На портале «Госуслуг» будет создан сервис по управлению согласиями на обработку персональных данных. Этими согласиями бизнес сможет заручаться, только если такая возможность прямо прописана в тех или иных законах. Такие поправки в закон «О персональных данных» есть в третьем пакете антифрод-инициатив, с которыми ознакомился Forbes. Нововведения могут кардинально изменить принципы обработки персональных данных россиян, потребуют значительных затрат со стороны бизнеса и государства, но при этом не окажут прямого влияния на борьбу с мошенничеством, считают эксперты

Новые правила сбора

Минцифры вернулось к идее создания на портале «Госуслуг» платформы управления согласиями граждан на обработку персональных данных. Соответствующие поправки в закон «О персональных данных» есть в третьем пакете антифрод-мер, который Минцифры 1 июля разослало профильным ведомствам. Forbes ознакомился с документом. Идея создания на портале «Госуслуг» такой платформы появилась в ранних версиях второго пакета антифрод-мер. Однако в финальную версию она не вошла.

Новые поправки предполагают, что человек может дать согласие на обработку персональных данных как напрямую компании, так и с использованием портала «Госуслуг». При этом согласия, полученные напрямую, операторы персональных данных, то есть любая компания и ИП, должны передавать на «Госуслуги». То же самое с отзывами на обработку согласий — они могут быть даны через портал «Госуслуг», и все отказы бизнес должен дублировать на эту платформу.

Также поправки предусматривают новые правила сбора согласий на обработку персональных данных. Если сейчас у бизнеса никак не ограничена возможность заручиться согласием клиента или сотрудника на обработку его персональных данных, то по новым правилам делать это можно будет только в случаях, прямо оговоренных в тех или иных законах или международных договорах.

По данным Роскомнадзора, сейчас в России 2 639 808 операторов персональных данных, т.е. физических или юридических лиц, государственных органов или ИП, которые собирают, хранят, используют или иным образом обрабатывают личную информацию граждан. 

В Минцифры подчеркнули, что финальной версии третьего пакета антифрод-мер еще нет. Сейчас рассматриваются предложения отрасли и ведомств, которые только предстоит проработать, прежде чем выносить на этап общественного обсуждения, добавили в министерстве. «Пользователь сможет увидеть все выданные им согласия на обработку персональных данных в одном месте — на «Госуслугах» и при необходимости отозвать их. Это может стать эффективным инструментом в борьбе с незаконным оборотом персональных данных, которые мошенники используют для хищения денег и других преступлений», — уверены в Минцифры.

Реформа института согласия

В Ассоциации больших данных (АБД, объединяет «Яндекс», VK, «Сбер», Газпромбанк, Т-Банк, Россельхозбанк, «Ростелеком», Билайн, МТС, ВТБ, Avito, HeadHunter, Точка Банк, Аналитический центр при правительстве) отметили, что реформа института согласия, которая предлагается в поправке, слишком масштабная и напрямую не связана с темой противодействия телефонным и кибермошенникам. Поэтому ее нужно рассматривать в качестве отдельной инициативы, уверены в ассоциации. «Нужно сначала проработать и выпустить разъяснения по использованию других правовых оснований обработки персональных данных, а затем протестировать их на практике — чтобы понять, какие потенциальные риски для граждан это создает», — разъяснили в АБД.
В ассоциации отметили, что создание платформы управления согласиями и ее интеграция со всеми операторами персональных данных в стране потребует чрезмерных затрат от операторов и государства, но при этом не защитит граждан от мошенничества. 

Реформа института согласия преследует социально значимую цель — сократить случаи, когда согласие на обработку персональных данных фактически навязывается гражданину и становится формальным условием получения товара или услуги, уверен советник практики интеллектуальной собственности ЮК ЭБР Артем Евсеев. Возможность увидеть выданные согласия в одном месте и централизованно управлять ими способна повысить прозрачность обработки данных и дисциплинировать бизнес, добавил он.

