💡Публикую краткое описание методики оценки применимости GDPR в отношении процессов обработки персональных данных. В материале приведены:
📎 Перечень вопросов для оценки применимости положений GDPR к процессам обработки ПД;
📎 Блок-схема оценки применимости положений GDPR к процессам обработки ПД.

#непропрайваси
ФНС России рекомендует налогоплательщикам проверить адрес своей электронной почты перед отправкой обращений в Службу. Приём электронных писем из доменов-отправителей, странами происхождения которых являются США и страны Европейского союза, сейчас заблокирован. Это сделано в соответствии с рекомендациями ФСТЭК России для защиты сервиса электронной почты ФНС России от внешнего негативного влияния (компьютерные атаки, вредоносные программы и т.д.).

Запрет на прием электронных писем с зарубежных доменов установлен и в других государственных органах.

Добавил в описание законопроекта об изменении 152-ФЗ «О персональных данных» ряд своих предложений в адрес Центра компетенций по нормативному регулированию цифровой экономики.

#непропрайваси
Роскомнадзор планирует создать национальную систему защиты российских ресурсов от DDoS-атак, идущих из-за рубежа. Национальная система может появиться осенью 2022 года: к этому моменту ведомство намерено обновить оборудование для глубокой фильтрации трафика (Deep Packet Inspection, DPI), которое используется для исполнения закона о суверенном Интернете, который направлен на обеспечение бесперебойной работы российского сегмента Интернета даже в случае отключения страны от глобальной сети и кибератак.

💡Публикую свою презентацию "Способы легализации обработки персональных данных в контексте трудовых и связанных с ними отношений":
🔹Согласие работника как безальтернативный (базовый) способ легализации обработки ПД в трудовых отношениях
🔹Согласие на обработку ПД и его модель
🔹Аргументы «за» и «против» существующей модели легализации обработки ПД работников на базе СОПД
🔹Легализация обработки ПД работников без СОПД: 152-ФЗ и ТК РФ
🔹Легализация обработки ПД работников без СОПД: разъяснения отраслевого регулятора и надзорного органа
🔹Судебная практика об обработке ПД работников без СОПД и при наличии СОПД с избыточными положениями
🔹Европейский опыт: СОПД работника не может рассматриваться как свободно данное из-за явного дисбаланса между сторонами
🔹Аргументы «за» и «против» перспективной модели легализации обработки ПД работников на базе связки из трудового договора и ЛНА работодателя
🔹Гибридная модель легализации обработки ПД в контексте трудовых и связанных с ними отношений

Госдума приняла во втором чтении законопроект, направленный на защиту потребителей от необоснованного сбора персональных данных со стороны продавцов и поставщиков услуг. Документ, инициированный правительством РФ, вносит поправки в закон "О защите прав потребителей".

Законопроект устанавливает запрет для продавца (исполнителя, владельца агрегатора) отказывать в заключении, изменении, расторжении или исполнении договора в связи с отказом потребителя предоставить персональные данные. Также документ устанавливает перечень недопустимых условий договора, ущемляющих права потребителей. Законопроектом предусмотрен запрет на понуждение потребителя под угрозой отказа в совершении сделки к предоставлению персональных данных в случаях, когда предоставление таких данных не предусмотрено законодательством РФ и не связано с совершением сделки о реализации товаров (работ, услуг).

https://tass.ru/ekonomika/14412009

SAP планирует уход из РФ, что серьезно повышает приоритетность поиска ответа на вызов в отношении отключения сервиса "Russia Cloud Residency Solution" (в контексте локализации в России баз с ПД).

⚡Штраф за неправомерное использование технологий искусственного интеллекта при анализе звонков клиентов

▫️Кто: Nemzeti Adatvédelmi és Információszabadság Hatóság (Венгрия)▫️Кого: неназванный банк
▫️Когда: 2022.04 (публикация сведений о нарушении)
▫️За что: нарушение ст. 5(1)(b), 6, 12, 13, 21, 24, 25 GDPR
▫️Как: штраф €670,000 и предписание изменить процесс обработки персональных данных
▫️Причина: банк с использованием технологий искусственного интеллекта (ИИ) осуществлял анализ записей телефонных переговоров с клиентами. По результатам анализа эмоционального состояния клиента и используемых им ключевых слов ИИ в автоматическом режиме формировал рейтинг клиентов, в отношении которых рекомендовалось выполнить повторный (обратный) звонок. По мнению банка, законным основанием для такой обработки является законный интерес самого банка.
Надзорный орган указал, что единственным правовым основанием для анализа голоса и эмоционального состояния человека может быть только свободно предоставленное и информированное согласие субъекта данных. Кроме того, проеденное банком DPIA не предусмотрело принятие адекватных мер по снижению рисков для субъектов данных.

