Действия ответственного лица при осуществлении внутреннего контроля за обработкой персональных данных

Материал подготовлен с использованием правовых актов по состоянию на 30 апреля 2024 г.

Описывается механизм действий ответственного лица при осуществлении внутреннего контроля за обработкой персональных данных.

СОДЕРЖАНИЕ

Пункт 1. Общие положения

Пункт 2. Механизм действий DPO

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Трудовой кодекс (далее – ТК)

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

● Указ Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных» (далее – Указ № 422)

Пункт 1. Общие положения

Осуществление внутреннего контроля за обработкой персональных данных является ключевой функцией лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных – Data Protection Officer (далее – DPO).

Вместе с тем DPO, как правило, выполняет и иные функции, например:

● изучение и анализ процессов обработки персональных данных;

● разработка и поддержание в актуальном состоянии документов в сфере обработки персональных данных и т.д.

● консультирование руководителей, иных работников организации;

● взаимодействие с уполномоченными лицами по вопросам обработки и защиты персональных данных;

● проведение ознакомления работников и иных лиц, непосредственно осуществляющих обработку персональных данных, с законодательством о персональных данных, в т.ч. с требованиями по защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных;

● организация прохождения обучения с контролем знаний работников, осуществляющих обработку персональных данных, по вопросам обработки и защиты персональных данных в порядке, установленном законодательством;

● рассмотрение (участие в рассмотрении) заявлений и жалоб субъектов персональных данных по вопросам обработки персональных данных;

● обеспечение взаимодействия с уполномоченным органом по защите прав субъектов персональных данных и др.

В связи с указанным осуществление внутреннего контроля за обработкой персональных данных в отрыве от других функций DPO может повлечь ее неэффективность и не позволит создать надежную систему защиты персональных данных в организации.

Таким образом, необходимо рассмотреть осуществление внутреннего контроля за обработкой персональных данных через призму приведения всей деятельности оператора в соответствие с требованиями законодательства о персональных данных.

Пункт 2. Механизм действий DPO

Первоначально после назначения DPO необходимо провести внутренний аудит деятельности организации на предмет соответствия ее требованиям законодательства о персональных данных.

Механизм действий DPO в рамках этого аудита можно разделить на следующие 14 шагов:

Ключевая сложность в деятельности DPO состоит в том, что законодательство о персональных данных не содержит исчерпывающего перечня мер, принятие которых будет свидетельствовать о соблюдении обязанности по обеспечению защиты персональных данных.

Поэтому в ходе проведения аудита DPO необходимо ответить на два ключевых вопроса о том:

1) соответствует ли обработка персональных данных требованиям законодательства и разъяснениям Национального центра защиты персональных данных (далее – НЦЗПД);

2) достаточны ли принятые меры для обеспечения максимальной защиты персональных данных.

Для ответа на указанные вопросы DPO первоначально необходимо проверить, реализованы ли в организации:

● обязательные меры по обеспечению защиты персональных данных (п. 3 ст. 17 Закона № 99-З);

● меры, предусмотренные п. 3 Указа № 422;

● меры, вытекающие из обязанностей оператора (ст. 16 Закона № 99-З);

● иные не предусмотренные прямо в законодательстве о персональных данных меры, но необходимые для обеспечения защиты персональных данных в условиях их обработки у оператора (критерий достаточности).

Шаг 1. Организация и осуществление внутреннего контроля за обработкой персональных данных. Оценка эффективности выбранной модели DPO.

Назначение DPO (подразделения) и осуществление внутреннего контроля за обработкой персональных данных – два самостоятельных мероприятия в рамках одной меры (абз. 2 п. 3 ст. 17 Закона № 99-З).

Внутренний контроль. Основной функцией DPO является выстраивание системы защиты персональных данных, предотвращение, в т.ч. посредством осуществления внутреннего контроля за обработкой персональных данных, возможных нарушений со стороны оператора.

Для начала необходимо проверить должностные обязанности DPO на соответствие разъяснениям НЦЗПД.

Также необходимо разработать документы, определяющие порядок осуществления внутреннего контроля за обработкой персональных данных и устанавливающие график проведения контрольных мероприятий.

Кроме того, важным является фиксация итогов проведения проверок, которая будет свидетельствовать о реализации мероприятий по осуществлению внутреннего контроля за обработкой персональных данных (отчеты, докладные записки и т.п.).

