Комментарий к Указу Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных»

Материал подготовлен с использованием правовых актов по состоянию на 2 ноября 2021 г.

Комментируются нормативные правовые предписания Указа Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных».

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

● Указ Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных» (далее – Указ № 422)

● Указ Президента от 16.10.2009 № 510 «О совершенствовании контрольной (надзорной) деятельности в Республике Беларусь» (далее – Указ № 510)

28.10.2021 подписан Указ № 422, который предусматривает создание Национального центра защиты персональных данных (далее – Национальный центр).

Указ № 422 издан в развитие нормативных правовых предписаний Закона № 99-З, вступающего в силу с 15.11.2021.

Целями издания Указа № 422 являются регламентация вопросов совершенствования правового регулирования общественных отношений в сфере обработки персональных данных, обеспечение более полной реализации конституционного права граждан на защиту от незаконного вмешательства в личную жизнь.

Указ № 422 не распространяется на отношения, касающиеся обработки персональных данных, отнесенных к госсекретам.

Указом № 422 определено:

1. Создание и определение правового статуса Национального центра как уполномоченного органа по защите прав субъектов персональных данных.

В Положении о Национальном центре защиты персональных данных, утв. Указом № 422, закреплены полномочия этого органа, вытекающие из Закона № 99-З.

2. Закрепление необходимости обучения в сфере защиты персональных данных, а именно обязанности:

1) собственников (владельцев) информационных систем и владельцев критически важных объектов информатизации, указанных в ч. 1 п. 3 Положения о технической и криптографической защите информации, утв. Указом Президента от 16.04.2013 № 196, а также организаций, осуществляющих подлежащую лицензированию деятельность по технической и (или) криптографической защите информации (по установленному перечню работ и услуг), обеспечивать на базе Национального центра не реже 1 раза в 3 года повышение квалификации своих работников и (или) иных лиц, в обязанности которых входит обеспечение информационной безопасности по вопросам технической и (или) криптографической защиты информации;

2) операторов (уполномоченных лиц) организовывать прохождение лицами, ответственными за осуществление внутреннего контроля за обработкой персональных данных, а также лицами, непосредственно осуществляющими обработку персональных данных, не реже 1 раза в 5 лет обучения по вопросам защиты персональных данных, в т.ч.:

● категориями лиц, определенными Оперативно-аналитическим центром при Президенте (далее – ОАЦ), – в Национальном центре по образовательной программе повышения квалификации руководящих работников и специалистов;

● иными лицами:

в учреждениях образования, а также в иных организациях, которым предоставлено право реализации образовательной программы повышения квалификации руководящих работников и специалистов, по образовательной программе повышения квалификации руководящих работников и специалистов;

в других организациях по образовательной программе обучающих курсов (лекториев, тематических семинаров, практикумов, тренингов, офицерских курсов и иных видов обучающих курсов);

у оператора (уполномоченного лица) путем изучения установленных требований в области защиты персональных данных и проверки им знаний по вопросам защиты персональных данных (в форме собеседования, опроса, тестирования и других формах контроля знаний).

3. Закрепление обязанности операторов, являющихся госорганами, юрлицами Республики Беларусь, иными организациями, в целях надлежащей защиты обрабатываемых ими персональных данных утверждать:

● перечни информационных ресурсов (систем), содержащих персональные данные, владельцами которых они являются;

● категории персональных данных, подлежащих включению в такие ресурсы (системы);

● перечни уполномоченных лиц, если обработка персональных данных осуществляется уполномоченными лицами;

● срок хранения обрабатываемых персональных данных.

4. Решение вопросов финансирования мероприятий по обучению работников и иных лиц.

5. Порядок назначения руководителя Национального центра.

Согласно Закону № 99-З уполномоченный орган по защите прав субъектов персональных данных действует независимо на основе Закона № 99-З и иных актов законодательства. Не допускается возложение на уполномоченный орган по защите прав субъектов персональных данных функций, которые несовместимы с функциями по защите прав субъектов персональных данных.

Таким образом, предлагаемый порядок назначения Президентом директора Национального центра направлен на обеспечение независимости Национального центра от иных госорганов и создание необходимых условий для осуществления создаваемым органом возлагаемых на него задач и функций.

6. Создание реестра операторов персональных данных.

До принятия Закона № 99-З в Республике Беларусь отсутствовал централизованный учет операторов, обрабатывающих персональные данные, а также используемых для указанных целей информационных ресурсов (систем). Это затрудняло подготовку и принятие мер по обеспечению защиты персональных данных, планирование контрольных мероприятий в указанной сфере.

Вместе с тем практически во всех странах важным элементом системы защиты персональных данных является создание специальных информационных ресурсов, в которые включается информация об обработке персональных данных (указание оператора, категорий персональных данных и др.).

Так, например, в Российской Федерации ведется реестр операторов. При этом сведения, содержащиеся нем, являются общедоступными.

Схожие реестры действуют в Молдове, Армении, Украине и других странах.

В связи с этим Указом № 422 предусмотрено создание аналогичного реестра и введена обязанность операторов вносить в него соответствующие сведения. Обязанность по внесению сведений в реестр операторов будет обеспечиваться ст. 24.11 Кодекса об административных правонарушениях.

При этом в реестр планируется включать сведения об операторах, которые будут обрабатывать персональные данные, обработка которых несет особые риски (в частности, обработка больших массивов персональных данных, специальных персональных данных, идентификационных номеров, применение технологии искусственного интеллекта и др.).

