Организация внутреннего контроля за обработкой персональных данных

Материал подготовлен с использованием правовых актов по состоянию на 31 января 2024 г.

Раскрываются нормативные правовые предписания, а также разъяснения Национального центра защиты персональных данных об организации и осуществлении внутреннего контроля за обработкой персональных данных. Даются рекомендации по организации внутреннего контроля.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Кодекс об административных правонарушениях (далее – КоАП)

● Уголовный кодекс (далее – УК)

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

● Указ Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных» (далее – Указ № 422)

● приказ Оперативно-аналитического центра при Президенте Республики Беларусь от 12.11.2021 № 194 «Об обучении по вопросам защиты персональных данных» (в ред. приказа Оперативно-аналитического центра при Президенте Республики Беларусь от 23.11.2023 № 218) (далее – Приказ № 194)

● разъяснение Национального центра защиты персональных данных от 14.02.2022 «Алгоритм приведения деятельности операторов, уполномоченных лиц в соответствие с требованиями Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее – Алгоритм НЦЗПД)

● комментарий НЦЗПД от 22.02.2023 «Постатейный комментарий к закону Республики Беларусь «О защите персональных данных» (далее – Комментарий к Закону № 99-З)

Нормативные положения об организации внутреннего контроля за обработкой персональных данных

Назначение лица (структурного подразделения), ответственного за осуществление внутреннего контроля за обработкой персональных данных, – это обязательная мера, которая в соответствии с абз. 1 п. 3 ст. 17 Закона № 99-З должна быть принята в любой организации (как государственной, так и частной формы собственности).

В Комментарии к Закону № 99-З сказано, что основная цель ответственного за осуществление внутреннего контроля за обработкой персональных данных – предотвращение возможных нарушений со стороны оператора (уполномоченного лица). Ведь в большинстве случаев допускаемые нарушения являются не столько следствием умысла, сколько ошибочного представления о допустимых пределах обработки персональных данных.

При осуществлении Национальным центром защиты персональных данных (далее – НЦЗПД) контрольных мероприятий учитывается эффективность принимаемых мер. В этой связи формальный подход к их принятию и исполнению является недопустимым (например, назначение лица, ответственного за осуществление внутреннего контроля, без реального осуществления такого контроля).

С учетом положений законодательства о защите персональных данных и рекомендаций, изложенных в Алгоритме НЦЗПД и Комментарии НЦЗПД, для реализации требований, изложенных в абз. 1 п. 3 ст. 17 Закона № 99-З, необходимо:

1) назначить лицо (структурное подразделение), ответственное за осуществление внутреннего контроля за обработкой персональных данных;

2) провести обучение такого лица (работников структурного подразделения);

3) принять ЛПА – Положение об организации внутреннего контроля за обработкой персональных данных, в котором определить цели внутреннего контроля, полномочия лица, ответственного за осуществление внутреннего контроля, порядок внутреннего контроля и др.;

4) принять организационные меры по осуществлению внутреннего контроля;

5) постоянно его реализовывать на системной основе.

Варианты назначения лица (структурного подразделения), ответственного за осуществление внутреннего контроля за обработкой персональных данных

Варианты:

1) создание в организации отдельного структурного подразделения;

2) возложение дополнительных функций на имеющееся в штате структурное подразделение;

3) введение в штатное расписание должности «Специалист по внутреннему контролю за обработкой персональных данных» (освобожденный работник, причем должность должна именоваться именно так, как определено в выпуске 1 Единого квалификационного справочника должностей служащих (ЕКСД) «Должности служащих для всех видов деятельности», утв. постановлением Минтруда от 30.12.1999 № 159;

4) возложение дополнительных функций на одного работника организации;

5) возложение дополнительных функций на нескольких работников.

Нецелесообразно:

● возложение функций внутреннего контроля за обработкой персональных данных только на специалиста по информационной безопасности (причина в том, что он не будет компетентным в части большинства функций внутреннего контроля за обработкой персональных данных);

● назначение ответственных за осуществление внутреннего контроля за обработкой персональных данных в каждом структурном подразделении (причина в отсутствии единого подхода к внутреннему контролю, распылении контроля, конфликте интересов, невозможности обеспечить независимость контроля, что обусловлено подчиненностью руководителю подразделения и взаимоотношениями с коллегами по подразделению);

● назначение ответственным за осуществление внутреннего контроля руководителя организации либо одного из его заместителей (причина в конфликте интересов, невозможности выполнения функций внутреннего контроля по причине загруженности своими непосредственными обязанностями);

● возложение функций внутреннего контроля за обработкой персональных данных на работника, который сам непосредственно обрабатывает большие объемы персональных данных (причина в конфликте интересов).

