Comply на карте LegalTech

Comply вошел в группу «Комплаенс / Управление рисками» на карте российского LegalTech с нашим цифровым решением — системой кадрового электронного документооборота Comply.Consent 😎

Comply.Consent, помимо кадровых процессов, позволяет также автоматизировать большую часть юридических процедур. В системе предусмотрены модули:

🔵автоматизации декларирования и расследования конфликта интересов

🔵сбора согласий на обработку данных сотрудников и третьих лиц

🔵маршрутизации различных служебных записок и ознакомления сотрудников с локальными актами.

Весь документооборот происходит в единой системе, что упрощает работу юристам и самим сотрудникам. К тому же система доступна как офисным работникам, так и «синим воротничкам» на производстве.

Карта российского LegalTech — удобный инструмент для навигации в пространстве отечественных решений по автоматизации работы юристов. Проект предоставляет доступ к актуальному списку консультантов по направлению LegalTech и регулярно обновляется.

Подробнее о проекте можно почитать здесь.

Сегодня Госдума «обрадовала» нас двумя будущими законами. И ведь умеют так быстро и без споров принимать сразу в двух чтениях! 🔽

1️⃣ Первый касается обезличивания и находился на рассмотрении нижней палаты уже 3 года. Скоропостижно принятый текст, очевидно, не в полной мере учел баланс интересов бизнеса и государства. Да, дата-национализации быть!

Бизнес давно просил о либерализации подхода к обезличиванию, но получил право обезличивать лишь с целью передачи таких данных государству на безвозмездной основе. Таков «налог». Отложенный же до настоящих пор вопрос с актуализацией методов обезличивания пока остается не решенным – методы должны будут определить Правительство с ФСБ и РКН. А ведь именно отсутствие таких методов сегодня выступает препятствием к развитию ЭПР в сфере данных. Этому прекрасный пример инициатива АБД, связанная с апробацией риск-ориентированного подхода к обезличиванию.

Так и осталась в наших фантазиях тарификация «выкупа» данных у бизнеса, которая бы стимулировала его обезличивать и делиться данными с государством. Безвозмездно получать данные логично было бы только в исключительных случаях, не связанных с формированием дата-сетов для обучения ИИ-моделей, например, в случае эпидемии. Это предусматривает, например, Data Act в ЕС.

Кроме того, государство само обладает огромными массивами данных в «колодцах», которыми бы оно могло при желании (или должно?) также делиться с бизнесом. Однако пока мы видим в законопроекте лишь одностороннюю передачу.

2️⃣ Второй закон, помимо прочего, касается обязательной регистрации владельцев каналов и страниц в соцсетях с 10,000+ подписчиков. Теперь такие лица обязаны регистрироваться в РКН под угрозой запрета рекламы и блокировки.

Кроме того, закон запрещает репостить информацию с каналов и страниц, не включенных в реестр РКН. Как это будет работать на практике – пока не ясно, но, вероятно, скоро окажутся под формальным запретом 99% всех репостов, совершаемых в социальных сетях.

Ох, уверены, дальше – больше и интереснее. Ведь, чтобы все эти нормативные «сладости» заработали, нужны подзаконные акты, много актов без которых пока сложно осознать масштабы случившегося.

Stay tuned! 🙂

Делимся материалами LegalTech конференции 💠

▶️запись мероприятия с таймкодами для удобного поиска выступлений СМОТРЕТЬ

💠А самое, на наш взгляд, интересное выступление смотрите на 51:28 - Артем Дмитриев и Максим Али о front-end комплаенсе - устранение критичных рисков

▶️презентации спикеров с полезными ссылками и чек-листами СКАЧАТЬ

Privacy-мнение от Comply

Как обещали в прошлом мнении, обсуждаем, а надо ли подавать уведомление о трансграничной передаче персональных данных (ТГП)?

Аргументы «за» очевидны. Чтобы исключить риски (1) штрафа за неуведомление и, что может быть более существенно для бизнеса, (2) запрета на осуществление ТГП. Склонить в сторону подачи уведомления также могут два вспомогательных аргумента. Контрагент может (3) требовать продемонстрировать ему такое уведомление, например, если сам он подавать его не намерен или просто privacy-тревожен и требователен к подрядчикам. Наконец, (4) получение запрета на осуществление ТГП от РКН – невероятная редкость. По информации РКН только один запрет на каждые 250 уведомлений об осуществлении ТГП. Мы с такими запретами не сталкивались, хотя регулярно уведомляем о ТГП в совсем уж непатриотичные юрисдикции.

