Comprendre la nouvelle loi « Sur les données personnelles » : risques imaginaires et réels

2024 Auteur: Malcolm Clapton | [email protected]. Dernière modifié: 2023-12-17 03:55

Le 1er septembre, des modifications de la loi « Sur les données personnelles » entrent en vigueur. À un degré ou à un autre, ils affecteront tous les citoyens de la Russie. MakRadar a contacté un certain nombre d'avocats russes et de représentants de sociétés Internet et a découvert toutes les nuances de cette loi.

Les modifications elles-mêmes sont petites, ne prennent qu'une page et demie d'une feuille A4 standard, et tout le monde peut les lire directement. Deux innovations principales:

• À partir du 1er septembre, toutes les entités juridiques travaillant avec des données personnelles de Russes doivent stocker des bases de données sur le territoire de la Fédération de Russie - sur leurs propres serveurs ou sur des serveurs loués.
• Le système d'information automatisé "Registre des contrevenants aux droits des sujets de données personnelles" est en cours de création.

Données personnelles - toute information relative à un individu spécifique. Il peut s'agir du nom, du prénom, du patronyme, de l'année, du mois, de la date et du lieu de naissance, de l'adresse, de la famille, du statut social, de la propriété, de l'éducation, des données du passeport, de la profession, des revenus et d'autres informations.

Jetons un coup d'œil à ce qu'est le "Registre …" susmentionné, quels risques la loi porte pour les représentants de l'industrie de l'Internet, combien cela "coûte" pour se conformer à la loi pour les entreprises et quelle responsabilité encourra les contrevenants.

Qu'est-ce que le "Registre des contrevenants aux droits des sujets de données personnelles"

Ce registre comprendra les noms des sites et des pages Internet sur lesquels des données personnelles sont traitées en violation de la loi. Il peut s'agir de n'importe quel site: boutiques en ligne, hôtels, compagnies aériennes, médias et autres. « Étant donné que la loi ne précise pas pour quelles violations les sites seront inclus dans ce registre, on peut supposer que toute violation de la loi sur les données personnelles peut constituer une telle violation », dit Daria Sukhikh, associé principal de l'équipe 29. - La procédure de tenue du registre sera déterminée par le gouvernement de la Fédération de Russie. Il est à noter qu'un site ou une page ne peut être inscrit dans ce registre que sur la base d'une décision de justice entrée en vigueur, qui a constaté une violation de la loi dans le traitement des données personnelles. »

Traitement des données personnelles - opérations avec des données personnelles, telles que: collecte, accumulation, stockage, clarification, mise à jour, modification, utilisation, distribution, transfert, dépersonnalisation, blocage et destruction.

Qui tombe sous le coup de la loi

Entreprises de vente à distance, transports, voyagistes et systèmes de réservation, agences de recrutement, opérateurs télécoms, secteur bancaire et systèmes de paiement. Selon la réunion de juillet entre RAEC, la Chambre de commerce russo-britannique et Roskomnadzor, plus de 54% des entreprises informatiques sont prêtes à se conformer à toutes les exigences de la loi, 27% ont déclaré qu'elles étaient partiellement prêtes, 19% n'étaient pas complètement prêt. Les problèmes financiers et le manque de capacités techniques ont été identifiés comme les principales difficultés dans la mise en œuvre de la loi.

Principaux risques pour les entreprises

« Nous ne voyons pas de risques importants pour l'entreprise », déclare le conseiller juridique principal du groupe OZON. Yana Barach … "Les dispositions sur le transfert transfrontalier de données personnelles ne sont pas affectées par les modifications et, par conséquent, le transfert de données personnelles de citoyens russes à des prestataires de services étrangers continuera d'être possible." Kirill Mityagin, partenaire de Nevsky IP Law estime: « Le principal risque est de ne pas comprendre les exigences de la loi pour les opérateurs et les règles de traitement des données personnelles. Par exemple, ne soumettez pas d'avis d'inscription au registre de Roskomnadzor (au 31 juillet 2015, il y avait plus de 330 000 opérateurs dans le registre), ou ne commettez pas de violations dans le traitement des données personnelles, ce qui entraîne l'apparition de délits civils., la responsabilité administrative et même pénale.

