Госдума одобрила проекты об ужесточении наказания за утечки персданных

Комитет Госдумы РФ по госстроительству рекомендовал принять в первом чтении законопроекты об ужесточении наказания за утечки персональных данных.

Проекты предполагают внесение изменений в административные правонарушения и увеличение штрафов. Также нарушителям грозит уголовное наказание за хищение личных данных до десяти лет лишения свободы.

Секретарь генсовета «Единой России», первый заместитель председателя Совета Федерации Андрей Турчак считает, что компании расценивают личную информацию, как способ заработать. Также он отметил, что поправки продолжат расти, пока увеличиваются объемы утечек.

Изображение: Adobe Stock

Нужно ли запрашивать согласие на получение рекламы, когда потребитель присоединяется к программе лояльности?

Однозначного ответа на этот вопрос нет. Во избежание рисков привлечения к ответственности по ст. 14.3 КоАП РФ я рекомендую запрашивать такие согласия.

Распространение рекламы по сетям электросвязи, в том числе посредством использования телефонной, факсимильной, подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на получение рекламы (ч. 1 ст. 18 №38-ФЗ).

Основной вопрос здесь: является ли информация, получаемая в рамках программы лояльности, рекламой?

Суды не отвечают на этот вопрос однозначно:

➡️ В деле №А40-172089/18-79-1946 суд не признал спорное SMS-сообщение о бонусной акции рекламой, поскольку:

▪️ оно адресовано стороне по договору;

▪️ в SMS-сообщении отсутствует объект рекламирования;

▪️ само SMS-сообщение носит информационный характер в рамках заключенного с клиентом договора.

➡️ В деле А40-43906/20-84-313 суд признал спорное SMS-сообщение о скидках в честь дня рождения участника программы лояльности рекламой, поскольку:

▪️ответчик-рекламораспространитель не использует какого-либо индивидуального подхода к тому или иному адресату; 

▪️ предложения, призванные побудить принять участие в акции и потратить денежные средства носят шаблонный характер и адресованы их получателям в равной степени, что не позволяет вести речь о дифференциации к определению круга лиц-получателей такой информации.

При этом само по себе присоединение к программе лояльности еще не означает дачи согласия на получение рекламы, так как:

▪️ у потребителя  должна быть предоставлена возможность изначально отказаться от получения рекламных рассылок;

▪️сама форма согласия должна быть прямой и недвусмысленно выражающей соответствующее согласие (абонент прямо выражает согласие на получение рекламы), а не опосредованной и обусловленной ознакомлением с правилами оказания (предоставления) услуг (дело №016/05/18-2446/2021).

Таким образом, для направления сообщений о новинках, скидках и специальных предложениях участникам программы лояльности стоит запросить у них предварительное согласие на получение рекламы. 

Более подробно о требованиях к форме такого согласия я писал ранее.

Вход по лицу в МКД через домофон = биометрия по 572-ФЗ.
Операторы, которые покупают решения, должны подумать. У поставщика решения чистые руки (если не услуга).
Об этом я предупреждал летом на секции с Роскомнадзором.

P.S. И Алиса знала

Нашим друзьям из системы РусГидро нужен эксперт по персональным данным (DPO) в штат. Зарплата зависит от кандидата, все возможные корпоративные льготы (ДМС, компенсация фитнеса и т.д.). Возможно с небольшим опытом под рост.
Подписчики канала могут слать резюме сразу в кадры: m.byankin@hydroproject.ru

Александр Хинштейн сообщил, что Госдума приняла в первом чтении законопроект по штрафам за утечки и другие нарушения в области персональных данных. Также в первом чтении рассмотрен законопроект по уголовным наказаниям.

По представленной им информации, а также по слухам в определенных кругах, ко второму чтению возможны уточнения, которые не повлияют на концепцию будущих штрафов.

Ссылки на законопроекты в этом посте.

Обязан ли работодатель собирать согласия у работников на обработку ПДн для осуществления пропускного режима на территорию служебных зданий и помещений?

Ответ на этот вопрос зависит от того, кто осуществляет пропускной режим.

Роскомнадзор указывает, что обработка ПДн работника при осуществлении пропускного режима на территорию служебных зданий и помещений работодателя не требует согласия, если:

➡️ Организация пропускного режима осуществляется работодателем самостоятельно.

➡️Указанная обработка соответствует порядку, предусмотренному коллективным договором, локальными актами работодателя, принятыми в соответствии со ст. 372 ТК РФ.

Но если осуществление пропускного режима требует привлечение ЧОПа, то (по мнению Роскомнадзора) необходимо согласие работников на передачу их ПДн в адрес этой организации.

Привлечение ЧОП к осуществлению пропускного режима на территории работодателя может быть оформлено как поручение обработки. В таком случае оператор ПДн должен:

▪️ Получить согласие субъектов ПДн на поручение обработки ПДн;

▪️ Заключить договор с ЧОП;

▪️ Подготовить поручение обработки, соответствующее ч. 3 ст. 6 №152-ФЗ.

NB! Обращаю внимание, что работодатель или ЧОП, по мнению Роскомнадзора, не могут обрабатывать дактилоскопическую информацию при осуществлении пропускного режима.

Могут ли наследники получить доступ к врачебной тайне умершего наследодателя?

