Идея о разработке ЦК обсуждается, например, в юридическом обществе уже достаточно давно. С одной стороны, в действующем законе об информации накопилось множество дублирующих друг друга норм. Самый яркий пример – это порядок блокировок, эффективнее было бы привести его к единому знаменателю. С другой стороны, широкое понятие о цифровой отрасли затрагивают разные правоотношения, включая пиратство, распространение порочащих сведений, защиту детей от вредной информации и т.д. Так что объединять все это в рамках одного документа будет настоящим вызовом для его разработчиков.

До социального рейтинга еще слишком далеко, но определенные аллюзии, конечно, напрашиваются. Ведь реестр создается в целях социального давления или «доски позора», хотя и благой цели ради – мотивировать выплату алиментов.

Любая регуляторная инициатива должна предполагать компромисс между интересами/правами одних и свободами других. Предлагаемое решение не бесспорно, но не приводит к дисбалансу прав и интересов. Ведь инициатива направлена на поддержку наименее защищенных слоев населения.

Важно, чтобы реестр со временем не приводил бы к наложению вторичных санкций. Например, увольнению с работы, отказу в предоставлении государственных услуг, повышенным ставкам кредитов и прочим неприятностям.

Как кажется, все же крупные компании стремятся сохранить свое исключительное право на собранные и обрабатываемые данные. То есть для B2C сегмента данные, конечно же, актив, ценность, конкурентное преимущество и далее по списку. И, что важно, такой бизнес, желая оставаться экономическим бенефициаром данных, безусловно осознает и необходимость быть владельцем связанных с этими данными рисками.

А не хотят ли данные национализировать, не предоставив выбор бизнесу? Уверен, бизнес сам способен решить, есть ли необходимость в таких «спецоператорах». Лично я, несмотря на активную GR повестку, ни разу не слышал от бизнеса и ассоциаций таких мыслей. Хотя допускаю, что малый бизнес и возможно B2B средний бизнес будут не против снять с себя часть рисков, лишившись при этом своего «экономического титула» на данные. Но пока вопросов больше, чем ответов. Например, по каким правилам и SLA будет осуществляться взаимодействие между бизнесом и «спецоператором».

И говоря о том, что эта концепция вообще как-то позволит снизить риски, мы, конечно же, остаемся оптимистами. Централизация хранения персональных данных может и снижает нагрузку на бизнес, позволяя ему делегировать защиту данных «спецоператору», но сосредотачивает риск утечки данных в одном месте, делая его более привлекательным для злоумышленников.

Важно понимать, что оператором ПД по-прежнему остается бизнес, даже если он делегирует их хранение или иную обработку «спецоператору». В законодательстве нет какого-то особого статуса «спецоператора», поэтому пока что он больше всего похож на обработчика по поручению. А у обработчика, как известно, ответственности за утечку не особо много. Поэтому, если уж и пытаться в этой инициативе найти пользу, то необходимы изменения механизмов применения уже грядущих оборотных штрафов, распределение ответственности между бизнесом и «спецоператором».

И к слову, возможно было бы правильнее апробировать эту концепцию через экспериментальный правовой режим (ЭПР), включая правовые и организационно-технологические процессы. Как раз в рамках ЭПР можно было бы понять, насколько эта модель может быть вообще востребована бизнесом, так чтобы сгладить острые углы до выпуска концепции в законодательный «продакшн».

Несколько лет назад суды сделали вывод, что такие системы видеонаблюдения сами по себе не обрабатывают персональные данные, а лишь сравнивают изображение с видеокамер с получаемыми от правоохранительных органов. Использование БПЛА с ИИ для контроля и выявления правонарушений, вероятно, будет внедрено в нашу жизнь, несмотря на критику со стороны общества и экспертов.

«Мягкое право» – это хорошие практики, «белые книги», разъяснения контекста и правил работы с данными, которые имеют лишь рекомендательный характер, но не санкционированы властью в форме закона. Такие или похожие инструменты уже есть, например, «белая книга» Ассоциации больших данных (АБД).

Здорово, что эта тема была акцентирована в выступлении Милоша Вагнера. Ведь важно понимать, что без прямого участия контролирующих органов в работе над нормами такого права вряд ли получится сделать его безопасным и комфортным для применения всеми участниками рынка, в том числе субъектами персданных.

Для того чтобы «мягкое право» начало работать, необходима платформа для эффективного взаимодействия бизнеса и государства в форме, например, совета с участием Минцифры и Роскомнадзора. А также экспертного и бизнес-сообществ. Это позволит обеспечить реальное и оперативное воздействие принимаемых на платформе решений на рынок, в том числе на правоприменительную практику и создание того самого «мягкого права».

К наиболее приоритетным и очевидным направлениям «мягкого права» относятся проработка и согласование с контролирующими органами концепций opt-out (конклюдентных) согласий и законного интереса. При проработке этих концепций как раз могут быть учтены и рекомендованы дополнительные гарантии защиты прав субъектов ПД, например, эффективная механика отзыва субъектами таких согласий и возражения против обработки через формы отписок и стоп-листы, понятность субъектам условий такой обработки персданных (рекомендации к уведомлениям, стандартизированные иконки в приложениях и на сайтах).

Кроме совершенствования согласий, другими перспективными направлениями для обсуждения и проработки мягкого права должны быть вопросы обезличивания данных, понятные и прозрачные критерии для добровольной оценки соответствия операторов ПД.

По этим направлениям при совместной работе государственных органов, экспертного и бизнес-сообществ должны разрабатываться методические рекомендации и отраслевые стандарты.