Персональные данные
Регуляторный комплаенс

📌Представители IT-бизнеса попросили Минцифры в очередной раз доработать поправки к закону «О персональных данных», регулирующие оборот обезличенной информации

👉Что предлагает бизнес:
☑️ вернуть положение о необходимости заручиться согласием гражданина сразу для нескольких целей обработки его данных
☑️ бизнес выступает против передачи государству данных для развития проектов в области искусственного интеллекта (ИИ) российскими разработчиками

❗️Министерство допускает возможность внесения изменений в регулирование

✅Количество информации в отношении изменений в 152-ФЗ «О персональных данных» растет и становится все сложнее разобраться в ситуации. Для общего понимания уровня возрастающих комплаенс-рисков в этой области смотрите материалы ниже

➡️В любом случае пора делать переоценку комплаенс-рисков в отношении действий с персональными данными, общая идея, что комплаенс-риски растут и значит – имеет смысл уделить этому вопросу и внимание, и финансовые ресурсы

https://www.kommersant.ru/doc/5512995?from=top_main_3

❗️Полезные материалы по теме:

📌С 1 сентября вступает в силу ряд поправок к закону «О персональных данных», обзор изменений: https://spark.ru/startup/moe-delo/blog/91616/s-1-sentyabrya-2022-goda-obrabativat-personalnie-dannie-nuzhno-budet-po-novim-pravilam

📌Обзор заседания Общественного совета (ОС) при РКН 11 августа: https://rspectr.com/articles/dannye-personalnoj-vazhnosti?utm_source=telegram

📌Запись вебинара «Практические советы про реформу ФЗ-152 в 2022 году»: https://www.youtube.com/watch?v=epzvUDs7X_4

#персональныеданные
#регуляторныйкомплаенс

Персональные данные

📌Роскомнадзор получил уже порядка 100 уведомлений от российских компаний, которые столкнулись с утечками персональных данных, с сентября 2022 года

👉История вопроса:
☑️ С 1 сентября вступили изменения в закон о персональных данных, согласно которым операторы обязаны уведомлять и ФСБ России, и Роскомнадзор о всех инцидентах, которые произошли, с результатами внутреннего расследования
☑️ Далее ведомства уже принимают меры реагирования

👉Причины утечек (тренд):
Увеличилось число случаев, когда инциденты и причины [утечек] лежат не на стороне оператора, а на стороне третьих лиц, привлекаемых по договору об аутсорсинге. Они обеспечивают техническую поддержку, оказывают иные услуги

https://tass.ru/ekonomika/16838265

📌Инициатива Президента РФ:
12.01.23 Президент РФ утвердил перечень поручений по итогам заседания Совета по развитию гражданского общества и правам человека 07.12.22, среди которых:

✔️до 01.07.23 Правительству рассмотреть вопросы об установлении оборотных штрафов в отношении компаний, допускающих утечку персональных данных, усилении ответственности за их незаконный оборот и иные нарушения законодательства в области персональных данных

https://www.kremlin.ru/acts/assignments/orders/70349

✅Вероятнее всего до конца 2023 года в каком-то вид оборотные штрафы будут введены, что ставит уже сейчас вопросы об усилении внутренних контролей в отношении персональных данных

➡️Обратите внимание на информацию про утечки из-за третьих лиц. Это как минимум означает, что:
❇️ KYC процедуры в отношении таких аутсорсинговых компаний имеет смысл проводить вплоть до проверки команд по своим требованиям к сотрудникам
❇️ условия договоров с действующими аутсорсинговыми компаниями в области персональных данных должны быть пересмотрены и ужесточены части их ответственности в т.ч. за действия своих сотрудников
❇️ имеет смысл провести аудит информационной безопасности в отношении сбора, хранения и обработки персональных данных
❇️ провести переоценку комплаенс-рисков в области персональных данных


👉Обзор поправок 01.09.2022: https://spark.ru/startup/moe-delo/blog/91616/s-1-sentyabrya-2022-goda-obrabativat-personalnie-dannie-nuzhno-budet-po-novim-pravilam

#персональныеданные

Регуляторный комплаенс
Персональные данные

📌С 01.03.2023 г. начнет действовать новый Порядок информирования Роскомнадзора о трансграничной передаче данных

👉Роскомнадзор будет рассматривать уведомления операторов и по итогам рассмотрения ведомство будет вправе принять решение о запрете или ограничении передачи персональных данных в другие страны