Только крупные организации могут себе позволить создать отдельное структурное подразделение, ответственное за осуществление внутреннего контроля за обработкой персональных данных (и то не всегда это делается). Для этого редко вводится новая штатная единица.

Как правило, в организациях чаще всего происходит возложение дополнительных функций на одного работника организации, когда наряду с его основной трудовой функцией ему вменяются еще и обязанности по осуществлению внутреннего контроля за обработкой персональных данных.

Важно обратить внимание на правильное наименование должности/формулировку возложения обязанностей. Встречаются ошибочные варианты, например:

● лицо, ответственное за обработку персональных данных;

● лицо, ответственное за защиту персональных данных.

Ответственными за законную обработку персональных данных и их защиту являются все работники организации, чья трудовая функция связана с обработкой персональных данных.

Закон № 99-З предусматривает назначение лица, ответственного именно за осуществление внутреннего контроля за обработкой персональных данных.

Поэтому назначение лица, ответственного за обработку персональных данных или за их защиту, говорит о том, что в организации не принята обязательная мера, определенная в абз. 1 п. 3 ст. 17 Закона № 99-З, в связи с чем есть все основания усмотреть признаки административного правонарушения – несоблюдение мер обеспечения защиты персональных данных физических лиц, предусмотренного ч. 4 ст. 23.7 КоАП.

С учетом относительной новизны законодательства о защите персональных данных и сложности реализации всех функций внутреннего контроля понятно стремление руководства организаций обращаться к узким специалистам в этой сфере. Поэтому уже возникал вопрос о том, возможно ли привлечение для выполнения функций внутреннего контроля за обработкой персональных данных лица, не являющегося работником организации.

Позиция НЦЗПД однозначна – нет. Как сказано в Комментарии НЦЗПД, такая модель не согласуется с положениями Закона № 99-З. Вместе с тем это не исключает возможности привлечения иных лиц на основании гражданско-правового договора для оказания содействия в выполнении отдельных функций ответственного за контроль, например:

● для разработки документов, определяющих политику в отношении обработки персональных данных, и иных документов,

● проведения обучения работников и иных лиц, непосредственно осуществляющих обработку персональных данных по вопросам защиты персональных данных.

Обучение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных

О том, что такое лицо (независимо от сферы деятельности организации и формы собственности) должно пройти обучение по вопросам защиты персональных данных, сказано в Указе № 422 и Приказе № 194.

При этом обучение именно в НЦЗПД по образовательной программе повышения квалификации руководящих работников и специалистов должны пройти лица, ответственные за осуществление внутреннего контроля, выполняющие эти функции:

● в банках и небанковских кредитно-финансовых организациях;

● в страховых организациях;

● у операторов электросвязи (за исключением ИП);

● в республиканской и территориальных организациях по госрегистрации недвижимого имущества, прав на него и сделок с ним;

● в Белорусской нотариальной палате, областных (Минской городской) нотариальных палатах;

● в риэлтерских организациях;

● в организациях здравоохранения;

● в местных исполнительных и распорядительных органах (за исключением сельских (поселковых) исполнительных комитетов), их структурных подразделениях с правами юрлица;

● у операторов (уполномоченных лиц), организующих и (или) осуществляющих обработку персональных данных не менее 10 тыс. физлиц, за исключением персональных данных работников этих операторов (уполномоченных лиц) в процессе осуществления трудовой (служебной) деятельности.

Вышеприведенный перечень дополнен приказом Оперативно-аналитического центра при Президенте от 23.11.2023 № 218 «Об изменении приказа Оперативно-аналитического центра при Президенте Республики Беларусь от 12 ноября 2021 г. № 194». Так, обучение в НЦЗПД по образовательной программе повышения квалификации руководящих работников и специалистов также должны пройти лица, ответственные за осуществление внутреннего контроля, выполняющие эти функции в:

● организациях, осуществляющих гостиничное обслуживание;

● организациях, осуществляющих туристическую деятельность;

● организациях, оказывающих услуги по содействию в трудоустройстве;

● организациях, осуществляющих обработку биометрических и (или) генетических персональных данных.

