Comply. | Комплаенс-бутик

Old fashion coгласия Сегодня на ПМЭФ Милош Вагнер сделал несколько комментариев относительно будущего privacy-регулирования в РФ. Итак, по мнению замглавы РКН, согласия — устаревший инструмент, их слишком много, поэтому бизнесу надо запретить собирать их в ряде случаев, ограничив их заранее определенным перечнем. И можно было бы РКН поддержать — о развитии opt-out подхода и отказе от культа согласий мы говорим давно, как и индустрия, например, АБД. В то же время, за благими намерениями, как мы знаем, скрывается дорога в... Итак, несколько «НО». ❗️НО раз. Хорошо было бы подумать об «усилении» прочих оснований обработки ПД — что есть кроме согласий, например, законный интерес. Как раз этот самый законный интерес и является основанием для последующей реализации субъектом ПД своего права на отказ (как это было устроено в ЕС директиве, являвшейся прообразом 152-ФЗ). Как раз бизнес и хотел бы его использовать, да нет понятных механизмов и рискованно без разъяснений РКН. Если работал бы законный интерес, то и не было бы нужды ограничивать бизнес в сборе согласий. Ведь именно жесткие позиции самого РКН и судов во многом и послужили причиной текущей девальвации согласий, которые собираются на всё и ни на что. Итак, было бы хорошо, но нам предлагают очередные ограничения — списки use-кейсов и перечни исключений, когда (не)можно собирать согласия. ❗️НО два. РКН также вновь подтвердил свою приверженность принципу минимизации данных. Прекрасно! Но и здесь вместо того, чтобы пойти по пути разъяснительной работы, выпуская рекомендации или белые книги по работе с данными в разных секторах и контекстах обработки (как, например, это делает французский CNIL или белорусский Центр защиты данных) надзорный орган предлагает законодательно закреплять минимально необходимые списки данных, допустимые к обработке. Кажется, что этот подход вновь приведет только к дальнейшему перекосу регулирования, при том, что не принесет субъектам существенных гарантий защиты их интересов. О чем мы и говорили в предыдущем посте про win-win подход в регулировании. Итого, если собираетесь «подсушить» согласия, пожалуйста, расскажите сперва хотя бы когда и как гарантированно можно использовать законный интерес или opt-out согласия. И согласия все же точно НЕ устаревший инструмент, а вот их понимание в правоприменительной практике устарело безвозвратно — факт 🙂

Privacy-мнение от Comply ⬇️ Нам бы win-win подход С одной стороны, очевидный тренд интенсификации privacy-регулирования, а с другой – нисходящий тренд обеспечения интересов участников рынка. Разбираемся. Появляется все больше инициатив в сфере данных: 🔵Депутаты говорят об институте спецоператоров данных, которые будут обрабатывать данные недостаточно «privacy-взрослого» бизнеса. 🔵Кажется, что вот-вот увидит свет инициатива по data-национализации с обязательной передачей бизнесом данных за свой счет в государственные озера. 🔵Не умолкают разговоры и по поводу проекта закона об оборотных штрафах – со страхованием ответственности за утечки данных, видимо, пора смириться. 🔵Кроме того, предлагаемые законопроектом меры смягчения ответственности – выплаты компенсаций пострадавшим субъектам и обязательные инвестиции в информационную безопасность – по сути, подразумевают еще больше нагрузки на бизнес. Как видно, интенсивность privacy-регулирования продолжает расти. Кому от этого хорошо? 1️⃣ Интересы бизнеса почти не учитываются – разве что кроме механизмов смягчения ответственности по оборотным штрафам при добровольной сертификации, но и тут без гарантий. Ни давно ожидаемых послаблений в части обезличивания данных, ни запущенных экспериментальных режимов по обмену данными через доверенного посредника, ни других так ожидаемых рынком разъяснений. Вот так и законный интерес, и opt-out согласия – есть, но нет. 2️⃣ Будет лукавством сказать, что интенсивности регулирования хоть как-то корреспондируют и «новые» гарантии субъектов. Например, биометрия и ЕБС всё больше проникает в повседневную жизнь, что далеко не всем по нраву. Культ согласий тоже не в пользу субъектов, очевидно. Новые правила о разъяснении рекомендательных технологий также вряд ли особо помогают пользователям понять масштаб обработки данных. Но государство все же активно декларирует заботу о людях – тут, например, и инициативы по компенсациям за утечки в онлайне. 3️⃣ А что интересы государства – такого же участника рынка? Хочется думать, что государству хорошо тогда, когда интересы и бизнеса, и пользователей сбалансированы. Но это не точно. Точно лишь то, что государству тоже очень нужны данные. Похоже, что data-национализация в том или ином объеме предопределена. 4️⃣ Пока регулирование явно неравномерно учитывает интересы бизнеса, государства и субъектов. Приоритет явно отдан этатическим интересам. Значит ли это, что мы пошли китайским privacy-путем? Хм… Китай все же, несмотря на свой явный патернализм, предлагает серьезные возможности для data-экономики. Например, биржи данных и облегченные режимы работы с данными в специальных экономических зонах. Возможно, такой опыт следует перенять и нам. ➡️Итого очевидно, что рост регуляторной нагрузки НЕ пропорционален усилению реальной защиты прав субъектов данных и интересов бизнеса.

