Législation russe et internationale dans le domaine de la protection des données personnelles

Dans la publication précédente , nous avons examiné les concepts de base et le paradigme de la sécurité de l'information, et nous allons maintenant passer à l'analyse de la législation russe et internationale régissant divers aspects de la protection des données, car sans connaissance des règles législatives régissant les domaines pertinents des activités de l'entreprise, il est correct de construire un système de gestion des risques et orienté vers les entreprises la sécurité de l'information est impossible. Les sanctions, ainsi que les atteintes à la réputation dues au non-respect des normes législatives, peuvent apporter une correction importante au fonctionnement de l'organisation et à ses plans de développement: nous savons que, par exemple, le non-respect des normes de protection des informations dans le système de paiement national peut entraîner la révocation d'une licence d'une institution financière et le non-respect des exigences locales la collecte et le traitement primaires des données personnelles peuvent conduire à bloquer l'accès au site Web de l'entreprise. Le non-respect des normes de sécurité des infrastructures d'informations critiques en général peut entraîner une peine d'emprisonnement pouvant aller jusqu'à 10 ans. Bien sûr, il existe un grand nombre de lois et de réglementations applicables.Par conséquent, dans cet article et dans les deux suivants, nous nous concentrerons sur la protection des données personnelles, la protection des objets d'infrastructure d'informations critiques et la sécurité des informations des organisations financières.

Alors, dans la série d'aujourd'hui - données personnelles, c'est parti!



Tout d'abord, il est nécessaire de parler du document fondamental qui régit la procédure de travail avec diverses informations dans la Fédération de Russie, y compris et avec les données personnelles - nous parlons de la loi fédérale n ° 149 "sur l'information, les technologies de l'information et la protection de l'information" du 27/07/2006. Ce document contient les concepts et définitions de base qui sont utilisés dans tous les actes juridiques réglementaires liés à la protection des informations, et présente également, entre autres, le concept de la catégorie d'informations (informations publiques et informations à diffusion limitée) et le type d'informations (diffusées librement, fournies sur la base de accord, soumis à une distribution conformément à la loi, informations d'accès / distribution limités et interdits de distribution). En particulier, les données personnelles sont classées comme des informations restreintes, et conformément à l'article 9, paragraphe 2 de la présente loi, la confidentialité de ces informations est obligatoire, à la suite de laquelle l'État établit des règles obligatoires et des règles pour leur traitement. Malheureusement, pas avec tous les types d'informations à diffusion limitée, il existe une certitude similaire - par exemple, à ce jour, il n'y a pas de classification législative des types de secrets, seuls quelques-uns d'entre eux peuvent être distingués: État, commercial, fiscal, bancaire, audit, médical, notaire, secret de l'avocat, secret communications, enquêtes, procédures judiciaires, informations privilégiées, etc. En plus des informations à diffusion limitée, dans 149- (article 8, article 4), il existe également un classificateur de types d'informations, dont l'accès, au contraire, ne peut pas être limité - par exemple, les actes juridiques réglementaires, les informations sur les activités des organes de l'État, l'état de l'environnement, etc. .d.

Normes russes pour la protection des données personnelles

En ce qui concerne l'examen des questions de protection des données personnelles, il convient de noter qu'elles sont restées invariablement vives au cours des dernières années et ont augmenté dans les plus hautes fonctions en Russie et à l'étranger, car elles concernent chacun de nous, indépendamment de la nationalité ou de la position.

