Comply. | Комплаенс-бутик

Еще один вебинар про нейросети? Да, но…

Мы не просто расскажем о рисках, но и дадим инструмент для их оценки.

Специально для наших подписчиков мы сделали новый раздел Комплайтеки, где красуется сравнительная таблица условий использования сервисов ИИ: российских и зарубежных, SaaS и OnPrem, Open Source и проприетарных. Полезно посмотреть перед тем, как внедрять новый сервис в продукты или процессы компании.

А что же насчет самого вебинара? Вот какие темы мы затронем:

🔵IP: права на датасеты и сгенерированный контент

Новый закон говорит об обучении нейросетей на объектах авторских и смежных прав только для суверенных и национальных моделей (ст. 10 № 243-ФЗ), а что с остальными сервисами? И кому по умолчанию все же принадлежат права? Будем разбираться.

🔵Трудовое право, контрактные и служебные РИД: риски от работников и подрядчиков

ИИ в руках сотрудников и подрядчиков создает целый букет рисков: от утечки данных и безвиновного нарушения прав на интеллектуальную собственность до потери прав на РИД. Отдельной проблемой становятся процессуальные риски: уже сейчас нейрослоп в документах вашего консультанта может навлечь на компанию позор и до 100 тыс. руб. штрафа.

🔵ЛНА: политика ИИ внутри компании

Тотальный запрет на использование ИИ кажется рабочим вариантом только на бумаге. Более устойчивый подход строится на отборе конкретных моделей и кейсов, фиксации ограничений на юридическом и техническом уровне и синхронизации правил работы с ИИ с остальными локальными актами компании. Такие акты действительно работают в судах, что подтверждают и дело «ЭнергоПроф», и позиция Конституционного суда по жалобе Сушкова.

🔵Риск-менеджмент: выбор между сервисами и моделями

Условия использования ИИ-сервиса скрывают множество деталей, которые редко читают до внедрения: территориальные ограничения, права на результат генерации, возможность переобучения модели на данных пользователя, границы ответственности провайдера. Нюансов много, недаром мы их все отразили в таблице Комплайтеки.

🔵ПД: утечки, трансгран и прочие риски

Использование нейросервисов нередко влечет за собой и работу с ПД – причем трансграничную. Многие популярные сервисы, к сожалению, не представлены на территории РФ, а условия использования соответствуют требованиям 152-ФЗ лишь у немногих из них. Каких именно – смотрите в таблице. Путь к выбору компенсирующих мер проходит через анализ потоков данных, и этот анализ отличается в зависимости от того, иностранный ли это SaaS, российский сервис или локальная модель.

#Comply #IPМнение #PrivacyМнение

🙂 MAX | YT | RT | LI | Комплайтека

В пятницу РКН на Дне открытых дверей поделился парой симпатичных тейков. Запись тут. А ниже – коротко о некоторых из них. Зачем и мы об этом? Заметили, что не все они одинаково услышаны комьюнити. В остальном же РКН повторил ранее известное – и это, конечно, хорошо.

Главный takeaway, хоть и очевидный: храни свой front

🔵Который год наблюдаем рост privacy-вовлеченности сограждан. За 2025 г. + первую половину 2026 г. в РКН направлено более 145 000 обращений (+20%). В ГРЧЦ только за первую половину 2026 г. обратилось более 6000 граждан (+36%). А значит, DSR-процедуры и в целом front-end комплаенс актуальны и важны как никогда.

🔵Также множится и количество мероприятий дистанционного мониторинга сайтов. В этом году РКН проверил почти 160 000 (+100%)! Из них 86% оказались с нарушениями. Опять-таки повод вспомнить, что проблемы front-end – наиболее вероятный сценарий привлечения нежелательного внимания РКН.

Не спеши буквально следовать услышанному

🔵Процесс собеседования соискателя, приславшего резюме напрямую, не подпадает под инициативу соискателя по заключению договора – нужно другое правовое основание, например, согласие. Сомнительный тейк в контексте активного буллинга согласий.

🔵На слайдах РКН зафиксировал мысль, что обработку ПД можно прекратить в том числе путем их обезличивания. Удобно, конечно. Но мы бы все же так не поступали. Ведь обезличенные ПД = все еще ПД. А обработка ПД после достижения цели недопустима.

🔵Нет трансграничной передачи ПД там, где РусКо из своей ИСПД передает ПД в свою же ИСПД, но размещенную за рубежом. Да, НО не забудьте убедиться, что эта «ваша» зарубежная ИСПД хостится на вашем железе и поддерживаете вы ее сами. Ведь если есть зарубежные ЦОД с арендуемой облачной инфрой и ИТ-партнер на поддержке – это уже трансгран.

Все, что мульти, – плохо. И мы с этим НЕ согласны в корне

🔵Так под «харам» попали мультиоператорские согласия, которые еще недавно были ОК. Точно так же, как и мультирекламораспространительские (для рассылки рекламы любой из компаний). Мы уверены, что инструмент по-прежнему рабочий. И об этом вскоре поговорим подробнее.

🔵Кстати, также нельзя указывать нескольких операторов в договоре поручения. А вот несколько обработчиков – можно, если цель общая. В чем виноваты именно операторы, у которых цель, объем и иные условия поручения тоже могут быть общими, – решительно не ясно.

