💻 Статья Михаила Ратушного, DPO Ozon, Политика обработки персональных данных: насущная потребность для оператора:
🔸Есть ли польза в политиках?
🔸Политика как основной документ оператора
🔸Что должно быть в политике
🔸Как публиковать политику

🫣 Систему, используемую крупными розничными сетями для отслеживания краж, заподозрили в сборе биометрии граждан
🔸Ассоциация профессиональных пользователей социальных сетей и мессенджеров (АППСИМ) направила в Роскомнадзор письмо с просьбой проверить законность использования системой "СтопШопЛифтер" биометрических данных посетителей торговых точек. По данным ассоциации на 2019 год, она внедрена в более чем 300 магазинах 14 сетей ритейла в России, включая "Перекресток", "Ленту", "Ашан", "Подружку", "Детский мир" и Metro Cash&Carry.
🔸Эта система работает так: когда покупатель забыл оплатить товар и ушел с ним, то сотрудник магазина, выполняющий функции оператора системы, может просмотреть записи с камер видеонаблюдения и внести в базу данных "СтопШопЛифтер" фото и видео с ним, а также информацию о нем и о том, какую сумму он остался должен. Затем доступ к этим данным получают все торговые точки, в которых установлена система. Если этот человек вновь придет сюда, то по громкой связи начнет звучать голос, предупреждающий, что воровать плохо, а на специальное приложение работников придет оповещение с его снимком. Более того, охранники могут попросить клиента возместить ущерб. В случае, если он откажется, служба безопасности может вызвать сотрудников полиции.
🔸Также в составе "СтопШопЛифтера" есть модуль автоматической аналитики, идентифицирующий людей за счет распознавания лиц "забывчивых покупателей" и поиска данных человека по соцсетям.
🔸В АППСИМ считают, что некоторые аспекты работы этой системы неправомерны: в частности, когда доступ к ее управлению получает директор или его заместитель, то включение в базу людей идет неконтролируемым образом - там случайно могут появиться добросовестные покупатели. При этом снятие и использование биометрических данных, в том числе с несовершеннолетних посетителей, происходит без согласия граждан на их обработку. Хранится эта информация на серверных мощностях коммерческих компания с "нерегулируемым кругом лиц".

🏥 Данные всех пациентов соберут в одну цифровую систему: в Минздраве уверяют, что утечек персональной информации не допустят
🔸Уже больше десяти лет в отечественном здравоохранении активно используют «цифру». В поликлиниках врачи заводят электронные карты и записывают туда результаты обследований и диагнозы пациентов. Эти данные могут видеть и доктора в других клиниках, и сами пациенты. В 2024 году цифровизация здравоохранения должна завершиться во всех государственных и муниципальных медицинских организациях, пообещал 25 апреля во время заседания Комитета Совфеда по социальной политике замминистра здравоохранения Павел Пугачев.
🔸Врач должен соблюдать врачебную тайну и не имеет права ее разглашать, если такое произойдет — это прямое профессиональное нарушение, подчеркнул Пугачев. «В медицинских системах, которыми пользуются в регионах, реализована достаточно серьезная система разграничения доступа. Вопрос ее настройки и применения в конкретной медицинской организации. Минздрав очень строго следит за этим», — заверил представитель министерства.

⚡️Биржам данных необходима правильная регуляторика
🔸В ходе форума Data Fusion 2024 игроки рынка определили, как государство и пласт коммерческих организаций могут извлекать пользу из данных, если их объединять, не нарушая законы, которые обеспечивают защиту данных.
🔸Генеральный директор платформы больших данных Platforma Андрей Тотмаков выделил четыре барьера создания биржи данных:

1. Рыночные (зачем это делать? какая выгода?)
2. Методологические (система классификации, как оценивать данные)
3. Юридические (если мы имеем данные, а можем ли мы их переиспользовать? кто обладает правами на использование данных?)
4. Технологические (применяются средства обезличивания и безопасности, которым можно доверять)

🔸Основатель компании Privacy Advocates Алексей Мунтян считает, что обезличить персональные данные (ПД) таким образом, чтобы всем было хорошо, вряд ли получится:

Ограничение сценариев на использование наборов ПД - это потенциально один из наиболее интересных и действенных способов дать возможность бизнесу и государству использовать большие объемы обезличенных ПД и, с другой стороны, обеспечить защиту прав субъектов ПД.