La sécurité des données personnelles, dans l'interprétation étrangère de la vie privée, est enracinée dans la garantie des droits et libertés inaliénables des citoyens des pays développés - par exemple, dans certains pays européens, la question de l'indication du nom et du prénom des personnes vivant à proximité des boîtes aux lettres et des sonnettes était assez controversée. Avec l'avènement des technologies de l'information, la protection des données personnelles est devenue encore plus pertinente. C'est ainsi qu'est apparue la «Convention n ° 108 du Conseil de l'Europe sur la protection des personnes avec traitement automatisé des données personnelles», signée en 1981 et ratifiée par la Fédération de Russie en 2001. Déjà à cette époque, il jetait les bases internationales du traitement légitime des données personnelles, qui sont toujours applicables aujourd'hui: l'utilisation des données personnelles uniquement à certaines fins et dans certaines périodes, la redondance et la pertinence des données personnelles traitées et les particularités de leur transfert transfrontalier, la protection des données garantie droits d'un citoyen - détenteur de données personnelles. Dans le même document, la définition même des données personnelles est donnée, qui «migre» ensuite vers la première édition de la loi fédérale nationale n ° 152 sur les données personnelles du 27 juillet 2006: «données personnelles» désigne toute information concernant une personne physique spécifique ou identifiable. L'objectif de la ratification de cette convention était de se conformer aux exigences réglementaires internationales lors de l'entrée de la Russie à l'OMC (Organisation mondiale du commerce), qui a eu lieu en 2012.

Le travail conjoint des pays parties à la Convention se poursuit à ce jour. Ainsi, fin 2018, la Fédération de Russie et les autres pays participants ont signé le « Protocole n ° 223 sur les amendements à la Convention du Conseil de l'Europe sur la protection des données à caractère personnel», qui actualise la Convention en fonction des défis actuels: protection des données biométriques et génétiques, nouveaux droits les individus dans le cadre de la prise de décision algorithmique par l'intelligence artificielle, les exigences de protection des données déjà au stade de la conception des systèmes d'information, l'obligation d'informer le supérieur hiérarchique autorisé gan sur les fuites de données. Les citoyens ont désormais la possibilité de bénéficier d'une protection qualifiée de leurs données personnelles par le superviseur, et les entreprises russes contraintes de se conformer aux exigences du RGPD européen (Règlement général sur la protection des données, nous en parlerons plus tard) ne seront pas obligées d'appliquer des mesures de protection supplémentaires, car Le respect des dispositions de la Convention signifie que le pays partie fournit un régime juridique adéquat pour le traitement des données personnelles.

Ainsi, en 2006, 152- «Sur les données personnelles» a été adopté, qui a non seulement répété largement les exigences de la Convention, mais a également introduit des définitions et des exigences supplémentaires concernant le traitement des données personnelles (ci-après - PD). Au fil du temps, la loi fédérale a été modifiée, dont les principales ont été introduites 261- du 25/07/2011 et 242- du 21/07/2014. La première loi a apporté des modifications importantes aux postulats de base de la protection contre les DP, et la seconde a interdit le traitement primaire des PD en dehors du territoire de la Fédération de Russie. Veuillez noter que l'organisme d'État autorisé à protéger les droits des sujets PD est le Service fédéral de surveillance des communications, des technologies de l'information et des communications de masse (Roskomnadzor), qui relève du ministère du Développement numérique, des télécommunications et des communications de masse de la Fédération de Russie.

À l'article 152-FZ, les mesures visant à garantir la sécurité des données personnelles sont traitées à l'article 19, qui stipule également que les opérateurs doivent garantir les niveaux de sécurité établis par la décision gouvernementale n ° 1119 du 1er novembre 2012, qui sont compris comme un ensemble d'exigences qui neutralisent certaines menaces pour la sécurité. Pour simuler ces menaces, c'est-à-dire pour construire un modèle de menace (ci-après - MU) et un modèle de contrevenant, il faut s'appuyer sur les actes juridiques réglementaires suivants:

• le document « Modèle de base des menaces à la sécurité des données personnelles lorsqu'elles sont traitées dans des systèmes d'information sur les données personnelles », qui a été élaboré et approuvé par le FSTEC de Russie en 2008;
• Recommandations méthodologiques du Service fédéral de sécurité de la Fédération de Russie de 2015 pour l'identification des risques de sécurité pour les PD, destinées aux organismes gouvernementaux et aux opérateurs utilisant des outils de protection des informations cryptographiques et développant des MU appropriées.