И наконец, хорошие новости для тех, кто дочитал

🔵Оператор может сам заранее сформулировать ограничения и условия в согласии на распространение – пользователю останется либо согласиться с этим стеком, либо отказаться от распространения целиком. Можно пока забыть про автоматизацию сложных вариативных форм согласий на сайте.

🔵Акт об уничтожении составляет и оператор, и обработчик. Да, НО только в отношении тех данных, которые они непосредственно обрабатывают. Соответственно, если к конкретным ПД доступ имеет только обработчик, то акт составляет он, а оператор контролирует.

🔵В отличие от Европы, у нас допускается множественность правовых оснований в рамках одной обработки – жонглируйте на здоровье!

И традиционно наш поклон коллегам в РКН за приглашение и проведение ДоД – это крайне важное мероприятие для рынка и комьюнити. И напоследок – главная цитата М.Э. Вагнера:

У нас нет никаких показателей эффективности, привязанных к количеству составленных протоколов или взысканных штрафов.

Расходимся!

#Comply #ИнсайдерРКН

🙂 MAX | YT | RT | LI | Комплайтека

Неожиданный поворот в споре по иску к «Яблоку»: суд признал публикацию сгенерированного контента нарушением прав правообладателя...OpenAI, а также упомянул, что ИИ относится к программам для ЭВМ – охраняемым результатам интеллектуальной деятельности.

Что здесь необычного:

🔵Во-первых, нужно разделять ИИ как сервис («программу») и результат генерации, созданный с помощью ИИ. Даже если ChatGPT как сервис недоступен в России, это не мешает пользователю претендовать на то, чтобы быть правообладателем сгенерированного контента. Если вы сделаете фото на краденом фотоаппарате, вы сядете в тюрьму, но останетесь автором.

🔵Во-вторых, сами условия использования ChatGPT закрепляют права на сгенерированный контент (Output) за пользователем:

Право собственности на контент. В отношениях между вами и OpenAI и в той степени, в которой это разрешено действующим законодательством, вы (а) сохраняете свои права собственности на Исходные данные и (б) владеете Выходными данными. Настоящим мы передаем вам все наши права, правовые титулы и интересы, если таковые имеются, в отношении Выходных данных.

🔵Наконец, Пленум № 24 ВС РФ в п. 114 говорит о том, что нарушение должно быть в распространенных агитационных материалах. Что возвращает нас к тому, что нарушение условий лицензии сервиса здесь вторично.

Справедливости ради, норма закона о запрете нарушения прав на ИС при агитации сформулирована в самом законе без каких-либо оговорок (п. 1.1 ст. 56 № 67-ФЗ). То есть буквально она может трактоваться шире, чем это транслируется в решении Пленума № 24.

Какой вывод из всей этой истории может сделать бизнес? Не добавлять копирайт OpenAI в контент.
Что мелочей в комплаенсе и оценке рисков не бывает 🙂

Об этом будем рассказывать 19 августа на вебинаре «Правовые ловушки использования нейросетей и новый закон о развитии ИИ 243-ФЗ», присоединяйтесь!

#Comply #IPМнение

🙂 MAX | YT | RT | LI | Комплайтека

26 июля вступили в силу изменения статьи 12 152-ФЗ о трансграничной передаче ПД. Разбираем, что изменилось и как с этим быть.

Что произошло?

🔵Исчезли все упоминания Конвенции № 108. Формальное участие государства в Конвенции больше не гарантирует ему статус «адекватного». Вы спросите, что же тогда гарантирует? Теперь только одно – перечень государств, который ведет РКН.

🔵Причем критерии «адекватности» тоже изменились. Теперь это не только законодательство страны, но и то, как оно реально применяется на практике. Отныне оценивается принятие эффективных мер защиты, обеспечение конфиденциальности и безопасности данных. Вы спросите, какой подписант Конвенции в реальности применяет это самое privacy-законодательство? Возможно, Германия, где Кельнский суд разрешил Meta* обучать ИИ на постах пользователей? А может, и ЕС с «чат-контролем»?

Теперь список недружественных государств заиграл новыми красками – ранее мы уже сравнивали, кто где оказался. А кроме этого, можно еще вспомнить государства, по мнению которых РФ не обеспечивает надлежащей защиты получаемых ПД. Тревожно, если тут однажды будет работать принцип взаимности…

Но и это не все!

РКН уже вынес на обсуждение новый перечень адекватных стран вместо старого приказа № 128. Существенно ничего не поменялось. Да, пока всех-всех подписантов оставили в перечне, кроме Украины.

Заодно РКН упростил и саму структуру документа: вместо двух разделов теперь сплошной алфавитный список из 88 стран.

Изменений потребует форма проверочного листа РКН, которая до сих пор предусматривает отсылку к Конвенции № 108. Постойте, но ведь на общественное обсуждение уже вынесен проект обновленной формы этого листа, где из изменений в части трансграничной передачи только исключение пункта о соблюдении формы уведомления, а Конвенция осталась. Неразбериха…

Как это повлияет на бизнес?

Если раньше можно было умиротворенно полагаться на факт участия страны-получателя в Конвенции № 108, то теперь этого недостаточно. То, что было «адекватным» вчера, завтра может внезапно перестать им быть.