Оценка эффективности выбранной модели DPO. Для признания проводимого DPO внутреннего контроля за обработкой персональных данных эффективным целесообразно проводить проверку такой обработки во всех структурных подразделениях, филиалах и т.п. в течение 1 календарного года.

Если DPO в виде одного лица не обладает достаточными ресурсами (временными и др.) для осуществления на постоянной основе внутреннего контроля за обработкой персональных данных, а также выполнения иных функций, то оператору необходимо рассмотреть возможность назначения структурного подразделения, ответственного за осуществление внутреннего контроля за обработкой персональных данных.

Схема. Модели назначения ответственного за контроль

Шаг 2. Выявление, фиксация и анализ бизнес-процессов, в которых обрабатываются персональные данные.

Эта мера не является обязательной для реализации операторами.

Вместе с тем без ее реализации могут возникнуть сложности в соблюдении положений ст. 4 Закона № 99-З, обеспечении эффективного внутреннего контроля за обработкой персональных данных, издании политик, отслеживания сроков хранения документов, содержащих персональные данные (подп. 3.5 п. 3 Указа № 422), последующего удаления (уничтожения) персональных данных и др.

В связи с этим большинству операторов следует принять положение о реестре обработки персональных данных, в котором необходимо определить:

● порядок взаимодействия структурных подразделений с DPO по вопросам ведения реестра;

● механизм актуализации реестра;

● место его размещения;

● порядок доступа работников к нему и т.п.

В реестре в отношении каждого самостоятельного процесса обработки персональных данных необходимо указать следующую информацию:

● цель обработки персональных данных;

● подразделение (лицо), ответственное за конкретную обработку персональных данных;

● категории лиц, чьи персональные данные обрабатываются (клиенты, работники, бывшие работники, соискатели, лица, подписывающие договоры, посетители интернет-сайта и др.);

● категории обрабатываемых персональных данных (указывается конкретный перечень);

● правовую основу обработки персональных данных;

● источник получения персональных данных;

● категории получателей персональных данных;

● срок хранения персональных данных.

Анализ бизнес-процессов предусматривает проверку обработки персональных данных на соответствие требованиям законодательства о персональных данных.

Шаг 3. Издание документов, определяющих политику оператора (уполномоченного лица) в отношении обработки персональных данных.

В зависимости от основных целей обработки персональных данных по отдельным бизнес-процессам целесообразно издать самостоятельные политики в отношении:

● работников, бывших работников и при осуществлении административных процедур;

● cookie-файлов;

● видеонаблюдения;

● мобильного приложения и др.

Одним из требований НЦЗПД к политике является обеспечение ее доступности и наглядности.

Для этого следует обеспечить соотношение целей, правовых оснований обработки, категорий субъектов персональных данных, чьи данные подвергаются обработке, перечня обрабатываемых персональных данных, конкретных сроков обработки.

Такое соотношение должно быть удобным для восприятия субъектами персональных данных (например, в табличной форме).

Таблица 1

Обеспечение соотношения (фрагмент)

Шаг 4. Обеспечение неограниченного доступа к политике.

Помимо издания политики необходимо обеспечить неограниченный доступ к ней, в т.ч. с использованием сети Интернет (п. 4 ст. 17 Закона № 99-З).

Политику в отношении внешних субъектов (клиентов, контрагентов, граждан, направляющих обращения, посетителей сайта и т.п.) следует разместить на сайте оператора.

Необходимо учитывать, что такая информация должна быть опубликована на странице не ниже второго уровня сайта (как правило, это меню, футер сайта и другие интуитивно понятные для пользователя места).

Иной подход можно применить к политике оператора в отношении работников. Нет необходимости размещать такой документ в открытом доступе для неограниченного круга лиц. Допустимо опубликовать соответствующий документ на корпоративном портале (при его наличии), разместить на информационных стендах и обеспечить доступ иными способами.

Шаг 5. Ознакомление работников и иных лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в т.ч. с требованиями по защите персональных данных, политиками, а также их обучение в установленном законодательством порядке.

Реализация указанной меры должна позволить понять суть возлагаемых на работников обязанностей.

Ознакомление и обучение распространяется как на работников (действующих и вновь принятых), так и на иных лиц, непосредственно осуществляющих обработку персональных данных (практиканты, стажеры, самозанятые, привлекаемые оператором и др.).

Шаг 5 включает два самостоятельных мероприятия: ознакомление и обучение.