👉Оператору необходимо до 1 марта 2023 года направить в ведомство уведомление об осуществлении такой передачи посредством формы, размещенной на Портале персональных данных

❗️Операторам, подавшим уведомление о трансграничной передаче до 1 марта, не надо будет подавать новое уведомление после этой даты, до тех пор, пока в их деятельности не произойдут изменения, которые предполагают создание новых трансграничных потоков данных (в новые страны или для новых целей)

✅Кто еще не подал уведомление – самое время успеть

https://rkn.gov.ru/news/rsoc/news74664.htm

Портал персональных данных с новыми формами: https://pd.rkn.gov.ru/cross-border-transmission/form/

#регуляторныйкомплаенс
#персональныеданные

Персональные данные
Расследование
GDPR
ЕС

📌Ирландская комиссия по защите данных (DPC) оштрафовала компанию Meta (признана в РФ экстремистской, владеет запрещенными в России Facebook и Instagram) на €1,2 млрд из-за передачи персональных данных пользователей в США

👉Регулятор также дал отсрочку в 5 месяцев на прекращение передачи данных в США

👉История вопроса:
☑️ В 2013 году Макс Шремс (австрийский борец за неприкосновенность частной жизни) подал судебный иск в связи с риском слежки со стороны США в свете разоблачений бывшего сотрудника Агентства национальной безопасности США Эдварда Сноудена. Жалоба была направлена на то, чтобы запретить Facebook (запрещена в РФ) дальнейшую передачу данных из Ирландии в США, учитывая предполагаемое участие Facebook USA в программе массовой слежки PRISM
☑️ до 2015 года действовали Международные принципы конфиденциальности Safe Harbor (The International Safe Harbor Privacy Principles or Safe Harbour), были отменены в 2020
☑️ до 2020 года действовал Щит конфиденциальности ЕС–США (The EU–US Privacy Shield), был отмен в 2020 в связи с делом
☑️ в марте 2022 года было объявлено о новой системе защиты данных, согласованной США и ЕС Trans-Atlantic Data Privacy Framework (не вступило в силу)

✅Если смотреть на это дело только как на крупный штраф – это, безусловно, новый европейский прецедент

➡️Тренд: во всех странах все регуляторы ищут способы защиты данных граждан, это противостояние с big tech (но не только с ними), скорее всего даже не достигло наивысшей стадии

➡️С точки зрения бизнеса такие яркие расследования и штрафы в любом случае должны быть маркерами в отношении того, в какую сторону будет развиваться ситуация и законодательство и основой для проверки и переоценки своих комплаенс-рисков в области персональных данных

➡️В мире трансграничного бизнеса отслеживать комплаенс-риски (не только в области персональных данных) необходимо сразу в разрезе нескольких юрисдикций, в данном примере, что интересно – в процессе судебных разбирательств не устояли сразу 2 евро-американских регулирования, что ставит интересный вопрос: ❗️что в оценку влияния комплаенс-рисков необходимо закладывать не только факт наличия и соответствия регулированию, но и наблюдать за ключевыми судебными спорами, как могущими оказать влияние на уровень соответствия

https://tass.ru/ekonomika/17810633

Пресс-релиз DPC: https://www.dataprotection.ie/en/news-media/press-releases/Data-Protection-Commission-announces-conclusion-of-inquiry-into-Meta-Ireland

Текст решения: https://edpb.europa.eu/our-work-tools/consistency-findings/register-decisions/2023/decision-data-protection-commission_en

Подробнее о деле Шермс (❗️почитайте – отдельный детектив): https://translated.turbopages.org/proxy_u/en-ru.ru.d9dc72d7-646d2926-e8d1e437-74722d776562/https/en.wikipedia.org/wiki/Schrems_II

#персональныеданные
#расследование
#ес
#gdpr

Статья
Антикоррупционный комплаенс
Персональные данные
Конфликт интересов

📌На новом информационном ресурсе «Сознание права | Антикоррупция 2.0» опубликована статья Эксперта ООО «КСК» Прохоровой В.А. о работе с персональными данными при декларировании конфликта интересов в организации частного сектора экономики

👉Статья поднимает болезненный вопрос в российском правовом поле о работе как с персональными данными работников, так и с персональными данными челнов семей работника, с которыми на практике связана большая часть конфликтов интересов