Больше всего изменения могут затронуть тех, кто активно включен в цепочки трансграничной передачи. Например, использует зарубежные сервисы, взаимодействует с иностранными контрагентами, передает данные внутри глобальных групп компаний. Наиболее чувствительными к изменениям останутся е-com и финсектор.

Из непредсказуемости изменений перечня следует необходимость хотя бы скромного continuity-плана (BCP):

🔵обеспечить проактивный (а не реактивный) маппинг процессов передачи ПД зарубежным партнерам и сервисам, включая кейсы удаленного доступа зарубежных компаний к ПД в РФ;

🔵определить, кто в компании отслеживает обновления перечня РКН и держит на контроле статус каждой страны-получателя;

🔵подготовить форму оценки правового регулирования страны-получателя, так как если она выпала из перечня, то потребуется отдельно обосновывать передачу по п. 2 ч. 5 ст. 12 – с более тщательной оценкой рисков;

🔵разработать план действий на случай, если РКН ограничит передачу: прекращение обработки переданных за пределы РФ ПД, поиск подрядчика в альтернативной юрисдикции или определение иного канала передачи и т. п.

Конечно же, не стоит забывать и про старое доброе правило 10 рабочих дней. Трансграничить «неадекватам» можно не раньше, чем через 10 дней после уведомления РКН. За это время РКН вправе запросить дополнительные сведения или вовсе запретить передачу. Год назад мы писали про запреты от РКН на осуществление трансграничной передачи менее чем для 1% уведомлений, и, к счастью, с тех пор ситуация особо не изменилась.

И напоследок

На бумаге закон выглядит как рутинная техническая поправка. По сути же РКН забирает себе финальное слово в вопросах трансграничной передачи, а «адекватность» страны-получателя перестает быть «врожденным» юридическим критерием.

А как вы думаете, кого из прежде адекватных исключат первым? Великобританию, Польшу, Эстонию… никого?

*является нежелательной организацией и признана экстремистской на территории РФ

#Comply #PrivacyМнение

🙂 MAX | YT | RT | LI | Комплайтека

Продолжаем про Антифрод-3. Теперь про новые правила авторизации – они могут затронуть буквально всех.

Итак, статья 8 ФЗ «Об информации» будет переосмыслена:

1️⃣ Главное – требования впервые затронут зарубежных владельцев ресурсов.
Пока что авторизация затрагивает лишь российских лиц и потому является проблемой в основном для «дочек» зарубежных компаний.

Одновременно способы авторизации для иностранных владельцев сайтов и приложений будут сильно ограничены. Точнее, способ авторизации останется один – по номеру телефона.

А вот российским субъектам сохранят «меню» из 4 вариантов: телефон, ЕСИА, ЕБС и «иная система» под российским контролем.

2️⃣ Вишенкой на торте может стать обязательное хранение логов авторизации в течение трех лет. Их нужно будет передать по запросу угадайте-каких-органов. В том, что именно эта поправка доживет до третьего чтения, сомневаться не приходится.

Сейчас хранение логов и подключение СОРМ касается субъектов «Закона Яровой» – соцсетей, мессенджеров и даже каршеринга – лишь бы у сервиса был функционал обмена или обработки сообщений, который трактуется все шире. Похоже, в 2028 г. хранение данных для запросов правоохранителей коснется почти всех, т.к. будет достаточно иметь функционал авторизации.

❕Тем самым Антифрод-3 в текущем виде создаст новую нагрузку не только на финансовые сервисы, но и вообще на любых игроков, сайт которых чуть сложнее «визитки».

Но при этом проект не отвечает на наболевшие вопросы. Например, следующие:

🔵Как бизнесу проверять бенефициаров владельца сервиса авторизации? И тем более их двойное гражданство, о котором и родное МВД может быть не в курсе? Ведь если компания предлагает авторизацию по логину-паролю, она должна быть уверена, что провайдер сервиса авторизации «или она сама» контролируется исключительно российскими лицами.

А это не так просто. Представьте, что вы используете сервис Рус-ID, которым владеет непубличное акционерное общество или НКО. Официальных открытых источников об их акционерах и членах может и не существовать. Да и, зная бенефициаров, как убедиться в том, что у них нет паспорта Вануату? На соучредителя вашей собственной компании тоже не всегда можно положиться.

🔵Авторизация по телефону, похоже, станет мейнстримом. Но до конца не ясно, допускается ли она для зарубежных номеров. Есть разные мнения на этот счет, и, в отличие от запрета зарубежных электронных почт (которого нет), вопрос дискуссионный.

Напомним статус законопроекта – он лишь на стадии межведомственного обсуждения, и все может измениться в лучшую или худшую сторону. Но, что примечательно, обозначенные выше проблемы будто бы никто и не обсуждал. А на авторизацию госорганы, похоже, смотрят лишь в контексте финансовых сервисов и того самого фрода, хотя и формулируют букву закона гораздо шире.

📍 Вступление Антифрод-3 задумано с 1 марта 2028 г. И, хотя у него не будет обратной силы, никто не захочет в один момент отключать привычную авторизацию для половины аккаунтов. Поэтому стоит заранее продумать, как выполнять требования закона и переводить пользователей на рельсы комплаентной авторизации.

