Пару дней назад был опубликован приказ РКН об «утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения». Это тот самый приказ, который нужен для применения замечательного «закона депутата Горелкина«, ставящего своей задачей вырубить топором то, что написано пером. Это единственный на сегодня закон, предусматривающий возврат статуса «конфиденциальной» информации, которая до этого была «общедоступной», больше таких ситуаций законодательство как-то не предусматривает.
По моим наблюдениям, уже сейчас народ не отдупляет, как все это применять: закон позволяет запретить любое упоминание человека, независимо от целей. На практике такой запрет уже вошел в противоречие с кучей всего, что только можно и повлек кучу сложностей на ровном месте. Из последнего увиденного — на полном серьезе народ обсуждает, а как публиковать имена авторов публикуемых статей.
Теперь выясняется, что тот единственный подзаконный нормативный акт, который нужен для применения закона, вступившего в силу с 1 марта, начнет действовать только 1 сентября. Нормотворчество уровня «бог»…
Но ладно, давайте почитаем, что там напринимали. Начнем с проекта.
Больше всего в нем мне понравилось, конечно, наиболее упоротое требование:
«3. Согласие должно включать в себя следующую информацию:
…
6) категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов.
Указанное поле заполняется по желанию субъекта персональных данных без ограничений со стороны оператора, осуществляющего обработку персональных данных. …»
Требование, как мы видим, предполагает существование некоего «поля», в котором субъект напишет все, что захочет. Например, «запрещаю распространять мои персональные данные в полнолуние». А оператор обязан будет такое требование выполнить…
Но потом нашлись добрые люди, которые объяснили авторам креатива, что это как-то слишком. Так что в окончательном варианте текст был изменен. Ну, как изменен…
«6) категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов. (заполняется по желанию субъекта персональных данных);»
Вам тоже кажется, что это «по желанию» может на практике быть истолковано точно так же, как и в проекте: «любые ограничения, установленные субъектом в свободной форме»? А я, зная об умении РКНа фигурно толковать законодательство, даже больше скажу: сдается мне, что такая вот формулировка появилась именно в расчете на такое толкование. Осталось дождаться сентября и посмотреть, как будет применяться приказ…
Кстати, в связи с этим законом встал еще один вопрос: а как обрабатывать те данные, которые субъект уже отдал оператору для выкладывания на всеобщее обозрение? Представители РКНа уже родили стройную концепцию вступления закона в силу, согласно которой «закон обратной силы не имеет», поэтому такие ПДн можно обрабатывать и дальше, а вот для тех, которые получены после 1 марта, нужно брать согласие по новой форме. Как и многие другие мудрые разъяснения от нашего уважаемого регулятора это также представляет собой полную херню…
С 1 марта у нас исчезло такое основание для обработки как «обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе». Вступила в силу новая редакция закона, которая регулирует всю обработку ПДн с 1 марта.
И вот мы такие продолжаем распространять данные, полученные до 1 марта — а на каком основании мы это делаем? Согласия «по новой форме» у нас ведь нет, а это с 1 марта — единственное основание для распространения данных…
В общем, здесь мы имеем обычную ситуацию: чтобы не ставить регулируемое население прямо совсем уж вверх ногами при помощи совсем уж упоротого закона, РКН избирательно его применяет. Но если какой-нибудь «проверяющий» не поверит тому, что данные получены до 1 марта и потребует у оператора это самое согласие — доказать ему что-то будет трудно. Все доказательства в такой ситуации находятся в распоряжении оператора и он «может изменять их как хочет». И суд, если что, будет на стороне РКН, а не оператора.
