические новости

• практические кейсы

• обзоры и экспертные мнения

Сохраняйте папку целиком или выбирайте нужное из перечня. ➡️Ссылка на папку🗂

Недавно был проведен вебинар, посвященный особенностям обработки персональных данных в холдинговых структурах. Несмотря на наличие множества проблемных зон и нюансов, преимущество структуры с единым управлением может быть использовано для снижения операционных расходов в области защиты персональных данных. Обсуждение длилось час, прозвучало множество вопросов; проведение следующего вебинара запланировано на осень. Одной из ключевых проблем является назначение ответственного лица за организацию обработки персональных данных. Существуют различные подходы, такие как назначение генеральных директоров, привлечение одного эксперта на частичную ставку, внедрение роли Privacy-чемпионов и другие. Иногда забывают, что ответственным может выступать стороннее лицо. Публикую слайд из презентации по организации службы DPO с включением в систему «Лукаш и партнеры» как одного из возможных вариантов. В этой схеме L&P ответственная за организацию обработки ПД для головной компании, головная ответственная за организацию обработки ПД каждой дочерней. Все сложные экспертные вопросы со всего холдинга стекаются в L&P для решения. Если в вашем холдинге данная проблема остается нерешенной, направляйте запрос на адрес service@lukash.partners. Договоримся о встрече в онлайн-формате по обсуждению вашей структуры ответственных за организацию обработки персональных данных.