Но все мы знаем как надо, но не всегда так как надо – правильно. Оттого интересно разобраться с аргументами «против» уведомления РКН о ТГП:

1️⃣ Скромность штрафа за неуведомление о ТГП – 5 тысяч руб. (ст. 19.7 КоАП). Да, конечно, в случае обнаружения нарушения РКН подать уведомление таки придется. Еще скромнее вероятность выявления нарушения и применение штрафа, если ТГП в ваших бизнес-процессах неочевидна, например, нет зарубежных ИТ-сервисов, нет зарубежных HQ.

2️⃣ Сомнительна пока возможность назначения штрафа 100 тысяч руб. (ч. 1 ст. 13.11 КоАП). Для передачи в «адекватные» страны такое кажется уж совсем фантастическим, а вот для «неадекватных» стран теоретическая возможность имеется, хотя практики и нет. Пока нет.

3️⃣ Чтобы подать уведомление придется еще провести оценку соблюдения конфиденциальности получателем ПД. Обычно это не особо трудозатратно, НО не всегда возможно из РФ с учетом понятных обстоятельств.

4️⃣ Если компания давно и непрерывно передает ПД за границу, то при подаче уведомления о ТГП компания не только расписывается в нарушении законодательства. Ведь остановить бизнес- процесс и передачу ПД зарубежным коллегам вряд ли получится на те 10 дней, пока РКН раздумывает о возможности такой ТГП.

5️⃣ Непрогнозируемость решений о запрете ТГП. По сути РКН в любой момент может запретить ТГП в адрес любой страны, любого контрагента или для любой цели. При этом, если вы признались, что осуществляете ТГП (подав уведомление), то проигнорировать подобный запрет будет сложнее, если бы вы молча «трансграничили».

6️⃣ И, конечно же, понятные переживания, что подача уведомления в РКН повлечет его нежелательное внимание к компании. Такой страх живет, ведь обратное так и не доказано.

❗️ Решение, как всегда, следует принимать исходя из специфики конкретного кейса. Даже если вы решите не уведомлять о ТГП, полезно будет подготовить уведомление и провести оценку конфиденциальности по ч. 5 ст. 12. Если же вы приняли решение уведомить РКН, то при формировании уведомления полезно будет обобщать информацию о потоках ПД, смягчать формулировки, избегать очевидной токсичности и избыточности для РКН, а также обеспечить консистентность такого уведомления с уже содержащейся в реестре операторов информацией.

И отдельных рассуждений заслуживает, а о каких именно передачах за рубеж надо уведомлять РКН? А если передает обработчик по поручению сам своему суб-обработчику, а если ваш работник сам заказывает билеты и гостиницу в ОАЭ, а вы только компенсируете расходы, а если это однократная передача ПД?

Но это обсудим в другой раз 🙂

#мнение

Как институт уполномоченных операторов ПД (не)поможет бизнесу

Глава ИТ-комитета Госдумы Александр Хинштейн предложил создать такой институт для того, чтобы снизить нагрузку на средний и малый бизнес в вопросах кибербезопасности. Однако инициатива требует тщательной проработки, чтобы, наоборот, не привести к лишь только одним дополнительным издержкам и обременениям.

Комментарии от управляющего партнера Comply Артема Дмитриева:

🔵Эффективность будет во многом зависеть от того, как инициатива будет реализована, а пока деталей совсем нет. Например, если передача ПД не будет добровольной, то это больше будет походить на очередную меру по дата-национализации. Принуждение бизнеса, и без того способного обеспечить адекватную защиту ПД, приведет только к дополнительным издержкам, а уровень защиты ПД не факт что повысится. Увы.

🔵И наоборот, если передача ПД будет добровольной, то и инициатива возможно окажется полезной для рынка. Так, например, бизнес, который не планирует инвестировать в ИБ, не планирует монополизировать данные, сможет передать данные «уполномоченному» оператору с тем, чтобы сократить риски из утечек ПД именно из своей инфраструктуры.

🔵Судя по всему, ПД в любом случае будут первоначально оседать на стороне «неуполномоченного» оператора, а только потом передаваться «уполномоченному». А далее осуществить передачу всех имеющихся у бизнеса ПД – нелегкая задача. Бизнесу необходимо будет «инвентаризировать» имеющиеся ПД, систематизировать их, доработать алгоритмы работы с ПД и научиться работать с «внешними» источниками по запросу. Еще сложнее это делать в real-time. Это все временные и денежные затраты.

🔵Неясен механизм передачи ПД от «неуполномоченных» операторов «уполномоченным»: насколько он будет безопасен, бюрократичен, быстр, как и чем будет регулироваться, как распределяются риски в момент передачи, как и кто доказывает источник утечки ПД и другие вопросы. Пока что вопросов больше, чем ответов. А как показывает практика, когда так происходит, то «в конце дня» это вряд ли приносит рынку пользу.