🏦 Тестировать платформу согласий на обмен данными клиентов начнут на Госуслугах в 2024 году
🔸На базе портала «Госуслуги» до конца года Центробанк (ЦБ) и Минцифры с участниками финрынка начнут пилотировать платформу коммерческих согласий (ПКС). Ее внедрение позволит гражданам без дополнительного подтверждения сведений о себе получать любые услуги от разных банков, МФО, страховых, брокеров, а в будущем, возможно, и магазинов, медицинских учреждений и так далее.
🔸Организации будут делиться информацией о клиентах через открытые API — это программные интерфейсы для цифрового обмена данными. Поэтапное внедрение обязательного использования открытых API на финрынке (помимо банков к обмену данными подключаются и другие его участники) планируется с 2026 года. А в дальнейшем систему могут начать распространять на других поставщиков услуг по модели открытых данных.
🔸«Когда человеку понадобится дистанционно получить услугу финансовой организации, а у нее будет недостаточно данных о нем, он сможет дать согласие на передачу этих данных из другой финансовой организации, у которой эта информация есть. Например, если человеку понадобится продлить полис ипотечного страхования, он сможет дать согласие на то, чтобы его кредитная организация передала необходимую информацию страховщику», — рассказали в регуляторе. Как подчеркнули в ЦБ, на платформе, что важно, будут храниться только согласия граждан, а не информация о них.

🏛️ Минцифры предложило ввести штрафы до 2 млн руб. за нарушения правил продаж сим-карт иностранцам
🔸В проекте поправок говорится, что нарушение требований к оказанию услуг связи иностранным гражданам и лицам без гражданства влечет наложение штрафа от 100 тыс. до 200 тыс. руб. для должностных лиц и от 1 млн до 2 млн руб. для юридических лиц. Документ дополняет поправки к законам «О связи» (126-ФЗ) и о биометрии (572-ФЗ), которые опубликовало Минцифры 27 апреля.

🏛️ Минцифры хочет расширить перечень сведений, которые интернет-ресурсы будут передавать силовикам
🔸Регулятор предложил дополнить перечень информации, которую должны хранить организаторы хранения информации (ОРИ), номером сетевого порта пользователя и самого ресурса ОРИ.
🔸ОРИ — это любое физическое или юрлицо, владеющее сайтом с возможностью коммуникации между пользователями. В первую очередь к ним относятся соцсети, мессенджеры, файловые хранилища, видеохостинги, сайты знакомств, СМИ, онлайн-магазины и сайты с наличием обратной связи, площадки объявлений.

💡Вопрос: Должен ли работник, назначенный ответственным за организацию обработки персональных данных (DPO), быть в прямом подчинении генерального директора компании? Есть ли требования к должности работника для назначения его ответственным за организацию обработки персональных данных?

🏛 Роскомнадзор (ЦА): Согласно ч. 2 ст. 22.1 152-ФЗ лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от исполнительного органа организации, являющейся оператором, и подотчетно ему.
🔸С учетом указанных положений оператор вправе самостоятельно определить способ выполнения требований ч. 2 ст. 22.1 152-ФЗ о подотчетности лица, являющегося ответственным за организацию обработки персональных данных, исполнительному органу оператора.
🔸Относительно требований, предъявляемых к лицу, назначаемому ответственным за организацию обработки персональных данных, необходимо руководствоваться ч. 4 ст. 22.1 152-ФЗ, определяющей полномочия указанного лица.

⭐️В RPPA.ru запустили второй поток учебного курса повышения квалификации по фундаментальным основам приватности, который подойдёт экспертам с любым опытом и уровнем погружения. С более подробным расписанием можно ознакомиться ниже.

🔸Privacy Fundamentals от RPPA будет 3 июня - 25 июля 2024 года. Полная информация, в том числе состав преподавателей и расписание курса - по ссылке

Также курсы помогают подготовиться к сертификации PPCP.pro, подробности на сайте.

#философское #пд #эффект_наблюдателя
💡В режиме наблюдателя: квантовое мышление и персональные данные
🔸Квантовый «эффект наблюдателя» в эксперименте Юнга: если наблюдателя нет, то электроны, проходя сразу через две щели, ведут себя как волны. Когда наблюдатель возникает и пытается определить, через какую именно из щелей пролетели электроны, то они начинают вести себя как частицы.
🔸Аналогично (хотя любая аналогия априори ложна 🙃) информация определяется в качестве персональных данных не абсолютно, а относительно наличия наблюдателя/оператора - как заинтересованного в таком определении лица.

🏛️ Минюст предлагает утвердить порядок доступа к реестру лиц на пробации
🔸Доступ к реестру предлагается предоставить Федеральной службе исполнения наказаний, учреждениям уголовно-исполнительной системы, органам госвласти субъектов России и местного самоуправления, а также, по решению кабмина, иным федеральным структурам исполнительной власти. Кроме того, документ может быть открыт коммерческим и некоммерческим организациям, которые в том числе ведут образовательную, научную деятельность или оказывают социальные услуги. Сведения об осужденных могут получить и общественные объединения и наблюдательные комиссии, индивидуальные предприниматели, а также иные граждане, «имеющие основания для доступа к информации».