#Comply #IP #IPМнение

🙂 MAX | YT | RT | LI | Комплайтека

8 июля Госдума приняла рамочный закон о поддержке ИИ. В нем появились термины «искусственный интеллект» и «большая фундаментальная модель», но многие вопросы либо не дожили до третьего чтения, либо остались на откуп Президента и Правительства.

Юридические вопросы того, как применять ИИ в бизнесе, были и раньше. А после принятия закона их стало только больше.

Мы активно помогали Право.ру в подготовке спецвыпуска на тему ИИ. В материалах партнеры Comply рассказали, как бизнесу жить с ИИ уже сейчас:

🔵От ответственности не убежишь. По крайней мере, не всегда

Бизнесу всегда соблазнительно сказать в соглашении, что компания не отвечает вообще ни за что. Но вот будет ли это работать? Не всегда – например, Закон о защите прав потребителей не даст такой возможности.

Если компания внедрила чат-бот, то ответственность за его ошибки будет лежать на ней, а не на разработчике.

Стоит смотреть и на модель отношений: если ИИ – лишь инструмент при оказании услуг, то его использование никак не оправдает, например, плохую юридическую консультацию. Очевидно, что «последняя миля» в виде принятия решения должна быть за человеком.

🔵Что учитывать юристам при работе с ИИ?

Об этом у нас целая статья – уже для Legal Insight.

У юридической работы есть характерные проблемы: ответственность за выдачу нейросети, вопросы распределения прав, сложности с легальным использованием зарубежных решений в РФ.

Добавьте к этому профессиональную специфику: передавая данные, составляющие адвокатскую тайну, адвокаты рискуют нарушить КПЭА, если не получили на это согласие у доверителя. Учитывая количество сведений, которые могут охраняться адвокатской тайной, стоит заранее продумать сценарий получения согласия, которое оформляется доверителем в присутствии адвоката.

🔵Подробнее про ответственность

Дело ВК против Double Data напоминает: даже пользовательские данные могут охраняться как интеллектуальная собственность (ИС). Не стоит забывать и про нематериальные блага – это дополнительный слой прав, от которого в идеале нужно очищать датасет наряду с ИС. В итоге гарантировать полную чистоту любого датасета практически невозможно.

С другой стороны, закон дает большие послабления разработчикам суверенных и национальных моделей, легализуя их обучение на большинстве обнародованных произведений. Поэтому поддержка ИИ может обернуться проблемами для правообладателей – о том, как защитить свой контент от попадания в большие модели, лучше подумать уже сейчас. «Льготное» обучение на чужой ИС начнется уже с 2027 года.

Кроме ИС, в датасетах могут оказаться и ПД. Конечно, можно попытаться замаскировать и/или обезличить данные до того, как они попадут в нейросеть, и такие продукты уже есть на рынке. Но, как мы знаем, обезличенные ПД все еще остаются данными с вытекающими из этого требованиями, да и сомнительно, что все создатели маскираторов качественно имплементируют требования к обезличиванию. Так что это не панацея.

🔵Подробнее про политики

Политику по ИИ не стоит «высасывать из пальца». Само собой, не каждой компании нужен отдельный регламент только о работе с ИИ. Часто достаточно включить правила в уже существующие локальные акты: об использовании ИС, обработке ПД или информационной безопасности. Но такие нормы должны описывать конкретные меры, которых должны придерживаться сотрудники, чтобы не создавать риски ни для компании, ни для клиентов, чьи данные могут оказаться в ИИ-контуре. Например, ввести примеры «белых» и «черных» кейсов использования ИИ, а также прозрачную процедуру согласования допуска агентов в тестовые среды.

Что точно не стоит делать – так это вводить тотальный запрет на использование ИИ: это все равно что останавливать флагом паровоз.

Сотрудники все равно будут пользоваться ИИ, просто неуправляемо – через личные аккаунты, а это куда опаснее, т.к. не контролируемо работодателем.

Закон вступает в силу в сентябре, поэтому стоит примерить его на себя уже сейчас и активно следить за разработкой подзаконных актов.

#Comply #IPМнение #PrivacyМнение #IP #Комплаенс

🙂 MAX | YT | RT | LI | Комплайтека

Сегодня Артем Дмитриев рассказывает на онлайн-конференции Актион «Болевые точки — 2026. Как юристам, кадровикам и бухгалтерии защитить компанию от главных угроз» о рисках передачи ПД третьим лицам и получения данных от них. А точнее, о том как их снизить.

Казалось бы, «страшнее» всего быть оператором, поручающим обработку ПД, а оптимально – стать обработчиком. Но свободно выбирать модель взаимодействия вряд ли придется: как правило, применима только одна. РКН все равно будет смотреть на суть отношений, поэтому искусственное применение роли обработчика лишь осложнит ваше положение в случае, например, дата-инцидента.

Итак, что включать в договоры с партнерами. Кратко, по 3 примера к каждому кейсу.

Общие положения – полезны и для поручения, и для передачи между операторами (оп-оп):

🔵Поддержка при обращениях субъектов и запросах РКН. Согласуйте контакты, SLA, обязанность предоставить документы и содействовать проверкам. Частая проблема: после получения запроса партнер внезапно перестает отвечать, и все риски – исключительно ваши.

