Держите карман шире! Ни то, ни другое, а дата-национализация.
Обезличивание подразумевает действия, в результате которых невозможно определить, кому принадлежат данные без дополнительной информации (п. 9 ст. 3 152-ФЗ). В терминах GDPR – псевдонимизация. Обезличенные данные остаются персональными, поскольку сохраняется возможность связи данных с субъектом посредством дополнительной информации.
Обезличивание позволяет усилить конфиденциальность и несколько митигировать риски из утечек за счет того, что данные хранятся не в открытом виде, а также сформировать «гигиену данных».
Что же тогда с обезличиванием не так?
Прежде РКН неоднократно заявлял, что в текущем правовом поле у бизнеса нет права обезличивать данные, такое право дано лишь госорганам и отдельным организациям в соответствии с Приказом № 996. Однако в последнее время РКН отмечает, что Приказ могут использовать и коммерческие организации при определенных условиях.
Есть нюанс. РКН считает, что обезличивать данные можно только на основании предварительного согласия, в котором выделено обезличивание как способ обработки. То есть, чтобы обезличить данные, сперва получите на это согласие. Хотя, казалось бы, это нужно, в первую очередь, для защиты интересов субъектов… Что ж, еще больше согласий.
Устарели и сами рекомендации РКН от 2013 года по процедуре обезличивания. Есть и иные методики, не предусмотренные Приказом. Например, дифференциальная приватность, которая предполагает добавление шума и минимизацию запросов к дата-сету так, чтобы из него нельзя было вычленить данные, относящиеся к определяемому лицу. Регуляторы постепенно разрабатывают новые методики, но ни одна из них пока не увидела официальный свет.
В 2021 году внесен законопроект о поправках в 152-ФЗ, который допускал возможность бизнесу обезличивать данные на «особых» условиях. В 2023 году этот проект, с многочисленными поправками, перешел ко второму чтению. Казалось бы, успех так близко! Но нет.
Согласно законопроекту, операторы будут обязаны предоставлять ПД в государственное «озеро данных» для обезличивания и сборки дата-сетов. Первые три года доступ к обезличенным дата-сетам будут иметь только госорганы и подведомственные организации. А затем, доступ смогут получить и другие компании, одобренные правительственной комиссией. Процедура обезличивания будет устанавливаться регулятором, а финансироваться – в т.ч. за счет бизнеса. Таким образом, законопроект не только стремится сильнее урегулировать обезличивание, усилить контроль над данными, но и (!) национализировать их.
Но и бизнес не бездействует. Есть предложения ограничить бесплатную передачу данных государству только для нужд национальной безопасности, а доступ к остальным данным осуществлять на основе справедливой тарификации.
Кроме этого, индустрия пытается развивать институт экспериментальных правовых режимов (ЭПР). Так, Ассоциация Больших Данных выступила инициатором ЭПР «Доверенный посредник», который предполагает создание платформы для безопасной обработки обезличенных и промышленных данных. В рамках ЭПР могли бы тестироваться методологии обезличивания и санитизации данных, а также риск-модели оценки обезличенных данных. Цель ЭПР – выработать подход к обезличенным данным, институционализировать их оборот и деятельность дата-посредников. Иными словами, это попытка предложить рабочий компромисс между интересами власти и бизнеса.
Наблюдаем за развитием проектов и рассчитываем все же не на радикализацию регулирования, а win-win подход, когда учитываются интересы и государства, и бизнеса, и даже пользователей. Ну а пока не отобрали – обезличивайте [с согласия] [и в статистических целях].
Обезличивание подразумевает действия, в результате которых невозможно определить, кому принадлежат данные без дополнительной информации (п. 9 ст. 3 152-ФЗ). В терминах GDPR – псевдонимизация. Обезличенные данные остаются персональными, поскольку сохраняется возможность связи данных с субъектом посредством дополнительной информации.
Обезличивание позволяет усилить конфиденциальность и несколько митигировать риски из утечек за счет того, что данные хранятся не в открытом виде, а также сформировать «гигиену данных».
Что же тогда с обезличиванием не так?
Прежде РКН неоднократно заявлял, что в текущем правовом поле у бизнеса нет права обезличивать данные, такое право дано лишь госорганам и отдельным организациям в соответствии с Приказом № 996. Однако в последнее время РКН отмечает, что Приказ могут использовать и коммерческие организации при определенных условиях.
Есть нюанс. РКН считает, что обезличивать данные можно только на основании предварительного согласия, в котором выделено обезличивание как способ обработки. То есть, чтобы обезличить данные, сперва получите на это согласие. Хотя, казалось бы, это нужно, в первую очередь, для защиты интересов субъектов… Что ж, еще больше согласий.
Устарели и сами рекомендации РКН от 2013 года по процедуре обезличивания. Есть и иные методики, не предусмотренные Приказом. Например, дифференциальная приватность, которая предполагает добавление шума и минимизацию запросов к дата-сету так, чтобы из него нельзя было вычленить данные, относящиеся к определяемому лицу. Регуляторы постепенно разрабатывают новые методики, но ни одна из них пока не увидела официальный свет.
В 2021 году внесен законопроект о поправках в 152-ФЗ, который допускал возможность бизнесу обезличивать данные на «особых» условиях. В 2023 году этот проект, с многочисленными поправками, перешел ко второму чтению. Казалось бы, успех так близко! Но нет.
Согласно законопроекту, операторы будут обязаны предоставлять ПД в государственное «озеро данных» для обезличивания и сборки дата-сетов. Первые три года доступ к обезличенным дата-сетам будут иметь только госорганы и подведомственные организации. А затем, доступ смогут получить и другие компании, одобренные правительственной комиссией. Процедура обезличивания будет устанавливаться регулятором, а финансироваться – в т.ч. за счет бизнеса. Таким образом, законопроект не только стремится сильнее урегулировать обезличивание, усилить контроль над данными, но и (!) национализировать их.
Но и бизнес не бездействует. Есть предложения ограничить бесплатную передачу данных государству только для нужд национальной безопасности, а доступ к остальным данным осуществлять на основе справедливой тарификации.
Кроме этого, индустрия пытается развивать институт экспериментальных правовых режимов (ЭПР). Так, Ассоциация Больших Данных выступила инициатором ЭПР «Доверенный посредник», который предполагает создание платформы для безопасной обработки обезличенных и промышленных данных. В рамках ЭПР могли бы тестироваться методологии обезличивания и санитизации данных, а также риск-модели оценки обезличенных данных. Цель ЭПР – выработать подход к обезличенным данным, институционализировать их оборот и деятельность дата-посредников. Иными словами, это попытка предложить рабочий компромисс между интересами власти и бизнеса.
Наблюдаем за развитием проектов и рассчитываем все же не на радикализацию регулирования, а win-win подход, когда учитываются интересы и государства, и бизнеса, и даже пользователей. Ну а пока не отобрали – обезличивайте [с согласия] [и в статистических целях].