🏛️ ФНС разъяснило, нужно ли удерживать НДФЛ с компенсации за утечку персональных данных
🔸В своем письме от 26.04.2024 № БС-4-11/5038@ ФНС напоминает, что перечень доходов, не подлежащих обложению НДФЛ, содержится в статье 217 НК РФ.
🔸Положений, предусматривающих освобождение от НДФЛ денежной выплаты, производимой оператором-юридическим лицом в пользу физических лиц - субъектов персональных данных в связи с допущенной утечкой персональных данных в качестве условия для снижения размера административного штрафа, В НК РФ не содержится. Таким образом, указанная денежная выплата подлежит обложению НДФЛ в общем порядке.
🔸Соответственно, оператор-юридическое лицо, производящее указанную денежную выплату физическим лицам, признается в данном случае налоговым агентом и обязано исчислить, удержать у налогоплательщика и уплатить сумму НДФЛ. Кроме того, данные выплаты оператору следует включить в отчетность по НДФЛ.

🏛️ Госдума одобрила поправки к закону о банкротстве - сведения об имуществе супругов должников станут доступнее
🔸Предусмотрены изменения и в части банкротства граждан: супруги должников признаются участниками дела, прописывается право арбитражного управляющего (АУ) получать информацию об их активах без предварительного обращения в суд.
🔸Дополнена норма и положениями о праве АУ получать информацию и об иных родственниках и их имуществе — в судебном порядке, но без проведения заседания.

🏛️ РКН потребовал от TikTok отчитаться о соблюдении российских законов
🔸Роскомнадзор после обращения ассоциации АППСИМ на работу сервиса TikTok в России направил его головной компании запрос, касающийся соблюдения законов "О персональных данных" и "Об информации, информационных технологиях и о защите информации".
🔸Ассоциация просила проверить TikTok на предмет локализации данных пользователей, поскольку соцсеть по-прежнему дает смотреть видео и оставлять под ними комментарии. АППСИМ отмечала, что после выраженной в 2019 году готовности платформы локализовать данные не было публичных сообщений об исполнении закона. Эксперты, помимо этого, не смогли найти в соцсети признаков исполнения так называемого закона о рекомендательных алгоритмах.

⚡🔐 GDPR Day 2024 –профессиональная конференция по защите персональных данных. Тематика этого года: комплаенс международного бизнеса.

В этом году в эфире будут обсуждаться следующие темы:
➖ Защита данных в Китае: ключевые особенности и вызовы.
➖ Как выявлять применимые экстерриториальные законы.
➖ Где искать и находить информацию по множествам юрисдикций.
➖ Упрощая комплаенс: как сделать процессы защиты данных понятными и доступными.
➖ Тренды развития законодательства по защите персональных данных.
➖ GDPR для стартапов, зачем нужно и как настроить.
И это еще не весь список!

Регистрируйтесь 🤖 через бота в Telegram или на сайте.

⚡Штрафовать за мелкие нарушения планируют с помощью камер и биометрической идентификации
🔸Власти обсуждают введение автоматических штрафов за переход улицы, курение или распитие алкоголя в неположенных местах, как за нарушение ПДД. Проработать вопрос использования камер с искусственным интеллектом комиссия Госсовета РФ поручила Минцифры. Выявлять нарушителей будет Единая биометрическая система (ЕБС), в которую сейчас передаются данные клиентов банков, а в перспективе — идентификационная информация подавляющего числа мигрантов.
🔸В Минцифры получили решение по итогам заседания комиссии и сейчас изучают документ, сообщили в ведомстве. "ЕБС не связана с городскими системами видеонаблюдения и по закону о биометрии №572 не может использоваться в оперативно-разыскной деятельности", — отметили в пресс-службе.
🔸ЕБС направлена на повышение доступности сервисов: регистрация биометрических данных в системе — исключительно добровольная, добавили в Минцифре. Принуждать гражданина использовать ее или отказывать ему в оказании услуг при нежелании сдавать данные — запрещено законом, отметили его представители.
🔸В пресс-службе оператора ЕБС — Центра биометрических технологий (ЦБТ) — отметили, что не распознают и не идентифицируют пользователя, пока гражданин самостоятельно не обратится в систему с запросом на предоставление сервиса. ЕБС не может использоваться для автоматического наложения штрафов на граждан.

🏛️ Минцифры работает над созданием озера обезличенных данных россиян
🔸Необходимо отрегулировать вопрос обезличивания больших данных для того, чтобы исключить нанесение ущерба гражданам из-за утечки информации о них. Об этом заявил кандидат на пост министра цифрового развития, связи и массовых коммуникаций Максут Шадаев на пленарном заседании Госдумы 14 мая.
🔸Сегодня, по его словам, стоит задача полностью отрегулировать вопрос обезличивания больших данных, чтобы исключить любой риск нанесения ущерба гражданам в части раскрытия персональных данных. Для этого необходимо «создать технологию, когда эти данные будут обезличиваться, помещаться в одно большое государственное озеро данных».
🔸«Через это озеро данных будет обеспечиваться лимитированный доступ разработчиков к соответствующим датасетам для развития своих технологий», — пояснил Шадаев. Это мероприятие, по его словам, включено в новый нацпроект «Экономика данных», над которым сейчас идет работа. Его реализация начнется в 2025 году.

На ярмарке вакансий RPPA опубликована позиция:
🔸Юрист по персональным данным в Группу Т1
🇷🇺⚡️👨‍💻 #вакансия #privacy #legal