На прошлой неделе стало известно, что в Администрации Президента поставили крест на идее создания общества по коллективному управлению правами, собирающего налог на интернет – 25 рублей в месяц с каждого пользователя мобильной и фиксированной связи. Против проекта высказались как представители телекома и интернет-индустрии, так и правообладатели, и правительство вняло: вместо «глобальных лицензий» государство берёт курс на открытие доступа к знаниям и культурным ценностям. Причём госбюджету «Общественное достояние» обойдется в 100 раз дешевле, чем налог РСП.
Источник: http://www.chaskor.ru/article/obshchestvennoe_dostoyanie_vmesto_globalnyh_litsenzij_37643
Директор по стратегии Ассоциации участников MasterCard Кирилл Смирнов предложил предоставить данные исследования решения аналогичной проблемы в области платежных систем.
Дмитрий Мариничев принял на себя обязательство организовать и до конца марта подготовить пакет предложений по хостингу, с учетом в том числе еще одной технической проблемы, создаваемой новым законодательством, а именно требования не только сбора, но и хранения данных в течение 6 месяцев на территории Российской Федерации, — и, возможно, попросить Уполномоченного при Президенте РФ по защите прав предпринимателей Б.Ю.Титова сделать отдельное письмо в адрес Президента РФ. Кроме того, эксперты решили оперативно изучить международный опыт государственной защиты персональных данных.
Генеральный директор Ozon.travel Дмитрий Яковлев согласился, что в первую очередь требованиям закона должны удовлетворять сайты органов государственной власти. Он отметил, что это поможет в том числе IT-компаниям и их интеграторскому бизнесу, который страдает от создания потенциальными клиентами внутренних IT-отделов.
Что понимается под «уведомлением о месте нахождения баз данных»?
Как следует из статьи 2 Закона № 242-ФЗ сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации, должны быть представлены операторами персональных данных в уполномоченный орган посредством направления уведомления об обработке персональных данных в порядке, определенном статьёй 22 Федерального закона о персональных данных.
Следует обратить внимание, что есть утвержденная форма уведомления об обработке персональных данных (см. Административный регламент Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по предоставлению государственной услуги «Ведение реестра операторов, осуществляющих обработку персональных данных)…
Представляется, что в связи вступлением в силу Закона № 242-ФЗ указанный подзаконный акт должен быть дополнен. Нужно добавить соответствующие положения, касающиеся содержания и порядка представления сведений о месте нахождения баз данных, которые необходимо будет указать в уведомлении об обработке персональных данных.
Насколько я понимаю, нормативное закрепление порядка определения оператором персональных данных места нахождения базы данных, считается чрезмерной регламентацией.
Распространяется ли закон на юридическое лицо иностранного государства?
Насколько я понимаю, закон распространяется на представительства юридических лиц иностранных государств, осуществляющих деятельность по обработке персональных данных на территории Российской Федерации.
Что понимается под информационной системой персональных данных? Является ли веб-сайт такой системой?
Ответ на этот вопрос есть на портале Роскомнадзора (http://pd.rkn.gov.ru/faq/ ):
Согласно п. 9 ст. 3 Федерального закона «О персональных данных» информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. В случае соответствия веб-сайта указанным требованиям он является информационной системой.
Насколько я понимаю, в законе идет речь о едином процессе формирования и поддержания в актуальном состоянии базы данных.
И законодатель вводит правило, согласно которому формирование и актуализация баз персональных данных российских граждан должно осуществляться на территории России.
Соответственно логический процесс, связанный с формированием и актуализацией базы данных, не позволяет осуществлять отдельные процедуры, в том числе «хранение персональных данных», в базах данных на территории иностранного государства, не нарушая при этом нормы Закона 242-ФЗ.
Я так понял из следующей формулировки в тексте закона: «при сборе персональных данных… оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации, с использованием баз данных, находящихся на территории Российской Федерации».
Как определить, данные каких субъектов следует хранить на территории РФ?
Речь идет о регламентации процедуры установления гражданства субъекта персональных данных…
Законодатель предоставил возможность операторам персональных данных самостоятельно определять указанную процедуру в соответствии со спецификой деятельности каждого юридического лица, осуществляющего сбор персональных данных граждан России.
Если оператору персональных данных трудно выделить среди множества субъектов персональных данных тех, чьи данные нужно хранить на территории России, возможно применение принципа действия Закона на всей территории России. Соответственно в случае сбора данных на территории России оператор персональных данных может осуществлять их хранение в базах данных в России, вне зависимости от гражданства субъектов персональных данных.
Разрешается ли трансграничная передача персональных данных?
Передача информации из сформированной в России базы персональных данных — это один из видов обработки данных. Обработка персональных данных посредством ее передачи, в том числе на территорию иностранного государства, является трансграничной передачей данных. Таким образом, передача после сбора данных будет представлять собой операцию по обработке персональных данных.
Как решается проблема хранения ПД хостерами, организаторами форумов, соцсетей и прочими «информационных посредников»
Скажу о хостерах, поскольку обсуждал это с ними. У хостеров проблема такая:: с одной стороны он уже вроде как не операторы, с другой базу пользователей (ПД) ведут по полной и рискуют попасть на штрафы РКН в случае невыполнения всевозможных требований по их хранению. У остальных эта проблема возникнет уже с 1 февраля, по постановлению base.garant.ru/70710174/#block_1000.