Конкретные виды информационных ресурсов (систем), сведения о которых подлежат внесению в реестр, перечень включаемых в него сведений, а также сроки внесения сведений будут определяться ОАЦ.

С учетом значительного объема подготовительной работы по созданию соответствующего ресурса установлено, что такой ресурс начнет функционировать с 01.01.2024.

Финансирование расходов на создание и функционирование реестра будет осуществляться за счет средств республиканского бюджета, выделенных на содержание Национального центра, и иных источников в соответствии с законодательством.

7. Исключение контроля за обработкой персональных данных операторами (уполномоченными лицами) из сферы действия Указа № 510.

Согласно Закону № 99-З одной из функций уполномоченного органа по защите прав субъектов персональных данных выступает осуществление контроля за обработкой персональных данных операторами (уполномоченными лицами) в соответствии с законодательными актами.

Общий порядок проведения проверок установлен Указом № 510, в соответствии с которым под проверяемыми субъектами понимаются организации, их обособленные подразделения, имеющие УНП, представительства иностранных организаций, ИП, нотариусы, а также лица, осуществляющие адвокатскую деятельность индивидуально, ремесленную деятельность, деятельность в сфере агроэкотуризма, временные (антикризисные) управляющие, не являющиеся юрлицами или ИП.

Вместе с тем на основании Закона № 99-З операторами могут быть в т.ч. физлица, в отношении которых также должен осуществляться контроль при обработке ими персональных данных.

Кроме того, Указ № 510 не распространяется на контроль за технической и криптографической защитой информации в госорганах и иных организациях, являющихся собственниками (владельцами) объектов, на которых такая защита является обязательной в соответствии с законодательными актами.

В то же время одной из обязательных мер по защите персональных данных (п. 3 ст. 17 Закона № 99-З) является осуществление технической и криптографической защиты персональных данных в порядке, установленном ОАЦ, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные.

Также имеет место объективная сложность применения установленной методики оценки степени риска для целей назначения выборочных проверок в соответствии с Указом № 510 в отношении лиц, обрабатывающих персональные данные, поскольку до издания Указа № 422 не осуществлялся учет количества операторов, обрабатывающих персональные данные, видов информационных ресурсов (систем), в которых обрабатываются персональные данные, категорий персональных данных, включаемых в такие ресурсы (системы), и др.

Учитывая изложенное, а также принимая во внимание тесную связь проверок соблюдения операторами (уполномоченными лицами) законодательства о персональных данных с вопросами технической и криптографической защиты персональных данных, что в т.ч. может выражаться в проведении совместных проверок по рассматриваемым вопросам, из сферы действия Указа № 510 исключен контроль за обработкой персональных данных операторами (уполномоченными лицами).

Порядок проведения контроля за названной сферой установлен в Указе № 422, учитывая, в частности, что указанный порядок во многом схож с порядком осуществления контроля за технической и криптографической защитой информации.

8. Оказание образовательных услуг.

В настоящее время с учетом развития новых информационных технологий возникают новые угрозы и вызовы для обеспечения защиты персональных данных.

В связи с этим во всех странах одним из ключевых требований, предъявляемых к уполномоченным органам в сфере персональных данных, является их высокая технологичность: выявление возможных нарушений в этой сфере обусловливает необходимость создания различных информационных ресурсов для учета операторов, анализа технологии обработки больших данных, привлечения экспертов и специалистов, задействования возможностей искусственного интеллекта и т.п.

Без реализации таких мер деятельность по оценке соблюдения требований законодательства о персональных данных не может быть эффективной. В то же время на их осуществление требуются значительные затраты, размер которых сложно спрогнозировать, что затрудняет возможности бюджетного финансирования выполнения таких мероприятий.

В связи с этим Указом № 422 предусмотрено право Национального центра на осуществление приносящей доходы деятельности, что должно создать условия для реализации возлагаемых на указанный центр функций.

Указанные средства будут расходоваться на оплату труда работников (численность которых, финансируемых за счет бюджета, крайне незначительна по отношению к числу лиц, подпадающих в сферу действия законодательства о персональных данных) и иные постоянные и условно постоянные расходы (коммунальные платежи и т.п.).

Так, Национальному центру предоставляется право осуществлять повышение квалификации работников и (или) иных лиц, в обязанности которых входит обеспечение информационной безопасности по вопросам технической и (или) криптографической защиты информации.

В свою очередь, одной из мер по обеспечению защиты персональных данных в соответствии с Законом № 99-З является обязанность лиц, ответственных за осуществление внутреннего контроля за обработкой персональных данных, а также лиц, непосредственно осуществляющих обработку персональных данных, пройти обучение в порядке, установленном законодательством.

Указанный подход позволяет создать гибкую модель обучения названных лиц.

Так, применительно к наиболее важным информационным ресурсам и системам соответствующее обучение будет организовано на базе Национального центра. При этом конкретные категории лиц, которые будут проходить обучение на базе этого центра, будут определяться ОАЦ.

В отношении иных категорий лиц конкретные формы обучения будет определять сам оператор (уполномоченное лицо), что в полной мере соответствует Закону № 99-З, согласно которому оператор (уполномоченное лицо) определяет состав и перечень мер, необходимых и достаточных для выполнения обязанностей по обеспечению защиты персональных данных, с учетом требований Закона № 99-З и иных актов законодательства.