👉Основные рекомендации:
☑️Приложить к разработанной форме декларации согласие на обработку ПДн, учитывая его законодательно определенное содержание
☑️При указании в согласии цели декларирования исходить из того, что цель согласия на обработку ПДн, предоставляемого устроившимся в организацию работником, отлична от цели декларирования. Исходя из этого одно согласие не может подменять другое, в том числе при схожих комбинациях запрашиваемых данных
☑️Избегать формулировок вопросов декларации, связанных с ПДн близких родственников и членов семьи работников
☑️Согласовать срок действия согласия со сроком хранения декларации, указанном в регламентирующем в организации процедуру декларирования документе

❗️Статья содержит полезные ссылки, в т.ч. на релевантную судебную практику последних лет по вопросам обработки персональных данных

https://сознаниеправа.рф/mnenie-ekspertov/статья-эксперта-ооо-кск-прохоровой-в/

⚡️О проекте «Сознание права | Антикоррупция 2.0»: https://сознаниеправа.рф/about/

👉Проект развивает следующие направления:
✔️ комплаенс
✔️ молодежные проекты
✔️ правовое просвещение
✔️ противодействие коррупции

#статья
#антикоррупционныйкомплаенс
#персональныеданные
#конфликтинтересов

Перснальные данные
Комплаенс
РФ

📌Роскомнадзор проанализирован содержание скомпрометированных баз данных и разместил в виде инфографики свои рекомендации

👉Ключевые рекомендации – куда смотреть:
1️⃣минимизация перечня персональных данных (ПнД)
2️⃣раздельное хранение различных ПнД
3️⃣хранение идентификаторов в различных базах данных/синтетические идентификаторы для связи этих баз
4️⃣отказ от накопления ПнД
5️⃣обеспечение безопасности хранения ПнД с помощью технических средств и специализированного ПО
6️⃣своевременное информирование Роскомнадзора об инцидентах
7️⃣дополнительные контроли в отношении физического доступа к ПнД
8️⃣наличие ответственного за защиту ПнД

✅Рекомендации можно использовать как критерии в процессе оценки комплаенс-рисков в области персональных данных

Подробнее здесь: https://t.iss.one/rkn_tg/674?single

#персональныеданные
#комплаенс

Персональные данные
Расследование
ЕС

📌Евросоюз (ЕС) оштрафовал социальную сеть TikTok на €345 млн за то, что поставил под угрозу данные детей

👉Суть нарушения:
☑️TikTok не смог защитить несовершеннолетних от ненужной обработки данных и действовал непрозрачно.

☑️Расследование касалось пятимесячного периода с июля 2020 года по 31 декабря 2020 года и показало, что обработка данных TikTok в течение этого периода нарушала правила GDPR, касающиеся детей в возрасте от 13 до 17 лет

☑️TikTok предъявлен трехмесячный ультиматум привести обработку своих данных в соответствие со строгим Общим регламентом ЕС по защите данных (GDPR)

👉История вопроса:
К сервису TikTok также есть претензии у США, связанные с «доступом к данным американских пользователей»:
✔️ 17 мая 2023, губернатор Монтаны Грег Джанфорте подписал закон, запрещающий работу приложения TikTok на территории штата
✔️ 7 марта 2023, администрация президента США Джо Байдена поддержала представленный сенаторами законопроект, позволяющий главе государства запрещать иностранные соцсети, в том числе приложение TikTok8
✔️ 14 марта по данным Bloomberg руководство приложения TikTok обсуждает возможность отделения от китайской материнской компании ByteDance Ltd., чтобы решить проблемы с возможными рисками для национальной безопасности США
✔️ 15 марта 2023 по данным WSJ комитет по иностранным инвестициям США, подконтрольный министерству финансов, выдвинул требование к владельцам TikTok: китайские владельцы должны продать свои доли, что TikTok не запретили в США

❗️Компания ByteDance, владеющая TikTok, получила рекордную прибыль в 2022 году и впервые в истории обогнала по этому показателю Tencent и Alibaba (в годовом выражении прибыль составила порядка $25 млрд)

✅Если читать только претензии регулятора ЕС про GDPR картина не выглядит полной. Но если добавить претензии США и информацию о прибыли компании, то восприятии комплаенс-рисков в области персональных данных станет другим

