Публичное обсуждение проектов НПА

Предложение № 2

Об утверждении
типовых форм и типовых отраслевых моделей обработки персональных данных

В целях обеспечения единообразного применения норм о сооператорстве и поручении обработки, а также практического применения требований Закона № 99-З в отраслях с большим числом небольших операторов, не имеющих юридических служб, предлагается дополнить пункт 3 статьи 18 Закона № 99-З следующими абзацами:

утверждает типовые (примерные) формы:

договора о совместной обработке персональных данных (сооператорства);

договора поручения обработки уполномоченному лицу, включая условия привлечения субуполномоченных лиц;

разрабатывает и размещает типовые (примерные) формы договоров и рекомендации по построению отраслевых моделей обработки персональных данных, в том числе совместно с государственными органами и организациями, осуществляющими регулирование в соответствующих сферах.

Обоснование. Типовые формы и отраслевые модели являются наименее затратным способом перевода новых конструкций проекта из текста закона в массовую практику. Для регулятора это инструмент масштабирования: единообразные договоры и модели упрощают контроль и создают предсказуемую практику применения новых институтов без увеличения ресурсной нагрузки на уполномоченный орган. Для организаций, особенно небольших (спорт, туризм, образование, общественные объединения), - возможность использовать корректные юридические конструкции без привлечения дорогостоящих специалистов.

Исходя из предложенных изменений
пункт 3 статьи 4 Закона от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее – Закон 99-З) изложить в следующей редакции:

«3. Основаниями для обработки персональных данных являются:

согласие субъекта персональных данных на обработку его персональных данных (далее, если не определено иное, – согласие субъекта персональных данных);

случаи обработки персональных данных без получения согласия субъекта персональных данных, предусмотренные статьей 6, пунктом 2 статьи 8 и пунктом 3 статьи 91 настоящего Закона.

В случаях, предусмотренных абзацем третьим части первой настоящего пункта, получение согласия субъекта персональных данных не производится.

В случае обработки персональных данных без согласия субъекта персональных данных цели обработки персональных данных устанавливаются настоящим Законом и иными законодательными актами.»

Прямое указание на отсутствие необходимости получения согласия субъекта персональных данных устанавливает взаимоисключающий характер оснований обработки персональных данных – наличия согласия либо обработки персональных данных в силу прямого требования Закона без получения согласия.

2.1. Соблюдение принципа информированного
согласия субъекта персональных данных при осуществлении совместной обработки персональных данных несколькими операторами возможно лишь при предоставлении соответствующей информации о всех операторах, осуществляющих обработку персональных данных, независимо от того, какой оператор получает названное согласие. При сокрытии информации о сооператоре субъект персональных данных не может в полной мере оценить безопасность дачи такого согласия и принять собственное информированное решение о предоставлении персональных данных.

Так, согласно проекту Закона об изменении законов по вопросам защиты персональных данных, а именно части второй пункта 3 статьи 71 «В случае несогласия с участием в обработке персональных данных конкретного оператора субъект персональных данных отказывает в даче согласия субъекта персональных данных всем сооператорам».

Факт того, что субъект персональных данных может отказать в даче согласия субъекта персональных данных всем сооператорам, о которых он не был информирован, связан с действующей нормой части второй пункта 5 статьи 5: «До получения согласия субъекта персональных данных оператор обязан простым и ясным языком разъяснить субъекту персональных данных его права, связанные с обработкой персональных данных, механизм реализации таких прав, а также последствия дачи согласия субъекта персональных данных или отказа в даче такого согласия». Так, при сооператорстве субъект персональных данных должен быть информирован о совместной обработке персональных данных.  

Информация о последствиях дачи согласия субъекта персональных данных является такой же необходимой, как и последствия отказа в даче такого согласия. При исключении из части второй статьи 5 слов «дачи согласия субъекта персональных данных или» даст операторам возможность злоупотребления названной нормой.

Исходя из вышеназванного
обоснования предлагается:

- Статью 5 Закона 99-З дополнить абзацем следующего содержания:

«наименование (фамилию, собственное имя, отчество (если таковое имеется)) и место нахождения (адрес места жительства (места пребывания)) сооператора(ов) (при совместной обработке персональных данных несколькими операторами)»

- сохранить действующую редакцию части второй пункта 5 статьи 5 Закона 99-З.

3. Предлагается изменение в пункт 3 статьи 71:

«Если основанием для обработки персональных данных сооператорами является согласие субъекта персональных данных, то субъект персональных данных выражает его для достижения конкретной цели всем сооператорам. Такое согласие может получать один из сооператоров в отношении всех сооператоров в порядке, установленном статьей 5 настоящего Закона. При этом обязанность доказывания получения согласия субъекта персональных данных возлагается на каждого из них в отношении себя.

В случае несогласия с участием в обработке персональных данных конкретного оператора субъект персональных данных отказывает в даче согласия субъекта персональных данных всем сооператорам.»

Данное изменение работает как указание на необходимость соблюдения сооператорами общих требований к получению согласия на обработку персональных данных и отсутствия каких-либо отличных норм исключительно для получения согласия одним из сооператоров.

Отсутствие в проекте Закона об изменении законов по вопросам защиты персональных данных создает пробел в законодательстве и может привести к различному толкованию нормы. Данный шаг необходим для исключения правовой неопределенности в применении норм в отношении исключительно автоматизированной обработки персональных данных и обработки персональных данных с применением средств автоматизации, а также установления вероятной понятийной связи с обработкой персональных данных системами искусственного интеллекта.

Для повышения прозрачности обработки
персональных данных, возможности отслеживания данных согласий, пресечения злоупотреблений со стороны операторов предлагаю дополнить проект Закона нормами, предусматривающими создание Единого государственного реестра согласий субъектов персональных данных (далее — Реестр).

Установить обязанность для операторов вносить сведения о каждом факте получения от гражданина согласия на обработку его персональных данных в данный Реестр в автоматизированном режиме.

Обеспечить интеграцию Реестра с Единым порталом электронных услуг (ЕПЭУ / «Е-Паслуга»), обеспечив следующий функционал в Личном кабинете:

-Право на ознакомление с данными согласиями: возможность в режиме реального времени видеть полный, актуальный и структурированный перечень всех операторов, у которых есть действующее согласие на обработку ПД данного гражданина, с указанием конкретных целей, объема данных и сроков хранения;

-Право на отзыв согласия: предоставление гражданину технической возможности дистанционно отозвать любое ранее выданное согласие непосредственно через интерфейс Личного кабинета ЕПЭУ.

Предусмотреть, что направление электронного уведомления об отзыве согласия через ЕПЭУ является юридически эквивалентным подаче письменного заявления оператору и влечет за собой обязанность оператора прекратить обработку ПД и уничтожить (заблокировать) их в установленные законом сроки.

Финансирование создания, модернизации и текущего функционирования Реестра может осуществляться за счет средств операторов персональных данных (например, платы за регистрацию согласий, за отправку запросов к Реестру и т. п.).

Оператором Реестра определить НЦЗПД.