Уполномоченный орган по защите прав субъектов персональных данных – Национальный центр защиты персональных данных
Материал подготовлен с использованием правовых актов по состоянию на 4 ноября 2021 г.
Анализируются нормативные правовые предписания Указа Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных», которым определены основные права, задачи, функции и полномочия Национального центра защиты персональных данных.
ПРАВОВОЕ РЕГУЛИРОВАНИЕ
● Трудовой кодекс (далее – ТК)
● Гражданский кодекс (далее – ГК)
● Закон от 10.11.2008 № 455-З «Об информации, информатизации и защите информации» (далее – Закон № 455-З)
● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)
● Указ Президента от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных» (далее – Указ № 422)
● Положение о Национальном центре защиты персональных данных, утв. Указом № 422 (далее – Положение № 422)
Правовое регулирование защиты персональных данных
До 15.11.2021 основным НПА, регламентирующим вопросы обработки и защиты персональных данным, являлся Закон № 455-З. Также были и иные НПА, которые в той или иной степени затрагивали вопросы обработки персональных данных (например, Закон от 21.07.2008 № 418-З «О регистре населения»), но комплексного и целенаправленного регулирования порядка обработки и защиты персональных данных до недавнего времени не было.
В 2021 году правовое регулирование в области персональных данных коренным образом было пересмотрено. Вначале был принят Закон № 99-З, а затем Указ № 422. Это основополагающие НПА, и в ближайшее время в их развитие будут приняты НПА Совета Министров, Оперативно-аналитического центра при Президенте (далее – ОАЦ) и т.п.
Необходимо обратить внимание на смежное законодательство по технической защите информации, в частности, на следующие НПА:
1) Указ Президента от 16.04.2013 № 196 «О некоторых мерах по совершенствованию защиты информации» (далее – Указ № 196);
2) Положение о технической и криптографической защите информации, утв. Указом № 196;
3) приказ Оперативно-аналитического центра при Президенте от 20.02.2020 № 66 «О мерах по реализации Указа Президента Республики Беларусь от 9 декабря 2019 г. № 449», которым утверждены:
● Положение о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено,
● Положение о порядке аттестации систем защиты информации информационных систем, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено;
● Положение о порядке технической и криптографической защиты информации, обрабатываемой на критически важных объектах информатизации;
● Положение о порядке представления в Оперативно-аналитический центр при Президенте Республики Беларусь сведений о событиях информационной безопасности, состоянии технической и криптографической защиты информации;
● Положение о порядке ведения Государственного реестра критически важных объектов информатизации» и др.
Существуют и отраслевые особенности по защите персональных данных, например, в сфере статистики, медицины (например, постановление Минздрава от 07.06.2021 № 74 «О формах и порядке дачи и отзыва согласия на внесение и обработку персональных данных пациента») и т.п.
Определение, к какой отрасли и подотрасли законодательства относится законодательство о персональных данных
Указом № 422 дополнен Единый правовой классификатор Республики Беларусь, утв. Указом Президента от 04.01.1999 № 1, новой позицией 10.03.08.05 «Персональные данные и их защита».
Таким образом, рассматриваемое законодательство отнесено к следующим позициям:
● 10 «Законодательство в области образования, научной, научно-технической и инновационной деятельности, информации и информатизации, культуры, физической культуры и спорта, туризма»;
● 10.03 «Законодательство об информации, информатизации и защите информации»;
● 10.03.08 «Информатизация. Информационные технологии».
Например, согласно ч. 4 ст. 19 ТК в случае изменения законодательства о труде условия трудового договора должны быть приведены в соответствие с законодательством о труде. Конечно, в данном случае это не означает, что стороны трудового договора не должны учитывать требования законодательства о персональных данных, но это важно при оценке правовой природы отношений по защите персональных данных, оформлении отдельных действий нанимателя (при определении вида приказов, связанных с персональными данными, отдельных сроков хранения документов и т.п.), решении вопросов о привлечении к ответственности при нарушении порядка обработки персональных данных и т.п.