Menaces potentielles pour les internautes ordinaires

La principale menace pour l'utilisateur moyen est que sa ressource préférée ne sera peut-être pas en mesure de faire face aux coûts de protection des données personnelles et sera fermée. « Le respect de la loi rend notre projet 45 % plus cher », précise le directeur général du service. Oleg Gribanov … - Ce sont des coûts inévitables si nous voulons respecter la loi, et nous ne la violerons en aucun cas. Je ne peux pas dire combien nous allons dépenser pour acheter et louer des serveurs et former du personnel pour le travail, c'est un secret commercial ». "Aujourd'hui, les serveurs peuvent être achetés à des prix allant de 40 à 600 000 roubles, mais un produit de plus ou moins haute qualité coûtera certainement plus de 100 000 roubles. De plus, le choix dépendra de la quantité de données stockées", explique Alexandre Trifonov, expert en chef du service juridique. - Il y a aussi la possibilité de louer un serveur, les offres commencent de cinq à six mille roubles, donc une telle option budgétaire peut convenir aux entreprises qui ne sont pas prêtes à dépenser immédiatement plusieurs centaines de milliers."

La protection des données personnelles est un ensemble de mesures administratives et de méthodes techniques de protection pour contrer l'utilisation non autorisée des données personnelles.

Responsabilité pour non-respect de la loi « Sur les données personnelles »

Le non-respect de la loi sur la protection des données est passible de responsabilité pénale et administrative. « L'accès illégal à des informations informatiques protégées par la loi relève de la responsabilité en vertu de l'art. 272 du Code pénal de la Fédération de Russie, - déclare le directeur général de la société "YurPartner" Anton Tolmachev … « Mais c'est de l'artillerie lourde. Le plus souvent, une violation de la loi "Sur les données personnelles" est une infraction administrative, par exemple, conformément à l'article 13.14 du Code administratif de la Fédération de Russie "Divulgation d'informations avec un accès limité" ou à l'article 13.12 "Violation des règles de protection des informations." «Maintenant, la société assume la responsabilité administrative pour violation de la procédure de traitement des données personnelles sous la forme d'une amende de 5 000 à 10 000 roubles (article 13.11 du Code des infractions administratives de la Fédération de Russie) et pour violation des exigences en matière de protection des informations - de 10 à 15 mille roubles (partie 6 de l'article 13.12 du code administratif RF) ", - explique Kirill Mityagin, partenaire de Nevsky IP Law.

La Douma d'État de la Fédération de Russie envisage d'adopter des amendements au Code administratif. L'amende minimale sera de 50 000 roubles et le maximum de 300 000 roubles.

Expérience d'autres pays en matière de protection des données personnelles

Dans les pays de l'UE, la protection des données personnelles est réglementée par la directive 95/46 / CE (1995) et un certain nombre de documents ultérieurs, mais après l'affaire Snowden, il est devenu clair que la législation dans le domaine de la protection des données personnelles exige un monnaie. Les pays de l'UE sont en train de créer un règlement général sur la protection des données. Il inclura des concepts tels que: sous-traitant et destinataire des données personnelles, identifiant personnel, identifiant en ligne. Le concept de « données sensibles » sera introduit, qui comprendra des données génétiques et biométriques humaines et bien plus encore.

Sommaire

Presque tous les pays du monde sont aujourd'hui impliqués dans l'évolution de la législation dans le domaine de la réglementation du traitement et de la protection des données personnelles. Le fait que la Russie soit à l'avant-garde n'est rien de plus qu'une coïncidence. Cependant, la particularité de l'approche russe est toujours « la loi de l'État », alors que dans les pays occidentaux, ce sont les droits de l'homme. D'où les craintes que la nouvelle loi ait été créée principalement pour contrôler les actions des citoyens, et non pour protéger leurs données personnelles.