🔵Да, передача хранения ПД в руки уполномоченных операторов могла бы снять с бизнеса ответственность за защиту ПД и тем самым снизить риски. А могла бы и ограничить абсолютное большинство компаний в имеющихся у них сейчас правах без явной пользы кому-либо. Но все будет зависеть от названных выше нюансов этой регуляторной инновации.

Подробнее о том, как нововведение отразится на компаниях, читайте в материале RSpectr.

Comply.Pulse: цугцванг, а не уведомление РКН

Уведомления в Роскомнадзор могут быть разными, сегодня обсудим:

1️⃣ уведомления о намерении осуществлять обработку персональных данных (ПД),
2️⃣ о трансграничной передаче ПД (ТГП).

Оператор обязан уведомить РКН о своем намерении обрабатывать ПД и осуществлять ТГП. РКН включает эту информацию в общедоступный реестр операторов ПД (Реестр). В Реестре содержатся данные об операторе, о целях и правовых основаниях обработки, категориях обрабатываемых ПД, информация о ТГП и иные данные. Реестр, как privacy–ЕГРЮЛ, обеспечивает публичную достоверность содержащихся в нем сведений. Если операторы пытаются подорвать эту достоверность, несвоевременно или не в полном объеме предоставляя сведения, они рискуют понести наказание.

То есть, казалось бы, очевидным, что уведомительный порядок взаимодействия с РКН позволит митигировать риски. Но как показывает практика, такие уведомления, митигируя одни риски, создают другие. Целесообразность уведомлений РКН необходимо рассматривать в контексте оценки рисков именно для вашей компании. С учетом специфики бизнеса и субъективной интерпретации рисков итоги могут разительно отличаться. Есть много разумных аргументов как «за», так и «против» уведомлений РКН. Поэтому мы не будем рекомендовать (не) уведомлять РКН, но, что важнее, сформулируем список аргументов для взвешенного ответа на этот вопрос.

Спойлер: можно ознакомиться с критериями в файле в формате PDF или заполнить упрощенную анонимную онлайн анкету – «Уведомление о намерении осуществлять обработку ПД» и «Уведомление о ТГП».

В анкетах указаны аргументы, которые помогут определиться с отношением к уведомлению РКН.

Все мы знаем как надо, но не всегда так как надо – правильно. Поэтому НЕ уведомляйте, если не согласны с приведенными в анкете аргументами, считаете их неприменимыми к вашей ситуации или оцениваете риск их реализации для компании как низкий или вовсе теоретический. И наоборот – уведомляйте, если согласны! Вопрос веры, не иначе 🙂

IP-мнение: что такое аффидевиты и почему они не устроили Верховный Суд?

Суть спора

Carte Blanche Greetings обратилась с иском о защите прав на мишку из Blue Nose Friends 🧸

Чтобы подтвердить права на персонажа, иностранная компания представила аффидевит. Именно он и стал камнем преткновения в ВС РФ.

Что такое аффидевит?

Это письменное показание под присягой, принятое в англосаксонском праве. Оно удостоверяется нотариусом или подобным лицом.

В данном деле аффидевит был дан финансовым директором истца.

Позиция ВС РФ

Нижестоящие суды приняли аффидевит как доказательство принадлежности исключительного права.

Но Верховный Суд не согласился с подходом нижестоящих судов. По его мнению, такой аффидевит лишь подтверждал факт существования произведения на определенную дату и то, что сам истец считает себя правообладателем. Этого недостаточно для подтверждения правообладания.

Мнение Comply

Подход ВС РФ оценивают как «выпад» против иностранных правообладателей. Но в действительности этот подход не противоречит практике.

В IP-спорах истцам сначала нужно доказать принадлежность прав. Как правило, речь идет про договоры с авторами – именно их ожидает увидеть суд.

ВС РФ не изменил этому подходу, он лишь не стал делать поблажку иностранному истцу, который просто представил документ, где компания фактически сама себя назвала правообладателем.

Понятно, что новый подход осложнит иностранным правообладателям сбор доказательств, но они будут поставлены в те же условия, что и российский бизнес.

К тому же определение ВС РФ вовсе не ставит крест на аффидевитах. Оно содержит намек на то, при каких условиях аффидевит может быть принят судом: в нем должны быть сведения об авторах, истории и дате создания произведения, переходе прав на него и т.д.