En outre, le FSTEC de Russie a développé en 2015 le projet «Méthodes d'identification des menaces à la sécurité de l'information dans les systèmes d'information», qui, après son approbation, pourra guider à la fois les opérateurs de systèmes d'information de l'État et les entreprises privées. Il convient de noter que les systèmes d'information des États (ci-après dénommés GOSIS) sont définis dans 149-FZ (article 13, article 1) comme des systèmes d'information fédéraux et des systèmes d'information régionaux créés sur la base des lois fédérales, des lois des entités constitutives de la Fédération de Russie et des actes juridiques les organes de l'Etat afin d'exercer les pouvoirs des organes de l'Etat et d'assurer l'échange d'informations entre ces organes, ainsi qu'à d'autres fins établies par les lois fédérales.

L'article 5 de la 152-FZ parle de l'obligation des organismes publics de développer des UG spécifiques à l'industrie dans leur domaine de responsabilité. Ces UG ont été développées, par exemple, à la Banque centrale de la Fédération de Russie (d'abord sous la forme de RS BR IBBS-2.4, puis sous la forme de l' ordonnance de la Banque de Russie n ° 389-U ), au Ministère des télécommunications et des communications de masse de la Fédération de Russie (« Modèle de menaces et d'atteinte à la sécurité des données personnelles traitées en standard ISPD de l'industrie »et« Modèle de menaces et contrevenant à la sécurité PDN traité dans un ISPD spécial de l'industrie »), par le ministère de la Santé de la Fédération de Russie (« Le modèle de menace d'une PI médicale typique d'une institution médicale typique »).

Dans 152-, l'obligation d'assurer la sécurité des données personnelles est attribuée à l'opérateur du système d'information personnel (ci-après - ISPD) ou à la personne qui traite les données personnelles pour le compte de l'opérateur (ce que l'on appelle le "processeur"). PP-1119 fournit des mesures de protection organisationnelles et techniques spécifiques qui doivent être prises par l'opérateur (ou le processeur) pour assurer le niveau de sécurité approprié pour la DP, tandis que le choix du niveau dépend de la catégorie de PD traitée (c.-à-d., Type ISPD), de la catégorie et du nombre de sujets de PD et le type de menaces réelles.

Les catégories de DP peuvent être spéciales (traitement des informations sur les aspects critiques de la vie du sujet de DP, tels que l'état de santé, l'appartenance nationale / raciale, les croyances politiques et religieuses), biométriques (traitement de PD, caractérisation des caractéristiques physiologiques et biologiques), publiques (la DP est obtenue de sources publiques ), autre.

Les menaces réelles peuvent être du 1er type (les menaces d'utilisation de capacités non déclarées dans les logiciels système sont pertinentes pour l'ISPD), du 2ème type (les menaces d'utilisation des capacités non déclarées dans les logiciels d'application sont pertinentes), du 3ème type (les menaces ci-dessus ne sont pas pertinentes).

Le choix du niveau de sécurité (ci-après - KM) des données personnelles dépend des caractéristiques ci-dessus des ISPDn (catégories de PD traitées et du type de menaces pertinentes pour ISPD), ainsi que de la catégorie des entités (employés de l'opérateur ou autres personnes) et du nombre d'entités dont les PDN sont traités (plus ou moins de 100 000 entrées). L'échographie maximale est le 1er, le minimum est le 4e.

Le PP-1119 propose une liste assez concise de mesures de protection contre les DP, puisque les mesures de sécurité détaillées sont déterminées par le FSTEC de Russie: l' arrêté n ° 21 du 18/02/2013 approuve la composition et le contenu des mesures organisationnelles et techniques pour assurer la sécurité des DP, et l' arrêté n ° 17 du 02/11/2013 réglemente les exigences pour la protection des informations à l'Institut d'État de l'information de l'État, y compris la protection des données personnelles en leur sein. En outre, le Service fédéral de sécurité de la Fédération de Russie a également publié l' ordonnance n ° 378 du 10 juillet 2014, qui contient une description des mesures de sécurité PD lors de l'utilisation d'outils de protection des informations cryptographiques (ci-après - CIP).

