Закон об ужесточении ответственности за спам подписан 6 апреля. Принятые в КоАП поправки позволяют назначать юрлицам штрафы до 1 млн рублей. За рассылку спама и раньше наказывали, но верхняя планка была ниже вдвое.

Миллион за рекламную смску: как бизнесу уберечь себя от новых штрафов — новая статья Максима Али, партнера и руководителя практики интеллектуальной собственности, о том, как не попасть на многомиллионные штрафы ⬆️

Comply в рейтинге газеты Коммерсант 🏅

Команда Comply вошла в четыре практики федерального рейтинга, уверенно подтвердив результаты прошлого года. В том числе эксперты повысили позицию в Комплаенсе до Band 1 и вошли в категорию Интеллектуальная собственность.

🏆 В личном рейтинге управляющий партнер Артем Дмитриев вошел в три категории и повысил результат в Комплаенсе до Band 1.

🏆 Партнер практики интеллектуальной собственности Максим Али вошел в Band 1 в Праве в сфере искусства
и культурной деятельности.

Искренне благодарим организаторов рейтинга и коллег по рынку за поддержку и признание!

Как создать надежную и эффективную систему приватности внутри компании? Обсуждаем этот вопрос сегодня на вебинаре «In-house privacy-комплаенс».

➡️ Вебинар начнется в 12:00. Подключайтесь к трансляции по ссылке.

Privacy-мнение от Comply — продолжаем говорить об уничтожении ПД. Часть 2.

Что еще за журналирование такое? 🤔

В прошлый раз мы разобрались, что если все-таки возникает ситуация полного уничтожения ПД, то уничтожение должно быть оформлено.

Пункт 2 Приказа РКН № 179 гласит: если уничтожаются ПД из информационной системы, то такое уничтожение должно подтверждаться (1) соответствующим актом, а также (2) выгрузкой из журнала регистрации событий в информационной системе (в одной из первых редакций приказа именовавшейся «лог-файлом»). И если с актом еще более-менее понятно, то с логами — непонятно многое. Давайте разбираться.

Что такое лог-файл?

Выражаясь простым языком, логи —  это набор текстовой информации о всех событиях, происходящих в системе. И это несложная часть задачи, т.к. современные системы обычно и так журналируют все действия пользователей или автоматики, включая как внесение, так и удаление информации. Сложности возникают, если посмотреть на состав информации в логах, которую требует Приказ.

Что нужно логировать?

▪️ФИО или иной ID субъекта в системе, по которому его можно идентифицировать или найти
▪️перечень уничтоженных категорий ПД
▪️наименование информационной системы
▪️причину уничтожения
▪️дату уничтожения

В чем сложности?

Даже неспециалисту в информационных системах видно, что, скорее всего, логирование не будет работать так, как этого желает РКН.

Часть из этих полей вовсе сомнительна — например, откуда системе знать причину уничтожения ПД, чтобы записать это в лог? А если мы уничтожили ФИО, какой смысл переписывать их в лог? О каком уничтожении может идти речь, если мы намеренно оставляем уникальные идентификаторы субъекты для выгрузки? Какая из систем будет писать собственное название в лог операций? А по каким правилам хранить такие ПД, если они как бы уничтожены (например, ограничить доступ только для DPO?). Пока вопросов больше, чем ответов.

Единственное, к чему нет вопросов — это дата уничтожения, тут все просто 🙂

Как с этим быть? Ответ есть в Приказе. Если какую-то информацию не получается фиксировать логами, ее нужно переносить в акт. Но смысл логов, конечно, тогда теряется полностью…

❗️Не забудьте предусмотреть и в акте, и в выгрузке поле для одного и того же ID, чтобы их можно было соотнести.

Что еще?

Логи нужно хранить не менее 3 лет с даты уничтожения. И это тоже может стать проблемой — большие системы могут генерировать огромное количество логируемой информации, и если не разрабатывать отдельный логгер только на уничтожение, то получатся огромные объемы занимаемого места.

А еще в этих логах нужно ориентироваться и искать для выгрузки информации по конкретному факту уничтожения. В условиях большого объема это и само по себе непросто. А ведь нужно еще и продумать, по каким признакам будет находиться операция — особенно, если в лог не пишется ФИО субъекта…

Выходы из ситуации?

Есть несколько вариантов. В идеальном мире РКН — вы должны переработать все свои системы и обеспечить механизм логирования, отвечающий всем требованиям Приказа. Что, по указанным выше причинам, а также с т.з. экономической целесообразности — не всегда возможно.

Даже если у вас получилось заставить систему автоматически контролировать сроки хранения данных и удалять их по алгоритму — далеко не факт, что у вас получится «прикрутить» к этому корректное логирование уничтожение. В зависимости от класса систем это может быть вообще невозможно, т.к. не во всех предусмотрена такая глубина логирования.