🔵Обязанность незамедлительно уведомить об инциденте. Важен каждый час: от этого зависит исполнение обязанностей перед РКН, а иногда и начало срока давности. Практика это хорошо показывает – Ростелеком не даст соврать!

🔵Договорная ответственность за нарушения. Если за нарушение ничего не будет, то и нет стимула соблюдать договоренности. Предусмотрите штрафы за любые отклонения и обязанность компенсировать реальный ущерб, включая штрафы. А лучше – обязанность партнера застраховать свою договорную ответственность перед вами.

Что предусмотреть в оп-оп договорах:

🔵Четко определить статус сторон как самостоятельных операторов. Иначе отношения могут счесть поручением обработки, а значит вы будете отвечать за все действия партнера-«обработчика».

🔵Гарантии законности обработки. Контрагент должен подтвердить, что имеет законное основание для передачи ПД и надлежащим образом уведомил субъектов об этом. Возможно, он также обеспечивает основание для вашей обработки, например, собирая согласия для вас.

🔵Безопасный способ передачи данных. Незащищенный канал – это риск инцидента еще до начала обработки. Способ передачи должен быть предметом договора, иначе непонятно, кто понесет риски за инцидент, когда data in transit, и кто уведомляет РКН об этом.

Что обязательно предусмотреть в поручении:

🔵Субобработчики и инфраструктура. С учетом позиции РКН возможность привлечения, перечень субобработчиков, требования к договорам последующей обработки – лучше закреплять прямо в договоре. Если уместно – ограничивать передачу данных пределами РФ. Где хранятся данные: своя инфраструктура, аттестованное облако, российская площадка? Если обработчик осуществляет сбор ПД, необходимо отдельно учитывать требования о локализации.

🔵Эксцесс исполнителя. Полезно предусмотреть, что действия обработчика за пределами полученных инструкций – его самостоятельная ответственность, включая уведомление РКН в случае дата-инцидента.

🔵Уничтожение данных и его подтверждение. Обработчики нередко забывают уничтожить ПД или дают формальные справки, а оператор не может подтвердить исполнение требований закона. А если позже утекут те же данные, доказать уничтожение невозможно. Зафиксируйте в договоре требования к логам уничтожения и срокам их хранения обработчиком, если обработка происходит в его контуре.

Но это только полдела: нужно добиться, чтобы эти условия реально попадали во все договоры, а для этого нужен выстроенный процесс и контроли.

Чтобы не отпускать гостей вебинара с пустыми руками, мы подготовили анкету для оценки обработчиков ПД. Она помогает понять, стоит ли доверять обработку подрядчику (а если выбора нет – заранее усилить договор с ним), и продемонстрировать должную осмотрительность при выборе обработчика. От ответственности это не освобождает, но может стать аргументом при инциденте. В анкете базовые разделы, но их возможно адаптировать под специфику компании в качестве полноценного инструмента оценки privacy-рисков.

#Комплаенс #PrivacyМнение

🙂 MAX | YT | RT | LI | Комплайтека

Только в июне был принят Антифрод-2, как уже направлен профильным ведомствам для рассмотрения Антифрод-3. Да, уже с 1 марта 2028 года планируется жить в согласии, но без согласий (извините за спойлер).

Изменения снова будут касаться сразу нескольких законов. Пока рассмотрим ПД-аспекты, которые минорно отличаются от проекта Антифрод-2 на этапе общественного обсуждения:

🔵Не согласны на согласия

Случаи получения согласий бизнесом будут ограничены международным договором, федеральным законом и НПА госорганов, субъектов / муниципальных органов в пределах их полномочий. А еще будет определен состав и операции с данными для каждого такого случая, что еще больше сжимает силки согласий.

Снова посягательство на согласия. Их, безусловно, нужно минимизировать, но иногда они остаются единственным возможным основанием обработки для бизнеса. Придется творить или искусственные договоры на все, или расширять использование законного интереса?

Возможно, когда-нибудь придется трансформировать критерий свободности согласий, чтобы он защищал уже не субъектов, а бизнес от навязанных согласий.

🔵Цифровой контроль

Возвращение устрашающих слов про рутирование через ЕСИА сбора, отзыва согласий и управления запросами на доступ. Планируется, что Правительство позже расскажет, каких кейсов будет касаться требование сбора согласий через ЕСИА и передачи в ЕСИА согласий, полученных оператором напрямую.

Ожидаем повторного бурного обсуждения реализации бизнесом этих требований, особенно загрузки старых (в т.ч. бумажных!) согласий.

🔵Типовые согласия

РКН и Минцифры (для финансового сектора подключится ЦБ) разработают типовые согласия для их сбора сразу через ЕСИА.

Специальная ответственность за нарушение новых требований пока не предусмотрена, хотя уже видится применение частей 1 и 2 ст. 13.11. А большинство деталей мы увидим только в Постановлении Правительства и в будущих НПА госорганов. Хотя разработчики проекта уже убеждены – его принятие не повлечет никаких финансовых последствий для бизнеса... возможно, если его не исполнять.

Приятное напоследок – в сравнении с Антифрод-2 исключена обязанность операторов при сборе данных передавать детали обработки в ЕСИА (мы так и не успели узнать, какие).