Так что мы возможно еще увидим в судах аффидевиты, но уже в другой форме. Однако позиция ВС РФ может помочь ответчикам в тех спорах, которые рассматриваются уже сейчас. Вовсе не факт, что в начатых процессах истцы успеют собрать нужные доказательства правообладания – тем более, что на стадии обжалования судебных актов их обычно уже невозможно предоставить в дело 🙂

#мнение

Privacy-мнение от Comply

Всем привет! Разберем очередной не самый простой кейс 🤓

Итак, вы – DPO интернет-магазина, и получили запрос клиента с требованием отозвать согласие на обработку его ПД. Из ПД в вашем распоряжении – только данные аккаунта клиента, необходимые для исполнения заказа. Каких-либо согласий на обработку ПД вы не берете, клиент присоединяется к условиям продажи при регистрации, которые легализуют обработку ПД.

Что будете делать? Есть из чего выбирать:

👍 уничтожите ПД в течение 30 дней, поскольку запрос нужно трактовать как запрос на отзыв согласия (ч. 5 ст. 21 152-ФЗ), даже если согласия нет,

🙈 уничтожите ПД в течение 10 дней, поскольку это – фактически запрос на прекращение обработки ПД (ч. 5.1 ст. 21 152-ФЗ), пускай даже клиент и пишет про отзыв согласия,

🦄 уничтожите ПД в течение 7 дней, т.к. такой срок предусмотрен ч. 3 ст. 20 152-ФЗ,

💅 пффф…мне за это не платят – не реагируете на подобный запрос.

Причина сомнений – ч. 5.1 ст. 21 152-ФЗ, появившаяся в законе в 2022 г. Этой новации уже почти два года, но постичь ее истинное значение нам пока не удалось. Наверняка вы уже пытались понять соотношение обязанностей по прекращению обработки, ведь вопрос имеет и практическое значение – в зависимости выбранной опции оператор обязан прекратить обработку в разные сроки.

Давайте попробуем разобраться вместе. Своими соображениями на этот счет мы поделимся в следующем privacy-мнении. А пока голосуйте реакциями 👍 🙈 🦄 💅 и делитесь мыслями 🔽

#мнение

Privacy-мнение от Comply 🤓

ч. 5.1 ст. 21 152-ФЗ: баг или фича?

Спойлер – выходит, что все-таки баг. А еще по этой ссылке вас ждет инсайт от РКН.

Как писали ранее, в 152-ФЗ есть несколько механизмов прекращения обработки ПД. Это и ч. 5, и ч. 5.1 ст. 21. Хотя формулировки почти не отличаются, сроки реагирования – разные.

Если ч. 5 прямо ссылается на согласие, то в ч. 5.1 такого нет. Казалось бы, что в этом и должно быть различие между нормами. Но при этом ч. 5.1 предусматривает исключения для прекращения обработки ПД. Эти исключения касаются большинства оснований…кроме согласий. То есть если читать буквально, то и ч. 5.1 годится для прекращения обработки ПД на основании согласия. В общем ровно как и ч. 5. Неразбериха! 🧐

❗️РКН высказался на сей счет. Из ответа следует, что ч. 5 применяется в случае отзыва согласия, а ч. 5.1 применяется «если направлено требование в соответствии с ч. 1 ст. 14 Закона».

Посмотрим на ч. 1 ст. 14. К нашему вопросу применимо только то, что субъект ПД имеет право требовать от оператора блокирования или уничтожения его ПД, «если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми…».

Можно предположить, что ч. 5.1 ст. 21 будет применяться, если субъект доказал, что его ПД неполные, неточные или неактуальные, но он не хочет их дополнять, уточнять и актуализировать, а хочет именно прекратить их обработку, или если его ПД были незаконно получены и незаконно обрабатываются без правовых оснований.

Ок. Да, кажется разумным, что ч. 5.1 была изначально предусмотрена именно для случаев незаконной обработки ПД. Как кажется, цель этой нормы как раз и состояла в том, чтобы дать субъекту право оперативно требовать уничтожения своих ПД, незаконно обрабатываемых оператором. Этот вывод поддерживается и общей направленностью реформы 152-ФЗ того времени – реагирование на утечки.

Однако и этот, казалось бы сравнительно стройный ответ, оставляет вопросы. Больше чем было до ответа РКН… Например, ч. 3 ст. 20 уже предусматривает, что оператор обязан уничтожить ПД в срок, не превышающий 7 дней со дня представления субъектом ПД сведений, подтверждающих, что такие ПД являются незаконно полученными или не являются необходимыми. То есть эта норма тоже устанавливает срок уничтожения ПД, которые нелегитимно обрабатываются. Как это соотносится со сроком из ч. 5.1? Опять неразбериха.

