К вопросу об особенностях современного законодательства по защите персональных данных (взгляд юриста-практика)

General Data Protection Regulation (ЕС)

Lei Geral de Prote3ro de Dados (Бразилия)

Статьи законов

На кого распространяется

Компании и государственные учреждения, обрабатывающие персональные данные на территории Евросоюза.

Компания и государственные учреждения, обрабатывающие персональные данные на территории страны Ст. 3, п. I, II и III.

Ст. 3 Закона 13.709/2018 LGPD

Ст. 2° Устава 2016/679

Компании, имеющие филиалы в странах Евросоюза, должны соблюдать оба закона.

За исключением: исторических, статистических и научных целей, для общественного здравоохранения или для реализации права на свободу мнения

Ст. 4: ситуации, в которых LGPD не применяется, например, при обработке персональных данных, осуществляемых физическим лицом в неэкономических целях, журналистских или целях связанных с искусством

Ответственность агентов

Контролёр или оператор не несут ответственности:

1. когда физическое или юридическое лицо не вовлечены в обработку данных;

2 . когда, несмотря на ущерб, обработка производится в соответствии с законодательством

Предположения, в которых контролёр/оператор не несёт ответственность:

1. Когда физическое или юридическое лицо не вовлечены в обработку данных;

2. Когда, несмотря на ущерб, обработка производится в соответствии с законодательством;

3. Когда агенты докажут, что ущерб был нанесён исключительно по вине владельца данных или третьих лиц

Ст. 42 и последующие статьи Закона 13.709/2018

Ст. 82 Регламента 2016/679

Взаимоотношения контролёра с оператором

Обработка данных оператором должна регулироваться договором или другим правовым актом, который связывает контролёра с оператором

Оператор должен выполнять обработку данных в соответствии с инструкциями контролёра Необходимости в оформлении контракта нет

Ст. 39 Закона 13 709/2018

Ст. 28 §3° Регламента 2016/679

Отчёт о воздействии

Контролёр должен предоставить отчёт о защите личных данных, если их обработка приводит к угрозе для прав и свобод граждан.

Отчёт должен содержать все описания, требуемые законом

Вопрос не решён. Правила должны быть разработаны впоследствии

Не предусмотрено Законом 13.709/2018 Ст. 35 Постановления 679/2016

Утечка персональных данных

Владельцы, чьи персональные данные были раскрыты, должны быть уведомлены об утечке в течение 72 ч с момента выявления нарушения.

Контролёр должен уведомить национальный орган и владельца персональных данных о нарушении в неопределённый, но разумный срок

Ст 48 п 1 Закона 13709/2018

Ст. 33 Постановления 679/2016

Обработка конфиденциальных данных

Запрещает обработку конфиденциальных данных, за некоторыми исключениями.

Специальная защита конфиденциальных данных и определение случаев, при которых разрешена их обработка (независимо от согласия держателя).

Ст. 9, §2, «&> и «е» Регламента 2016/679

Обработка данных несовершеннолетних

Для лиц младше 16 лет согласие предоставляют родители.

Для лиц младше 18 лет согласие должно быть дано родителями или опекунами

Ст. 14, §1 Закона № 13709/2018

Ст. 8, §1 Регламента 2016/679

Политика Защиты данных

Возлагает на контролёров данных обязанность принимать соответствующие технические и административные меры, чтобы гарантировать исполнение законодательства.

Предусматривает реализацию программы управления и конфиденциальности как задачу контролёров данных

Ст. 50 Закона 13.709/2018

Ст. 24, §2 Регламента 2016/679

Представители

Контролёр или обработчик должен в письменной форме представлять своего представителя в одном из государств-членов ЕС.

Положение о том, что иностранная компания будет извещаться и предупреждаться обо всех процессуальных действиях в лице её агента, представителя или лица ответственного за филиал, агентство, учреждение или офис Компании в Бразилии.

Ст. 61 Закона 13.709/2018

Ст. 27 Регламента 2016/679

Регулирующий орган

Европейский комитет по защите данных

Национальный орган по защите данных

Ст. 68 и последующие статьи Закона 13 709/2018

68 и следующие за Постановлением 2016/679

Срок хранения данных / права на забвение

Данные должны храниться таким образом, чтобы можно было идентифицировать их владельцев в течение периода необходимого для цели их обработки

Данные должны храниться до тех пор, пока не будет подтверждено, что цель достигнута или что данные больше не нужны или не имеют отношения к достижению конкретной искомой цели

Ст ст 15 и 16 Закона 13.709 /

2018

Ст. 5, 1, и ст. . 17

Регламента

2016/679

Международная передача данных

Международная передача данных (независимо от конкретного разрешения) возможна, если Европейская комиссия признает, что третья страна обеспечит адекватный уровень защиты.

Разрешена передача личных данных в страны или международные органы, обеспечивающие их надлежащую защиту

Ст. 33 Закона 13.709/2018

Ст. 44 и последующие Положения 2016/679

Сроки и штрафы

Предусмотрены штрафы до 20 млн. евро или 4% от общего оборота компании (в зависимости от того, что больше)

Другие штрафы: предупреждения, решение о блокировке или удаление данных, полное или частичное приостановление работы соответствующей базы данных

Предусмотрены административные санкции за нарушения.

Применение штрафа эквивалентного 2% от валовой выручки компании за последний год с максимальной суммой в 50 млн реалов (за каждый случай нарушения).

Другие штрафы: приостановка деятельности, которая связана с обработкой персональных данных, и приостановка деятельности компании в целом на рынке до урегулирования

Ст. 52 Закона 13.079/2018

Ст. 83 Постановления 2016/679

Надзор и соблюдение Закона о защите данных

Европейские правила устанавливают создание Европейского комитета по защите данных, ответственного за обеспечение последовательного применения GDPR.

Предусматривается создание Национального органа по защите данных согласно европейским правилам.

Однако, на положения, которые предусматривали его создание и обязанности, было наложено вето, поскольку они влекут за собой неконституционность законодательного процесса

Ст. 5, XIX Закона 13.079/2018

Ст. 68 Регламента 2016/679

Сроки уведомления об утечке данных

Об утечке данных необходимо уведомить в течении 72 ч

Не имеет сроков для уведомления об утечке данных

Не предусмотрено Законом 13.079/2018

Ст. 33 Постановления 2016/679

Доступ к данным

1 месяц. Срок может быть продлён до 2-х месяцев, чтобы владелец персональных данных получил к ним доступ

15 дней для того, чтобы владелец персональных данных получил к ним доступ.

Ст. 18, §8, II Закона 13.709/2018

Ст. 12, 3 Регламента 2016/679

Согласие на обработку персональных данных

Существует вероятность того, что владелец персональных данных сможет в любое время возразить против их обработки

Необходимо применять общие правила согласия, прозрачности и права возражения со стороны владельцев персональных данных

Ст. 61 Закона 13 709/2018

Ст. 21 Регламента 2016/679