Considérons d'abord la commande n ° 21 . Ce document est dédié aux mesures de protection PD pour IP non étatique et contient une liste de mesures spécifiques pour assurer l'un ou l'autre KP PD. Dans la clause 4, les opérateurs de propriété intellectuelle non étatiques bénéficient d'une exemption sous la forme d'une autorisation de ne pas utiliser de SIS certifié en l'absence de menaces réelles qu'ils ferment, et la clause 6 du document fixe un intervalle de trois ans pour évaluer l'efficacité des mesures mises en œuvre. L'ordonnance n ° 21, ainsi que l'ordonnance n ° 17, proposent le même algorithme de sélection et d'application des mesures de sécurité: d'abord, les mesures de base sont sélectionnées sur la base des dispositions de l'arrêté concerné, puis l'ensemble de mesures de base sélectionné est adapté, à l'exclusion des mesures «de base» non pertinentes selon des caractéristiques des systèmes d'information et des technologies utilisées. Ensuite, l'ensemble de mesures de base adapté est spécifié pour neutraliser les menaces actuelles avec des mesures précédemment non sélectionnées, et enfin, l'ensemble de base adapté mis à jour est complété par des mesures établies par d'autres documents juridiques réglementaires applicables.

L'arrêté n ° 21 de l'article 10 contient une remarque importante sur la capacité de l'opérateur à appliquer des mesures compensatoires lorsqu'il est impossible de mettre en œuvre des mesures techniques ou s'il n'est pas économiquement faisable d'appliquer des mesures de l'ensemble de base, ce qui donne une certaine flexibilité lors du choix de nouvelles et justifie l'utilisation d'équipements de protection déjà mis en œuvre afin d'assurer la sécurité des données personnelles. Si l'exploitant utilise un SZI certifié, le régulateur de l'article 12 de l'ordonnance impose des exigences pour les classes de SZI utilisés et pour le matériel informatique (ci-après - CBT).

Pare-feu certifiés, systèmes de détection d'intrusion, outils de protection anti-virus, outils de démarrage fiables, outils de contrôle des supports de machines amovibles, systèmes d'exploitation conformes aux classificateurs FSTEC récemment introduits (2011-2016) de la Russie peuvent avoir des classes de 1 (niveau de support maximal protection) à 6 (niveau minimum). Le CBT peut être classé à sept niveaux conformément au document d'orientation du FSTEC Russie. Des exigences sont également imposées pour contrôler l'absence de capacités non déclarées dans le logiciel SZI - il existe quatre niveaux de contrôle. La liste actuelle des SIS certifiés figure dans le registre national des outils de sécurité des informations certifiés.

Dans l'ordonnance n ° 21, les groupes de mesures suivants pour garantir la sécurité des PD sont indiqués, qui devraient être appliqués en fonction du niveau de protection requis des PD:

• Identification et authentification des sujets d'accès et des objets d'accès
• Contrôle d'accès des sujets d'accès pour accéder aux objets
• Limiter l'environnement logiciel
• Protection des porte-machines PD
• Journalisation des événements de sécurité
• Protection antivirus
• Détection d'intrusion
• Surveillance (analyse) de la sécurité PD
• Assurer l'intégrité de IP et PD
• Assurer la disponibilité de PD
• Protection des environnements de virtualisation
• Protection des moyens techniques
• Protection de la propriété intellectuelle, de ses moyens, des systèmes de communication et de la transmission de données
• Détection et réponse aux incidents
• Gestion de la configuration des systèmes de protection IS et PD.