Не все ФОИВ поддерживают подобные меры в части ПД, а мы предлагаем в любом случае сначала убедиться в наличии у бизнеса работающих альтернатив согласиям. Бог любит троицу, но все же надеемся, что согласия оставят в покое и в этот раз.

#Comply #Комплаенс #PrivacyМнение

🙂 MAX | YT | RT | LI | Комплайтека

Решение Верховного Суда, которое поможет всему рынку рекламы

Melon Fashion Group (бренды ZARINA, Befree, LOVE REPUBLIC, SELA, IDOL), более двух лет спорит с Федеральной антимонопольной службой по поводу механики «подписка на рекламу за скидку». Ранее мы писали о споре здесь.

Вчера ВС РФ поставил точку в этом споре: отменил судебные акты по делу А07-5689/2025 и решение Башкортостанского УФАС, вынесенные против Melon Fashion Group. ВС РФ разрешил спор по существу, без передачи дела на новое рассмотрение.

🔵Суть спора

Наш клиент столкнулся с серийным жалобщиком, который дал согласие на рекламу взамен на скидку. Факт дачи согласия не оспаривался, но ФАС расценил невозможность получения скидки без подписки на рекламу как «принудительное» согласие, расширительно истолковав ст. 18 ФЗ «О рекламе». Эту позицию поддержали суды трёх инстанций, отвергнув, среди прочего, доводы Melon Fashion Group о злоупотреблении правом со стороны жалобщика.

🔵Позиция Melon Fashion Group

Механика «скидка за подписку» – обычная рыночная практика. Потребитель сам решает, хочет ли он подписаться на рассылку. Melon Fashion Group при этом соблюдала все необходимые требования: получала явное согласие на рекламу и предоставляла возможность отписки в каждом письме, начиная с первого. Иной подход («скидка всем просто так») сделал бы подобную маркетинговую механику бессмысленной.

При этом мы подчеркивали, что в рассматриваемом случае Melon Fashion Group не ставило предоставление согласия на рекламу в качестве обязательного условия для нормального использования сайта, заказа товара или получения услуги. Обратная практика, конечно же, была бы недобросовестной.

Более того, действия жалобщика, который искусственно увеличивает количество жалоб и задействован в сотнях аналогичных дел, суды и ФАС должны были оценить с точки зрения добросовестности и признаков злоупотребления правом.

🔵Последствия решения

Позиция суда будет играть значимую роль для всего рекламного рынка. Штрафы за спам достигают 1 млн рублей за одно нарушение, а активность так называемых «рекламных троллей», которые зарабатывают на жалобах в ФАС и компенсации морального вреда, за последние два года на пике. Это увеличивает административную нагрузку и на бизнес, и на антимонопольную службу, и на суды.

Определение еще не готово, но как минимум стоит ожидать окончательной легализации механики «подписка за скидку», в том числе, когда такая скидка определяется «колесом фортуны».

Как максимум, у Верховного Суда появилась возможность высказаться на тему добросовестности в рекламных спорах. Представитель ФАС в заседании прямо заявил, что их позиция исходит из отсутствия норм о злоупотреблении в законе. Тогда как позиция бизнеса во многих спорах – категория добросовестности является общеправовой и не должна «исчезать» в спорах о рекламе.

Команда Comply консультировала Melon Fashion Group по вопросам, возникающим в данном споре, партнеры Сергей Сайганов и Максим Али оказали поддержку при выступлении в ВС РФ.

Не переключайтесь – отдельно опубликуем разбор текста определения ВС РФ, когда оно будет опубликовано.

#Comply #Privacy #Реклама #ТМТ

🙂 MAX | YT | RT | LI | Комплайтека

Gmail не запретят, но иностранный бизнес останется без своей авторизации. Разбираем новые штрафы в КоАП.

Cвершилось то, о чем давно говорили большевики (и мы тут). Госдума одобрила штрафы за нарушение правил авторизации пользователей и применения рекомендательных технологий (ректех). Особенно болезненными санкции будут для международного бизнеса и «дочек» иностранных компаний. Почему? Читайте дальше.

Что произошло?

За неправильную авторизацию пользователей штраф для компаний будет достигать 700 тыс. рублей.

Владельцев сервисов с ректех похожие штрафы будут ждать за:

🔵их применение с нарушением прав 3-х лиц,
🔵неуведомление пользователей об их применении,
🔵неразмещение правил ректеха,
🔵отсутствие на ресурсе контактов владельца ректеха.

За такие нарушения штраф для компаний также составит до 700 тыс. рублей, а за повторное нарушение – до 1,4 млн рублей.

Отдельная ответственность предусмотрена за неисполнение предписания РКН об отключении ректеха: для компаний до 1,4 млн рублей, а за повторное неисполнение до 2,8 млн рублей.

Долгое время требования к авторизации и ректеху не подкреплялись штрафами КоАП. Но опыт с маркировкой рекламы и уведомлениями РКН подсказывал, что это не продлится вечно. Разберемся, что надо делать.

Что и кому стоит проверить?

📍 Авторизация

Если на сайте / в приложении есть личный кабинет или подобный функционал, требующий авторизации, проверьте как эта авторизация происходит. По 149-ФЗ допустимы, в частности:

🔵российский номер телефона,
🔵ЕСИА / Госуслуги,
🔵ЕБС,
🔵иная система, с учетом требований к ее владельцу.