Лица, назначенные ответственными за осуществление внутреннего контроля в других организациях, не включенных в этот перечень, могут пройти обучение:

1) с направлением за пределы своей организации:

● в НЦЗПД, учреждениях образования, а также в иных организациях, которым предоставлено право реализации образовательной программы повышения квалификации руководящих работников и специалистов по такой образовательной программе;

● в других организациях по образовательной программе обучающих курсов (лекториев, тематических семинаров, практикумов, тренингов и иных видов обучающих курсов);

2) без направления – в своей организации путем изучения установленных требований в области защиты персональных данных и внутреннего контроля за их обработкой (в т.ч. определенных в ЛПА организации) с обязательной проверкой знаний.

Издание ЛПА, определяющего порядок организации внутреннего контроля за обработкой персональных данных и цели внутреннего контроля за обработкой персональных данных

Наряду с изданием Политики в отношении обработки персональных данных в организации должны быть реализованы и другие правовые и организационные меры, в т.ч. принято Положение об организации внутреннего контроля за обработкой персональных данных (далее – Положение).

В Положении можно регламентировать следующие вопросы осуществления внутреннего контроля за обработкой персональных данных (далее – внутренний контроль):

● общие положения, в т.ч. определить цели осуществления внутреннего контроля;

● полномочия лица, ответственного за осуществление внутреннего контроля;

● порядок организации внутреннего контроля, назначения и проведения проверок;

● порядок назначения и проведения служебных расследований по фактам нарушений обязательных требований об обработке персональных данных и их защите;

● порядок рассмотрения жалоб и иных обращений по вопросам обработки персональных данных.

В Положении можно определить следующие цели осуществления внутреннего контроля:

● обеспечение защиты персональных данных, соблюдения и реализации прав субъектов персональных данных;

● определение достаточности применяемых в организации, ее работниками мер по обеспечению защиты персональных данных;

● обеспечение выполнения всеми работниками требований законодательства, а также Политики в отношении обработки персональных данных, настоящего Положения и иных ЛПА организации о защите персональных данных, порядке их обработки, соблюдении и реализации прав субъектов персональных данных (далее – обязательные требования о защите персональных данных);

● оперативное разрешение конфликтных ситуаций с субъектами персональных данных и предотвращение жалоб при обработке персональных данных;

● объективное рассмотрение и разрешение жалоб и иных обращений субъектов персональных данных и юрлиц по вопросам обработки персональных данных;

● восстановление нарушенных прав субъектов персональных данных;

● предупреждение, предотвращение, выявление и пресечение нарушений обязательных требований о защите персональных данных, выявление их причин и условий, оперативное реагирование на такие нарушения, локализация и минимизация их последствий;

● устранение нарушений обязательных требований о защите персональных данных, их причин и условий;

● установление лиц, виновных в нарушении обязательных требований о защите персональных данных, и привлечение их к ответственности;

● профилактика нарушений обязательных требований о защите персональных данных.

Формы внутреннего контроля за обработкой персональных данных

Внутренний контроль может быть реализован в следующих формах:

● плановые проверки;

● внеплановые проверки;

● контрольные проверки;

● текущий мониторинг соблюдения работниками обязательных требований законодательства о защите персональных данных.

План внутреннего контроля на очередной год с определением сроков проведения плановых проверок, а также иных мероприятий формируется до 20 декабря текущего года лицом, ответственным за осуществление внутреннего контроля, утверждается руководителем организации и доводится до сведения руководителей, подлежащих проверке структурных подразделений/работников.

Внеплановые проверки – это не произвольные мероприятия по усмотрению лица, ответственного за осуществление внутреннего контроля. Необходимо определить следующие основания для назначения руководителем организации внеплановой проверки:

● поступление обоснованных жалоб, заявлений граждан, юрлиц и их представителей о совершенном (совершаемом) в организации нарушении требований законодательства о защите персональных данных и (или) прав субъектов персональных данных;

● непосредственное выявление лицом, ответственным за осуществление внутреннего контроля, нарушений обязательных требований о защите персональных данных;

● поступление иным образом информации о таких нарушениях.