Требуется ли письменное согласие субъекта персональных данных на передачу данных?
Как мне удалось выяснить, в соответствии с международными обязательствами, взятыми на себя Российской Федерацией при ратификации Конвенции о защите физических лиц при автоматизированной обработке персональных данных № 108, российская сторона не должна ни запрещать, ни разрешать трансграничные потоки персональных данных, идущие на территорию другой стороны, с единственной целью защиты частной жизни.
Аналогичные положения содержатся в российском законодательстве. Так, согласно статье 12 Федерального закона о персональных данных трансграничная передача персональных данных на территории иностранных государств — участников Конвенции, а также иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется без дополнительного согласия субъектов персональных данных.
При этом Законом о персональных данных определены случаи, когда трансграничная передача осуществляется также на территории государств, которые не являются ни участниками конвенции, ни входят в Перечень стран, обеспечивающих адекватную защиту персональных данных. К таким случаям, в том числе, относится письменное согласие субъекта персональных данных на такую передачу.
Обязан ли оператор персональных данных передавать данные только в базы данных на территории России?
Насколько я понимаю, Закон 242-ФЗ не вводит обязанность оператора персональных данных осуществлять передачу данных только в базы данных на территории России.
Закон 242-ФЗ не допускает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации за пределами России, при сборе персональных данных.
Что понимается под избыточностью обрабатываемых персональных данных? Чем такая избыточность опасна, надо ли за нее наказывать?
Избыточность – это такое превышение, которое связано со сбором и обработкой персональных данных, которые не относятся к деятельности оператора, осуществляемой им в отношении субъекта либо не относятся непосредственно к тем услугам, которые оператор оказывает субъекту персональных данных.
Например, зачем при выдаче дисконтной, заметьте не именной, карты в какой-либо магазинчик или на заправку, необходимо спрашивать полные паспортные данные, адрес местожительства, все виды контактной информации и прочее. Я понимаю, если гражданин изъявит желание участвовать в каких-либо суперакциях, получении дополнительного спектра услуг, требующего его идентификации, тогда это как-то объяснимо, но при этом гражданину должен оставаться выбор – сообщать свои данные или нет. А если это не так? Вот это и есть избыточность.
Законодательством какой-то минимум собираемых данных не определен. Не установлена ответственность за избыточный сбор данных. Поэтому операторы зачастую злоупотребляют своим правом и запрашивают у граждан персональные данные, в объеме, который значительно превышает необходимый. Соответственно, возрастают риски. В случае утечки, весь этот объем информации окажется в свободном доступе, что гражданам грозит самыми большими неприятностями.
Допускается ли передача персональных данных на территорию иностранных государств?
Законом допускается передача персональных данных граждан России, содержащихся в базах данных, находящихся в Российской Федерации, в том числе на территорию иностранных государств, в порядке и в соответствии с условиями, определенными законодательством о персональных данных.
Ирина Левова согласилась, что эта проблема требует какого-то отражения. Она отметила, что на заседание в Минкульте, которое было названо общественными слушаниями, не были приглашены представители ни телекома, ни интернета, ни правообладателей, которые выступают против этой инициативы введения налога на интернет. Ирина отметила, что хотелось бы привлечь к этой проблеме максимальное внимание.
Наработки ситана лягут в основу Поручений Правительства в следующем году после доклада Уполномоченного, а также будут предметом дальнейшей работы интернет-омбудсмена.
Дмитрий Мариничев, со своей стороны, предложил сделать стратегическое исследование совместно с Агентством Стратегических Инициатив на тему регулирующего воздействия на интернет в соответствии с дорожными картами Национальных Предпринимательских Инициатив (НПИ).
В этой связи Ирина Левова предложила предоставить аналитическую записку, подготовленную Институтом Исследований Интернета, по международному опыту идентификации пользователей в Интернете. Она также предложила содействовать подготовке упомянутого пакета документов с учётом наработок уже существующей рабочей группы по идентификации при ЦБ РФ и Открытом правительстве.
Источник: http://www.chaskor.ru/article/obshchestvennoe_dostoyanie_vmesto_globalnyh_litsenzij_37643
Как следует из статьи 2 Закона № 242-ФЗ сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации, должны быть представлены операторами персональных данных в уполномоченный орган посредством направления уведомления об обработке персональных данных в порядке, определенном статьёй 22 Федерального закона о персональных данных.
Следует обратить внимание, что есть утвержденная форма уведомления об обработке персональных данных (см. Административный регламент Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по предоставлению государственной услуги «Ведение реестра операторов, осуществляющих обработку персональных данных)…
Представляется, что в связи вступлением в силу Закона № 242-ФЗ указанный подзаконный акт должен быть дополнен. Нужно добавить соответствующие положения, касающиеся содержания и порядка представления сведений о месте нахождения баз данных, которые необходимо будет указать в уведомлении об обработке персональных данных.
