17 июня Франко-российская торгово-промышленная палата при поддержке Комитета по ИТ встретилась с заместителем руководителя Роскомнадзора Милошем Эдуардовичем Вагнером и начальником управления по защите прав субъектов персональных данных Роскомнадзора Юрием Евгеньевичем Контемировым. Мероприятие было организовано с целью развития прямого диалога регулятора и бизнеса.
В рамках встречи Ю.Е. Контемиров представил видение регулятора по отдельным статьям Закона о персональных данных, а также ответил на многочисленные вопросы представителей российских и международных компаний.
Среди ключевых тем была локализация персональных данных. С 2015 года этот вопрос не перестает беспокоить бизнес. В частности, соблюдение требований по локализации баз данных при использовании облачных решений. Как отметил спикер, оператор должен проверять, может ли тот или иной провайдер, дата-центр обеспечить нахождение баз данных при сборе персональных данных на территории РФ. При этом положение о локализации не запрещает трансграничную передачу персональных данных при соблюдении требований ст. 12 Закона о персональных данных.
Еще одной темой выступления стало отнесение персональных данных к иным категориям, прежде всего биометрическим. Ю.Е. Контемиров подчеркнул, что довольно часто оператор при принятии решений руководствуется разъяснениями службы 2013 года, где в качестве основного критерия отнесения данных к биометрическим рассматривалась цель обработки персональных данных, а именно идентификация. С 2016 года Роскомнадзор неоднократно обращал внимание на то, что разъяснения 2013 года с учетом изменений действующего законодательства не подлежат применению с точки зрения определения критериев отнесения персональных данных к биометрическим.
Вопрос отнесения персональных данных к биометрическим должен быть урегулирован на уровне законодательных или иных нормативно-правовых актов. Если в нормативном акте, входящем в систему законодательства РФ, прописано, что тот или иной массив или материальный носитель в рамках различных правовых отношений относится к биометрическим персональным данным, он рассматривается как биометрические персональные данные. В остальных случаях обработка персональных данных осуществляется в рамках правил, установленных ст. 6 Закона о персональных данных.
Актуальной проблемой для бизнеса является вопрос получения согласия со стороны субъекта обработки персональных данных. Ю.Е. Контемиров отметил важность соблюдения принципов целеполагания и информированности субъекта персональных данных, в частности при изменении перечня операторов обработки персональных данных и других соглашений с субъектом. Эксперт также отметил, что одно согласие в письменной форме не может иметь разные цели обработки персональных данных.
Согласие в письменной форме может быть оформлено при обработке специальных категорий персональных данных, биометрических категорий персональных данных, при осуществлении трансграничной передачи на территорию стран, не обеспечивающих адекватную защиту, при включении персональных данных в общедоступные источники и при принятии решений автоматизированным способом. Согласие в письменной форме также предусмотрено рядом федеральных законов, в частности ТК.
Согласие может оформляться в любой форме с несколькими целями обработки персональных данных без учета требований ч. 4 ст. 9 Закона о персональных данных, но к нему применяются требования ч. 1 ст. 9 закона.
До вступления в законную силу приказа №18 1 сентября 2021 года "Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения" (http://www.consultant.ru/document/cons_doc_LAW_382687/) операторы могут руководствоваться положениями приказа для разработки согласий, но в практическую деятельность согласия вступят только после вступления в силу приказа №18. До этого операторам при осуществлении распространении персональных данных следует руководствоваться отдельными положениями ст. 10.1 и ст. 6 Закона о персональных данных.
Что касается заключения договора о поручении на обработку персональных данных третьим лицом, его основными критериями являются наличие согласия субъекта персональных данных и договор о поручении. При этом привлеченное лицо будет нести ответственность перед оператором, а тот перед законом.
Среди участников встречи были представители таких компаний, как: Total, KPMG, PwC, МТС и др.
Если вы хотите получать приглашения на заседания Комитета, отправьте запрос на comites@ccifr.ru.