Последняя опция самая опасная, хоть и не такая очевидная из-за сложной формулировки пп. 4 п. 10 ст. 8 149-ФЗ. Суть в том, что владельцем иной системы авторизации должна быть РусКо под российским контролем или гражданин РФ без двойного гражданства. То есть компании с иностранным участием (в том числе «дочки» крупных брендов) не могут иметь собственный сервис авторизации по паре «логин-пароль». Теперь это нарушение грозит полуторамиллионным штрафом. И таких компаний в РФ все еще много (и это хорошо, конечно)!

📍 Ректех

Если на сайте / в приложении есть персонализированные подборки, рекомендации товаров, контента, услуг или иная выдача на основе анализа поведения и предпочтений пользователя, проверьте:

🔵есть ли уведомление о применении ректех,
🔵размещены ли правила их применения,
🔵есть ли контактный e-mail для юридически значимых сообщений (за него отдельный штраф!).

Ректех – это не только «умные ленты» и прочие характерные для бигтеха функции. Это потенциально и чат-бот с ИИ, рекомендующий и подбирающий оптимальные товары.

Хорошая новость

Она тоже есть. И заключается в том, что еще одна плохая новость не случилась. И вот почему. Многие помнят обсуждения о том, что авторизация должна будет возможна только через российские почтовые сервисы, а Gmail и другие ино-домены окажутся вне закона. К счастью, пока это не наступило. Запрет использовать для целей авторизации иностранный email действительно фигурировал в одной из версий «Антифрод 2.0», но в принятой Госдумой редакции этой нормы уже нет.

Однако важно не путать Gmail как адрес почты и Google ID как способ авторизации. То есть сам по себе логин вида […@]gmail.com – не то же самое, что авторизация через Google ID. А вот вход через Google ID, как и Apple ID, – уже нарушение. Поэтому запрещать пользователям авторизовываться через Gmail не стоит… по крайней мере пока.

Итого, с суверенизацией через запреты у нас все хорошо. Вот бы еще законодатели так же активно фасилитировали суверенизацию технологий... но нет.

Впереди еще Совет Федерации, подписание Президентом и официальное опубликование. Но надеяться на вето, пожалуй, не стоит. Лучше – на комплаенс.

#Comply #Комплаенс

🙂 MAX | YT | RT | LI | Комплайтека

❕Attention❕

Прямое включение с церемонии награждения рейтинга The DEPARTMENT от Legal Insight

Кто же забрал титул иконы privacy-стиля в этом году? Барабанная дробь... Хотя вы и так уже узнали их, верно?
Wildberries & Russ

Tribute новым privacy-легендам!

Рейтинг давно из простой церемонии превратился в показатель зрелости in-house-команд. Ежегодно здесь собираются лучшие из лучших, чтобы подсветить тренды и задать стандарт на сезон.

А мы уже второй год подряд вручаем награду в номинации «Эффективная правовая защита ПД» и с радостью наблюдаем, как уровень участников с каждым разом только растет.

«Работа победителей – исключительно передовые решения. Команда задала высокую планку для всей номинации. И в целом за год на рынке появилось множество новых практик и идей. Это видно по многим участникам конкурса. Конкурс как раз и дает возможность увидеть, кто и как интегрирует инновации в свои процессы - позволялет видеть динамику развития».

Артем Дмитриев, управляющий партнер Comply и член экспертного совета

Делимся эмоциями с церемонии и поздравляем всех финалистов! Вы – двигатель отрасли.

Инноваций и свежих идей становится только больше, и мы обязательно будем делиться ими с вами – продолжим бустить развитие рынка.

Привет Кириллу!

#Comply #Комплаенс #Юридический_рейтинг #TheDepartment

🙂  MAX | YT | RT | LI | Комплайтека

Помните, мы говорили про душераздирающий рекламный спор «Мэлон Фэшн Груп»?

Предыстория: наш клиент столкнулся с рекламным троллем. Тролль посчитал, что механика «подписка на рекламу в обмен на скидку» нарушает его права, и пожаловался в Башкортостанское УФАС. Эту механику Управление признало незаконной: мол, есть принудительное согласие на рекламу. Несмотря на все усилия, и ФАС, и суды трех инстанций встали на сторону жалобщика. Ничто, даже доводы о злоупотреблении, не возымело эффекта.

💡 Но есть все же место чуду на земле: Верховный Суд РФ передал на рассмотрение коллегии жалобу МФГ. И теперь дело еще может закончиться хэппи-ендом. Не только для МФГ, но и вообще для всей рекламной отрасли.

Выходит, не зря мы не раз и не два писали про рекламный троллинг, говорили о нем на конференциях. А это бич не только бизнеса, но и ФАС, который вынужден разгребать поток жалоб людей, не столько желающих защитить свои права, сколько – заработать.

Самое волнительное – что скажет ВС РФ?

Есть два глобальных вопроса, по которым ВС может выработать позицию для отрасли:

🔵Глобальный вопрос: можно ли прекращать дело о рекламе из-за злоупотребления жалобщика?

