Roskomnadzorによる「個人データに関する」法律に対する科学的および実践的なコメント。 科学的で実用的なものがありますか？

さらに最近では、ターゲットを絞ったメディアに、ロスコムナゾールがロシア新聞の後援で「個人データに関する連邦法」という題名で読み物を発表したというニュースがありました。 科学的かつ実践的な解説。」 私にとって、活動の性質上、このパンフレット（パンフレットのように、ほぼ200ページのタルムード）は、必需品です。 7年間、組織の個人データの保護に携わってきましたが、この間、「何、どのように、なぜ」という調和のとれた絵を頭に並べていませんでした。 問題の文書が少なくとも何かを合理化するのに役立つことを願っていました。 Roskomnadzorは、猫の下で読んだ個人データに関する法律の泥だらけの瞬間を明確にすることに成功しました。

取得方法

すぐに書店を取得するプロセスについて教えてください。 ロシアの新聞の図書館ウェブサイトでここで利用できます 。 普通の人はすぐに質問をすることができます：なぜ連邦法の規定の規制当局による説明に対して支払うべきですか？ 陰謀論の支持者は、法律が意図的に濁り、説明を売るのに理解できないようにすることをすぐに言うだろう。 私自身は、そのような出版物を金銭で配布すること（およびGOSTの有料配布）の激しい反対者ですが、そうかもしれませんが...

もちろん、私は100ルーブルのPDFバージョンに興味がありました。 本の注文に目を向けると、私は再び激しく緊張した。 この時点で、私はこの質問を自問しました。なぜ、クレジットカードを使用してインターネット経由で地方映画館のチケットを簡単かつ簡単に購入できるのですか。ロシアの新聞から「科学的かつ実用的なコメント」を得るために必要なのは：

• 領収書の印刷;
• 領収書に記入します。
• 銀行に行き、支払います。
• メールでスキャン、小切手または支払いを送信。
• PDFを待ちます。

そして-イノベーション



さて、私はすべて悲しいことについてです、いや、いや、それはまた悲しいことについてです。



残念ながら、このかなり大きな文書には有用で実用的なものはほとんどないことをすぐに言います。このことについては記事の最後で説明し、次に欠点やその他の悲しいことについて説明します。

現在の政治状況に関するコメントの不一致

ここに、例えば、著者が「個人データに関する」法律の目標についての解説で書いているものがあります。

個人データの分野における市民の権利を保護するために、ロシア連邦は、個人データの流れの国境を越えた性質を考慮して、まずロシアの法律における欧州法の要件の実施を確保し、個人の分野における州間規範的法律行為で定められた基本原則を満たす個人データ主体の権利を保護するためのシステムを作成しましたデータ。

欧州裁判所は私たちに命令を下さない憲法裁判所の最近の決定に照らして、ロシア連邦の領土にのみロシア連邦の市民の個人データを保存する義務の9月1日からの導入を紹介し、「国境を越えた流れ」と「ロシア法における欧州法の要件の実施」について話すことは少し少なく聞こえますとんでもない。 文書のほぼ5分の1が、国内法と国際法、欧州条約、世界人権宣言などとの調和に関する会話に充てられていることは注目に値します。

おかげで、今では明らかです！

この文書では、多くの場合、有用なコメントの代わりに、立法が本当に濁っており、それに耐えなければならないという事実が述べられています。 これは、「個人データ」の概念の定義に関するコメントから始まります。



これは、「個人データに関する」連邦法の定義のようです。

個人データ-特定または決定可能な自然人（個人データの対象）に直接的または間接的に関連する情報。

「科学的かつ実用的な」コメント：

同時に、ロシアの法制度で機能する法律の原則の観点から、「個人データ」の概念の正式な確実性を疑うことができます。 検討中の規範の文字通りの解釈により、「個人データ」の概念には、このコンテキストで合理的に予想されるものを超えることを含む、幅広い情報を含めることができます。 特に、個人の直接的または間接的な確実性または「決定性」間の情報間の関係を示すものではありません。 したがって、収集および処理されるデータが個人的なものであり、そうでない場合について明確な理解はありません。

