21 мая в рамках XIII Петербургского международного юридического форума прошла сессия на тему «Защита персональных данных – стимул или барьер для развития технологий», посвященная вопросам развития регулирования персданных, в частности соблюдения баланса прав субъектов персональных данных и развития технологий посредством минимизации обрабатываемых операторами данных, а также развития законных оснований для их обработки.
Модератором сессии выступил генеральный директор Ассоциации европейского бизнеса Тадзио Шиллинг. Он отметил, что регулирование персданных может создавать сложности для инноваций и потому важно найти разумный баланс. Тадзио Шиллинг указал, что на сегодняшний день около 40% преступлений связано с утечкой данных и киберпреступностью. То есть почти половина преступлений перешли в онлайн. Для достижения баланса недостаточно запретительных мер. В этом году усиливается ответственность операторов, пересматривается подход к получению согласия, оптимизируются практики сбора и хранения данных, особое внимание уделяется защите биометрической информации.
Заместитель руководителя Роскомнадзора Милош Вагнер заметил, что как только бизнес принял персданные, он должен соблюдать много требований. Перед использованием персданных оператор должен направить уведомление, и в мае количество таких уведомлений увеличилось. Это связано с тем, что скоро вступит в силу Закон № 420-ФЗ от 30 ноября 2024 г., который предусматривает административную ответственность за неуведомление.
Руководитель направления персональных данных Главного радиочастотного центра Екатерина Ефимова рассказала о том, что многие компании хранят персданные гораздо дольше, чем нужно. Она отметила, что стоит собирать только те данные, которые нужны для сервиса, удалять отработанные данные. Они должны быть обезличены, должно быть уважение к пользователю, тогда, по мнению спикера, бизнес-показатели компании будут расти.
Руководитель юридической практики ПАО «Т Плюс» Нина Дяглева заметила, что в ст. 6 Закона о персданных имеется 11 оснований для их обработки. Одно из них – согласие субъекта персональных данных. Данное основание используют больше всего, поскольку согласие физически проще предъявить, если субъект спросит, на каком основании компания обрабатывает персданные. «Однако наличие согласия не означает, что оператор защищен, как и не означает, что субъект влияет на то, как оператор будет обрабатывать персданные. Субъект может отозвать согласие, и тогда встает вопрос о том, как тогда обрабатывать данные», – указала эксперт.
Нина Дяглева указала, что согласием нужно управлять и решать, что хранить в качестве получения согласия, кто будет отвечать за это, из каких источников получены согласия, что делать, если человек решит отозвать согласие, и т.д. Поэтому, посчитала она, стоит обратить внимание на иные основания для обработки данных. Например, законный интерес.
Руководитель практики правовой поддержки защиты данных «Авито» Марина Юфа рассказала о существующей судебной практике. Например, суды рассматривали дела о том, имеет ли компания право использовать собственный шаблон и может ли субъект предоставить свой. Есть практика о том, что компания вправе запросить данные в той форме, в которой ей необходимо. Вставали в суде и вопросы о том, можно ли давать персданные через представителя и может ли организация отказаться оказывать услугу по ДМС, если человек отказался подписать согласие на обработку персданных. В последнем случае суд ответил отрицательно, поскольку иначе это дискриминация в сфере труда.
Партнер юридической фирмы «АЛРУД» Мария Осташенко рассказала про обезличивание персданных. Это, по ее мнению, поможет этично развивать технологии – бизнес таким образом не будет нарушать приватность частной жизни. Спикер полагает, что в Законе о персданных обезличивание не до конца урегулировано. Такие данные тоже считаются персданными.
Соучредитель Ассоциации профессионалов в области приватности Алексей Мунтян отметил, что все больше компаний могут использовать современные технологии для обработки данных, чем сэкономить деньги и силы, чтобы проверить свои гипотезы. И тогда получается, что персданные – это ценный актив и «токсичное золото» одновременно.
Профессор МГИМО МИД России, член Совета при Президенте Российской Федерации по развитию гражданского общества и правам человека Элина Сидоренко отметила, что во многие сервисы уже вшиты программы, которые следят за поведенческими привычками, после чего появляется реклама, например, в «Яндекс.Директ». Кроме того, можно подписаться на сервис, в котором, например, идентификацию лица осуществляют агенты, и с ними должно быть подписано согласие. Также она заметила, что нет цифровой гигиены. Часто организации заводят опросные листы в гугл-формах. Но люди должны подписывать согласие, что их данные будут храниться на территории иностранного государства.
По ее мнению, осталось незамеченным принятие закона, который изменил ст. 272 «Неправомерный доступ к компьютерной информации» УК. Спикер указала, что в данной статье не выстроена административная преюдиция, а потому непонятно, как будет соотноситься административная и уголовная ответственность. Кроме того, неясно, кто и какую ответственность будет нести: какую – юрлицо, а какую – лицо, которое уполномочено вести учет. Элина Сидоренко добавила, что сейчас появляются поведенческие данные – что смотрит человек и куда кликает. Эти данные никем не охраняются.
Партнер АБ «Авекс-Юст» Игорь Баранов отметил, что потенциальный инвестор не может понять, будет ли разработка подпадать под Закон о персданных. Важно, по его мнению, сделать акцент на обработке персданных. Регулирование всегда отстает от реалий.