Правовой статус и функции Национального центра защиты персональных данных
В соответствии с п. 5 ст. 18 Закона № 99-З уполномоченный орган по защите прав субъектов персональных данных определяется Президентом.
Согласно п. 1 Положения № 422 Национальный центр защиты персональных данных Республики Беларусь (далее – НЦЗПД) определен как уполномоченный орган по защите прав субъектов персональных данных.
В Законе № 99-З уполномоченному органу по защите прав субъектов персональных данных посвящена ст. 18. Многие ее нормы, а также иные предписания Закона № 99-З нашли свое отражение и в Положении № 422.
В п. 3 Положения № 422 приведены 3 варианта официального наименования НЦЗПД: на белорусском, русском и английском языках (причем отдельно для полного и сокращенного вариантов).
Возглавляет НЦЗПД директор, который назначается на должность и освобождается от должности Президентом по представлению начальника ОАЦ. Контракт с директором НЦЗПД заключает начальник ОАЦ (п. 9, 10 Положения № 422).
В п. 11 Положения № 422 перечислены основные полномочия директора НЦЗПД.
Пунктом 12 Положения № 422 предусмотрено создание при НЦЗПД на общественных началах консультативного совета, персональный состав которого, а также порядок его организации и функционирования устанавливаются директором НЦЗПД.
Правовой статус НЦЗПД.
Согласно п. 4 Положения № 422 НЦЗПД является госучреждением, а госорганом, осуществляющим от имени Республики Беларусь права собственника имущества этого учреждения, является ОАЦ.
Справочно
Согласно п. 1 ст. 120 ГК учреждением признается организация, созданная собственником для осуществления управленческих, социально-культурных или иных функций некоммерческого характера и финансируемая им полностью или частично. В п. 3 ст. 120 ГК также оговорено, что особенности правового положения отдельных видов государственных и иных учреждений определяются законодательством.
Указ № 422 является таким НПА в отношении НЦЗПД.
Согласно п. 36 Положения № 422 имущество НЦЗПД находится в республиканской собственности и закрепляется за ним на праве оперативного управления.
Владение, пользование и распоряжение закрепленным за НЦЗПД имуществом осуществляются в соответствии с его задачами и функциями и в пределах, установленных законодательством.
Функции НЦЗПД.
В п. 7 Положения № 422 определены следующие 2 основные задачи НЦЗПД:
1. Принятие мер по защите прав субъектов персональных данных при обработке их персональных данных.
2. Организация обучения по вопросам защиты персональных данных.
Таблица 1
Сравнение функций НЦЗПД согласно Закону № 99-З и Положению № 422
|
Полномочия НЦЗПД (функции и права) согласно п. 3 ст. 18 Закона № 99-З |
Полномочия НЦЗПД (функции и права) согласно п. 7 Положения № 422 |
|
Осуществляет контроль за обработкой персональных данных операторами (уполномоченными лицами) в соответствии с законодательными актами |
Осуществляет контроль за обработкой персональных данных операторами (уполномоченными лицами) (далее – контроль) |
|
Рассматривает жалобы субъектов персональных данных по вопросам обработки персональных данных |
|
|
Требует от операторов (уполномоченных лиц) изменения, блокирования или удаления недостоверных или полученных незаконным путем персональных данных, устранения иных нарушений Закона № 99-З |
Согласно п. 8 Положения № 422 отнесено к правам НЦЗПД |
|
Определяет перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных |
|
|
Выдает разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных |
Выдает разрешения на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, а также определяет порядок выдачи таких разрешений |
|
Участвует в подготовке проектов актов законодательства о персональных данных |
Вносит предложения о совершенствовании законодательства о персональных данных, участвует в подготовке проектов актов законодательства о персональных данных |
|
Дает разъяснения по вопросам применения законодательства о персональных данных, проводит иную разъяснительную работу о законодательстве о персональных данных |
|
|
Участвует в работе международных организаций по вопросам защиты персональных данных |
|
|
Ежегодно не позднее 15 марта публикует в СМИ отчет о своей деятельности за предыдущий год |
|
|