➡️Все вместе приводит к выводу, что любые комплаенс-риски (реализующиеся в итоге как комплаенс-риски) для транснациональных компаний теперь тесно связаны с факторами, которые (уже) обычно учитываются при оценке санкционных комплаенс-рисков:
❇️ корневая юрисдикция компании
❇️ ключевые юрисдикции для получения прибыли
❇️ бизнес-модель (включая цепочки поставок и платежей)
❇️ ключевые потребители/клиенты
❇️ключевые регуляторы в странах реализации товаров/услуг

С учетом «предложения» со стороны регуляторов США по отчуждению доли можно ожидать также реализации комплаенс-рисков в других областях для TikTok до завершения верхнеуровневого урегулирования с регуляторами США

https://iz.ru/1574697/2023-09-15/tiktok-vpervye-oshtrafovan-v-es-na-eu345-mln


Обзор подходов по регулированию защиты персональных данных в РФ, ЕС и США: https://vc.ru/legal/496388-rossiya-i-ssha-raznica-v-podhodah-k-zashchite-personalnyh-dannyh

#персональныеданные
#расследование
#ес

Кино
Воскресное
Персональные данные
Приватность
Big tech
Этика

«Сказка ложь да в ней намек…» - только это уже не сказка и даже не намеки

📌«Сфера» - Фильм 2017 года с хорошими вопросами, но сейчас, в 2024, мы сделали еще пару шагов к бездне и, кажется, ответы никто не искал

❓Отдельный хороший вопрос про корпоративные культуры IT-компаний, где все так комфортно и весело, так, чтобы не задумываться о слишком многом

❇️И еще вспомнился не менее хороший фильм про отсутствие приватности «Анон»

Посмотреть и подумать. Особенно тем кто в IT всего лишь «решает задачки»…

🎦Трейлер «Сфера» https://youtu.be/u8D3pVaVplI?si=F2iR9h2vttspFNkF

🎦Трейлер «Анон» https://www.kinopoisk.ru/film/979121/

#кино
#воскресное
#персональныеданные
#приватность
#bigtech
#этика

Кино
Воскресное
Персональные данные

Мы все так или иначе ставим ✅ как ознакомление или согласие

📌»Черное зеркало» сезон 6. Серия 1. «Joan is awful»

❗️Как доведенное до абсурда или до возможного будущего вероятное развитие технологий

❗️Как отражение нашей неспособности или бессмысленности вычитывания безупречных юридических формулировок

❗️Как новая несовершенная Матрица про каждого …

👉Подумать про дивный новый мир

👉Подумать про варианты нарушений

👉Подумать про варианты норм/правил когда это возможно

🧩«черное зеркало» - отражение наших телефонов, когда они выключены

Трейлер:
https://youtu.be/5jY1ecibLYo?si=2imPz7ajpNLP6Jz_

#воскресное
#кино
#персональныеданные

Мероприятия
Персональные данные

📌RPPA (Regional Privacy Professionals Association) приглашает с 24 октября по 06 декабря проходит Евразийский конгресс по защите данных

⏱️Расписание Конгресса:
24-25 октября 2024 - онлайн
25 октября 2024 - оффлайн нетворкинги в городах-партнерах
🇰🇿15 ноября 2024 - онлайн, Казахстан
🇰🇬5-6 декабря 2024 - оффлайн мероприятие в Бишкеке

👉Тематика 24-25 октября:

24.10.24:
✅Регулирование обработки ПД в России, законодательные инициативы и роль DPO в бизнесе
✅🇧🇾Из РБ с любовью: какие уроки может извлечь DPO (и не только) из работы в РБ?
✅Интересы субъектов, как их установить, реализовать и защитить?
✅Инструменты DPO: без теории к практике
✅DPO - это руководитель!
✅Privacy by design здорового человека
✅AI Governance - не победить, а возглавить

25.10.24:
✅Важны ли персональные данные в работе блоггеров и агентств?
✅Оборотные штрафы и другие инициативы
✅Битва за регулятора
✅Консалтинг в приватности: модель бизнеса или подход в работе?
✅Приватность, бизнес и смежные направления. DPO - человек-оркестр
✅Распространение-2024. Пять стадий принятия неизбежного
✅Информационная безопасность и приватность: где дороги сходятся, там и расходятся

❗️Мероприятие бесплатное, ссылки на трансляции VK/Youtube и подробная программа здесь: https://edpc.network/

#мероприятия
#персональныеданные