Новый подход к персональным данным: хранить будут тщательнее, но трансграничная передача усложнится

В Госдуму сегодня внесли законопроект, который вносит весьма существенные поправки в действующее законодательство о персональных данных № 152-ФЗ “в целях усиления защиты прав граждан как субъектов персональных данных на неприкосновенность их частной жизни».

Как отмечает руководитель практики интеллектуальной собственности (IP) Владимир Ожерельев, новый законопроект — это крайне важный, и совсем не проходной документ, который предусматривает существенные изменения регулирования обработки персональных данных и содержит изменения в большинстве ключевых норм 152-ФЗ. 

В частности, одним из важнейших положений законопроекта является право Роскомнадзора запрещать трансграничную передачу данных в в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства, что позволяет исполнительной власти выборочно закрывать «цифровой занавес». 

Для операторов, в свою очередь, вводится новая обязанность по уведомлению контролирующего органа о намерении осуществлять трансграничную передачу данных, что значительно затруднит работу с иностранными цифровыми сервисами, но предоставит субъектам персональных данных дополнительные гарантии безопасности.

Кроме того, законопроект предусматривает распространение действия ФЗ «О персональных данных» на иностранных лиц, что окончательно решает вопрос с экстерриториальным применением закона. 

Из позитивного: отдельное положение документа вводит определение лица, «осуществляющего обработку персональных данных по поручению оператора, но не определяющего цели и способы обработки персональных данных». Это позволит четко разграничить права и обязанности лиц, выполняющих разные роли в процессе обработки персональных данных, и позволит прийти к терминологии, близкой европейскому GDPR (где есть отдельно Операторы, а отдельно Контролеры). Подобный подход можно только приветствовать. 

Законопроект закрепляет правило о том, что согласие на привлечение третьего лица к обработке персональных данных требуется только в случае, предусмотренном законом, а также устанавливает дополнительные требования к поручению на обработку данных. В части требований к согласию субъекта персональных данных законопроект вводит требование предметности согласия, что обяжет операторов получать согласие не автоматически, а осознанно.

Законопроект не обходит стороной и биометрические данные, запрещая обработку биометрии несовершеннолетних, что должно поставить точку в вопросе необходимости и правомерности биометрической идентификации в школах. Также законопроект запрещает отказывать в оказании услуг без предоставления биометрических данных, если их предоставление не является обязательным по закону.

Очевидно, что после принятия этого законопроекта вопрос работы с персональными данными, а также обеспечения их сохранности и безопасности приобретет совсем новое звучание — особенно в текущих условиях, когда государство стремится собрать как можно больше информации о своих сторонниках и противниках.