О жизни|праве|прайвеси

Послушала сегодня Сашу (автор канала Прочёл в законе) и Юлю (автор канала На мушке) про ведение социальных сетей 💜

Классно, что Александр продолжает проводить вебинары, а ведь всё начиналось с персональных данных (кто о чём, а я все про любимые ПД)

На самом деле вебинар был супер полезный ✨
Ребята рассказывали про свой опыт ведения социальных сетей, и он, кстати, у них разный, а результаты у обоих огненные!!! 💫

Иногда у меня вообще не хватает сил писать в блог, иногда кажется, что это все вообще никому не нужно

Но! Я вижу, что это приносит пользу, да я и сама люблю читать каналы коллег 💖

Так что вдохновилась и работаем дальше 💫

🌺Поговорим о трансграничной передаче персональных данных

Если разобрать определение из ФЗ-152 на части, то получится, что ТПД (трансграничная передача [персональных] данных) - это (одновременно):

🔴передача персональных данных

🔵на территорию иностранного государства (с территории РФ)

🔴иностранному физ. лицу, иностранному юр. лицу или иностранному органу власти

Примеры ТПД:

🔴организация участия в международных мероприятиях ваших работников

🔵использование иностранной аналитики, например, Google Analytics

🔴предоставление иностранной материнской компании различных отчетов, где содержатся ПД

Примеры, где ТПД нет:

🔴доступ работника - гражданина РФ к ПД из-за границы

🔵покупка гражданином из РФ товаров, услуг у иностранных организаций (когда сам гражданин передает свои данные)

🔴передача ПД иностранному представительству или филиалу российской компании

Встречаются такие ситуации (удивительно? нет!), когда РКН не может определиться, есть ТПД или нет.

Коллеги приводят примеры из писем РКН:

Денис Лукаш: необходимо подавать уведомление о трансграничной передаче персональных данных при подписании договора с иностранным контрагентом в отношении данных подписанта

Ольга Колодяжная: при использовании данных директора для заключения договоров с иностранными контрагентами уведомление о трансграничной передаче ПД не требуется

Если вы понимаете, что ТПД в ваших бизнес-процессах есть, не забываем подавать уведомление в РКН, подробнее описано в ст.12 ФЗ-152, но это уже история для отдельного поста

ПД - это скучно ♥️

✨Часто сталкиваюсь с таким мнением среди юристов, что всё, что связано с ПД, - это скучно: куча бумажек, сидишь, пишешь положения и согласия целыми днями … и всё…

Так ли это на самом деле? Давайте разбираться.


♥️Если подходить к работе с ПД бессистемно, то, конечно, может складываться такая ситуация: обнаружили, что согласия где-то не хватает - пишем; коллеги сказали, что надо срочно написать положение, потому что у всех такое есть - пишем… ну и т.д.

♥️Если мы понимаем, что наша задача - это построить хорошую, работающую систему работы с персональными данными в организации, то это уже совсем другая история, и начинается она не с бумажек.
Вот представим: мы пришли и смотрим свежим взглядом на какую-то фирму в части ПД. С чего начать? Конечно, с уборки, а точнее, с инвентаризации процессов. Нужно посмотреть, в каких бизнес-процессах встречаются персональные данные, на каком основании мы их обрабатываем, где храним, кому передаём и т.д. В этом нам поможет реестр ПД или RoPA.

♥️Уже в процессе составления этого волшебного реестра мы погрузимся во многие дебри компании, о которых раньше могли и не подозревать, и это уже не «бумажки писать», а целый приключенческий квест, в котором будут задействованы и ваши коллеги из других отделов. Когда мы посмотрим системно на ПД, мы уже сможем на первоначальном этапе определить, где у нас косяки: где-то не обеспечено правовое основание, где-то образовалась трансграничная передача, о которой все забыли, где-то сложились непонятные отношения в части обработки ПД с партнёрами.

♥️Но, чтобы подойти ещё более детально к обработке ПД, нам в идеале нужно провести аудит - это когда мы берём все применимые к нам требования закона в части ПД и смотрим, соответствуют ли наши процессы закону. Ну а потом, конечно, придумываем, как сделать так, чтобы соответствовали: где-то процессы перекраиваются до неузнаваемости.

♥️Посмотрели на закон - не забываем про защиту ПД. Помните, на примере с РЖД мы разбирали замечательную фразу, которая встречается во многих судебных актах, о том, что оператор не предпринял все зависящие от него меры по защите ПД. Как этого можно избежать? Построить модель угроз, определить уровень защищённости ПД, понять, какие технические меры нам нужно применять, не забыть про организационные меры (в этом нам помогут статьи 18.1 и 19 ФЗ-152).

♥️Ну и потом, когда всё готово, процессы привели в порядок, все цели обработки соответствуют требованиям закона, всё учли и защитили, вот только потом пишем документы.

♥️Для меня вышеописанная история в первую очередь про бережное отношение к данным своих клиентов, партнёров, про клиентоориентированность и уж точно не про «бумажные» процессы.