Поэтому иной вариант, который разрабатывали для клиента и периодически встречаем на практике — не идти в историю со сложным логированием, но хотя бы зашить автоматическое создание корректного акта об уничтожении по форме Приказа, который можно будет вывести на печать, подписать и положить в папку. Это уже рабочий сценарий, хотя и здесь придется поработать, чтобы продумать как хранение, так и UX.

А еще есть способ оптимизировать регулярность уничтожения ПД и, соответственно, составления актов и журналов. Но об этом расскажем в следующем посте!

Stay tuned 🙂

#мнение

Privacy-мнение от Comply

Процедура уничтожения персональных данных. Трагедия в 3-х частях. Финальная часть

Вот уже третью неделю мы обсуждаем процедуру уничтожения ПД. Определили, в каких случаях нужно уничтожать ПД, следуя всем правилам, и что фиксировать в логах.

Пришло время обсудить регулярность уничтожения ПД и, соответственно, составления актов об уничтожении и логирования.

По общему правилу, оператор ПД обязан прекратить обработку и уничтожить ПД в течение 30 дней с даты достижения цели их обработки. Подтверждает уничтожение соответствующий акт и выгрузка из журнала. Соответственно, каждые 30 дней оператору ПД нужно готовить эти документы, что может оказаться весьма обременительным.

Однако при невозможности уничтожения ПД оператор вправе их заблокировать на срок до 6 месяцев, а затем уничтожить (ч. 6 ст. 21 152-ФЗ).

Условия «невозможности» в статье не указаны, а значит оператор ПД может рискнуть самостоятельно их определить. Причины такой «невозможности» могут быть разные. Например, специфика ИТ-инфраструктуры оператора, ограничивающая или исключающая регулярную процедуру уничтожения.

Получается, что вроде бы оператор может поделить год на два полугодия и привязать к ним процедуру уничтожения. Таким образом, все документы с ПД и ПД в ИТ-системах, подлежащие уничтожению в январе 2024 – июне 2024 года, могут быть уничтожены единовременно, например, 28 июня, и все это можно закрепить единым актом об уничтожении.

❗️Проверьте, закреплена ли в вашем регламенте уничтожения или ином ЛНА возможность заблокировать ПД, а также как сформулированы основания для блокирвоки.

Вот такой элегантный способ свести всю бюрократию к двум актам в год. Но процедура блокирования должна все-таки по-настоящему существовать. Например, ПД должны быть перенесены во временную базу с ограничениями доступа и обработки и / или должен проставляться дополнительный признак запрета обработки, т.е. «блокировки».

А еще напомним, что блокирование – это временное прекращение обработки ПД. То есть оператор не может использовать персональные данные в течение этих 6 месяцев в своих целях.

☝️Блокирование перед уничтожением упрощает саму процедуру уничтожения ПД, и точно не является лазейкой для продления срока использования ПД оператором.

Конечно же и само по себе блокирование должно выполняться по определенным правилам. При этом оно не должно быть чрезмерно обременительным, в противном случае не понятно, зачем оно нам…но правила блокировки это уже отдельная история.

🔥Надеемся, серия постов была полезной и поможет вам обуздать рутину уничтожения ПД (смотрите пост раз и пост два).

В следующем посте ответили на самые популярные вопросы наших подписчиков в формате вопрос-ответ ⬇️

#мнение

IP-мнение от Comply ⚡️

Компании часто сталкиваются с мошенниками, которые мимикрируют под их бизнес, создавая в Сети похожие сайты. Такие злоумышленники могут собирать данные и деньги клиентов компании, что оставляет негативный след на репутации бизнеса.

Как с этим бороться? Через регуляторные или IP-механизмы. Давайте разбираться ⬇️

1. Защита товарного знака

Если бренд компании защищается в качестве товарного знака, мошенники обычно не могут его не использовать.

Это дает возможность требовать передачи по суду домена или исключения сайта из поисковой выдачи (работает не для всех поисковиков).

2. Блокировка пиратского контента

Нередко мошенники используют контент оригинального сайта, чтобы быть похожими на компанию-жертву.

Это открывает возможности к блокировке сайта: как через жалобы хостинг-провайдерам, так и через обращение в суд.

Последний способ особенно эффективен, если речь идет про копирование логотипа, текстов или видеороликов. Тогда можно добиваться в Мосгорсуде обеспечительных мер в виде блокировки.

3. Право на забвение

Если на сайте используется недостоверная информация о ключевых персонах компании, сайт может быть исключен из поисковой выдачи «по праву на забвение». Оно защищает граждан не только от неактуальной, но и от недостоверной информации.

Важно помнить, что в этом случае пожаловаться может только гражданин. Компании таким правом в РФ не наделены.

📢 Выводы:

Вариантов борьбы с сайтами злоумышленников гораздо больше, но эти — одни из самых простых.

Как видно, многие из них возможны только при предварительном оформлении прав на IP: регистрации знака, которая может занять больше года, и заключении договоров с авторами контента.

Поэтому, как всегда, важна профилактика, чтобы в нужный момент у компании была возможность защитить себя.

#мнение