Осуществляет иные полномочия, предусмотренные Законом № 99-З и иными законодательными актами |
Осуществляет иные полномочия, предусмотренные законодательством о персональных данных |
|
Определяет случаи, когда не требуется уведомления НЦЗПД о нарушениях систем защиты персональных данных |
|
|
Устанавливает классификацию содержащих персональные данные информационных ресурсов (систем) в целях определения предъявляемых к ним требований технической и криптографической защиты персональных данных |
|
|
Осуществляет сотрудничество с органами (организациями) по защите прав субъектов персональных данных в иностранных государствах |
|
|
Реализует образовательные программы дополнительного образования взрослых в соответствии с законодательством об образовании |
|
|
Осуществляет иные полномочия, предусмотренные законодательством о персональных данных |
|
Таблица 2
Основные права НЦЗПД
|
№ п/п |
Основные права НЦЗПД (п. 8 Положения № 422) |
Примечания |
|
1 |
Пи осуществлении контроля: |
|
|
1.1 |
запрашивать и получать на безвозмездной основе от госорганов, юрлиц Республики Беларусь, иных организаций и физлиц информацию, необходимую для определения законности действий (бездействия) операторов (уполномоченных лиц) по обработке персональных данных (в т.ч. персональные данные физлиц без их согласия) |
Информация представляется в течение 10 к.д. со дня поступления запроса |
|
1.2 |
безвозмездно пользоваться информационными ресурсами (системами), в т.ч. иметь к ним доступ, включая удаленный, получать из них сведения, в т.ч. содержащие банковскую, коммерческую, профессиональную и иную охраняемую законом тайну, а также персональные данные физлиц без их согласия, за исключением информационных ресурсов (систем), содержащих госсекреты |
На основании письменных запросов, запросов в виде электронных документов либо соглашений (договоров), заключенных с собственниками (владельцами) информационных ресурсов (систем) |
|
2 |
Безвозмездно пользоваться информационными и (или) электронными услугами, оказываемыми госорганами, юрлицами Республики Беларусь и иными организациями, на основании соглашений (договоров), заключенных с субъектами, оказывающими такие услуги |
|
|
3 |
Проводить в отношении операторов (уполномоченных лиц) при обработке ими персональных данных проверки на предмет соблюдения законодательства о персональных данных |
|
|
4 |
Требовать от операторов (уполномоченных лиц): |
|
|
4.1 |
изменения, блокирования или удаления недостоверных или полученных незаконным путем персональных данных, устранения иных нарушений законодательства о персональных данных |
Аналогичное положение закреплено в п. 3 ст. 18 Закона № 99-З |
|
4.2 |
прекращения обработки персональных данных, если иными способами невозможно обеспечить защиту прав субъектов персональных данных |
|
|
5 |
Принимать по вопросам, входящим в его компетенцию, решения, обязательные для исполнения госорганами, юрлицами Республики Беларусь, иными организациями и физлицами, осуществляющими деятельность по обработке персональных данных |
|
|
6 |
Привлекать работников госорганов, иных госорганизаций по согласованию с их руководителями, а также физлиц на договорной основе для решения вопросов, относящихся к компетенции НЦЗПД |
|
|
7 |
Проводить на договорной основе добровольный аудит соблюдения операторами (уполномоченными лицами) требований законодательства о персональных данных |
Актуально для организаций в части освобождения от плановых проверок на 5 лет |
Контроль за обработкой персональных данных операторами (уполномоченными лицами)
Согласно п. 23 Указа Президента от 16.10.2009 № 510 «О совершенствовании контрольной (надзорной) деятельности в Республике Беларусь» (далее – Указ № 510) данный Указ № 510 не применяется при осуществлении, в т.ч. контроля за обработкой персональных данных операторами (уполномоченными лицами).
Так, на осуществление контроля за обработкой персональных данных операторами (уполномоченными лицами) не распространяются правила Указа № 510, такой контроль осуществляется на основании в первую очередь Указа № 422.
Контроль за обработкой персональных данных осуществляется НЦЗПД согласно Положению № 422.
В п. 13 Положения № 422 закреплено, что такой контроль осуществляется в виде 3 видов проверок (таблица 3).