Насколько я понимаю, нормативное закрепление порядка определения оператором персональных данных места нахождения базы данных, считается чрезмерной регламентацией.
Насколько я понимаю, закон распространяется на представительства юридических лиц иностранных государств, осуществляющих деятельность по обработке персональных данных на территории Российской Федерации.
Ответ на этот вопрос есть на портале Роскомнадзора (http://pd.rkn.gov.ru/faq/ ):
Согласно п. 9 ст. 3 Федерального закона «О персональных данных» информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. В случае соответствия веб-сайта указанным требованиям он является информационной системой.
Насколько я понимаю, в законе идет речь о едином процессе формирования и поддержания в актуальном состоянии базы данных.
И законодатель вводит правило, согласно которому формирование и актуализация баз персональных данных российских граждан должно осуществляться на территории России.
Соответственно логический процесс, связанный с формированием и актуализацией базы данных, не позволяет осуществлять отдельные процедуры, в том числе «хранение персональных данных», в базах данных на территории иностранного государства, не нарушая при этом нормы Закона 242-ФЗ.
Я так понял из следующей формулировки в тексте закона: «при сборе персональных данных… оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации, с использованием баз данных, находящихся на территории Российской Федерации».
Речь идет о регламентации процедуры установления гражданства субъекта персональных данных…
Законодатель предоставил возможность операторам персональных данных самостоятельно определять указанную процедуру в соответствии со спецификой деятельности каждого юридического лица, осуществляющего сбор персональных данных граждан России.
Если оператору персональных данных трудно выделить среди множества субъектов персональных данных тех, чьи данные нужно хранить на территории России, возможно применение принципа действия Закона на всей территории России. Соответственно в случае сбора данных на территории России оператор персональных данных может осуществлять их хранение в базах данных в России, вне зависимости от гражданства субъектов персональных данных.
Передача информации из сформированной в России базы персональных данных — это один из видов обработки данных. Обработка персональных данных посредством ее передачи, в том числе на территорию иностранного государства, является трансграничной передачей данных. Таким образом, передача после сбора данных будет представлять собой операцию по обработке персональных данных.
Скажу о хостерах, поскольку обсуждал это с ними. У хостеров проблема такая:: с одной стороны он уже вроде как не операторы, с другой базу пользователей (ПД) ведут по полной и рискуют попасть на штрафы РКН в случае невыполнения всевозможных требований по их хранению. У остальных эта проблема возникнет уже с 1 февраля, по постановлению base.garant.ru/70710174/#block_1000.
Как мне удалось выяснить, в соответствии с международными обязательствами, взятыми на себя Российской Федерацией при ратификации Конвенции о защите физических лиц при автоматизированной обработке персональных данных № 108, российская сторона не должна ни запрещать, ни разрешать трансграничные потоки персональных данных, идущие на территорию другой стороны, с единственной целью защиты частной жизни.
Аналогичные положения содержатся в российском законодательстве. Так, согласно статье 12 Федерального закона о персональных данных трансграничная передача персональных данных на территории иностранных государств — участников Конвенции, а также иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется без дополнительного согласия субъектов персональных данных.
При этом Законом о персональных данных определены случаи, когда трансграничная передача осуществляется также на территории государств, которые не являются ни участниками конвенции, ни входят в Перечень стран, обеспечивающих адекватную защиту персональных данных. К таким случаям, в том числе, относится письменное согласие субъекта персональных данных на такую передачу.
Насколько я понимаю, Закон 242-ФЗ не вводит обязанность оператора персональных данных осуществлять передачу данных только в базы данных на территории России.
Закон 242-ФЗ не допускает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации за пределами России, при сборе персональных данных.
Избыточность – это такое превышение, которое связано со сбором и обработкой персональных данных, которые не относятся к деятельности оператора, осуществляемой им в отношении субъекта либо не относятся непосредственно к тем услугам, которые оператор оказывает субъекту персональных данных.
Например, зачем при выдаче дисконтной, заметьте не именной, карты в какой-либо магазинчик или на заправку, необходимо спрашивать полные паспортные данные, адрес местожительства, все виды контактной информации и прочее. Я понимаю, если гражданин изъявит желание участвовать в каких-либо суперакциях, получении дополнительного спектра услуг, требующего его идентификации, тогда это как-то объяснимо, но при этом гражданину должен оставаться выбор – сообщать свои данные или нет. А если это не так? Вот это и есть избыточность.
Законодательством какой-то минимум собираемых данных не определен. Не установлена ответственность за избыточный сбор данных. Поэтому операторы зачастую злоупотребляют своим правом и запрашивают у граждан персональные данные, в объеме, который значительно превышает необходимый. Соответственно, возрастают риски. В случае утечки, весь этот объем информации окажется в свободном доступе, что гражданам грозит самыми большими неприятностями.
Законом допускается передача персональных данных граждан России, содержащихся в базах данных, находящихся в Российской Федерации, в том числе на территорию иностранных государств, в порядке и в соответствии с условиями, определенными законодательством о персональных данных.
Наработки ситана лягут в основу Поручений Правительства в следующем году после доклада Уполномоченного, а также будут предметом дальнейшей работы интернет-омбудсмена.