さらに、「個人データ」の明確な概念を定式化することは不可能であり、関係のすべての関係者（規制当局、個人データ運営者、および個人データ主体）の間の利害のバランスを維持するために現在の定義が定式化されているという疑わしい結論が下されます。 実際、定義のあいまいさは、Roskomnadzorにオペレーターを罰する追加の理由を与えます。 私の実践では、ある組織の監査中に、掘り下げるべきものを見つけることなく、ILVの代表者が個人データに関する法律に違反しているという声明を書いたことがありました。承認された機関に不完全または歪んだ情報を提供する）。



興味深いことに、著者は、法律の承認が個人データの処理が公平に行われることを意味するものを「説明」します。

さらに、すべての処理は、公平に、すなわち普遍的価値、道徳の原則、名誉、法律、および法律を適切に遵守するという考え方を反映した道徳的カテゴリーで実行される必要があります。

おかげで、今では明らかです！ 私は自分自身に問いかけていました。「公正な根拠」とはどういう意味ですか。 今、私は自分自身に問いかけます：「道徳的および法的カテゴリー...」が意味するもの、「当然の遵守...」が意味するもの、「普遍的価値」および「名誉と道徳の原則」が意味するもの。



一般に、「科学的実践的」解説は、「問題は開かれたまま」、「法は定義されていない」、「法は説明しない」、「多分」（または多分...）、「多分」および「多分」などの革命に満ちている。 「科学的かつ実用的な」解説を読んだ後、「個人データに関する」法律自体を読んだ後よりもさらに多くの疑問が生じることがあります。 たとえば、個人データの処理が指定された処理の目的を遵守しなければならないという複数ページの不正行為の後、その過剰な個人データは違法な叙事詩です：

ただし、現在の法律には、処理された個人データの冗長性に関する基準は含まれていません。

またはもう1つ：

立法者がコメントされた法律で生体認証データの概念をenっているという事実にもかかわらず、この用語の統一された解釈はまだ存在せず、したがって、人に関するどんなデータが生体認証であるかについての理解はありません。

しかし、これは一般に、要求に応じて被験者にデータを提供するというオペレーターの義務に関連する問題では、地獄のような焼きなましです。

したがって、個人データの処理に関する情報は、アクセス可能な形式でオペレーターによって提供されます。 しかし、議員は「アクセス可能なフォーム」の概念を開示していません。

言った？ 言わなかった！

ドキュメントには率直な矛盾があります。 したがって、たとえば、個人データと見なされるものとそうでないものの問題について、著者は最初に次のように述べています。

一般に、ワーキンググループのメンバーは、個人を特定するために必要なデータ本体が必要であり、個人が身分証明書のデータを含んでいなくても、そのようなデータは個人データと見なされることに同意します。

次に：

...以下のデータは、それらの関係には偶然の可能性のある側面が残っているという事実にもかかわらず、個人的なものとみなすこともできます...

まあ、すべて同じように、個人データは、主題を特定するのに十分なデータのみと見なされますか、または「偶然の一致」などの仮定は許可されますか？ 私は個人的にもっと混乱しています。



より明白な矛盾があります。 たとえば、36ページで個人データの処理の対象者の同意を得る必要性を説明するために、管理会社には、テナントの同意なしに公共料金を請求するためにアパートのテナントの個人データを決済センターに送信する権利があることが明確に述べられています。 逆の例はすでに42ページに記載されています。