Ознакомление. Работников необходимо ознакомить с:

● положениями законодательства о персональных данных (Закон № 99-З, Указ № 422, иные акты, имеющие значение для выполнения функций конкретным работником, например, Закон от 10.05.2007 № 225-З «О рекламе», целесообразно доводить также информацию о мерах ответственности, предусмотренных ТК, Кодексом об административных правонарушениях и Уголовным кодексом);

● требованиями по защите персональных данных (запрет на обработку персональных данных без правовых оснований, предоставление персональных данных лицам, у которых не предоставлен такой доступ, и др.);

● политиками.

Обучение включает в себя обучение непосредственно в организации и НЦЗПД (иных учреждениях).

Обучение непосредственно у оператора. При прохождении обучения непосредственно в организации необходимо обучение, которое будет адаптировано для разных категорий работников.

После обучения следует провести проверку знаний работников по вопросам защиты персональных данных, например, в форме собеседования, опроса, тестирования или др.

Итогом обучения должно стать понимание работником, как его персональные данные обрабатываются оператором (нанимателем) и каким образом он как работник оператора обрабатывает персональные данные коллег, клиентов и иных субъектов персональных данных.

Обучение в НЦЗПД и иных учреждениях. Порядок такого обучения, в т.ч. его периодичность, установлен в подп. 3.3 п. 3 Указа № 422, а категории лиц, обучаемых непосредственно в НЦЗПД, определены приказом ОАЦ при Президенте от 12.11.2021 № 194 «Об обучении по вопросам защиты персональных данных».

Иные обязанности оператора, связанные с обучением. Помимо организации обучения, операторы до 15 ноября обязаны обеспечить представление НЦЗПД информации о количестве DPO, а также лиц, непосредственно осуществляющих обработку персональных данных, которым необходимо пройти обучение в НЦЗПД.

Собственники (владельцы) информационных систем, указанные в ч. 1 п. 3 Положения о технической и криптографической защите информации, утв. Указом Президента от 16.04.2013 № 196, и владельцы критически важных объектов информатизации, а также организации, осуществляющие лицензируемую деятельность по технической и (или) криптографической защите информации, обеспечивают обучение в НЦЗПД не реже 1 раза в 3 года своих работников и (или) иных лиц, в обязанности которых входит обеспечение информационной безопасности.

Обучение проводят по образовательной программе повышения квалификации руководящих работников и специалистов по вопросам технической и (или) криптографической защиты информации (подп. 3.3 п. 3 Указа № 422).

Кроме того, операторы ежегодно до 15 ноября обязаны обеспечить представление НЦЗПД информации о количестве работников и (или) иных лиц, в обязанности которых входит обеспечение информационной безопасности, для повышения их квалификации.

Шаг 6. Внесение изменений в должностные обязанности лиц, обрабатывающих персональные данные.

В должностных инструкциях работников, осуществляющих обработку персональных данных, необходимо предусмотреть обязанность соблюдать установленный законодательством о персональных данных и ЛПА порядок обработки персональных данных.

При необходимости должностные обязанности конкретных работников в части реализации законодательства о персональных данных могут быть детализированы, в т.ч. исходя из способов организации оператором выполнения обязанностей, предусмотренных ст. 16 Закона № 99-З. Например, можно уточнить обязанности работников, трудовая функция которых в основном связана с обработкой персональных данных в информационном ресурсе (системе). Это работники кадровых, бухгалтерских служб, работники, ответственные за функционирование информационного ресурса (системы).

Помимо этого необходимо дополнить Правила внутреннего трудового распорядка положением об ответственности за нарушение работником порядка сбора, систематизации, хранения, изменения, использования, обезличивания, блокирования, распространения, предоставления, удаления персональных данных.

Шаг 7. Установление порядка доступа к персональным данным, в т.ч. обрабатываемым в информационном ресурсе (системе).

Порядок доступа к персональным данным целесообразно закрепить в одном документе. Но отдельные его положения могут быть детализированы в иных документах, например, в положениях об информационных ресурсах (системах), о видеонаблюдении, о контроле управления доступом в помещения организации.

Шаг 8. Осуществление технической и криптографической защиты персональных данных в установленном ОАЦ при Президенте порядке в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные.

Конкретные технические требования к защите информации, в т.ч. и персональные данные, определены в приказе ОАЦ при Президента от 20.02.2020 № 66 «О мерах по реализации Указа Президента Республики Беларусь от 9 декабря 2019 г. № 449».

