Полномочия лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных в организации
Материал подготовлен с использованием правовых актов по состоянию на 6 сентября 2023 г.
Анализируются нормативные положения и рекомендации Национального центра защиты персональных данных об обязанностях лиц, назначенных в организациях ответственными за осуществление внутреннего контроля за обработкой персональных данных. Приводятся рекомендации по закреплению полномочий таких лиц, формулированию их обязанностей и прав, обеспечению независимости внутреннего контроля.
ПРАВОВОЕ РЕГУЛИРОВАНИЕ
● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)
● выпуск 1 Единого квалификационного справочника должностей служащих (ЕКСД), утв. постановлением Минтруда от 30.12.1999 № 159 (далее – Выпуск 1 ЕКСД)
● разъяснение Национального центра защиты персональных данных от 14.02.2022 «Алгоритм приведения деятельности операторов, уполномоченных лиц в соответствие с требованиями Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных»» (далее – Алгоритм НЦЗПД)
● комментарий НЦЗПД от 22.02.2023 «Постатейный комментарий к закону Республики Беларусь «О защите персональных данных»» (далее – Комментарий к Закону № 99-З)
Нормативные положения и рекомендации НЦЗПД об обязанностях лиц, ответственных за осуществление внутреннего контроля за обработкой персональных данных
В п. 3 ст. 17 Закона № 99-З определены меры, которые должны быть приняты в каждой организации (как государственной, так и частной формы собственности) по обеспечению защиты персональных данных. Первая мера в перечне обязательных – назначение оператором (уполномоченным лицом), являющимся госорганом, юрлицом Республики Беларусь, иной организацией, структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных.
Из возможных вариантов определения ответственного за осуществление внутреннего контроля за обработкой персональных данных в абсолютном большинстве случаев применяется возложение такой дополнительной функции на одного из работников организации.
Назначение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных (далее – лицо, ответственное за осуществление внутреннего контроля), ставит задачу грамотного определения его полномочий.
После вступления в силу Закона № 99-З Национальный центр защиты персональных данных (далее – НЦЗПД) разработал и в декабре 2021 г. разместил на своем сайте Алгоритм НЦЗПД, содержащий рекомендации по приведению деятельности операторов и уполномоченных лиц в соответствие с требованиями Закона № 99-З.
Пункт 1 Алгоритма НЦЗПД называется «Назначение структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных, определение его должностных обязанностей, утверждение положения об организации внутреннего контроля за обработкой персональных данных». В Алгоритме НЦЗПД были определены основные функции такого лица и варианты его назначения.
В сентябре 2022 г. НЦЗПД начал обучение лиц, ответственных за осуществление внутреннего контроля, по образовательной программе повышения квалификации руководящих работников и специалистов.
В январе 2023 г. опубликовано постановление Минтруда и соцзащиты от 31.10.2022 № 62 «Об изменении постановлений Министерства труда Республики Беларусь от 30 декабря 1999 г. № 159 и Министерства труда и социальной защиты Республики Беларусь от 2 января 2012 г. № 1», в соответствии с которым раздел II «Специалисты» Выпуска 1 ЕКСД дополнен квалификационной характеристикой должности служащего «Специалист по внутреннему контролю за обработкой персональных данных».
Определены выполняемые таким специалистом функции – организационные, консультативные, контрольные, информационно-образовательные и иные, связанные с обеспечением комплексной работы по соблюдению законодательства о персональных данных, конкретизированы его должностные обязанности, установлено, что должен знать такой специалист, сформулированы предъявляемые к нему квалификационные требования.
Пример 1.
Примерная должностная инструкция специалисту по внутреннему контролю за обработкой персональных данных
Как видно, перечислены только функции и определены соответствующие им обязанности, как это сделано в Выпуске 1 ЕКСД по отношению и к другим должностям. О правах специалиста по внутреннему контролю за обработкой персональных данных, которые необходимы для реализации им своих обязанностей, не говорится.
В феврале 2023 г. опубликован подготовленный авторским коллективом НЦЗПД Комментарий к Закону № 99-З. В комментарии к ст. 17 Закона № 99-З отмечено:
● основная цель ответственного за осуществление внутреннего контроля за обработкой персональных данных – «предотвращение возможных нарушений со стороны оператора (уполномоченного лица). Ведь в большинстве случаев допускаемые нарушения являются не столько следствием умысла, сколько ошибочного представления о допустимых пределах обработки персональных данных»;
● при осуществлении НЦЗПД контрольных мероприятий «учитывается эффективность принимаемых мер. В этой связи формальный подход к их принятию и исполнению является недопустимым (например, назначение лица, ответственного за осуществление внутреннего контроля, без реального осуществления такого контроля)».
Закрепление полномочий лица, ответственного за осуществление внутреннего контроля
Надлежащее выполнение обязанностей и реальный внутренний контроль за обработкой персональных данных возможны только при условии предоставления лицу, ответственному за осуществление внутреннего контроля, соответствующего объема прав, а также определения порядка его осуществления. Иначе и внутреннего контроля за обработкой персональных данных не будет, и потребовать его обеспечить руководитель организации не сможет.
