Подготовлено: Валентин Калашник, Дмитрий Йовдий Закон о защите персональных данных - прелести и неожиданности Две противоположно-мотивированные организации (Хельсинский союз и Ассоциация банков) просили Президента о вето этого Закона. Не вышло...

Подготовлено: Валентин Калашник, Дмитрий Йовдий Баланс личных и общественных интересов. Закон создает существенный крен в сторону защиты именно личных интересов. Формальное выполнение может сделать невозможным многие общественные отношения, в частности, бизнес.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Разделения на «идентификационные» и «уязвимые» нет Такого разделения в Законе нет, это одна из фактических причин, по которой Ассоциация банков, Хельсинский союз просит Президента вотировать Закон.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Обязательная регистрация БПД Нас с вами будет контролировать специальный уполномоченный гос. орган (пока не ясно новый или существующий, см. ст.23) в котором все мы должны будем регистрировать существующие базы персональных данных (БПД). По сути, это уведомление о владельце БПД, ее распорядителях, целях обработки, месте обработки. Регистрация носит заявительный принцип, но уполномоченный гос. орган может отказать в регистрации (ст.9, п.2, п.5). Отличительно от России, закон которой признан самым строгим в мире.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Заявительный принцип НО уполномоченный орган должен выдавать спец. свидетельство (роль которого не ясна), также имеет право отказать в регистрации.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Доступ в помещения Представители уполномоченного органа будут иметь право входить в любое помещение где обрабатывается или находится БПД (возможно, обрабатывается или находится, по мнению проверяющего) (ст.23, п.4)

Подготовлено: Валентин Калашник, Дмитрий Йовдий Охват и источники финансирования Из определения что такое «персональные данные» следует, что БПД есть у любого предприятия и предпринимателя. У некоторых предприятий к-во БПД (рекламный бизнес, колл-центры, дата центры) будет измеряется сотнями. Соответственно, у органа будет много работы. Финансироваться эти работы будут, в том числе, «…за счет субъектов отношений связанных с персональными данными (ст.26)…» - т.е. нас с вами.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Получение согласия субъекта ПД Закон подтверждает ранее существовавшие в законодательстве нормы (Конституция, Закон «Об информации»), о недопустимости использования ПД без согласия владельца ПД. Вместе с тем, Закон предусматривает возможность получения согласия владельца ПД другими способами кроме письменного (ст.2, определение термина «согласие субъекта ПД»), что допускает легальное существование БПД созданных в ходе телефонного маркетинга или в интернете.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Уведомление об удалении Не возможная к исполнению норма (т.е. не перед удалением, а об удалении). (ст.21, ст.15, п.п.2-3) технически это не возможно, поскольку любое удаление данных должно быть документально обосновано, т.е. д. б. соответствующее заявление владельца ПД. А такое заявление в контексте данного Закона является элементом картотеки, т.е. базы персональных данных – круг замыкается...

Подготовлено: Валентин Калашник, Дмитрий Йовдий Право субъекта данных требовать удаления его ПД Норма, способная разрушить всю систему договорных отношений В2С. Эта основной недостаток, с точки зрения Ассоциации банков. УАДМ считает, что данные полученные законным путем не могут удаляться по требованию субъекта ПД. Такая возможность отсутствует даже технически (ст.15, п.п.2-3) поскольку любое удаление данных, как любая операция в БПД должна быть документально мотивирована, т.е. д.б. соответствующее заявление владельца ПД. А такое заявление в контексте данного Закона является элементом картотеки, т.е. базы персональных данных. В таком случае исключается возможность отраслевым объединениям создавать списки «робинзонов».

Подготовлено: Валентин Калашник, Дмитрий Йовдий Цели обработки. Право на получение ПД и ведение БПД жестко увязывается с формализацией целей обработки. В средне/долгосрочной перспективе предусмотреть все цели обработки ПД не возможно. В европейской практике уже отказались от контроля целей обработки, т.к. цели существенно изменяются в ходе развития договорных отношений.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Публичная деятельность вне Закона. Закон не предусматривает свободного распространения информации о любых должностных лицах (как предприятий, так и госчиновников, кроме чиновников 1 й категории и выборных лиц). Любая визитка это картотека, если мы не получили письменного согласия на использование этих данных – формально рискуем получить претензию.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Научные цели – только обезличено. Т.е. использование ФИО в любом виде не возможно. История, как наука теряет смысл.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Место расположение БПД. Не учитывает, что фактические место расположения серверов может быть не известно ни собственнику БПД, ни обработчику. Часто используется хостинг вне Украины.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Уведомление после обработки Сложно реализуемой нормой Закона является необходимость уведомления «исключительно в письменной форме» владельца ПД о его правах, целях сбора ПД, лицах, которым его ПД будут передаваться «на протяжении десяти раб. дней с даты включения его ПД в базу ПД» (ст.12 п.2). Такое требование не логично, поскольку любая обработка ПД (в т.ч. сбор ПД) и так становится возможной только после получения согласия владельца ПД (ст.11, п.1.).

Подготовлено: Валентин Калашник, Дмитрий Йовдий Отраслевые стандарты работы с ПД и СРО Закон предусматривает, что профессиональные объединениями могут разрабатывать «корпоративные кодексы поведения» (ст.27, п.2.) учитывая специфику отдельных отраслей (например, маркетинга). Такая норма дает возможность вырабатывать отраслевые стандарты по работе с ПД.

Подготовлено: Валентин Калашник, Дмитрий Йовдий Отсутствие санкций Как часто бывает в нашей стране «строгость Закона компенсируется возможностью его невыполнения». Закон не устанавливает отдельной ответственности за нарушение законодательства в сфере защиты ПД, кроме того подтверждает, что ответственность за нарушение законодательства о защите ПД (не только данного Закона) устанавливается именно Законом (ст.28). Это исключает возможность введения прямых санкций за нарушения Закона решением «специального уполномоченного гос. органа» или других органов исполнительной власти.