⚡Мировой суд в Москве в четверг оштрафовал на 60 тыс. рублей сервис "Яндекс.Еда" за утечку данных пользователей в открытый доступ. Согласно материалам дела, "Яндекс.Еда" допустила утечку персональных данных, подпав под действие ч. 1 ст. 13.11 КоАП РФ. Максимальное наказание по данному составу - 100 тыс. рублей. Ранее 33 пользователя обратились в суд, требуя каждый по 100 тыс. рублей.
PS Текст решения ждём здесь: https://mos-sud.ru/101/cases/admin/details/f6ffad43-95ae-4186-8d87-5e0ab277e669

⚡⏳ 21.03.2022г. в Государственную думу был внесен законопроект "О похоронном деле в Российской Федерации". Он предполагает полную замену действующего с 1996 года закона "О погребении и похоронном деле" и содержит статью 24 "Защита персональных данных в области похоронного дела" следующего содержания:
1. Должностные лица органов государственной власти субъектов Российской Федерации, органов местного самоуправления, медицинские работники, должностные лица иных учреждений и организаций, которые в силу своих должностных обязанностей имеют доступ к информации о фактах наступления смерти граждан, не вправе предлагать и (или) иным способом оказывать прямое или косвенное влияние на близких родственников, иных родственников умерших, иных лиц, взявших на себя обязанность по организации похорон умерших, по приобретению ритуальных услуг, в том числе входящих в гарантированный перечень услуг по погребению, предусмотренный статьей 11 настоящего Федерального закона, а также требовать заключения договора на организацию похорон с определенным лицом.
2. Должностные лица органов государственной власти субъектов Российской Федерации, органов местного самоуправления, медицинские работники, должностные лица иных учреждений и организаций, получившие доступ к информации о фактах наступления смерти и иным персональным данным умершего, его близких родственников и иных родственников, не вправе раскрывать указанную информацию третьим лицам, за исключением близких родственников, иных родственников умерших и иных лиц, взявших на себя обязанность по организации похорон умерших, если иное не предусмотрено федеральным законом.

🏛️ Штраф на процессора за утечку данных и ненадлежащий Data Processing Agreement
▫️Кто: Commission nationale de l'informatique et des libertés (Франция)
▫️Кого: Dedalus Biologie
▫️Когда: 2022.04
▫️За что: нарушение ст.28(3), 29, 32 GDPR
▫️Как: штраф €1,500,000
▫️Причина: 23.02.2021г. СМИ опубликовали сведения об утечке персональных данных почти 500,000 человек из двух лабораторий, обслуживаемых Dedalus Biologie – поставщиком SaaS-решения для осуществления медицинских анализов. Скомпрометированные данные включали медицинскую информацию (например, болезни, генетические заболевания, беременность, медикаментозное лечение, генетические данные).
SaaS-провайдер (как процессор данных) был признан виновным не только в принятии недостаточных технических и организационных мер по защите утекших данных, но и в нарушении требований к содержанию Data Processing Agreement, заключаемого с потребителями SaaS-решения.

⚡️🇪🇺 Крупнейшие технологические компании мира могут быть оштрафованы на миллиарды долларов за нарушение нового законодательства Евросоюза о безопасном интернете, детали которого были согласованы законодателями 23.04.2022.
🏛 Речь идет о Законе о цифровых услугах (Digital Services Act, DSA), который Брюссель подготовил в ответ на неспособность IT-гигантов бороться с дезинформацией, экстремизмом и незаконным контентом на своих платформах. Новые требования могут вступить уже в 2024 году, их нарушение грозит компаниям штрафами в размере до 6% от их глобальных годовых продаж.
📄 Ранее, 24.03.2022, ЕС завершил работу над Законом о цифровых рынках (Digital Markets Act, DMA), который призван не допустить рыночное доминирование, отмечает агентство. Несоблюдение его требований грозит техногигантам штрафами в размере до 10% от годовых продаж за первоначальное нарушение и до 20% — за повторное.

