30 сентября Минцифры вынесло 3-й антифрод-пакет на публичное обсуждение. До этого проект был на межведомственном согласовании. И в чем-то ему это пошло на пользу. 

Что изменилось в редакциях проекта

В первоначальной редакции согласие предлагали допускать только (!) в случаях, прямо предусмотренных законом или отраслевыми НПА. Однако из обновленного проекта изменений 152-ФЗ исключили ряд положений, как указано ниже:

🔵ст. 4 – что отраслевые НПА определяют «случаи получения согласий»;
🔵п. 1 ч. 1 ст. 6 – что согласие допускается только тогда, когда «…случаи получения которого предусмотрены международным договором, федеральным законом или НПА…»;
🔵ч. 1 ст. 9 – что согласие может быть предоставлено субъектом «…в случаях и форме, предусмотренных международным договором, федеральным законом или НПА…».

За чем пока продолжаем наблюдать

🔵Да, по проекту в ст. 18 остается запрет для оператора требовать согласие, если обязанность его получения не предусмотрена «…международным договором или федеральным законом…». Законодатель хотел ограничить сбор согласий только случаями, когда это прямо предусмотрено законодательством, но предложенная им формулировка не создает новых ограничений. Ведь согласие по умолчанию должно быть свободным, и оператор не вправе его требовать.

🔵Проект сам по себе не устанавливает, какие цели допустимы. Он пока лишь определяет, что набор данных и действий с ними будет установлен для конкретной цели обработки отраслевым НПА. Это не запрет на согласия.

🔵Как быть, если нет НПА или НПА не покрывают применимых целей обработки ПД. Да, для многих целей отраслевой акт может и не появиться. Отсутствие НПА = отсутствие разрешенного объема обработки ПД для конкретной цели на основании согласия/ЗИ/договора, НО это ≠ запрет обработки ПД на основании, например, согласия для тех целей, которые не предусмотрены такими НПА или иным законодательством. Это вовсе не означает, что «раз не запрещено – собираем все» и требуем согласия. Принципы соразмерности и минимизации из 152-ФЗ придумали еще до Антифрода.

🔵Конечно, еще многое может случиться. Надо ждать, что получится в итоге, ведь изначально, согласно пояснительной записке к проекту, план РКН был именно «…сократить случаи избыточного сбора ПД на основании согласий… в объеме, превышающем необходимый объем для хозяйственной деятельности…». Более того, РКН добавлял, что этот проект «ограничивает обработку ПД на основании согласий случаями, прямо установленными законом».

А вот к чему уже пора готовиться 

Пока все спорили про «запрет согласий», аккурат осталась платформа согласий на Госуслугах – операторы должны будут передавать в ЕСИА сведения о полученных и отозванных согласиях. Граждане увидят, кто и зачем обрабатывает их данные, и смогут отозвать согласие или пожаловаться в РКН в пару кликов. Состав сведений определит Правительство.

То есть ваши «согласия на всякий случай» скоро станут видны самому субъекту. Со всеми вытекающими жалобами. И государство тоже получит больше контроля над активностью пользователей.

Поэтому к 2028 году лучше подойти подготовленными (если вдруг это еще не сделали):

🔵провести инвентаризацию целей и состава данных по каждому процессу;
🔵разобраться, где основание – согласие, а где – договор или законный интерес;
🔵если найдется несвободное согласие, то подобрать иное основание обработки;
🔵привести в порядок учет согласий и отзывов – без него в ЕСИА передавать будет нечего. А «нечего передать» – так себе позиция перед РКН.

Проект еще будет меняться, и «случаи получения согласий» могут вернуться так же тихо, как их исключили. 

«Бонус» от Минцифры

В очередной раз подход к правилам авторизации поменялся на 180°. В августе мы успели обрадоваться, что из Антифрод 3.0 убрали требование о 3-летнем хранении логов и обязательной авторизации на иностранных сайтах по номеру телефона.

Но эти требования вернулись. Не то чтобы мы искренне верили, что логи не заставят хранить, но дополнительные требования к иностранцам создают море вопросов, которые мы уже задавали в канале в июле.

#Comply #PrivacyМнение

🙂 MAX | YT | RT | LI | Комплайтека