Таблица 3
Виды проверок
|
Критерии сравнения |
Виды проверок |
||
|
Наименование |
Плановые проверки |
Внеплановые проверки |
Камеральные проверки |
|
Содержание |
проверки, проводимые в соответствии с планом проверок соблюдения законодательства о персональных данных |
проверки, проводимые без включения в названный план |
проводятся по месту нахождения НЦЗПД посредством изучения, анализа и оценки: ● информации, размещенной в СМИ и глобальной компьютерной сети Интернет; ● документов и иной информации, в т.ч. полученной от оператора (уполномоченного лица) по запросу НЦЗПД. |
|
Основания для проведения проверки |
план проверок соблюдения законодательства о персональных данных, который ежегодно утверждается директором НЦЗПД и размещается на официальном сайте НЦЗПД в глобальной компьютерной сети Интернет не позднее 30 декабря года, предшествующего году проведения проверки |
наличие сведений, в т.ч. полученных от организации или физлица, жалоб субъектов персональных данных, свидетельствующих о совершаемом (совершенном) нарушении требований законодательства о персональных данных. Анонимная информация не является основанием для назначения внеплановых проверок |
|
|
Периодичность |
не чаще 1 раза в 2 года. Операторы (уполномоченные лица), имеющие положительное заключение НЦЗПД по итогам проведения добровольного аудита соблюдения требований законодательства о персональных данных, не подлежат плановым проверкам в течение 5 лет со дня получения соответствующего заключения |
нет |
|
|
Срок проведения проверки |
не может превышать 20 рабочих дней. Указанный срок может быть продлен директором НЦЗПД однократно не более чем на 10 рабочих дней |
|
|
|
Порядок |
1) создание комиссии и выдача предписания. Директором НЦЗПД формируется комиссия по проверке (далее – комиссия) и выдается предписание на ее проведение с указанием наименования оператора (уполномоченного лица), вида проверки (плановая или внеплановая), даты начала проверки, сроков ее проведения, состава комиссии, вопросов, подлежащих проверке |
без выдачи предписания на ее проведение и уведомления об этом оператора (уполномоченного лица) |
|
|
2) уведомление о начале проверки. Оператор (уполномоченное лицо) письменно уведомляется не позднее 10 рабочих дней до начала ее проведения. Уведомление должно содержать сведения о дате начала проверки, сроках ее проведения, составе комиссии, а также о вопросах, подлежащих проверке |
|
|
|
|
3) проведение проверочных мероприятий, как правило, в присутствии представителей проверяемого оператора (уполномоченного лица) |
|
||
|
4) оцениваются меры, принятые оператором (уполномоченным лицом) для обеспечения защиты персональных данных, а также их достаточность для защиты персональных данных |
|
||
|
5) руководитель комиссии самостоятельно определяет методы и способы осуществления проверки |
|
||
|
Оформление результатов проверки |
1) составляется акт в 2 экз., в котором должны быть отражены: ● соответствие (несоответствие) принятых оператором (уполномоченным лицом) мер по обеспечению защиты персональных данных требованиям законодательства о персональных данных; ● экспертная оценка комиссией достаточности принятых оператором (уполномоченным лицом) мер для защиты персональных данных; ● выявленные нарушения законодательства о персональных данных либо вывод об отсутствии таких нарушений; 2) акт плановой или внеплановой проверки составляется в течение 10 рабочих дней со дня ее окончания и подписывается всеми членами комиссии. В течение 3 рабочих дней после составления акта первый его экземпляр направляется проверяемому оператору (уполномоченному лицу) или вручается его уполномоченному представителю, второй остается в НЦЗПД |
|
|
|
В случае выявления по результатам проверки нарушений законодательства о персональных данных: |
1) директор НЦЗПД в течение 10 рабочих дней со дня окончания проверки выносит письменное требование (предписание) об устранении выявленных нарушений и (или) приостановлении (прекращении) обработки персональных данных в информационном ресурсе (системе) с указанием конкретных действий, которые должны быть приостановлены (прекращены), и устанавливает срок такого устранения и (или) приостановления (прекращения), не превышающий 6 мес.;
Справочно. Требование (предписание) составляется в 2 экз. Первый экземпляр в течение 3 рабочих дней после его составления направляется проверенному оператору (уполномоченному лицу) или вручается его уполномоченному представителю, второй остается в НЦЗПД.