Дело РЖД. Что сказала кассация ? 📎

Итак, здесь мы с вами обсуждали дело, связанное с крупной утечкой перс. данных из РЖД

🌪️Что было в предыдущих сериях:

📎Фабула
В начале 2025 года (еще до начала действия крупных штрафов за утечки ПД) в открытом доступе (в специализированном тг-канале) была обнаружена база данных на 17 млн. строк с данными сотрудников ОАО "РЖД". РКН направил РЖД запрос, на что РЖД сказали: - это не наше, мы ничего не знаем. В ходе совместной проверки с прокуратурой, РКН все-таки установили, что база утекла из РЖД, составили протокол по ст.13.11 КоАП РФ (т.к. новые статьи не подходят - утечка была до начала их действия), направили дело в суд. Рассматривал еще арбитраж.

📎 Первая инстанция
Суд сказал: "Доказательств того, что заинтересованным лицом были приняты все зависящие от него меры по соблюдению установленных правил и норм, не предоставлено и судом не установлено". Поэтому вот вам штраф - 150 000 рублей (самый низкий порог штрафа по этой статьей для юр.лиц)

🖇 Вторая инстанция
РЖД не согласились с решением первой инстанции и обратились в апелляцию. Ключевой аргумент РЖД - это не наша вина, а кибератака. В апелляцию было представлено новое доказательство - постановление о возбуждении уголовного дела в отношении не установленного лица. Проанализировав дело, и в том числе, новое доказательство, суд апелляционной инстанции решил, что выводы РКН о наличии единоличной вины РЖД являются преждевременными. Апелляция отменила решение суда первой инстанции, РКН было отказано в удовлетворении заявления
⬇️ Подробнее можно почитать здесь

🌪️ Что сказала кассация
РКН не согласились с постановлением апелляционного суда и обратились с кассационной жалобой в арбитражный суд Московского округа.
🔵Судом кассационной инстанции было принято во внимание наличие возбужденного уголовного дела.
🔴Суд указал на отсутствие достоверных доказательств виновности, противоправности действий со стороны общества либо его сотрудников, поскольку соответствующая вина не установлена, лица, причастные к нарушению охраняемых законом прав сотрудников общества не установлены.
🔵Также кассация указала, что бесспорных доказательств несоблюдения ОАО «РЖД» установленных Законом о персональных данных требований в материалы административного дела не представлено.
🌺Кассация оставила в силе постановление апелляции.

💗Рекомендательные технологии [продолжение]

Итак, мы поговорили сначала про штрафы, которые будут грозить за нарушение требований к рекомендательным технологиям, пора поговорить что это за требования

Цель таких систем
помочь клиентам быстро найти то, что им нужно, среди
огромного массива товаров или контента.

КАК они работают:
🔵собирают данные о пользователях
🔴анализируют товары и с помощью алгоритмов машинного обучения
🔵выдают персонализированные предложения

Алгоритмы изучают поведение и предпочтения каждого клиента, а затем предлагают именно тот товар или услугу, которые ему с наибольшей вероятностью понравятся.

Статья 10.2-2. ФЗ-149 рассказывает нам что же должен делать (и не делать) владелец сайта, если он применяет такие технологии.

🔴Информировать пользователей о применении РТ
🔴Не допускать применение РТ, которые нарушают права и законные интересы граждан, законодательство РФ
🔴Опубликовать правила применения РТ
🔴Разместить на ресурсе адрес электронной почты для отправки для направления юридически значимых сообщений (например, от РКН)

Что изучаем:
🌺ФЗ-149 (и в частности ст.10.2-2.)
🌺Приказ Роскомнадзора от 06.10.2023 № 150
🌺Письмо Роскомнадзора о применении РТ
🌺Приказ Роскомнадзора от 06.10.2023 № 149

💗Рекомендательные технологии

Новые штрафы и кому они грозят?

Госдума приняла законопроект о внесении изменений в КоАП [уже что-то тревожное]

Речь идет о штрафах за нарушение порядка авторизации на сайтах (но о них позже) и также проектом предусмотрены штрафы за неисполнение владельцем интернет-ресурса с применением технологии рекомендаций требований законодательства РФ к их применению.

🔴сбор информации о предпочтениях находящихся на территории РФ пользователей, нарушающий права и интересы граждан и организаций,
🔵за применение рекомендательных технологий без информирования пользователей,
🔴за неразмещение владельцем интернет-ресурса в том числе документа о правилах применения таких технологий и адреса электронной почты для направления ему юридически важных сообщений

может грозить штрафом от 10 до 20 тыс. рублей для граждан, от 30 до 50 тыс. рублей - для должностных лиц, от 500 до 700 тыс. рублей - для юрлиц.

🌺Рекомендательные технологии - это умные алгоритмы, способные предугадать желания пользователей и предложить наиболее подходящие им товары или услуги.

В следующем посте я разберу какие требования есть в законе к владельцам сайтов, которые содержат такие технологии, что нужно разместить на сайте и что полезного можно почитать на эту тему