При этом прямого антифрод-эффекта от этой меры эксперт также не ожидает. «Телефонные и кибермошенники не работают с согласиями, их инструменты — это утечки, социальная инженерия, подмена номеров и пр. Зато централизованный реестр согласий — это, по сути, карта всей жизни человека: в каких банках он обслуживается, где лечится, у каких страховщиков, операторов связи и маркетплейсов является клиентом», — пояснил Артем Евсеев. Однако с точки зрения информационной безопасности эту инициативу эксперт считает опасной. «Мы складываем все яйца в одну корзину: компрометация одной учетной записи на «Госуслугах» дает злоумышленнику готовое досье для адресной социальной инженерии», — пояснил он. По словам Артема Евсеева, для бизнеса инициатива принесет дополнительные расходы на интеграцию с государственной системой, изменение внутренних процессов и постоянную синхронизацию статусов согласий, включая их отзыв. 

Перестроить принципы

По мнению генерального директора Института исследований интернета (ИИИ) Карена Казаряна, предлагаемые поправки в закон «О персональных данных» в корне меняют принцип сбора согласий в России — всему бизнесу понадобится перестройка механизмов работы с личной информацией пользователей, клиентов и сотрудников. Поправки значительно ограничивают использование согласия как правового основания для обработки персональных данных, не предоставляя бизнесу и гражданам каких-либо альтернатив, пояснил он. Из текста поправок следует, что во все отраслевые законы (регулирующие работу банков, торговлю, здравоохранения, работу интернет-платформ и др.) должны быть внесены нормы, определяющие случаи, когда можно брать согласия, однако они отсутствуют, добавил он. Кроме того, предусмотреть все возможные случаи обработки персональных данных просто невозможно, добавил эксперт.

Главный риск поправок в том, что они отменяют старую модель раньше, чем заработает новая, считает эксперт по защите персональных данных и соучредитель Regional Privacy Professionals Association (RPPA) Алексей Мунтян. «Маркетинг, программы лояльности, клиентская аналитика, кадровые резервы годами живут на согласии, и до принятия полного корпуса отраслевых актов никто не скажет, какие из этих сценариев останутся законными. Нормотворцами станут тысячи органов власти вплоть до муниципалитетов, переходных положений нет вообще, судьба миллиардов уже собранных согласий проектом не решена, при этом все нормы включаются одномоментно. Наконец, сам реестр согласий на портале «Госуслуг» в случае компрометации станет идеальным сырьем для социальной инженерии, то есть для того самого мошенничества, с которым пакет призван бороться», — пояснил он.

По словам Мунтяна, для бизнеса последствия принятия этой инициативы вполне осязаемы. Каждый факт обработки персональных данных, основанный на согласии, бизнесу придется инвентаризировать и там, где возможно, заранее перевести на договор или законный интерес (одно из правовых оснований, когда бизнес может обрабатывать данные без отдельного согласия человека, например, при обнаружении мошенничества), причем эта миграция начнется задолго до 2028 года и парадоксально снизит прозрачность для самих граждан, рассказал он. Добавятся прямые издержки, включая интеграцию с «Госуслугами», перестройку клиентских путей и мониторинг отраслевого и регионального нормотворчества, и это коснется операторов любого размера, отметил эксперт. Стоит помнить и о надзорном измерении, ведь сбор согласий вне предусмотренной законом обязанности уже сегодня относится к факторам риска при проверках, а после реформы станет прямым нарушением, заключил Алексей Мунтян.

Сейчас законы могут точечно устанавливать обязательное получение согласий, например для работников, отметила старший юрист Comply Мария Пономарева. «При этом для большинства бизнес-процессов согласия, наоборот, являются остаточным основанием, если мы не можем использовать другие», — пояснила она. Если будет установлен закрытый перечень случаев, в которых допускается получение согласия, возможности бизнеса по реализации проектов, связанных с обработкой данных, существенно сократятся. Компании либо не смогут подобрать подходящее правовое основание для обработки, либо придется искусственно разрабатывать договоры с гражданами или расширять использование законного интереса как альтернативных оснований, отметила эксперт. Мария Пономарева надеется, что в ходе обсуждения и доработки проекта получится синхронизировать планы законодателя с реальностью процессов бизнеса.