2) о выполнении письменного требования (предписания) об устранении выявленных нарушений оператор (уполномоченное лицо) в сроки, установленные в этом требовании (предписании), письменно сообщает в НЦЗПД с приложением подтверждающих документов, а также предоставляет НЦЗПД возможность удостовериться (в т.ч. на месте) в устранении нарушений (при необходимости). При наличии объективных обстоятельств, не позволивших устранить нарушения, указанные в письменном требовании (предписании), в установленные в нем сроки, по заявлению оператора (уполномоченного лица), поданному не позднее 3 рабочих дней до дня истечения этих сроков и отражающему соответствующие обстоятельства, директором НЦЗПД такие сроки могут быть продлены. Решение о продлении указанных сроков или об отказе в этом принимается не позднее 2 рабочих дней со дня поступления заявления, о чем оператор (уполномоченное лицо) уведомляется в письменной форме в течение 2 рабочих дней со дня принятия решения. Решение о возобновлении обработки персональных данных в соответствующих информационных ресурсах (системах) принимается директором НЦЗПД в течение 10 рабочих дней после устранения нарушений, послуживших основанием для вынесения письменного требования (предписания) о приостановлении (прекращении) обработки персональных данных в информационном ресурсе (системе), о чем оператор (уполномоченное лицо) уведомляется в письменной форме в течение 2 рабочих дней со дня принятия такого решения |
могут быть направлены рекомендации об устранении выявленных нарушений законодательства о персональных данных |
|
|
Возражения по акту плановой или внеплановой проверки |
1) руководитель оператора (уполномоченного лица) или иной его уполномоченный представитель не позднее 15 рабочих дней со дня поступления акта оператору (уполномоченному лицу) или вручения его уполномоченному представителю представляет в НЦЗПД письменные возражения по его содержанию. Обоснованность доводов, изложенных в возражениях, рассматривается НЦЗПД не позднее 10 рабочих дней со дня их поступления. Результаты рассмотрения возражений отражаются в письменном заключении, которое направляется оператору (уполномоченному лицу) или вручается его уполномоченному представителю. В случае признания возражений обоснованными составляется новый акт проверки и при необходимости отменяется (изменяется) соответствующее письменное требование (предписание); 2) вынесенное по результатам плановой или внеплановой проверки письменное требование (предписание) об устранении нарушений и (или) приостановлении (прекращении) обработки персональных данных в информационном ресурсе (системе), а также действия (бездействие) проверяющих могут быть обжалованы оператором (уполномоченным лицом) в судебном порядке |
|
|
Положением № 422 закреплены следующие права проверяющих в отношении оператора (уполномоченного лица):
● право требовать представления документов (их копий) и (или) сведений, связанных с обработкой персональных данных. Если такие документы (их копии) в соответствии с требованиями законодательства могут находиться не в месте проверки, они должны быть представлены не позднее следующего рабочего дня со дня предъявления требования о представлении документов (их копий);
● право требовать обеспечения доступа при предъявлении служебных удостоверений и предписания на проведение проверки (в отношении объектов, допуск на которые ограничен в соответствии с законодательством, – документов, предусмотренных законодательством для допуска на такие объекты) в помещения и иные объекты (на территории), в которых осуществляется обработка персональных данных (за исключением жилых помещений), и к программно-техническим средствам, с помощью которых осуществляется такая обработка. При невозможности (затруднительности) исследования указанных программно-технических средств на месте по решению директора НЦЗПД такие программно-технические средства могут изыматься на срок, не превышающий срока проведения проверки.
Примечание
Серии служебных удостоверений госорганов (организаций) приведены в приложении 7 к Положению о порядке выдачи и использования служебных удостоверений в государственных органах (организациях), утв. Указом Президента от 18.03.2008 № 159 «О порядке выдачи и использования служебных удостоверений».
Рассмотрение жалоб субъектов персональных данных по вопросам обработки персональных данных
Право на жалобу.