Алоха, privacy-инженер! 👋 Пятничное — образовательный контент от наших друзей из RPPA. Профессия privacy-инженера становится более востребованной, хотя ещё не до конца ясно, кто он больше: разработчик с legal бэкграундом или DPO с IT-компетенциями. Пожалуй, он посредник между DPO и IT, объединяющий некоторые функции обоих и обладающий практическим пониманием IT-продуктов. Этот специалист отвечает на вопросы DPO «зачем?» и IT-специалистов «как?». Вас уже ждут 60 минут подкаста с ценными инсайтами от практикующих privacy-инженеров 👌 Честно сказать, мы и не представляем, как можно провести даже базовый privacy-аудит, не обладая этими компетенциями, не говоря уже про product-комлаенс. Так что слушаем! 👇 Apple | Яндекс | Castbox

Рады, что обсуждение обезличивания ПД продолжается. Рынок не опускает руки! И более того, появляются конкретные предложения и пути перевода обезличивания из серой в зеленую зону. Наши друзья и партнёры, АБД и HFLabs, сегодня провели встречу, на которой обсудили релевантные методики и уже существующие технологические решения. Основные инсайты: ✅ Симбиоз риск-модели АБД и решения HFLabs «МАСКИРОВЩИК» показал устойчивость и эффективность в снижении риска реидентификации данных до околонулевых значений даже. И это даже при условии доступности злоумышленнику дополнительной информации включая исходный дата-сет. Это ли не privacy-чудо! ✅ Риски обработки клиентских данных могут оцениваться в контексте конкретного бизнес-кейса. С помощью методики оценки рисков возможно оперативно рассчитать вероятность повторной идентификации, и, при необходимости, дополнительно преобразовать данные для использования, обеспечивая при этом их конфиденциальность. ✅ Сейчас методика оценки рисков и доступные на рынке технологии маскировки / преобразования данных позволяют защищать данные, сохраняя полезность для бизнеса. Но при этом ни методики, ни такие технологии не урегулированы на законодательном уровне. Это затрудняет их использование в полную силу. ✅ Внедрение риск-модели в нормативное или нормативно-технологическое регулирование позволит с одной стороны усилить защиту данных, а с другой – все же дать инструменты бизнесу для развития дата-экономики. Надеемся, что будут разработаны методологические и правовые основы регулирования обезличенных данных в России на основе риск-ориентированной модели. Например, будут введены: ✅ инструментарий определения категории данных, риск деобезличивания которых минимален, для ограниченного применения к ним 152-ФЗ и/или ✅ формирование механики установления исключений из общего правового режима персональных данных для иных обезличенных данных, в т.ч. с учетом контекста их использования. А пока продолжаем надеяться и делимся с вами презентацией спикеров из АБД и HFLabs. 🙂

