Privacy-мнение от Comply

Процедура уничтожения персональных данных. Трагедия в 3-х частях. Финальная часть

Вот уже третью неделю мы обсуждаем процедуру уничтожения ПД. Определили, в каких случаях нужно уничтожать ПД, следуя всем правилам, и что фиксировать в логах.

Пришло время обсудить регулярность уничтожения ПД и, соответственно, составления актов об уничтожении и логирования.

По общему правилу, оператор ПД обязан прекратить обработку и уничтожить ПД в течение 30 дней с даты достижения цели их обработки. Подтверждает уничтожение соответствующий акт и выгрузка из журнала. Соответственно, каждые 30 дней оператору ПД нужно готовить эти документы, что может оказаться весьма обременительным.

Однако при невозможности уничтожения ПД оператор вправе их заблокировать на срок до 6 месяцев, а затем уничтожить (ч. 6 ст. 21 152-ФЗ).

Условия «невозможности» в статье не указаны, а значит оператор ПД может рискнуть самостоятельно их определить. Причины такой «невозможности» могут быть разные. Например, специфика ИТ-инфраструктуры оператора, ограничивающая или исключающая регулярную процедуру уничтожения.

Получается, что вроде бы оператор может поделить год на два полугодия и привязать к ним процедуру уничтожения. Таким образом, все документы с ПД и ПД в ИТ-системах, подлежащие уничтожению в январе 2024 – июне 2024 года, могут быть уничтожены единовременно, например, 28 июня, и все это можно закрепить единым актом об уничтожении.

❗️Проверьте, закреплена ли в вашем регламенте уничтожения или ином ЛНА возможность заблокировать ПД, а также как сформулированы основания для блокирвоки.

Вот такой элегантный способ свести всю бюрократию к двум актам в год. Но процедура блокирования должна все-таки по-настоящему существовать. Например, ПД должны быть перенесены во временную базу с ограничениями доступа и обработки и / или должен проставляться дополнительный признак запрета обработки, т.е. «блокировки».

А еще напомним, что блокирование – это временное прекращение обработки ПД. То есть оператор не может использовать персональные данные в течение этих 6 месяцев в своих целях.

☝️Блокирование перед уничтожением упрощает саму процедуру уничтожения ПД, и точно не является лазейкой для продления срока использования ПД оператором.

Конечно же и само по себе блокирование должно выполняться по определенным правилам. При этом оно не должно быть чрезмерно обременительным, в противном случае не понятно, зачем оно нам…но правила блокировки это уже отдельная история.

🔥Надеемся, серия постов была полезной и поможет вам обуздать рутину уничтожения ПД (смотрите пост раз и пост два).

В следующем посте ответили на самые популярные вопросы наших подписчиков в формате вопрос-ответ ⬇️

#мнение

IP-мнение от Comply ⚡️

Компании часто сталкиваются с мошенниками, которые мимикрируют под их бизнес, создавая в Сети похожие сайты. Такие злоумышленники могут собирать данные и деньги клиентов компании, что оставляет негативный след на репутации бизнеса.

Как с этим бороться? Через регуляторные или IP-механизмы. Давайте разбираться ⬇️

1. Защита товарного знака

Если бренд компании защищается в качестве товарного знака, мошенники обычно не могут его не использовать.

Это дает возможность требовать передачи по суду домена или исключения сайта из поисковой выдачи (работает не для всех поисковиков).

2. Блокировка пиратского контента

Нередко мошенники используют контент оригинального сайта, чтобы быть похожими на компанию-жертву.

Это открывает возможности к блокировке сайта: как через жалобы хостинг-провайдерам, так и через обращение в суд.

Последний способ особенно эффективен, если речь идет про копирование логотипа, текстов или видеороликов. Тогда можно добиваться в Мосгорсуде обеспечительных мер в виде блокировки.

3. Право на забвение

Если на сайте используется недостоверная информация о ключевых персонах компании, сайт может быть исключен из поисковой выдачи «по праву на забвение». Оно защищает граждан не только от неактуальной, но и от недостоверной информации.

Важно помнить, что в этом случае пожаловаться может только гражданин. Компании таким правом в РФ не наделены.

📢 Выводы:

Вариантов борьбы с сайтами злоумышленников гораздо больше, но эти — одни из самых простых.

Как видно, многие из них возможны только при предварительном оформлении прав на IP: регистрации знака, которая может занять больше года, и заключении договоров с авторами контента.

Поэтому, как всегда, важна профилактика, чтобы в нужный момент у компании была возможность защитить себя.

#мнение

Privacy-мнение Comply ⏬

Количество судебных дел, связанных с ПД, увеличилось на 70% – сообщила Moscow Digital School. И это не просто цифры, это реальный тренд. Комментарий к статье давал управляющий партнер Comply, Артем Дмитриев.

И было бы вредно думать, что privacy-накал будет спадать. Ведь даже несмотря на весну за окном, интерес к этой сфере не уменьшается. А значит, дальше – больше! А теперь разбираемся в причинах этого тренда:

▶️ Общий уровень privacy-осведомленности и требовательности потребителей растет. Каждый из нас сталкивается с передачей ПД в самых, казалось бы, безобидных и рутинных бытовых ситуациях. От принудительного сбора «добровольных» согласий до бесконечных спам-звонков и неочевидного сбора биометрии. Например, недавняя кампания одного известного банка по сбору согласий на передачу биометрии в ЕБС через банкоматы и пуш-уведомления заставила многих потребителей критично посмотреть на практики сбора своих ПД и спровоцировало рост запросов и отзывов согласий в банк.