L'ordonnance n ° 17 établit les conditions requises pour garantir la sécurité des informations d'accès limité au GISIS, tandis que le paragraphe 5 souligne que lors du traitement des PD dans le GOSIS, le PP-1119 doit être suivi. L'ordonnance oblige les opérateurs GOSIS à utiliser uniquement des SZI certifiés et à recevoir un certificat de conformité de cinq ans aux exigences de protection des informations. Ce document suppose que les opérateurs prennent les mesures suivantes pour assurer la protection des informations (ci-après - ZI): formation des exigences pour ZI; développement, mise en œuvre et certification du système IP IP; fournir ZI pendant le fonctionnement et pendant le déclassement. L'article 14.3 de l'ordonnance parle de la nécessité de créer un modèle de menace et suggère d'utiliser la FSTEC Russia Data Security Threat Data Bank ( BDU ), dont nous avons parlé dans une publication précédente . Pour GOSIS, une classe de sécurité est établie (du 1er au maximum au 3e minimum), qui dépend du niveau de signification des informations traitées et de l'échelle du système, où le niveau de signification dépend du degré d'endommagement possible des propriétés de sécurité (confidentialité, intégrité, disponibilité) des informations traitées dans le GISIS , et l'échelle du système peut être fédérale, régionale ou objet.

Dans le GISIS de la 1ère classe de protection, la protection doit être assurée contre les actions des contrevenants à haut potentiel, dans le GISIS de la 2e classe - contre les contrevenants avec un potentiel non inférieur à la base renforcée (dans le NOS, leur potentiel est appelé "moyen", et dans le projet de méthodologie pour déterminer les menaces à la sécurité). informations en SI - «base augmentée»), en GISIS 3e classe - provenant d'intrus dont le potentiel n'est pas inférieur à la base (dans la NLD, ce potentiel est appelé «faible»). Étant donné que pour garantir l'IS dans le GosIS, il est autorisé d'utiliser uniquement des SZI certifiés, le paragraphe 26 de l'ordonnance n ° 17 décrit les classes acceptables de SZI, SVT et les niveaux de contrôle de l'absence de NDV, selon la classe de GISIS. Dans la clause 27, une connexion est établie entre la classe de sécurité GISIS et les niveaux de sécurité de PD traités dans celle-ci: la conformité aux exigences des mesures ZI pour GISIS de 1ère classe est assurée par 1, 2, 3 et 4 niveaux de sécurité de PD, pour la 2e classe - 2, 3 et 4 échographies, pour la 3e classe - échographies 3 et 4.

Les mesures de sécurité de l'information au niveau du système d'information de l'État coïncident presque complètement avec les mesures de l'ordonnance n ° 21 décrites ci-dessus, sauf en l'absence d'indications de détection d'incident et de gestion de la configuration.Ces actions sont réalisées après la construction du système de sécurité, au stade de l'exploitation du système d'information d'État certifié, ainsi que la gestion du système de sécurité de l'information et le contrôle de la garantie du niveau de sécurité de l'information dans le système d'information d'État.

En plus de l'ordonnance n ° 17, lors de la mise en œuvre des mesures ZI appropriées, on peut également être guidé par le document méthodologique du FSTEC de Russie « Mesures de protection de l'information dans les systèmes d'information de l'État», qui détaille la composition et le contenu de toutes les mesures.

Ordonnance n ° 378 du Service fédéral de sécurité de la Fédération de Russieétablit des normes pour l'utilisation de l'une des six classes de systèmes de protection des informations cryptographiques pour la protection des données personnelles: KS1 (minimum), KS2, KS3, KV1, KV2, KA1 (maximum). La classe de protection des informations cryptographiques est sélectionnée en fonction du niveau de sécurité requis de PD et du type de menaces réelles. Malgré le fait que les classes de protection des informations cryptographiques neutralisent les menaces provenant d'un certain type d'intrus avec un certain niveau de potentiel (il n'y a que 6 types de contrevenants, de H1 à H6, ils sont définis dans le modèle du contrevenant), cet arrêté lie la classe de protection des informations cryptographiques au niveau de sécurité des données personnelles , et non aux possibilités des attaquants. En plus de décrire les classes requises de protection des informations cryptographiques, ce document contient des exigences administratives pour l'opérateur, telles que l'organisation de l'accès aux locaux (sécurité physique - installation de serrures, barres), la sécurité des supports PD, l'approbation de la liste des personnes,qui ont accès à PD.

