Authoritarian Privacy [1] свежая научная статья в открытом доступе о том как развиваются законы о приватности в авторитарных режимах. Нет, не в России, но в Китае.

Статья ориентирована на читателя знакомого с законами о приватности в демократических странах и рассказывает о разнице в регуляторных подходах, природе самого регулирования и в ней же хорошо систематизированы и множественно приведены примеры проблем с приватностью. Например, там наглядные примеры торговли биометрическими данными и госрегулирование распознавания лиц, но не только.

При этом, судя по примерам в статье, само китайское общество гораздо более активно чем российское, к примеру, самоорганизуется для защиты приватности. Например, история с профессором Guo Bing в 2019 году который потребовал чтобы его биометрические данные (изображение лица) были удалены из системы сафари-парка где от него потребовали такой идентификации и есть немало других подобных примеров.

Ссылки։
[1] https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4362527

#privacy #china #facerecognition

⚡И.Ашманов: За утечку персональных данных начнут штрафовать и сажать
🔸Минцифры планирует в апреле внести в Госдуму два законопроекта, которые вводят оборотные штрафы для компаний - от 5 до 500 миллионов рублей - за утечку персональных данных, а также уголовную ответственность за кражу и продажу такой информации.

На ярмарке вакансий RPPA опубликована новая позиция:
Юрист (ИТ, персональные данные) в Yum! Brands
🇷🇺⚡👨‍💻 #вакансия #privacy #legal

🇮🇹 Италию захлестнула волна похищений конфиденциальных данных автовладельцев
🔸В середине февраля на официальном веб-сайте Toyota в Италии по неведомой причине стала доступна для скачивания обширная база с учётными данными Salesforce Marketing Cloud, поставщика программного обеспечения и услуг для автоматизации цифрового маркетинга. Используя эти данные, злоумышленники могли получить доступ к телефонным номерам и адресам электронной почты клиентов, а также воспользоваться официальным каналом связи компании для связи с автовладельцами.
🔸На днях Toyota заявила, что утечка была спровоцирована не человеческой ошибкой, а целенаправленным нарушением безопасности в одном из итальянских офисов компании. Как сообщается, японский автопроизводитель уже давно предпринял все необходимые меры кибербезопасности, чтобы смягчить последствия утечки и не допустить подобного в будущем. Однако на этом история не заканчивается. В начале марта подобную базу данных те же исследователи заметили уже на итальянском веб-сайте немецкого автопроизводителя BMW.
🔸А в апреле не менее популярный, но уже южнокорейский автоконцерн Hyundai уведомил своих клиентов, что злоумышленники получили доступ к личным данным клиентам в результате компрометации офисов компании в той же Италии, а также во Франции. Как сообщается, в открытый доступ попали номера телефонов и адреса электронной почты, а также физические адреса клиентов.

🏛️ Типовые нарушения положений 152-ФЗ от 27.07.2006 «О персональных данных» на Интернет-ресурсах
Управлением Роскомнадзора по Мурманской области проведено плановое мероприятие по контролю без взаимодействия с контролируемыми лицами в отношении парикмахерских и салонов красоты. Специалистами отдела контроля и надзора за соблюдением законодательства в сфере персональных данных проанализированы интернет-сайты ряда организаций, осуществляющих деятельность в указанной сфере, на предмет их соответствия положениям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». В числе выявленных нарушений:
🔸сбор персональных данных на сайте при отсутствии механизма получения согласия на обработку персональных данных и возможности ознакомления с текстом согласия на обработку персональных данных;
🔸отсутствие на сайте документов, определяющих политику в отношении обработки персональных данных, и сведений о реализуемых требованиях к защите персональных данных;
🔸распространение на сайте персональных данных в различном объеме при отсутствии информации о наличии согласий на обработку персональных данных, а также о наличии условий и запретов на распространение;
🔸сбор персональных данных на сайте посредством использования метрических программ (Яндекса.Метрика, LiveInternet) при отсутствии механизма получения согласия на обработку персональных данных.