Шаг 9. Установление и поддержание в актуальном состоянии перечня информационных ресурсов (систем), содержащих персональные данные, собственниками (владельцами) которых является оператор, а также категорий персональных данных, подлежащих включению в данные ресурсы (системы).

На практике чаще всего используется следующая модель ведения перечня информационных ресурсов (систем), содержащих персональные данные, собственником (владельцем) которых является оператор:

Таблица 2

Перечень информационных ресурсов (систем), содержащих персональные данные, и категории персональных данных, подлежащих включению в них (фрагмент)

Шаг 10. Установление и поддержание в актуальном состоянии перечня уполномоченных лиц, если обработка персональных данных осуществляется такими лицами.

Перечень уполномоченных лиц целесообразно вести в виде таблицы, в электронной форме и др.

Таблица 3

Перечень уполномоченных лиц (фрагмент)

Шаг 11. Внесение сведений об информационных ресурсах (системах), содержащих персональные данные, в Реестр, а также обеспечение актуализации соответствующих сведений.

В Реестр включают информацию только об информационных ресурсах (системах), посредством которых осуществляется:

● трансграничная передача специальных персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев, предусмотренных абз. 5–7 п. 1 ст. 9 Закона № 99-З;

● обработка биометрических и (или) генетических персональных данных;

● обработка персональных данных более 100 тыс. физлиц;

● обработка персональных данных более 10 тыс. физлиц, не достигших возраста 16 лет (подп. 1.1 п. 1 приказа ОАЦ при Президенте от 01.06.2022 № 94 «О государственном информационном ресурсе «Реестр операторов персональных данных»).

Шаг 12. Обеспечение установления порядка фиксации и хранения информации о предоставлении персональных данных третьим лицам.

Установление порядка фиксации и хранения информации о предоставлении персональных данных третьим лицам упрощает исполнение обязанности по предоставлению субъекту персональных данных информации, связанной с обработкой его персональных данных (абз. 5 п. 1 ст. 16 Закона № 99-З).

На практике целесообразно вести журналы в случае, если информация предоставлялась в письменном виде. Это может быть система логирования в информационном ресурсе (системе) и т.п.

Таблица 4

Порядок фиксации и хранения информации о предоставлении персональных данных третьим лицам (фрагмент)

Шаг 13. Установление порядка реагирования на нарушения системы защиты персональных данных и уведомления об инциденте НЦЗПД.

Оператор обязан уведомить НЦЗПД о нарушениях систем защиты персональных данных незамедлительно, но не позднее 3 рабочих дней после того, как ему стало известно о таких нарушениях, за исключением случаев, предусмотренных НЦЗПД.

Порядок направления уведомления определен приказом НЦЗПД от 15.11.2021 № 13 «Об уведомлении о нарушениях систем защиты персональных данных» (далее – Приказ № 13).

Уведомление о нарушениях систем защиты персональных данных не направляется, если такое нарушение не привело к:

● незаконному распространению, предоставлению персональных данных;

● изменению, блокированию либо удалению персональных данных без возможности восстановления доступа к ним (п. 1 Приказа № 13).

Шаг 14. Определение порядка удаления (блокирования) персональных данных.

Удаление персональных данных – это действия, в результате которых становится невозможным восстановить персональные данные в информационных ресурсах (системах), содержащих персональные данные, и (или) в результате которых уничтожаются материальные носители персональных данных (абз. 15 ст. 1 Закона № 99-З).

Поэтому удалению подлежат персональные данные и в бумажном виде, и на цифровых носителях. При этом механизм удаления во многом зависит от того, в каком виде и в каких документах содержатся персональные данные.

В этой связи механизм удаления будет различаться в отношении персональных данных, содержащихся в:

● документах, включенных в номенклатуру дел с установленными сроками хранения;

● документах, не включенных в такую номенклатуру (например, черновики и т.п.);

● информационных системах (ресурсах).

Шаг 15. Разработка иных документов (кроме предусмотренных п. 3 ст. 17 Закона № 99-З).

Для разработки формы согласия субъектов персональных данных, дополнительных положений, подлежащих включению в договоры между оператором и уполномоченным лицом (ст. 7 Закона № 99-З), и других документов можно использовать:

● форму согласия на обработку персональных данных, размещенную на официальном сайте НЦЗПД;

● положения для включения в договор между оператором и уполномоченным лицом о поручении обработки персональных данных, размещенные на официальном сайте НЦЗПД.