Normes internationales pour la protection des données personnelles

Si en Russie les litiges concernant l'application de la 152- et les règlements pertinents ne cessent pas, alors dans l'Union européenne, les 3 dernières années ont travaillé à la mise en œuvre et au respect du RGPD ( Règlement général sur la protection des données , Règlement général sur la protection des données ). Ce document, depuis son adoption en avril 2016 jusqu'à la date d'entrée en vigueur le 25 mai 2018, ainsi qu'à l'heure actuelle, soulève de nombreuses questions et contestations, car il concerne un grand nombre de citoyens et d'entreprises à travers le monde.

Le prédécesseur du RGPD dans l'Union européenne était la Directive du Parlement européen et du Conseil de l'Union européenne 95/46 / CE du 24 octobre 1995 «Sur la protection des personnes physiques dans le traitement des données personnelles et sur la libre circulation de ces données». Après l'adoption du RGPD, les droits des sujets PD se sont considérablement étendus, et les obligations des opérateurs et les sanctions en cas de non-respect ont considérablement augmenté.

La définition de la PD dans le RGPD lui-même ne diffère pas beaucoup de ce qui a été adopté dans la Convention du Conseil de l'Europe et d'une définition similaire dans le 152-FZ national: les données personnelles dans le cadre du RGPD signifient toute information relative à une personne identifiée ou identifiable (personne concernée). Personne identifiable désigne une personne qui peut être identifiée, directement ou indirectement, en particulier à l'aide d'identifiants tels que le nom, le numéro d'identification, les données de localisation, l'identifiant en ligne ou en utilisant un ou plusieurs facteurs spécifiques aux caractéristiques physiques, physiologiques, le statut génétique, mental, économique, culturel ou social de cette personne. Ainsi, la définition de PD comprend non seulement les caractéristiques habituelles, mais aussi l'adresse IP,identifiants de cookies définis par l'utilisateur, données de géolocalisation de l'utilisateur et autres attributs techniques.

Un nouveau terme important dans le RGPD est le «profilage», c'est-à-dire toute forme de traitement automatisé de données personnelles afin d'évaluer certains aspects d'une personne, en particulier pour analyser ou prédire la capacité de travail d'une personne, sa situation matérielle, sa santé, ses préférences personnelles, ses intérêts , comportement, emplacement ou mouvement.

Comme dans 152-FZ, le RGPD utilise des concepts tels que «traitement des données personnelles», «processeur», «opérateur» (contrôleur anglais), «traitement transfrontalier», «pseudonymisation» (dépersonnalisation) et des termes universels similaires.

Le champ d'application des règles du RGPD s'applique à tous les opérateurs qui traitent les données personnelles des citoyens de l'UE et d'autres citoyens situés dans l'UE. En outre, l'opérateur peut ne pas avoir de bureau de représentation dans l'UE et ses systèmes automatisés peuvent également être situés en dehors de l'UE. Exemples concernant des opérateurs de la Fédération de Russie:

• une banque russe doit se conformer aux normes GDPR lors du traitement des données de ses clients, citoyens de la Fédération de Russie, lorsqu'ils sont dans l'UE;
• une boutique en ligne avec enregistrement dans la Fédération de Russie qui fournit des services / produits, y compris aux citoyens de l'UE, utilise des identifiants de cookies et / ou des analyses de comportement des utilisateurs sur son site Web avec une interface dans les langues de l'UE, est également soumise aux normes du RGPD;
• une filiale d'une société russe opérant dans l'UE.

Les normes GDPR sont basées sur six principes de base:

• , — , (.. privacy policy);
• — , , ;
• — , ;
• — , ;
• — ;
• — , , , , , .

Le document ne fournit pas aux opérateurs des instructions de protection détaillées, leur laissant la liberté de choisir les mesures et les techniques. Par exemple, vous devez, si possible, crypter PD pendant le stockage, la transmission et le traitement, ainsi qu'utiliser des algorithmes de pseudonymisation. Cela devrait réduire les dommages potentiels en cas de fuite, mais le RGPD ne prévoit pas de conditions spécifiques pour l'application de ces mesures de protection. En cela, l'approche européenne diffère de l'approche russe, dans laquelle les autorités étatiques réglementent clairement les mesures de protection et les conditions de leur application, n'espérant pas la prudence des opérateurs - et, il faut le regretter, elle est très justifiée.