...管理会社が所有者とテナントの同意なしに個人データを決済センターに送信することにより法律に違反したと決定したキーロフ裁判所の判決。

親愛なる著者、それゆえ私たちにとって、単なる人間、私たちは何に焦点を合わせるべきか-あなたの結論またはあなたが引用する法執行慣行？

答えはありませんでした

「個人データに関する法律」が今日まで採用された瞬間から、ネットワーク内で白熱した議論を引き起こす多くの質問が残っていますが、数学的な方程式のような単一の正しい答えはありません。 たとえば、次のような問題があります。



-個人データの主題への害を判断する方法

-個人データのセキュリティを確保するために講じられた対策の有効性はどのような形で評価されていますか？

-「情報保護手段の適合性を評価するための手順」は、必須の認証を意味しますか？



危害評価の問題について：

被害は、個人情報保護法の要件への違反、評判リスクおよび法的費用に対する罰金の額から生じる可能性のあるすべての悪影響を評価することに基づいて決定する必要があります。

おそらく、「科学的かつ実践的なコメント」で法律に違反した場合に個人データの主題への害を評価するための健全な方法論を期待するべきではなかったでしょう。 しかし、ベストプラクティスへのリンクは残される可能性があります。



「パフォーマンス評価」の問題に関しては、まったく何もありません。



個人データ情報システムで使用される情報保護ツールの認証に関しては、184-FZ「技術規制について」へのドライリンクがあります。 なぜこの連邦法ではそれほど単純ではないのですか？アレクセイ・ルカツキーによるこのプレゼンテーションでそれを見つけることができます。

コピー＆ペーストがすべてです

コピー＆ペーストは、個人データを特定のセキュリティレベルに割り当てるための基準を説明する政府令1119の内容のほとんどについて非常に悲しまれました。 これは、第152条FZ 19条の第19条の「解釈」の一部として行われました（処理に関する個人データのセキュリティを確保するための措置）。 ここで私は著者に言いたい：「皆さん、あなたの作品とは異なり、PP-1119は公開されており、それを望む人は誰でもその内容に慣れることができます！」 おかげで、FSTECの少なくとも21の注文が全部または一部挿入されなかったのは良いことです。

何か役に立つものはありますか？

幸いなことにあります。 少しずつ有用な情報を収集できます。以下にそれを示します。

電子アーカイブについて

法律の最初に、152-FZが適用されないケースが参照されます。 「個人データに関する」法律は適用されません。これには、125-FZ「ロシア連邦の記録保管に関する問題」の範囲に該当する文書の保管を整理する場合も含まれます。 デジタルアーカイブやバックアップなどがこの例外に該当するかどうかをお客様からよく尋ねられます。 規制当局はこれについて説明しています。アーカイブ法には「電子アーカイブ」という概念はありません。したがって、個人データを含むすべてのデジタルアーカイブは152-FZ「個人データについて」の範囲に含まれます。

ストレージは個人データの「処理」ですか？

多くのオペレーターは、単純なストレージが「個人データ処理」の集合概念に該当するのではないかと考えています。 これに、Roskomnadzorは答えます：

処理には、個人データの収集、記録、体系化、蓄積、 保存 、明確化、抽出、使用、転送、非個人化、ブロック、削除、破壊などの個人データに対する操作が含まれます。

個人データの自動処理について

このような処理は、2008年9月15日のロシア連邦政府第687号No. 687で承認された「自動化ツールを使用せずに実行される個人データ処理の特性に関する規制」によって規制されています。この規定では、個人データの非自動処理の完全に妄想的な定義が与えられました。 これらの定義によれば、たとえば、データベースの検索が人の参加で実行される場合（ユーザーが検索クエリを入力する場合）、そのような処理は不正と見なされます。 これらは規定です：

個人データの情報システムに含まれる、またはそのようなシステムから抽出された個人データ（以下、個人データと呼びます）の処理は、個人データの使用、改良、普及、破壊などの個人データとのアクションの場合、自動化ツール（非自動）を使用せずに実行されると見なされます各個人データの対象に関しては、個人の直接参加で実施されます。