Если ФАС сталкивается с серийными жалобами, которые подаются с целью заработать – может ли он мотивировать этим прекращение дела? Ведь если вы попадаете в прицел рекламного тролля, то получите не одну жалобу, а целый пакет – иногда от родственников и друзей тролля, мы и такое видели.

Довод о злоупотреблении встречается в некоторых судах, но пока что он не доходит до уровня ВС РФ. И, учитывая публичную отрасль законодательства, ФАС применяет его с большой осторожностью.

🔵Частный вопрос: допустима ли механика «подписка за скидку»?

Да, подписка необходима для такой акции – но лишь потому, что это единственное условие получения скидки. Иначе, следуя логике тролля, скидку нужно выдавать и просто так, без подписки. Тогда бизнесу проще скидку, очевидно, не давать вовсе. Тем более сознательный пользователь может не подписываться на такие акции, вот и все.

Буквально на прошлой неделе на Петербургском Правовом Саммите обсудили эту механику с ГРЧЦ РКН и ФАС. Пришли к выводу, что нет в такой практике нарушений.

Держим кулачки за МФГ и отрасль! 🤞

#Comply #IPмнение

🙂 MAX | YT | RT | LI | Комплайтека

IP-мнение: пропаганда или художественный замысел

Максим Али, партнер практики интеллектуальной собственности Comply, прокомментировал для «Ведомостей» ситуацию с запретом пропаганды наркотиков в музыке. СМИ пишут, что править нужно более 40% российских треков. Делимся основными тезисами.

Что считать пропагандой?

Главная сложность в том, что она определяется через оценочный критерий – «оправданность художественным замыслом». В споре его толкует эксперт, и суды обычно доверяют его субъективному мнению. Исход зачастую непредсказуем, и бизнесу приходится выбирать: перестраховаться или жить с рисками.

Пропагандой считается не только восхваление, но и любая информация об изготовлении, хранении или потреблении веществ. Всякое упоминание в тексте автоматически попадает под запрет, если не будет оправдано художественным замыслом.

Кодекс Хейса по‑русски

Закон, независимо от художественного замысла, запрещает говорить о допустимости или необходимости употребления наркотиков. Это напоминает голливудский «Кодекс Хейса» середины XX века: запрет показывать преступления без последующего наказания или морального осуждения.

Это сильно осложняет пародии и иронию. Нарушение зависит от того, увидел ли судья или эксперт юмор в конкретном случае. Вспомним историю с зацензурированной песней Anacondaz «Мама, я люблю» (18+!) на Яндекс.Музыке или же кейс с удалением трех альбомов «Агаты Кристи» с российских площадок.

Чего хочет рынок?

Конечно, понятных и прозрачных правил. Размытость формулировок приводит к принципу «ваша невиновность – наша недоработка». В этом случае гайдлайны с примерами допустимого и недопустимого, составленные совместно с правоохранителями, сняли бы часть вопросов.

А еще – беспристрастный подход судов. Если судья не будет автоматически на стороне правоохранителей и услышит бизнес, это уже большая поддержка.

Что это значит для лейблов и стримингов?

Практика была консервативной и до поправок. Протоколы составляли за кепки и пряжки с «листом, похожим на коноплю». После поправок запрет станет только жестче.

Важно помнить, что пропагандой считается не только прямое упоминание слов, но и визуальные образы, жесты. Стоит пересмотреть и чек-листы того, что нельзя допускать в кадре видеоклипа.

#Comply #IPмнение

🙂  MAX | YT | RT | LI | Комплайтека

Когда-то это было просто меню метрик DPO. Теперь версия 2.0: матрица метрик

Вместе со спикерами сессии «Два притопа, три прихлопа. Как справляться с privacy-комплаенсом» на V Петербургском правовом саммите мы пересобрали и обновили прошлую версию наших метрик DPO.

Раньше это был список показателей по отдельным направлениям работы privacy-функции. Сейчас – более структурированный инструмент, который помогает не только собирать цифры, но и управлять функцией.

Что изменили:

🔵переработали домены и логику группировки метрик;
🔵добавили метрики загрузки и SLA;
🔵отдельно посмотрели на скорость реакции DPO на триггеры и запросы;
🔵расширили блоки про зрелость функции и операционную эффективность.

Получилась уже рабочая матрица, чтобы оценивать эффективность функции, понимать загрузку команды, отслеживать развитие процессов и разговаривать с бизнесом на языке измеримых показателей.

Делимся ➡️ по ссылке ⬅️

🙂 MAX | YT | RT | LI | Комплайтека

Насколько вы хороши в работе с персональными данными?

Пишите в комментариях, в каких вопросах правильный ответ – ДА. Авторы первых 5-ти верных ответов получат подарки от Comply 🎁

Подробнее эти вопросы обсудим 28 мая в 15:00 на сессии «Два притопа, три прихлопа. Как справляться с privacy-комплаенсом» на V Петербургском правовом саммите.

Состав спикеров уникальный: представитель ГРЧЦ Роскомнадзора, замруководителя Московского УФАС, CDPO Wildberries&Russ и DPO МТС, а вести беседу будет управляющий партнер Comply Артем Дмитриев.

💡 Проверьте себя по вопросам в карточках ⬆️

🙂 MAX | YT | RT | LI | Комплайтека