En plus des principes décrits ci-dessus, les normes suivantes sont également présentes dans le RGPD:

• , , , .. , , , ( );
• (.. Data Protection Impact Assessment);
• - , , , ;
• (privacy by design, .. ) (privacy by default, .. );
• — , ;
• (Data Privacy Officer) , :
  
  
  • / ( , , , , , , );
• 72- (supervisory authority, Data Protection Authority — ) GDPR- , .. , , , .

En juillet 2016, l'accord de protection de la vie privée EU-US Privacy Shield a été introduit . Cet accord est un cadre qui définit les approches des entreprises commerciales pour un échange sécurisé de données personnelles entre l'Union européenne et l'Amérique du Nord. L'objectif d'un tel accord est de mettre en conformité les normes du RGPD pour la protection des PD dans l'UE et les méthodes pour assurer leur sécurité aux États-Unis. Le prédécesseur de ce cadre était l'accord sur les principes de confidentialité de Safe Harbor .(«Safe Harbor Principles for the Protection of Personal Data»), qui était en vigueur de 2000 à 2015 et a confirmé que les méthodes pour assurer la sécurité des données personnelles aux États-Unis sont conformes à la Directive européenne 95/46 / CE «Sur la protection des personnes dans le traitement des données personnelles et sur la gratuité traitement de ces données. " L'accord spécifié a été critiqué en raison des faits révélés d'un accès permanent et délibéré à la DP aux citoyens européens par le gouvernement américain, en particulier la National Security Agency. Cela a été considéré par la Cour européenne, qui a statué en Octobre ici à 2015 la décisionl'invalidité des principes de la sphère de sécurité. Ainsi, à l'heure actuelle, les entreprises américaines souhaitant traiter des données personnelles de citoyens de l'UE doivent se conformer au bouclier de protection des données UE-États-Unis. La confirmation de la conformité est effectuée sous la forme d'une auto-certification volontaire auprès du département américain du Commerce. L'entreprise exploitante doit se conformer aux exigences de base suivantes , confirmant le niveau de protection adéquat de sa DP pour les citoyens de l'UE:

• informer les sujets sur le traitement de leurs données personnelles, ce qui comprend une indication de la protection des données personnelles conformément au bouclier de protection des données dans la politique de l'entreprise pour la protection des données personnelles (Politique de confidentialité), la notification des données personnelles de leurs droits et un rappel des obligations de l'entreprise elle-même en cas de réception d'une demande légitime de fourniture de DP par les autorités de l'État;
• , 45 , , , Data Protection Authorities ( );
• , Privacy Shield;
• , ;
• , :
  
  
  1. , , — (.. Notice and Choice Principles), ( , , );
  2. , , .. , — , , , — ;
• Privacy Shield;
• , Privacy Shield.
• , , Privacy Shield, , , 152-.

1. Les amendes infligées pour violation de la législation russe sur la protection des données personnelles sont régies par l'art. 13.11 Code administratif, qui prévoit sept infractions introduites en juillet 2017. Par exemple, la partie 1 de l'article 13.11 du Code administratif de la Fédération de Russie punit les opérateurs pour le traitement de données à caractère personnel dans des cas non prévus par la loi, ou pour des traitements incompatibles avec le but de la collecte de données à caractère personnel, à hauteur de 50 000 roubles. Partie 2 de l'art. 13.11 du Code administratif de la Fédération de Russie prévoit une sanction pour le traitement de PD sans le consentement du sujet ou pour des violations dans le processus d'obtention de ce consentement, d'un montant pouvant aller jusqu'à 75 mille roubles. En outre, le non-respect des règles relatives à la localisation des bases de données PD sur le territoire de la Fédération de Russie constitue une violation de l'article 1242-FZ et de l'article 15.5 de 149-FZ, qui menace de bloquer l'accès à la ressource Web de l'entreprise contrevenante sur la base d'une décision de justice.

