Новое положение о защите данных в Перу: что изменилось в законодательстве?
Перу Телеграм-канал "Новости Перу"
Правительство Перу опубликовало Верховный декрет № 016-2024-JUS, утверждающий новое положение Закона о защите персональных данных (Закон № 29733). Это постановление, которое заменит постановление, действующее с 2013 года, вступит в силу 31 марта 2025 года. Цель обновления - адаптация к новым технологическим вызовам и усиление защиты персональных данных перуанских граждан: «Положение устарело в условиях технологического и цифрового прогресса, а также изменений в международных нормах. Необходимо было обновить нормативную базу по персональным данным», - заявил газете La República Джанкарло Баэлья, партнер Hernández Cía. Помимо обновления предыдущих положений, новый регламент включает в себя ряд мер, направленных на обеспечение большей прозрачности при обработке данных, повышение ответственности организаций и предоставление больших прав владельцам персональных данных. Какие изменения внесены в регламент? Новый регламент возник в результате публикации, которая способствовала общественным дебатам по этому вопросу, сказал Джанкарло Баэлья. В этом контексте в постановлении учтены опасения, высказанные в ходе дискуссии, и предпринята попытка, насколько это возможно, достичь консенсуса по предлагаемым изменениям. «Новое постановление направлено на устранение пробелов в регулировании путем включения новых концепций и разъяснений, что способствует большей предсказуемости в его применении», - сказал Баэлья, Среди основных изменений, внесенных в постановление, - расширение сферы его применения, распространяющее его действие на организации, которые, хотя и не созданы в стране, используют средства, расположенные на территории Перу, для обработки персональных данных. Кроме того, он устанавливает новые обязательства для лиц, ответственных за банки данных, такие как назначение представителя в Национальном органе по защите персональных данных, если они не учреждены в стране. Одним из наиболее важных аспектов нового постановления является включение права на переносимость данных, которое позволит субъектам данных передавать свои персональные данные в другой банк данных в структурированном формате при соблюдении определенных требований. Кроме того, расширяется обязанность информировать субъектов данных о важных аспектах обработки их данных, таких как наличие автоматизированных решений и профилирование, что повышает прозрачность процесса. Как это повышает безопасность обработки данных? Постановление вводит принцип проактивной ответственности, который обязывает субъектов принимать технические, правовые и организационные меры для обеспечения соответствия постановлению. Он также включает в себя обязательство уведомлять Национальный орган по защите персональных данных об инцидентах безопасности в течение 48 часов с момента их возникновения, если они затрагивают конфиденциальность персональных данных. Он также устанавливает необходимость назначения сотрудника по персональным данным в организациях, осуществляющих определенные виды обработки, который будет отвечать за консультирование и обеспечение соблюдения законодательных положений о защите данных, Достаточно ли нового положения о защите данных в Перу? По словам Джанкарло Баэлла, что касается спорных аспектов, то можно отметить, что новое положение, хотя и направлено на развитие аспектов, предусмотренных законом, вводит обязательства, которые не имеют прямого юридического обоснования. Например, обязательство иметь сотрудника по соблюдению нормативных требований или обязательство уведомлять об инцидентах, связанных с безопасностью, прямо не закреплены в законе. Аналогичным образом, создание права на переносимость с помощью этого постановления не имеет прочной правовой основы. Отсутствие правовой основы может привести к тому, что в будущем эти аспекты будут оспариваться теми, кого они касаются», - сказал Баэлла. Баэлла также отметил, что постановление устанавливает общий срок выполнения требований - 120 календарных дней, за некоторыми исключениями. Однако многие компании могут посчитать этот срок недостаточным для соблюдения новых положений. Более того, вводя новые обязательства и нагрузки для контролеров данных, таких как компании, было бы идеально провести анализ качества регулирования, оценив выгоды и затраты, связанные с новым регулированием. «Однако на практике такой анализ представлен не был», - сказал он,