個人データの処理は、個人データが個人データ情報システムに含まれているか、個人データ情報システムから抽出されていることにのみ基づいて、自動化ツールを使用して実行されていると認識できません。

その後、2011年に152-FZに個人データの自動処理の概念が追加されました。 新しい規定によると、自動処理とはコンピューター技術を使用した個人データの処理です。 ロシア連邦政府の命令が連邦法と矛盾する状況がありました。 さらに、この状況は今日でも関連しています（解像度は変更されていません）。 Roskomnadzorは、その説明の中で、すべての付属定款に対する連邦法の優位性を改めて思い起こしています。 その結果、PP-687でのペルスダンの手動処理の妄想的な定義を忘れることができます。

個人データを処理する目的について

規制当局は、収集された個人データがその処理の目的に関して過度であってはならないことを説明するために多くのスペースを割いています。 たとえば、パスポートの詳細、居住地、および衣服のサイズを要求する空席を申請者に要求することはできません（作業にユニフォームの着用が含まれる1つの組織で違反がありました）。 私たちはこれらのデータを要求し、すでに仕事のために人を雇っていますが、彼を候補者とみなすためには、それらは不要です。 彼の説明では、規制当局は同意さえ万能薬ではない例を示しています。

多くの場合、民法の契約を締結する際、企業は第三者への個人データの配布に同意するように求められます。 ただし、民事契約を締結する際に、契約自体または法的要件により配布が規定されていない場合、対象者に個人データの第三者への配布に同意するよう求めることは違法です。

州および市のサービスを受ける際の同意について

...州および地方自治体のサービスを提供する機関、および州および地方自治体のサービスの提供に関与するその他の機関、個人データの対象としてのサービスの受信者の同意は必要ありません。 この基準には、州および地方自治体のサービスの提供のための個人データの転送に関連する省庁間協力も含まれます。

したがって、そのようなサービスの提供のための多機能センターは、現在国内で積極的に開設されており、申請者から個人データを処理するための同意を収集しない場合があります。

収集機関について

規制当局は、個人データをコレクターに転送することに関して銀行の手をゆるやかに結びつけます。

銀行は、債務ポートフォリオの場合、借り手の適切な同意なしに、請求権を第三者に移転する権利を有します。

通信事業者とそのディーラーについて

また、規制当局は、126-FZ「On Communication」を参照して、クライアントの同意なしに、通信事業者とそのディーラーおよび代理店との間の個人データの交換を公然と許可しています。

インターネットリソース、ソーシャルネットワークなどについて

規制当局はこれについて非常に多く書いています。 オンラインサイトの所有者と一般ユーザーは興味を持ち、役に立つはずです。 コメントはしませんが、このトピックに関する最も興味深い抜粋を文書から単に示します。

したがって、インターネットユーザーは、任意のWebサイトに登録する際に、個人データを提供することを独自に決定し、その意思と関心に応じて、具体的で情報に基づいた意識的な処理に同意します。 つまり、インターネットサービスを使用し、プライバシーポリシーに従っている場合、ユーザーはサービスの使用開始時にこのポリシーの条件を完全に無条件に受け入れます。 ポリシーの条項に同意しない場合、ユーザーにはサービスを使用する権利がありません。

多くの場合、ユーザー契約は、ユーザーが著作権所有者がサービスで情報を使用する権利があることを理解し、同意することを示します。また、ソーシャルネットワークの公式グループおよびインターネット上の著作権所有者の他のコミュニティで、サービスを通じて提供および/または追加されたユーザーコメントを投稿する権利を有します。 したがって、サイトのページに情報（姓、名、ミドルネーム、電子メールアドレス）を投稿するという事実は、ユーザーがポリシーの条件に同意することを意味するため、サービスに特定のコメントを投稿することに同意します。

