Закон о защите персональных данных - прелести и неожиданности

Баланс личных и общественных интересов.
Закон создает существенный крен в сторону защиты именно личных интересов. Формальное выполнение может сделать невозможным многие общественные отношения, в частности, бизнес.

Разделения на «идентификационные» и «уязвимые» нет
Такого разделения в Законе нет, это одна из фактических причин, по которой Ассоциация банков, Хельсинский союз просит Президента ветировать Закон.

Обязательная регистрация БПД
Нас с вами будет контролировать специальный уполномоченный гос. орган (пока не ясно новый или существующий, см. ст.23) в котором все мы должны будем регистрировать существующие базы персональных данных (БПД). По сути, это уведомление о владельце БПД, ее распорядителях, целях обработки, месте обработки. Регистрация носит заявительный принцип, но уполномоченный гос. орган может отказать в регистрации (ст.9, п.2, п.5). Отличительно от России, закон которой признан самым строгим в мире.

Заявительный принцип
НО уполномоченный орган должен выдавать спец. свидетельство (роль которого не ясна) , также имеет право отказать в регистрации.

Доступ в помещения
Представители уполномоченного органа будут иметь право входить в любое помещение где обрабатывается или находится БПД (возможно, обрабатывается или находится, по мнению проверяющего) (ст.23, п.4)

Охват и источники финансирования
Из определения что такое «персональные данные» следует, что БПД есть у любого предприятия и предпринимателя. У некоторых предприятий к-во БПД (рекламный бизнес, колл-центры, датацентры) будет измеряется сотнями. Соответственно, у органа будет много работы. Финансироваться эти работы будут, в том числе, «…за счет субъектов отношений связанных с персональными данными (ст.26)…» - т.е. нас с вами.

Получение согласия субъекта ПД
Закон подтверждает ранее существовавшие в законодательстве нормы (Конституция, Закон «Об информации»), о недопустимости использования ПД без согласия владельца ПД. Вместе с тем, Закон предусматривает возможность получения согласия владельца ПД другими способами кроме письменного (ст.2, определение термина «согласие субъекта ПД»), что допускает легальное существование БПД созданных в ходе телефонного маркетинга или в интернете.

Уведомление об удалении
Не возможная к исполнению норма (т.е. не перед удалением, а об удалении). (ст.21, ст.15, п.п.2-3)
технически это не возможно, поскольку любое удаление данных должно быть документально обосновано, т.е. д. б. соответствующее заявление владельца ПД. А такое заявление в контексте данного Закона является элементом картотеки, т.е. базы персональных данных – круг замыкается...

Право субъекта данных требовать удаления его ПД
Норма, способная разрушить всю систему договорных отношений В2С. Эта основной недостаток, с точки зрения Ассоциации банков.
УАДМ считает, что данные полученные законным путем не могут удаляться по требованию субъекта ПД. Такая возможность отсутствует даже технически (ст.15, п.п.2-3) поскольку любое удаление данных, как любая операция в БПД должна быть документально мотивирована, т.е. д.б. соответствующее заявление владельца ПД. А такое заявление в контексте данного Закона является элементом картотеки, т.е. базы персональных данных.
В таком случае исключается возможность отраслевым объединениям создавать списки «робинзонов».

Цели обработки.
Право на получение ПД и ведение БПД жестко увязывается с формализацией целей обработки. В средне/долгосрочной перспективе предусмотреть все цели обработки ПД не возможно. В европейской практике уже отказались от контроля целей обработки, т.к. цели существенно изменяются в ходе развития договорных отношений.

Публичная деятельность вне Закона.
Закон не предусматривает свободного распространения информации о любых должностных лицах (как предприятий, так и госчиновников, кроме чиновников 1й категории и выборных лиц). Любая визитка это картотека, если мы не получили письменного согласия на использование этих данных – формально рискуем получить претензию.

Научные цели
– только обезличено. Т.е. использование ФИО в любом виде не возможно. История, как наука теряет смысл.

Место расположение БПД.
Не учитывает, что фактические место расположения серверов может быть не известно ни собственнику БПД, ни обработчику. Часто используется хостинг вне Украины.

Уведомление после обработки
Сложно реализуемой нормой Закона является необходимость уведомления «исключительно в письменной форме» владельца ПД о его правах, целях сбора ПД, лицах, которым его ПД будут передаваться «на протяжении десяти раб. дней с даты включения его ПД в базу ПД» (ст.12 п.2). Такое требование не логично, поскольку любая обработка ПД (в т.ч. сбор ПД) и так становится возможной только после получения согласия владельца ПД (ст.11, п.1.).

Отраслевые стандарты работы с ПД и СРО
Закон предусматривает, что профессиональные объединениями могут разрабатывать «корпоративные кодексы поведения» (ст.27, п.2.) учитывая специфику отдельных отраслей (например, маркетинга). Такая норма дает возможность вырабатывать отраслевые стандарты по работе с ПД.