Поэтому надо определить именно полномочия лица, ответственного за осуществление внутреннего контроля, – и его обязанности, и права, а также порядок организации и осуществления внутреннего контроля, проведения проверок, действий в конкретных служебных ситуациях.
Определить должностные обязанности лица, на которого возложены функции по осуществлению внутреннего контроля, можно путем дополнения его должностной инструкции. Вместе с тем должностные обязанности работников можно закреплять не только в должностных инструкциях, но и в ЛПА организации, которые также являются обязательными для работников.
Кроме того, подробно все обязанности лица, ответственного за осуществление внутреннего контроля, а тем более его права, только в должностной инструкции изложить не получится, т.к.:
● перечень обязанностей по осуществлению внутреннего контроля должен быть подробным и конкретным, поэтому их перечисление займет большой объем текста должностной инструкции по сравнению с обязанностями по основной трудовой функцией работника;
● подробное изложение прав в должностной инструкции не принято, а без детализации прав выполнение обязанностей будет невозможно.
Надо также учитывать, что должностная инструкция распространяется только на конкретного работника, назначенного ответственным за осуществление внутреннего контроля, и не имеет отношения к определению обязанностей в этой части остальных работников организации.
Поэтому целесообразнее определить обязанности и права лица, ответственного за осуществление внутреннего контроля, в отдельном ЛПА – в Положении об организации внутреннего контроля за обработкой персональных данных (далее – Положение).
При формулировании его полномочий следует исходить из содержания функций внутреннего контроля за обработкой персональных данных, раскрытых в Выпуске 1 ЕКСД и Комментарии к Закону № 99-З (ст. 17 Закона № 99-З).
Если определить полномочия такого лица в Положении, то его должностную инструкцию можно будет незначительно дополнить путем отсылки к этому ЛПА (либо указать это в приказе о назначении лица, ответственного за осуществление внутреннего контроля).
Пример 2.
Образец Положения об организации внутреннего контроля за обработкой персональных данных (фрагмент)
|
… ГЛАВА 3 Полномочия лица, ответственного за осуществление внутреннего контроля в организации 17. Общее руководство внутренним контролем за обработкой персональных данных в организации (далее – внутренний контроль) осуществляет директор. Внутренний контроль непосредственно осуществляет работник организации, который назначен или на которого дополнительно возложены дополнительные функции по осуществлению внутреннего контроля приказом директора (далее – лицо, ответственное за осуществление внутреннего контроля). 19. Лицо, ответственное за осуществление внутреннего контроля, выполняет организационные, консультативные, контрольные, информационно-образовательные и иные функции, связанные с обеспечением комплексной работы по соблюдению законодательства о персональных данных, и для выполнения этих функций обязано: 19.1. знать нормативные правовые акты, методические материалы по вопросам, связанным с обработкой персональных данных, общие требования к обработке персональных данных, правовые основания обработки персональных данных; порядок работы с заявлениями и жалобами субъектов персональных данных; правовые и организационные меры по обеспечению защиты персональных данных; основы технической и криптографической защиты информации в информационных системах, современные средства коммуникации и связи, компьютерной техники; установленные настоящим Положением свои полномочия, порядок осуществления внутреннего контроля, назначения и проведения проверок, служебных расследований, рассмотрения жалоб и иных обращений; 19.2. изучать и анализировать процессы обработки персональных данных, определять риски, связанные с этими процессами, и предлагать директору меры по их минимизации; 19.3. вырабатывать и предлагать к реализации правовые и организационные меры по обеспечению защиты персональных данных с учетом требований Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З) и иных актов законодательства; 19.4. организовывать разработку, участвовать в разработке и поддержании в актуальном состоянии Политики организации в отношении обработки персональных данных (далее – Политика), настоящего Положения и иных ЛПА по вопросам защиты и обработки персональных данных, а также реестра обработки персональных данных, оценивать полноту и корректность внесения в них информации; 19.5. принимать участие в определении мер технической и криптографической защиты персональных данных и взаимодействовать с работниками, обеспечивающими информационную безопасность организации, по вопросам их осуществления; 19.6. организовать и контролировать действия по предупреждению, предотвращению, выявлению и пресечению нарушений обязательных требований о защите персональных данных, по оперативному реагированию на такие нарушения, локализации и минимизации их последствий (участвовать в их реализации); 19.7. осуществлять контроль за: порядком обработки работниками персональных данных; ознакомлением работников с положениями законодательства о персональных данных, в том числе с требованиями по защите персональных данных, Политикой, ЛПА по вопросам защиты персональных данных (участвовать в ознакомлении); своевременным внесением работниками изменений в персональные данные, которые являются неполными, устаревшими или неточными, прекращением обработки персональных данных, а также осуществлением их удаления или блокирования при отсутствии оснований для обработки персональных данных, предусмотренных законодательными актами; порядком реализации прав субъектов персональных данных, предусмотренных статьями 10–13 Закона № 99-З; порядком получения согласий на обработку персональных данных, отказов в даче согласия; учетом согласий на обработку персональных