また、たとえば、インターネットサイトでの競争の参加者として登録する場合、個人データの対象はWebサイトに掲載された競争規則の条件を受け入れ、それによってこれらの規則によって確立された義務を引き受けます。 さらに、競争への参加の事実は、姓、名、ミドルネーム、電話番号、および住所を含む、参加者によって提供された個人データの競争の主催者による処理に対する参加者の具体的で情報に基づいた意識的な同意を意味します。

単純な電子署名とは、コード、パスワード、またはその他の手段を使用して、特定の人が電子署名を生成したという事実を確認する電子署名です。 そのため、たとえば、ログインとパスワードによって確認されたサイトへのインターネットユーザーの登録は、個人データの処理に対する被験者の同意を意味します。

多くの場合、Roskomnadzorは、ソーシャルネットワーク上のアカウントの削除、特定のインターネットリソース上の個人データの破壊の支援に関して、個人データ主体から苦情を受け取ります。 同時に、この場合、コメント付き記事のパート1のフレームワーク内の個人データサブジェクトは、個人データオペレーターとして、サイト管理者に個別に連絡する権利を有し、不正確で不完全な古いデータを削除、明確化、破棄する必要があります。

犯罪歴について

「犯罪記録は個人データの特別なカテゴリーですか？」という質問に答える際の規制当局の主なアイデアは、犯罪記録の事実、その存在と不在に関する簡単なメッセージについて話している場合、これは特別なカテゴリーではなく、詳細な場合-特別なカテゴリーです。

生体認証について

説明では、著者は本質的に、写真とビデオが生体認証であることを決定するRoskomnadzorの以前の文書「写真およびビデオ画像、指紋データおよびその他の情報をバイオメトリック個人データおよびその処理の特徴に割り当てる問題について」の規定を取り消します。 今回の記事は次のとおりです。

同時に、双子の人や他の人との外見が明らかな人の写真やビデオ画像、および形成外科手術の場合は、検討中の材料キャリアの視覚的評価では、対象の信頼できる識別ができません。 この点に関して、バイオメトリック情報は、個人データの1つの主題のみに特有の固有の生理学的および生物学的データによって特徴付けられる必要があり、性質はほぼ変化せず、デジタル、グラフィック、およびその他のコード情報の形で材料媒体に反映できます。 このような生体認証の理解は、例えば、乳頭状パターン、虹彩パターンなどに対応します。

立法者は、バイオメトリック個人データへの個人情報の割り当ては、特定の人物の身元を確立、確認する可能性の観点から考慮する必要があることを明確に定義しました。 したがって、バイオメトリック個人データは、特定の識別方法、バイオメトリック認証方法の使用を含む、生理学的パラメーターによって個人を識別、確認するために使用される情報である場合があります。

したがって、生体認証データの立法概念は、人の生理学的および生物学的特性に関する情報を含む特定の情報の存在だけでなく、人を識別するための生体認証方法の使用も意味します。

Roskomnadzorの説明で検討されている「ビデオ記録」と「写真」の概念は、「写真やビデオ画像、指紋、その他の情報をバイオメトリック個人データとその処理の特性に割り当てる問題について」が、重要な情報担体であることに注意してくださいこの情報は、顔サーモグラム、虹彩パターン、乳頭パターンなどの個々のパラメーターを反映しないため、本質的に生体認証ではありません。 ID識別子。

実際、双子や形成外科医は、写真やビデオから被写体を特定する上で良い議論です。 例えば、私が最後に海外に行ったとき、税関の女の子はパスポートを彼女に渡すことができないと疑い、私がどんな星座であったか、いつどこで最後に海外にいたか、旅行の長さなどについて質問し始めました。 。 そして、それは3週間の無精ひげを育てるだけの価値がありました...したがって、写真やビデオは生体認証ではありません。 しかし、顔の幾何学的パラメーターを使用した3D写真はすでに生体認証です！