▶️ Появляется больше «гражданских» инструментов и сервисов в сфере приватности, например, внедряется управление согласиями на Госуслугах. Кроме того, мир privacy пополнился онлайн-инструментом для проверки утечек личных данных. Можно ввести свой email или номер телефона, и сервис быстро проверит, не были ли ваши данные скомпрометированы в интернете. Если ваши данные когда-либо утекали, вы узнаете, из какого именно сервиса это произошло.

▶️ Законодатель намерен передать обществу грозную карающую бизнес дубинку, то есть создать площадку для коллективных исков по ПД. Это рискует стать для бизнеса опаснее оборотных штрафов. Не забываем и про инициативы «наращивания» резервов для выплаты компенсаций субъектам данных, чьи права были нарушены, а также privacy — ОСАГО, о котором мы уже писали.

▶️ Центр помощи субъектам ПД, созданный ФГУП «ГРЧЦ», предлагает субъектам ПД консультации по вопросам обработки ПД онлайн (устно) и письменно, что также делает более доступным мир privacy для населения.

▶️ Все еще готовится ко второму чтению пакет законопроектов, усиливающих ответственность за утечки ПД. Но и без того хватает рисков. Ведь РКН развивает свой инструментарий для дистанционного мониторинга сайтов. РКН учится автоматизировано выявлять privacy-нарушения на сайтах без предупреждений компаний, узнавать их адреса, IP-адреса, серверы электронной почты, данные владельцев и много-многое другое.

Потому несмотря на действующий мораторий на проведение проверок, бизнесу важно убедиться в первую очередь во front-end compliance и быть начеку. Кто забыл — ниже в карточках напоминаем, что это такое, и почему так важно сейчас контролировать свою privacy-виктимность ⏬

#мнение

Privacy-мнение от Comply ⬇️

Обезличивание: компромисс или всего лишь эксперимент?

Держите карман шире! Ни то, ни другое, а дата-национализация.

Обезличивание подразумевает действия, в результате которых невозможно определить, кому принадлежат данные без дополнительной информации (п. 9 ст. 3 152-ФЗ). В терминах GDPR – псевдонимизация. Обезличенные данные остаются персональными, поскольку сохраняется возможность связи данных с субъектом посредством дополнительной информации.

Обезличивание позволяет усилить конфиденциальность и несколько митигировать риски из утечек за счет того, что данные хранятся не в открытом виде, а также сформировать «гигиену данных».

Что же тогда с обезличиванием не так❓

Прежде РКН неоднократно заявлял, что в текущем правовом поле у бизнеса нет права обезличивать данные, такое право дано лишь госорганам и отдельным организациям в соответствии с Приказом № 996. Однако в последнее время РКН отмечает, что Приказ могут использовать и коммерческие организации при определенных условиях.

Есть нюанс. РКН считает, что обезличивать данные можно только на основании предварительного согласия, в котором выделено обезличивание как способ обработки. То есть, чтобы обезличить данные, сперва получите на это согласие. Хотя, казалось бы, это нужно, в первую очередь, для защиты интересов субъектов… Что ж, еще больше согласий.

Устарели и сами рекомендации РКН от 2013 года по процедуре обезличивания. Есть и иные методики, не предусмотренные Приказом. Например, дифференциальная приватность, которая предполагает добавление шума и минимизацию запросов к дата-сету так, чтобы из него нельзя было вычленить данные, относящиеся к определяемому лицу. Регуляторы постепенно разрабатывают новые методики, но ни одна из них пока не увидела официальный свет.

В 2021 году внесен законопроект о поправках в 152-ФЗ, который допускал возможность бизнесу обезличивать данные на «особых» условиях. В 2023 году этот проект, с многочисленными поправками, перешел ко второму чтению. Казалось бы, успех так близко! Но нет.

Согласно законопроекту, операторы будут обязаны предоставлять ПД в государственное «озеро данных» для обезличивания и сборки дата-сетов. Первые три года доступ к обезличенным дата-сетам будут иметь только госорганы и подведомственные организации. А затем, доступ смогут получить и другие компании, одобренные правительственной комиссией. Процедура обезличивания будет устанавливаться регулятором, а финансироваться – в т.ч. за счет бизнеса. Таким образом, законопроект не только стремится сильнее урегулировать обезличивание, усилить контроль над данными, но и (!) национализировать их.

Но и бизнес не бездействует. Есть предложения ограничить бесплатную передачу данных государству только для нужд национальной безопасности, а доступ к остальным данным осуществлять на основе справедливой тарификации.

Кроме этого, индустрия пытается развивать институт экспериментальных правовых режимов (ЭПР). Так, Ассоциация Больших Данных выступила инициатором ЭПР «Доверенный посредник», который предполагает создание платформы для безопасной обработки обезличенных и промышленных данных. В рамках ЭПР могли бы тестироваться методологии обезличивания и санитизации данных, а также риск-модели оценки обезличенных данных. Цель ЭПР – выработать подход к обезличенным данным, институционализировать их оборот и деятельность дата-посредников. Иными словами, это попытка предложить рабочий компромисс между интересами власти и бизнеса.

Наблюдаем за развитием проектов и рассчитываем все же не на радикализацию регулирования, а win-win подход, когда учитываются интересы и государства, и бизнеса, и даже пользователей. Ну а пока не отобрали – обезличивайте [с согласия] [и в статистических целях] 🙂

#мнение