🧨 Резкий уход Booking.com и Mailchimp заблокировал для российских клиентов этих сервисов доступ к собственной коммерческий информации, включая персональные данные. И публичное заявление одного из сервисов о локализации баз с персональными данными российских граждан почему-то не сильно помогло (гм, что же могло пойти не так? 🤔).
⚠️ Итогом стало появление инициатив о законодательном закреплении права на отчуждение коммерчески значимой информации, которую собирают интернет-сервисы.

🚸🏛️ Глава комитета Совета Федерации по конституционному законодательству и госстроительству Клишас заявил о подготовке законопроектов по безопасности несовершеннолетних в Сети.
⚡В числе вопросов, связанных с безопасностью в Сети, над которыми законодателям еще предстоит поработать, сенатор назвал вопрос защиты персональных данных.
⚡Говоря о цифровом суверенитете, Клишас подчеркнул, что регулирование этого вопроса не означает, что Россия от кого-то закрывается, но у таких площадок, как YouTube, у других популярных социальных сетей и мессенджеров не должно возникать даже мысли о том, нужно ли им исполнять нормы закона на территории РФ.

⚡👮‍♂️🔍 Вечер перестает быть томным: Следственный комитет РФ возбудил уголовное дело по факту утечки данных пользователей «Яндекс.Еды» - ч.1 ст.137 («Нарушение неприкосновенности частной жизни»), ч.3 ст.272 («Неправомерный доступ к компьютерной информации») и ч.2 ст.273 («Создание, использование и распространение вредоносных компьютерных программ») УК РФ.

⚡🏛️ Совет Федерации на заседании во вторник одобрил закон, направленный на защиту потребителей от необоснованного сбора персональных данных со стороны продавцов и поставщиков услуг.

⚡🇪🇺🏛️ Комитеты Европарламента по внутреннему рынку и защите прав потребителей (Committee on the Internal Market and Consumer Protection, IMCO), а также по гражданским свободам, юстиции и внутренним делам (Committee on Civil Liberties, Justice and Home Affairs, LIBE), участвующие в разработке закона об искусственном интеллекте (ИИ), выступили за запрет использования ИИ-систем в прогностической деятельности полиции и судебной системы.
⛔ Запрет предлагается распространить на прогностическую деятельность полиции в отношении физических лиц.
✅ Прогнозировать места и районы совершения преступлений, по мнению законодателей, можно.

💻 Что: онлайн-семинар RPPA.ru
💡 Тема: Автоматизация функции приватности. Подбор решений для российского бизнеса
📅 Когда: 28 апреля в 18:30 (по мск)
💰 Стоимость: бесплатно
📃 Программа:
▫️18:30 - 18:35 Открытие мероприятия
▫️18:35 - 18:50 BI.ZONE Compliance Platform - Андрей Быков
▫️18:50 - 19:05 Проект KPMG Privacy Automation Tool - Ксения Карпова
▫️19:05 - 19:20 eConsent - Олег Блинов
▫️19:20 - 19:35 Privacy Box - Максим Лагутин
▫️19:35 - 19:50 CEO Defеndocs - Сергей Крецу
▫️19:50 - 20:05 Comply.Consent - Артем Дмитриев
▫️20:05 - 20:10 Закрытие мероприятия

⚡🏛️ В Совете Федерации предложили правительству обязать работающие в России соцсети и сервисы электронной почты ввести идентификацию пользователей по номеру мобильного телефона. По мнению некоторых сенаторов, такая мера поможет решить проблему с "граничащей с безнаказанностью анонимностью" в интернете.

⚡🏛️ В Госдуме возобновился процесс рассмотрения законопроекта № 305068-7 от 2017г. об изменениях в 152-ФЗ "О персональных данных" в части установления особого порядка получения согласия на обработку персональных данных у недееспособных либо несовершеннолетних лиц.

🇧🇾🏛️ Всем интересующимся рекомендую ознакомиться с отчетом о деятельности Национального центра защиты персональных данных Республики Беларусь за 2021 год. Некоторые интересные моменты:
🔸 в 2021 году плановые проверки не проводились;
🔸 в поступивших жалобах субъектов персональных данных также не выявлено оснований для проведения внеплановых проверок;
🔸 проведено 4 камеральные проверки, 3 из которых – по жалобам субъектов персональных данных, 1 – по результатам анализа работниками Центра информации в глобальной компьютерной сети Интернет;
🔸 в 2021 году было рассмотрено 61 обращение, из которых: 22 обращения граждан и индивидуальных предпринимателей, в том числе 6 обращений – в ходе личного приема; 39 обращений юридических лиц.