マーケティング目的またはキャンペーン目的でのPDの使用について

実際には、アートのパート1のパラグラフ5を参照して、オペレーターが作業する場合があります。 個人との合意を締結するコメント法の6は、個人の同意を得ることなく商品を宣伝するために、個人の情報（電話番号）を広告メールに使用しています。

ただし、条項の規定に基づいて 個人データに関する法律の第6条では、個人データの処理に対する対象者の同意を得ることは、それが契約の実行および（または）締結に直接関係する場合は必要ありません。 マーケティング目的での個人データのその後の使用は、個人が当事者または受益者である契約の履行とは一切関係ありません。 したがって、個人データの運営者は、商品を宣伝するためにデータの使用に関する同意を得る必要があります。 この要件に違反した場合、個人データ管理者はアートに基づいて責任を負うものとします。 13.11ロシア連邦の行政法。

実際には、個人データ法に違反して、個人データ主体の事前の同意なしに、政治的キャンペーン目的でキャンペーンデータを送信して、被験者の個人データを収集および転送する場合があります。 同時に、キャンペーン資料が有権者に送信され、個人データが示されますが、これは個人データ法の規定に違反しています。

したがって、個人データの対象からの対応する要求が発生した場合、オペレーターは、政治的キャンペーンの目的で実行される個人データの処理を直ちに中止する義務があります。

立法者は、通信を使用して潜在的な消費者と直接接触することで市場で商品、作品、サービスを促進するため、および政治キャンペーンのために個人データを処理する能力を制限しており、そのような目的のための情報の処理は対象の事前の同意がある場合にのみ許可されることを確立しています。

実際には、広告または他の同様の通信の配信のために個人データの主題の事前の同意を要求する場合は非常にまれです。

結果として、被験者がこれに別途同意しない場合、SMSの郵送および指示された（名目上の）政治的キャンペーンは合法ではありません。

結論の代わりに

ドキュメントの一般的な印象は何ですか？ 実際、肯定的な側面があり、何かが実際に解決されましたが、私は個人的にほぼ200ページのコメントからもっと期待していました。 多くの重要なことは開示されておらず、場合によっては、解説は法律のコメントされた規定よりも多くの質問を提起します。 著者自身を責めることは特にありませんが、多くの問題、すなわち連邦法の未解決の性質の原因はソース自体にあるためです。 しかし一方で、Roskomnadzorは、「個人データに関する」法律の遵守を監視するまさにその機関であり、違反が発見された場合にチェックと罰が付いています。 「定義されていない」、「明確ではない」の代わりに、より詳細にしたいと思います。 私は経験から、検査官が「まあ、法律にはなんらかのかすがあるので、私たちはあなたとこれらのことをチェックしません」と言わないことを知っています。



一番下の行は何ですか？ このドキュメントをガイドとして使用できますか？ いや！ この文書には法的効力はなく、法務省に登録されておらず、著者の見解です（ただし、ランクは高い）。 152-FZで物議をかもしている問題に関する文書に頼ることはできますか？ 部分的に。 まず、Roskomnadzorは立法を解釈できません（議員のみがこれを行うことができ、部門の代表者はこれについて複数回話しました）。したがって、考慮される作業は観点ではなく解釈です 第二に、写真とビデオを生体認証に割り当てる問題を見ると、規制当局が昨日1つのことを言ったことがわかります。 第三に、Roskomnadzorの地域事務所の代表者は、これらのコメントに精通していないか、ガイドされていない場合があります。

私は、技術的なバックグラウンドを持つ人として、規制文書で多くの仕事をしている私の義務の結果として、プログラマーなどの技術者によって独占的に法律を開発したい場合があります。 もちろん、この場合もドキュメントには多くの「バグ」がありますが、夜にベッドサイドテーブルに2つのグラスを置くプログラマーについての冗談のようにばかげている方が良いと思います：水（飲みたい場合）と空（あなたが望んでいない場合）、私たちが有利に解釈する曖昧な言語と、私たち自身の規制者よりも。