☝️Вопросы об ответственности DPO в РФ к Роскомнадзору:
🔸Вправе ли Оператор назначить в качестве лица, ответственного за организацию обработки персональных данных (ПД), другое юридическое или физическое лицо (не работника Оператора) в порядке ст. 22.1 152-ФЗ?
🔸Относится ли физическое лицо (не работник Оператора) к категории должностное лицо в соответствии с КоАП РФ и может ли привлекаться к административной ответственности (например, по ст. 13.11 КоАП РФ)?
🔸Относится ли физические лицо (работник Оператора) к категории должностное лицо в соответствии с КоАП РФ и может ли привлекаться к административной ответственности (например, по ст. 13.11 КоАП РФ)?
🔸Может ли привлекаться к административной ответственности другое юридическое лицо, назначенное в качестве ответственного за организацию обработку ПД (DPO)?
🔸В каких случаях привлекается единоличный исполнительный орган (ЕИО) Оператора к административной ответственности в области обработки ПД?
🔸В каких случаях ЕИО Оператора освобождается от административной ответственности?
🔸Может ли привлекаться к административной ответственности ЕИО Оператора в условиях, когда Оператор в порядке ст. 22.1 152-ФЗ назначил DPO?
🔸Может ли привлекаться к административной ответственности DPO (работник Оператора) вместо ЕИО Оператора, если на него возложены организационно-распорядительные функции в соответствии со ст. 22.1 152-ФЗ и 2.4. КоАП РФ?
🔸Может ли привлекаться к административной ответственности DPO (не работник Оператора), вместо ЕИО Оператора, если на него возложены организационно-распорядительные функции в соответствии со ст. 22.1 152-ФЗ и 2.4. КоАП РФ?
🔸Может ли привлекаться DPO (другое юридическое лицо) вместо ЕИО Оператора, если на него возложены организационно-распорядительные функции в соответствии со ст. 22.1 152-ФЗ и 2.4. КоАП РФ?
🔸Вправе ли Оператор назначить работника Оператора в качестве должностного лица, ответственного за организацию обработки персональных данных, и одновременно назначить иное лицо (не работника или иное юридическое лицо) в качестве ответственного лица в соответствии со ст. 22.1 152-ФЗ?

Минобрнауки проинформировало о нарушениях, выявленных за 2022 год в ходе проверок деятельности подведомственных организаций

Письмо №МН-22/497-ДП от 24.03.2023
Нарушения при работе с персональными данными.
Продолжение

💬отсутствие локального нормативного акта о работе с персональными данными;
💬не назначено лицо, ответственное за организацию обработки персональных данных;
💬не определены места хранения персональных данных;
💬необеспечение неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных;
💬обработка персональных данных, являющихся избыточными по отношению к заявленным целям их обработки;
💬отсутствует список лиц, имеющих доступ к персональным данным работников;
💬обработка персональных данных без согласий на их обработку;
💬неосуществление ознакомления работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных;
💬уведомление о разрешении на обработку персональных данных не содержит полного перечня персональных данных обрабатываемых учреждением.

Рекомендации по устранению нарушений выданы такие:
💬Усилить контроль за соблюдением требований ...152-ФЗ ...

💬Необходимо издание локального нормативного акта о работе с персональными данными.

💬Назначить лицо, ответственное за организацию обработки персональных данных.

💬Определить места хранения персональных данных работников.

💬Обеспечить неограниченный доступ к документу, определяющему политику оператора в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.

💬Определить в учреждении объем и содержание обрабатываемых персональных данных работника в соответствии Трудовым кодексом ..., ...152-ФЗ и иными федеральными законами.

💬Определить список лиц, имеющих доступ к персональным данным работников.

💬Осуществлять обработку персональных данных только при наличии согласий на их обработку.

💬Ознакомить работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных

Минцифры России (VK)

⚡ Александр Шойтов: «Если человек хочет видеть таргетированную рекламу, он может согласиться на это. У него должно быть право. А если не хочет, у него тоже должно быть такое право – отказаться от предоставления своих данных».

Минцифры России #DataFusion2023