Да, на основании ч. 3.1 ст. 13 №323-ФЗ.

Врачебную тайну составляют сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении (ч. 1 ст. 13 №323-ФЗ).

КС РФ отмечал, что медицинским организациям надлежит по требованию супруга, близких родственников и лиц, указанных в согласии на медицинское вмешательство, предоставлять для ознакомления медицинские документы умершего пациента. При этом отказ в таком доступе может быть признан допустимым только в том случае, если при жизни пациент выразил запрет на раскрытие сведений о себе, составляющих врачебную тайну (Постановление от 13.01.2020 №1-П). 

Эта правовая позиция в 2021 году была включена в закон (ч. 3.1. ст. 13 №323-ФЗ), поэтому при запросе сведений, содержащих врачебную тайну, в ссылке на ч. 7 ст. 9 №152-ФЗ нет необходимости.

Судебная практика также изменилась:

➡️ Сейчас суды удовлетворяют иски об обязании медицинской организации выдать наследникам документы, содержащие врачебную тайну умершего пациента (дела №2-1393/2023, №2-1387/2023, 2а-8459/2022).

➡️ Но ранее выносились противоположные решения, где отмечалось отсутствие в законодательстве норм, предусматривающих передачу по наследству личных неимущественных прав, в т. ч. информации о состоянии здоровья наследодателя (врачебной тайны) (дело №33а-1238/2019).

P.S. Более подробно о врачебной тайне и ПДн в медицинских организациях я рассказывал на вебинаре осенью.

Нужно ли получать согласие субъекта ПДн на передачу его обезличенных персональных данных третьему лицу?

По мнению Роскомнадзора, нужно.

Обезличивание ПДн – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн (п. 9 ст. 3 №152-ФЗ). 

Обезличивание ПДн возможно только теми способами, которые перечислены в Приказе №996. Поэтому, например, хеширование не относится к способам обезличиванию. 

Роскомнадзор определяет обезличенные ПДн как данные, хранимые в информационных системах в электронном виде, принадлежность которых конкретному субъекту ПДн невозможно определить без дополнительной информации.

Несмотря на невозможность идентификации субъекта ПДн без иных сведений, обезличенные данные надзорный орган считает персональными. Поэтому передача обезличенных данных третьему лицу требует согласия субъекта или иного основания. 

При этом известны споры, в которых суды признавали правомерной передачу третьим лицам, например, обезличенных сведений о наличии задолженности у субъекта ПДн (дело №33-1244/2016).

Распространяется ли тайна связи на обезличенные сведения о детализации звонков?

На территории Российской Федерации гарантируется тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи (ч. 1 ст. 53 №126-ФЗ). 

Эту тайну обязаны соблюдать операторы связи (ч. 2 ст. 53 №126-ФЗ). Однако суд разграничил:

➡️ Информацию о конкретных абонентах для осуществления мероприятий по проверке данных конкретных абонентов, в т. ч. для их идентификации. Эти сведения составляют тайну переписки абонента и могут быть раскрыты только по решению суда в ограниченных случаях.

➡️ Обезличенную информацию об оказываемых оператором связи услугах, в т. ч. данные биллинга для целей проверки правильности расчета налогов. Эти сведения составляют являются информацией ограниченного доступа, но не касаются конкретных абонентов, поскольку не позволяет их идентифицировать без помощи оператора связи.

Сами по себе данные биллинга, без привязки к конкретным абонентам, являются обезличенной информацией, которые без дополнительных сведений не позволяют идентифицировать конкретного абонента и поэтому не  составляют тайну телефонных переговоров (дело №А40-272737/2019).

Но тайна связи – это не единственный режим конфиденциальности, предусмотренный законодательством:

➡️ Метаданные звонков являются ПДн, поскольку они относятся к прямо или или косвенно определенному или определяемому абоненту (п. 1 ст. 3 №152-ФЗ).

➡️ В силу ст. 7 №152-ФЗ операторы и иные лица, получившие доступ к ПДн , обязаны не раскрывать третьим лицам и не распространять ПДн без согласия субъекта. 

➡️ По мнению Роскомнадзора и Минцифры, на обезличенные ПДн распространяются требования №152-ФЗ, поэтому передача этой информации третьим лицам возможна только при наличии законного основания и соблюдении других требований в части ПДн.

Позиция Управления Роскомнадзора по Камчатскому краю по акту оценки вреда, который может быть причинен субъектам персональных данных.

Роскомнадзор:
"... полагаем, что определение оператором перечня лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ, с указанием должностей таких лиц без указания фамилии, имени и отчества, не будет противоречить требованиям законодательства Российской Федерации в области персональных данных".

Письмо Роскомнадзора от 10.11.2022, однако содержит все еще актуальные пояснения относительно уведомления об обработке персональных данных.

Еще в нем отмечено (в контексте поставленного вопроса), что "...обработка персональных данных в ... «Excel» и «Word» признаётся осуществляемой с использованием средств автоматизации".

Позиция Управления Роскомнадзора
по Центральному федеральному округу по сведениям об индивидуальном предпринимателе.

".. сведения об индивидуальном предпринимателе не могут рассматриваться, как персональные данные физического лица (субъекта персональных данных)."