Как бизнесу применять различные правовые механизмы при обработке личной информации

При обработке персональных данных самым распространенным способом является получение согласия субъекта. Однако зачастую компании собирают согласия с избытком, не желая брать на себя повышенные обязательства. Участники дискуссии на конференции Data Fusion 2025 обсудили ключевые проблемы регулирования и правовых оснований обработки персональных данных.

В ПОСЛЕДНЮЮ ОЧЕРЕДЬ

Правовые основания обработки персональных данных – тема не новая, однако не теряет своей актуальности, отметил в ходе конференции управляющий партнер, руководитель практики IP, Tech & Privacy Comply Артем Дмитриев. По его словам, она важна как для субъектов персданных, так и для бизнеса.

Артем Дмитриев, Comply:

– Часть проблем связана с медленным развитием законодательства, другая – с некой “закостенелостью” правоприменительной практики. И речь здесь идет не столько о судебной практике, сколько о бизнес-практике операторов персональных данных.

Многие компании достаточно медленно и осторожно внедряют хорошие отраслевые практики по работе с данными, в том числе с использованием механизма правового основания, отметил юрист.

Бизнес использует полученные сведения для того, чтобы улучшать клиентский сервис и безопасность, а также для развития собственных технологий, напомнила начальник управления – вице-президент управления развития интеллектуальной собственности департамента операционной модели цифрового развития Банка ВТБ Наталья Оленева. Она подчеркнула, что при работе с личной информацией бизнес имеет несколько правовых инструментов, самое распространенный из них – это согласие на обработку данных.

Наталья Оленева, Банк ВТБ:

– Основная трудность заключается в том, что на каждую цель работы с персональными данными компании необходимо получать отдельное согласие. Крупный бизнес часто работает по модели группы, и на каждую компанию в ней нужно получать такое согласие, что крайне неудобно.

Множество согласий часто раздражает клиентов, более того, часто они их подписывают даже не глядя, продолжила эксперт. По ее мнению, для субъектов персданных хорошо бы разработать более простой путь предоставления согласий.

По мнению заместителя руководителя Роскомнадзора Милоша Вагнера, нужно исходить из того, что согласие на обработку – это последнее правовое основание, к которому стоит обращаться, когда исчерпаны возможности получить данные на основе других положений законодательства.

Милош Вагнер, Роскомнадзор:

– Желание взять согласие появляется у компании тогда, когда она не хочет брать на себя никакие повышенные обязательства, но при этом хочет получить персональные данные.

НЕОДНОЗНАЧНАЯ ФОРМУЛИРОВКА

Федеральный закон “О персональных данных” ФЗ-152 не дает однозначного ответа на ряд вопросов, особенно в части получения согласий на обработку, обратил внимание управляющий партнер юридической компании “ЭБР” Александр Журавлев.

Александр Журавлев, “ЭБР”:

– Следует посмотреть в сторону того, как можно, с одной стороны, соблюсти интересы субъектов персданных, а с другой – помочь бизнесу развиваться.

Он напомнил о существовании принципа законного интереса, где передача персональной информации третьим лицам на обработку осуществляется в силу закона. В этом случае не требуется сбор согласий на обработку.

“Однако формулировка законного интереса расплывчата и неочевидна, каждый обработчик может трактовать ее по-своему. Для бизнеса такая неоднозначность ведет к потенциальному риску”, – полагает юрист. Он уточнил, что штрафы составляют от 300 тыс. до 700 тыс. рублей за каждый случай неправомерной обработки. В качестве решения проблемы эксперт предложил использовать вариант, когда субъект дает одно согласие на обработку оператору, а оператор дает поручения на разную обработку и не получает согласия на передачу каждому контрагенту. Согласие при этом получается на определенное направление, например, страхование.

Директор по стратегическим проектам “Ассоциация больших данных” (АБД) Ирина Левова считает, что законный интерес может стать правовым основанием для анализа утекших баз данных.

Ирина Левова, “Ассоциация больших данных”:

– В настоящее время мы активно консультируемся с регуляторами по этому вопросу. Но использование механизма законного интереса с точки зрения контролирующих органов возможно только компаниями со зрелым уровнем информационной безопасности и приватности.

По ее словам, АБД совместно с Минцифры готовят законодательные изменения, которые позволят для таких целей, как противодействие мошенничеству и расследование инцидентов ИБ, применять этот механизм.

Законный интерес не должен заменять или подменять получение согласия на обработку персданных, обратил внимание Милош Вагнер. По его словам, бизнес часто говорит о сложностях в получении письменных согласий субъектов.

Милош Вагнер, Роскомнадзор:

– Однако основная проблема заключается не в том, чтобы получить согласие, а в том, что за человека уже все решили. Решили, что нужно передать его данные куда-то.

Замглавы Роскомнадзора считает, что механизм законного интереса бизнесу следует внедрять аккуратно и с осторожностью. По его словам, компании, у которых есть доступ к персональным данным, должны ставить безусловным приоритетом безопасность человека и общества, а также интересы государства.