Il convient de garder à l'esprit qu'une amende peut être infligée pour chaque fait de violation des normes législatives. En outre, un projet de loi a récemment été soumis à la Douma d'État , qui implique l'introduction de deux nouvelles infractions dans le domaine de la protection contre la MP - les députés proposent d'imposer des millions d'amendes pour non-respect de la 242-FZ, à savoir pour avoir refusé de localiser les bases de données PD des Russes sur le territoire de la Fédération de Russie, ainsi que pour des violations répétées des exigences de localisation.

2. Les amendes infligées par les régulateurs européens pour non-respect du RGPD en cas de violations mineures s'élèvent à 10 millions d'euros ou 2% du chiffre d'affaires annuel global de la société, et dans le cas de violations importantes, jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel global. Dans le même temps, des statistiques décevantes ont déjà été résumées sur l'année d'exigences du RGPD: plus de 200 000 contrôles ont été effectués contre les opérateurs, et le montant total des amendes est supérieur à 56 millions d'euros, tandis que 50 millions d'euros sont la somme de l'amende infligée par le géant de l'Internet de Google par le régulateur français zones de protection

3. Les amendes infligées par la Federal Trade Commission des États-Unis aux entreprises qui ne respectent pas les principes du bouclier de protection des données s'élèvent à 40 000 dollars pour une violation, plus 40 000 dollars pour chaque jour suivant de traitement illégal de données personnelles après la découverte de violations.

Procédure d'inspection par Roskomnadzor

Roskomnadzor, l'organisme national autorisé par l'État pour la protection des droits des sujets PD, a le droit d'inspecter les entités juridiques et les entrepreneurs individuels pour vérifier leur conformité avec les dispositions de la législation russe dans le domaine de la protection PD. Dans le même temps, les inspections sont effectuées à la fois par le bureau central (le plan d'inspection et les rapports d'activité sont publiés sur le site officiel ) et par les départements des districts fédéraux (par exemple, le site Web du district fédéral central de Roskomnadzor a publié des plans d'activité et des rapports pour les 10 dernières années). Les inspections de Roskomnadzor sont réglementées par le décret n ° 144 du gouvernement de la Fédération de Russiedu 13 février 2019 «Sur l'approbation des règles d'organisation et de mise en œuvre du contrôle et de la surveillance par l'État du traitement des données personnelles». Conformément à cette résolution, les inspections sont à la fois programmées (la pratique a montré que le régulateur vérifie les groupes de sociétés unis par un attribut commun, par exemple par domaine d'activité), ainsi que non planifiées: elles peuvent être effectuées au nom du président, du gouvernement de la Fédération de Russie ou par décision Le chef de Roskomnadzor dans le cadre de l'audit du procureur, en cas de non-respect du règlement précédent du régulateur, ainsi qu'en cas de plaintes de sujets PD. Dans ce cas, les inspections imprévues ne peuvent être effectuées que sur place et les inspections programmées peuvent être à la fois documentaires et sur site. Lors de la vérification, le régulateur examine les documents réglementaires internes sur le traitement PD, inspecte les emplacements de stockage PD,nécessite de démontrer le traitement de la DP dans les systèmes d'information. En règle générale, en cas de manquements, le régulateur ordonne l'élimination des violations dans les délais et amendes prévus pour le manque de base légale pour le traitement des données personnelles (par exemple, pour le manque de faits documentés de consentement par des particuliers), pour le non-respect des objectifs de traitement et du volume de données personnelles, pour le manque de nécessaire notifications et politiques sur le site Web de l'opérateur, sous réserve de la collecte de PD sur celui-ci.pour l’absence des notifications et des politiques nécessaires sur le site Web de l’opérateur, sous réserve de la collecte de PD sur celui-ci.pour l’absence des notifications et des politiques nécessaires sur le site Web de l’opérateur, sous réserve de la collecte de PD sur celui-ci.