Проверки (плановые и внеплановые) проводятся непосредственно лицом, ответственным за осуществление внутреннего контроля, которое в ходе подготовки к проведению проверки определяет: объекты контроля (процессы обработки персональных данных, информационные ресурсы и системы, содержащие персональные данные); методы и способы осуществления проверки; проверяемый период.

В ходе проверки лицо, ответственное за осуществление внутреннего контроля, вправе требовать от работника (руководителя):

● представления документов и сведений, связанных с обработкой персональных данных;

● обеспечения доступа к рабочему месту, а также к информационным ресурсам и программно-техническим средствам, с помощью которых осуществляется обработка персональных данных;

● дачи объяснений по вопросам обработки персональных данных.

В ходе проверки оцениваются меры, принятые руководителем подразделения/работниками для обеспечения защиты персональных данных, а также их достаточность для защиты персональных данных.

Важно определить круг обстоятельств, подлежащих проверке:

● соответствие процессов в структурном подразделении, действий проверяемого(ых) работника(ов) (далее – проверяемые) обязательным требованиям о защите персональных данных;

● знание проверяемыми обязательных требований о защите персональных данных;

● достаточность принятых (принимаемых) проверяемыми мер для защиты персональных данных;

● допущены ли проверяемыми нарушения обязательных требований о защите персональных данных.

Проверка включает проведение мероприятий по:

● анализу полноты выполнения работниками требований законодательства о персональных данных и ЛПА;

● проверке соответствия сроков хранения персональных данных срокам, указанным в реестре обработки персональных данных согласно требованиям законодательства;

● анализу реализации порядка доступа к персональным данным, в т.ч. обрабатываемым в информационном ресурсе (системе);

● проверке соблюдения требований об ознакомлении работников с законодательством о персональных данных, Политикой в отношении обработки персональных данных, ЛПА, а также об обучении работников по вопросам защиты персональных данных;

● контролю знаний работников законодательства о персональных данных, Политики и ЛПА;

● иным вопросам обработки персональных данных на Предприятии.

Принятие мер при выявлении нарушений законодательства о защите персональных данных

При выявлении нарушений работниками обязательных требований по защите персональных данных, в т.ч. фактов несанкционированного доступа к персональным данным и (или) их носителям, ознакомления с ними, утечки, нарушения порядка сбора (получения), систематизации, хранения, изменения, завладения, использования, обезличивания, блокирования, удаления, распространения, предоставления (передачи) персональных данных руководителем организации по предложению лица, ответственного за осуществление внутреннего контроля, может быть принято решение о следующих видах ответственности виновного лица:

● о привлечении работника к дисциплинарной ответственности в соответствии с законодательством о труде;

● о привлечении работника к материальной ответственности в соответствии с законодательством о труде (возмещении работником нанимателю материального ущерба, если он был причинен работником при исполнении своих трудовых обязанностей);

● об увольнении работника за нарушение порядка сбора, систематизации, хранения, изменения, использования, обезличивания, блокирования, распространения, предоставления, удаления персональных данных согласно п. 10 ч. 1 ст. 47 Трудового кодекса;

● о передаче в правоохранительные органы заявления и материалов о привлечении работника к административной ответственности по ст. 23.7 КоАП либо к уголовной ответственности по ст. 203¹ или ст. 203² УК.

При применении мер ответственности необходимо учитывать, что:

● такие виды ответственности, как дисциплинарная и материальная, могут сочетаться друг с другом, а также с административной или уголовной ответственностью;

● возмещение работником материального ущерба производится независимо от привлечения его к дисциплинарной, административной или уголовной ответственности;

● ответственность за административное правонарушение, предусмотренное ст. 23.7 КоАП, наступает независимо от требования потерпевшего или его законного представителя;

● ответственность за преступление, предусмотренное ч. 1 ст. 203¹ УК (умышленные незаконные сбор, предоставление информации о частной жизни и (или) персональных данных другого лица без его согласия, повлекшие причинение существенного вреда правам, свободам и законным интересам гражданина) наступает по требованию, т.е. при наличии выраженного в установленном порядке требования лица, пострадавшего от преступления, привлечь виновного к уголовной ответственности (п. 19 ч. 1 ст. 33 УК);

● ответственность за преступления, предусмотренные ч. 2 и 3 ст. 203¹ УК, а также ст. 203² УК, наступает независимо от требования пострадавшего.