ИИ сверху видно все Беспилотники присмотрят за порядком в РФ и Белоруссии Отечественный разработчик систем искусственного интеллекта Softlogic вкладывает 2 млрд руб. в производство комплексов видеонаблюдения для дронов, оснащенных ИИ для контроля правопорядка. Подобные системы уже используются МВД Белоруссии, поставки планируются и в российские правоохранительные органы. Эксперты допускают, что такие меры безопасности, кроме вопросов защиты персональных данных и тайны частной жизни, грозят появлением новых криминальных схем. Управляющий партнер Comply Артем Дмитриев уточняет:

Несколько лет назад суды сделали вывод, что такие системы видеонаблюдения сами по себе не обрабатывают персональные данные, а лишь сравнивают изображение с видеокамер с получаемыми от правоохранительных органов. Использование БПЛА с ИИ для контроля и выявления правонарушений, вероятно, будет внедрено в нашу жизнь, несмотря на критику со стороны общества и экспертов.

Подробнее читайте на сайте газеты Коммерсантъ

Поможет ли «специальный оператор» защите персональной информации ИТ-комитет Госдумы, Роскомнадзор и Минцифры прорабатывают вопрос создания «спецоператора обработки персональных данных», сообщил глава комитета Александр Хинштейн на ПМЭФ-2024. Артем Дмитриев, управляющий партнер Comply, комментирует инициативу:

Как кажется, все же крупные компании стремятся сохранить свое исключительное право на собранные и обрабатываемые данные. То есть для B2C сегмента данные, конечно же, актив, ценность, конкурентное преимущество и далее по списку. И, что важно, такой бизнес, желая оставаться экономическим бенефициаром данных, безусловно осознает и необходимость быть владельцем связанных с этими данными рисками. А не хотят ли данные национализировать, не предоставив выбор бизнесу? Уверен, бизнес сам способен решить, есть ли необходимость в таких «спецоператорах». Лично я, несмотря на активную GR повестку, ни разу не слышал от бизнеса и ассоциаций таких мыслей. Хотя допускаю, что малый бизнес и возможно B2B средний бизнес будут не против снять с себя часть рисков, лишившись при этом своего «экономического титула» на данные. Но пока вопросов больше, чем ответов. Например, по каким правилам и SLA будет осуществляться взаимодействие между бизнесом и «спецоператором». И говоря о том, что эта концепция вообще как-то позволит снизить риски, мы, конечно же, остаемся оптимистами. Централизация хранения персональных данных может и снижает нагрузку на бизнес, позволяя ему делегировать защиту данных «спецоператору», но сосредотачивает риск утечки данных в одном месте, делая его более привлекательным для злоумышленников. Важно понимать, что оператором ПД по-прежнему остается бизнес, даже если он делегирует их хранение или иную обработку «спецоператору». В законодательстве нет какого-то особого статуса «спецоператора», поэтому пока что он больше всего похож на обработчика по поручению. А у обработчика, как известно, ответственности за утечку не особо много. Поэтому, если уж и пытаться в этой инициативе найти пользу, то необходимы изменения механизмов применения уже грядущих оборотных штрафов, распределение ответственности между бизнесом и «спецоператором». И к слову, возможно было бы правильнее апробировать эту концепцию через экспериментальный правовой режим (ЭПР), включая правовые и организационно-технологические процессы. Как раз в рамках ЭПР можно было бы понять, насколько эта модель может быть вообще востребована бизнесом, так чтобы сгладить острые углы до выпуска концепции в законодательный «продакшн».

Подробнее читайте в статье RSpectr по ссылке.