данных, отказов в даче согласия; учетом юридических и физических лиц, которым были предоставлены персональные данные; порядком и учетом уничтожения и удаления персональных данных; 19.8. давать разъяснения и консультировать директора, других работников по вопросам исполнения обязательных требований о защите персональных данных; 19.9. согласовывать ЛПА и договоры организации на предмет их соответствия законодательству о персональных данных; 19.10. организовывать обучение и проверку знаний работников, непосредственно осуществляющих обработку персональных данных, по вопросам исполнения обязательных требований о защите персональных данных, предлагать оптимальные формы обучения работников, исходя из их трудовых функций (участвовать в обучении и проверке знаний); 19.11. проводить плановые и внеплановые проверки, текущий мониторинг выполнения обязательных требований о защите персональных данных, незамедлительно реагировать на выявленные нарушения, докладывать о них директору для оперативного принятия мер реагирования и предупреждения их возникновения; 19.12. проводить служебные расследования по фактам нарушений обязательных требований о защите персональных данных (участвовать в их проведении), принимать меры (вносить предложения) по привлечению к установленной ответственности работников, допустивших такие нарушения; 19.13. контролировать рассмотрение и разрешение заявлений субъектов персональных данных о реализации их прав (участвовать в их рассмотрении и разрешении); 19.14. контролировать оперативное разрешение конфликтных ситуаций и предотвращение жалоб при обработке персональных данных (участвовать в этом); 19.15. контролировать рассмотрение и разрешение жалоб и иных обращений субъектов персональных данных и представителей юрлиц по вопросам обработки персональных данных, принимать необходимые меры по восстановлению нарушенных прав субъектов персональных данных (участвовать в их рассмотрении и разрешении); 19.16. участвовать в осуществлении организацией взаимодействия с Национальным центром защиты персональных данных (далее – НЦЗПД) в части направления запросов о даче разъяснений, уведомления НЦЗПД о нарушениях систем защиты персональных данных, а также организации исполнения (участия в исполнении) требований НЦЗПД об устранении нарушений законодательства о персональных данных; 19.17. обеспечивать сохранность документов, образующихся при осуществлении внутреннего контроля, проведении проверок, служебных расследований, рассмотрении жалоб и иных обращений, их оформление и передачу их в архив; 19.18. выполнять иные обязанности в соответствии с решениями, поручениями и указаниями директора по вопросам осуществления внутреннего контроля. 20. Для выполнения своих обязанностей лицо, ответственное за осуществление внутреннего контроля, вправе: 20.1. принимать в пределах компетенции решения по вопросам, относящимся к исполнению обязанностей по осуществлению внутреннего контроля; 20.2. вносить на рассмотрение директора предложения по совершенствованию порядка обработки персональных данных, а также деятельности по осуществлению внутреннего контроля; 20.3. получать от директора содействие в исполнении своих обязанностей по осуществлению внутреннего контроля и реализации прав; 20.4. при осуществлении внутреннего контроля: запрашивать и незамедлительно получать от работников документы и информацию, необходимые для исполнения обязанностей по осуществлению внутреннего контроля и определения законности действий (бездействия) работников по обработке персональных данных; требовать от работников дачи объяснений по вопросам обработки персональных данных; иметь (получать) доступ к информационным ресурсам (системам), содержащим персональные данные, и программно-техническим средствам, с помощью которых осуществляется обработка персональных данных; 20.5. требовать от работников: изменения, блокирования или удаления недостоверных или полученных незаконным путем персональных данных, устранения иных нарушений обязательных требований о защите персональных данных; прекращения обработки персональных данных, если иными способами невозможно обеспечить защиту прав субъектов персональных данных, до устранения нарушений обязательных требований о защите персональных данных; 20.6. ходатайствовать перед директором о привлечении к выполнению функций внутреннего контроля технических специалистов организации, в том числе в области информационной безопасности, других работников; 20.7. повышать свою квалификацию в установленном законодательством порядке. … |
Дополнительные положения для реализации полномочий лица, ответственного за осуществление внутреннего контроля
В Комментарии к Закону № 99-З обращается внимание на обеспечение независимости внутреннего контроля, для чего важно установить непосредственную подчиненность такого лица руководителю организации или его заместителю.
Чтобы избежать конфликтных ситуаций с руководством организации (заместителями директора) и структурных подразделений, а также с работниками, можно рекомендовать предусмотреть в Положении следующее:
● закрепить норму о том, что «лицо, ответственное за осуществление внутреннего контроля, выполняет поручения, распоряжения и указания по вопросам осуществления внутреннего контроля только директора. Не допускается вмешательство в деятельность лица, ответственного за осуществление внутреннего контроля, других работников независимо от занимаемой ими должности»;
● определить обязанности работников для обеспечения эффективной реализации внутреннего контроля за обработкой персональных данных;
● указать, что «назначение и деятельность лица, ответственного за осуществление внутреннего контроля, не освобождают работников от выполнения своих обязанностей при обработке персональных данных и обязательных требований по защите персональных данных, а также от ответственности, предусмотренной законодательными актами, за допущенные ими нарушения».