Что делать? Увы, в отсутствие каких-либо логичных разъяснений вчитываться в формулировки запроса и исходить из того, что потребовал субъект ПД – либо отозвать согласие (если оно вообще было), либо прекратить обработку его ПД. Если же субъект не отзывает согласие или требует прекращения обработки ПД, а просит «вернуть его ПД и никогда больше не обрабатывать», «реализовать его право на забвение», «остановить обработку ПД на основании его согласия», то очевидно, безопаснее в случае любых сомнений толковать запрос в пользу ч. 3 ст. 20 или ч. 5.1 ст. 21 в силу более коротких сроков реагирования. Итого, уничтожаем ПД:

🔵ИЛИ в течение 7 рабочих дней, если есть риск признания обработки ПД нелегитимной,

🔵ИЛИ в течение 10 рабочих дней, если предшествующая запросу субъекта ПД обработка была вполне себе легитимна.

Да, конечно, уничтожить ПД надо, только если у вас нет дальнейшего законного основания для обработки. Если иное законное основание есть, вы вправе и дальше обрабатывать его ПД. Например, договор с клиентом продолжает действовать или данные клиента нужны вам для целей урегулирования возможных споров и т.д.

Отвечая на наш же опрос без лишних вводных и условий, мы бы рекомендовали подтвердить с клиентом удаление его аккаунта и в течение 10 дней 🙈 уничтожить все его данные из деактивированного профиля, конечно же, кроме тех, которые необходимы нам для целей налогового / бухгалтерского учета и урегулирования потенциальных споров. Почему 10 дней? Потому что не применимы ч. 5 ст. 21 (согласия нет) и ч. 3 ст. 20 (обработка была легитимной, но далее цель обработки отпадает при деактивации профиля). Вот и остается методом исключения ч. 5.1, то есть 10 дней.

Всем отличных выходных! 🙌

#мнение

Уведомлять ли?
Разобрали ваши ответы

Недавно мы рассказывали об уведомлениях РКН, а вы заполняли анкеты для оценки целесообразности подачи уведомлений. Пора подводить итоги, ведь у нас скопилось много анкет. Делимся интересными результатами.

Уведомление об обработке ПД:

1️⃣ Фарма опять ТОП. Больше всего ответов мы получили именно от фарма-бизнеса. Традиционно фармацевты наиболее комплаентые. Только компании этой отрасли отметили, что для них критичен риск получения штрафа за невключение в Реестр. Остальные оценили, что этот риск маловероятен / нематериален или вовсе неприменим к ним.

2️⃣ Такой себе штраф…пока что! B2B-компании в целом же не воспринимают штрафы за невключение в Реестр. А вот потенциально увеличенные штрафы за это же нарушение оценивают уже как критичные. К слову, нематериальные последствия из отсутствия компании в Реестре пугают уже половину респондентов. К ним относится, в первую очередь, признание неуведомления РКН в качестве отягчающего обстоятельства при рассмотрении privacy-нарушений, а также невозможность уведомить РКН о ТГП.

3️⃣ И им даже не стыдно! Большинство НЕ беспокоит провал при privacy-проверке, проводимой контрагентом. Это может свидетельствовать о том, что большинство компаний в целом не проводит такую проверку. А мы рекомендуем делать privacy-чек ваших контрагентов!

4️⃣ Подадимся, а РКН все равно. Большинство компаний не связывают факт уведомления РКН об обработке ПД с его последующим повышенным вниманием. И действительно, у нас нет подтверждения какого-то особого внимания РКН к новичкам в Реестре.

5️⃣ Лучше бы податься, а мы и не сомневались. В анкете был заложен скоринг, да-да, у каждого ответа свой вес. Чем больше баллов, тем желательнее компании подать уведомление. И вот кроме трех (!) респондентов все набрали такое количество баллов, что грех не включиться в Реестр. Другими словами, почти никто не оценил риски настолько неприменимыми, чтобы можно было смело игнорировать уведомление РКН.

Уведомление о ТГП:

1️⃣ Ниже травы, тише воды. В отличие от уведомления об обработке ПД большинство связывают факт уведомления РКН о ТГП с его последующим повышенным вниманием к ним.

2️⃣ Удивлены, что не 100%! При подаче уведомления только для 60% респондентов критичны запрет, ограничения РКН на ТГП и непрогнозируемость его решений о запрете ТГП в будущем. Трусами вас не назвать!

3️⃣ ИТ-вайбы. Наиболее «расслабленными» компаниями при оценке риска получения штрафа за неуведомление РКН о ТГП стали ИТ-компании. Мы даже и не сомневались 👏😉

Спасибо вам за вовлеченность! 🙂