Privacy-мнение от Comply Они будут говорить: «Начни работу с Положения об обработке ПД! Это privacy-база». Но прости их и разработай Положение о кадровом резерве, Положение об архиве и прочие, казалось бы, «лишние» документы. Разбираемся, кто прав. Начиная разработку документов важно понимать, а зачем это все. Конечно, в первую очередь чтобы управлять комплаенс-рисками. Но рисков много, и не все они равнозначны. 1️⃣ Только несколько рисков носят имидиативный (immediate) характер. Что это значит? Если РКН выявит нарушение, то сможет сразу вас, например, оштрафовать. Большинство же нарушений не повлечет для компании негативные последствия сразу. А все потому, что у вас будет срок на исполнение предписания РКН. Неотложные риски связаны c дефектами оснований обработки ПД или отсутствием политики обработки ПД. Иные «документарные» риски носят отсроченный характер. 2️⃣ Дополнительный критерий приоритизации документов: сложность и трудоемкость их подготовки. То есть Положение об обработке ПД «на минималках», отвечающее стандартам РКН, можно сделать за 1..2..3..4...готово! А вот, например, сформировать акты об уничтожении ПД за прошлый год или пересобрать согласия от подписчиков оперативно не выйдет. 3️⃣ Наконец, last but not least критерий приоритизации – влияние на privacy-виктимность. То есть очевидно или что документа нет, или что он плох, либо же обнаружить это почти невероятно. Вот, например, отсутствие или дефекты Политики на сайте – селфхарм, ибо слишком очевидно. Получается, что не все документы одинаково полезны. А «незаменимое» Положение об обработке ПД заслуживает ваше самое скромное внимание – см. схему. Лично мы НЕ адепты культа бумажного комплаенса. И вам советуем критично приоритизировать разработку и актуализацию документов. 👉 Делимся шпаргалкой с топ-50 privacy-документов 🙂

Персданные должников по алиментам объединят в общедоступной базе: чего опасаться Согласно новому закону, в реестр будут включены сведения о должниках по алиментным обязательствам, привлеченных к административной и (или) уголовной ответственности за неуплату средств на содержание несовершеннолетних или нетрудоспособных детей, достигших восемнадцатилетнего возраста, либо нетрудоспособных родителей и (или) объявленных судебным приставом-исполнителем в розыск. Несмотря на то, что информация о должниках будет обрабатываться в соответствии с законодательством об исполнительном производстве, данные о них будут общедоступными. По задумке, до включения в реестр должнику должно поступить СМС с уведомлением о таком включении, и в течение суток он сможет предпринять действия, чтобы избежать публикации, то есть либо оспорить, либо оплатить долг. Эксперты полагают, что новый реестр может стать неким инструментом социального рейтинга. Комментирует Артем Дмитриев, управляющий партнер Comply:

До социального рейтинга еще слишком далеко, но определенные аллюзии, конечно, напрашиваются. Ведь реестр создается в целях социального давления или «доски позора», хотя и благой цели ради – мотивировать выплату алиментов. Любая регуляторная инициатива должна предполагать компромисс между интересами/правами одних и свободами других. Предлагаемое решение не бесспорно, но не приводит к дисбалансу прав и интересов. Ведь инициатива направлена на поддержку наименее защищенных слоев населения. Важно, чтобы реестр со временем не приводил бы к наложению вторичных санкций. Например, увольнению с работы, отказу в предоставлении государственных услуг, повышенным ставкам кредитов и прочим неприятностям.

Подробнее читайте на сайте RSpectr.

Privacy-мнение Comply ⬇️ Обезличивание: компромисс или всего лишь эксперимент? Держите карман шире! Ни то, ни другое, а дата-национализация. Обезличивание подразумевает действия, в результате которых невозможно определить, кому принадлежат данные без дополнительной информации (п. 9 ст. 3 152-ФЗ). В терминах GDPR – псевдонимизация. Обезличенные данные остаются персональными, поскольку сохраняется возможность связи данных с субъектом посредством дополнительной информации. Обезличивание позволяет усилить конфиденциальность и несколько митигировать риски из утечек за счет того, что данные хранятся не в открытом виде, а также сформировать «гигиену данных». Что же тогда с обезличиванием не так❓ Прежде РКН неоднократно заявлял, что в текущем правовом поле у бизнеса нет права обезличивать данные, такое право дано лишь госорганам и отдельным организациям в соответствии с Приказом № 996. Однако в последнее время РКН отмечает, что Приказ могут использовать и коммерческие организации при определенных условиях. Есть нюанс. РКН считает, что обезличивать данные можно только на основании предварительного согласия, в котором выделено обезличивание как способ обработки. То есть, чтобы обезличить данные, сперва получите на это согласие. Хотя, казалось бы, это нужно, в первую очередь, для защиты интересов субъектов… Что ж, еще больше согласий. Устарели и сами рекомендации РКН от 2013 года по процедуре обезличивания. Есть и иные методики, не предусмотренные Приказом. Например, дифференциальная приватность, которая предполагает добавление шума и минимизацию запросов к дата-сету так, чтобы из него нельзя было вычленить данные, относящиеся к определяемому лицу. Регуляторы постепенно разрабатывают новые методики, но ни одна из них пока не увидела официальный свет. В 2021 году внесен законопроект о поправках в 152-ФЗ, который допускал возможность бизнесу обезличивать данные на «особых» условиях. В 2023 году этот проект, с многочисленными поправками, перешел ко второму чтению. Казалось бы, успех так близко! Но нет. Согласно законопроекту, операторы будут обязаны предоставлять ПД в государственное «озеро данных» для обезличивания и сборки дата-сетов. Первые три года доступ к обезличенным дата-сетам будут иметь только госорганы и подведомственные организации. А затем, доступ смогут получить и другие компании, одобренные правительственной комиссией. Процедура обезличивания будет устанавливаться регулятором, а финансироваться – в т.ч. за счет бизнеса. Таким образом, законопроект не только стремится сильнее урегулировать обезличивание, усилить контроль над данными, но и (!) национализировать их. Но и бизнес не бездействует. Есть предложения ограничить бесплатную передачу данных государству только для нужд национальной безопасности, а доступ к остальным данным осуществлять на основе справедливой тарификации. Кроме этого, индустрия пытается развивать институт экспериментальных правовых режимов (ЭПР). Так, Ассоциация Больших Данных выступила инициатором ЭПР «Доверенный посредник», который предполагает создание платформы для безопасной обработки обезличенных и промышленных данных. В рамках ЭПР могли бы тестироваться методологии обезличивания и санитизации данных, а также риск-модели оценки обезличенных данных. Цель ЭПР – выработать подход к обезличенным данным, институционализировать их оборот и деятельность дата-посредников. Иными словами, это попытка предложить рабочий компромисс между интересами власти и бизнеса. Наблюдаем за развитием проектов и рассчитываем все же не на радикализацию регулирования, а win-win подход, когда учитываются интересы и государства, и бизнеса, и даже пользователей. Ну а пока не отобрали – обезличивайте [с согласия] [и в статистических целях] 🙂

От Цифрового кодекса ждут юридических определений IT-терминов Разрозненное законодательство стало отставать от прогресса информационных технологий. В России может появиться особый свод законов, который обеспечил бы деятельность всей IT-отрасли. Над проектом так называемого Цифрового кодекса (ЦК), учитывающего те или иные аспекты правоотношений с использованием информационно-коммуникационных технологий и искусственного интеллекта, продолжают работать в Минцифры. Документ необходим в том числе, а если точнее, то в первую очередь, для юридической унификации нынешнего разнообразия бытующих в этой сфере терминов. О необходимости появления ЦК говорится и в проекте стратегии развития отрасли связи до 2035 года: оптимальным видом законодательного акта, позволяющим сформировать стройную взаимоувязанную систему отраслевых правовых норм, является Цифровой кодекс, обеспечивающий комплексное регулирование развития и использования информационных технологий и инфраструктуры связи. Результатом должна стать «сбалансированная цифровизация». Максим Али, партнер Comply, пояснил «НГ»:

Идея о разработке ЦК обсуждается, например, в юридическом обществе уже достаточно давно. С одной стороны, в действующем законе об информации накопилось множество дублирующих друг друга норм. Самый яркий пример – это порядок блокировок, эффективнее было бы привести его к единому знаменателю. С другой стороны, широкое понятие о цифровой отрасли затрагивают разные правоотношения, включая пиратство, распространение порочащих сведений, защиту детей от вредной информации и т.д. Так что объединять все это в рамках одного документа будет настоящим вызовом для его разработчиков.

Подробнее на сайте Независимой газеты.