Одной из функций НЦЗПД и одновременно формой защиты персональных данных является рассмотрение жалоб субъектов персональных данных по вопросам обработки персональных данных (п. 3 ст. 18 Закона № 99-З, п. 7 Положения № 422).
Так, согласно п. 27 Положения № 422 субъекты персональных данных, полагающие, что их права, свободы и законные интересы нарушены при обработке персональных данных, вправе направить в НЦЗПД жалобу по вопросам обработки персональных данных (далее – жалоба).
Такая жалоба может быть направлена в течение 3 мес. со дня, когда о них стало известно лицу, направившему жалобу.
Примечание
Заметим, что срок подачи жалобы схож со сроком обращения в суд по трудовым спорам (кроме исков о законности увольнения), установленным ст. 242 ТК.
Форма и содержание жалобы.
Согласно п. 28 Положения № 422 жалоба подается в письменной форме или в виде электронного документа и должна содержать:
● фамилию, собственное имя, отчество (если таковое имеется) субъекта персональных данных, адрес его места жительства (места пребывания);
● изложение сути жалобы с указанием действий (бездействия), которыми нарушаются права, свободы и законные интересы субъекта персональных данных;
● информацию о принятых мерах по восстановлению нарушенных прав, свобод и законных интересов субъекта персональных данных (в т.ч. обращение к оператору (уполномоченному лицу), в суд, органы прокуратуры или иные госорганы) или об отсутствии таких мер;
● личную подпись субъекта персональных данных в случае направления жалобы в письменной форме.
Примечание
В отличие, например, от согласия на обработку персональных данных (п. 6 ст. 5 Закона № 99-З), в жалобе не требуется указывать такие идентифицирующие сведения, как дата рождения и идентификационный номер.
К жалобе прилагаются документы и иные материалы (в т.ч. фотографии, графические изображения экрана (скриншоты)), подтверждающие нарушение прав, свобод и законных интересов субъекта персональных данных, подающего жалобу (при их наличии).
В п. 29 Положения № 422 закреплено, что жалобы в письменной форме подаются нарочным (курьером) или по почте.
Жалобы в виде электронного документа должны быть удостоверены ЭЦП, выработанной с использованием личного ключа, сертификат открытого ключа которого издан в Государственной системе управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь.
Основания для оставления жалобы без рассмотрения.
В п. 30 Положения № 422 приведены случаи, когда жалоба оставляется без рассмотрения по существу, если она:
● не соответствует требованиям, предусмотренным в п. 27–29 Положения № 422;
● рассмотрена, рассматривается или подлежит рассмотрению в соответствии с законодательством о конституционном судопроизводстве, гражданским процессуальным, хозяйственным процессуальным, уголовно-процессуальным законодательством, законодательством, определяющим порядок административного процесса, либо если в соответствии с законодательными актами установлен иной порядок подачи и рассмотрения такой жалобы.
Решение об оставлении жалобы без рассмотрения по существу принимается НЦЗПД в течение 10 рабочих дней со дня, следующего за днем ее регистрации, с уведомлением об этом субъекта персональных данных, подавшего жалобу, и указанием причин принятого решения.
Дополнительно в п. 33 Положения № 422 предусмотрено, что в случае поступления повторных жалоб, не содержащих новых обстоятельств, имеющих значение для их рассмотрения по существу, по таким жалобам с соответствующим субъектом персональных данных прекращается переписка с уведомлением его об этом. При поступлении повторных жалоб по вопросам, по которым с субъектом персональных данных прекращена переписка, такие жалобы рассмотрению не подлежат (без уведомления субъекта персональных данных).
Порядок рассмотрения жалобы.
В п. 31 Положения № 422 определен срок рассмотрения жалобы – не позднее 1 мес. со дня, следующего за днем их регистрации в НЦЗПД.
Примечание
При необходимости дополнительного изучения и проверки жалобы указанный срок может быть продлен НЦЗПД не более чем на 1 мес. с уведомлением об этом субъекта персональных данных, подавшего жалобу.
В п. 32 Положения № 422 предусматриваются действия НЦЗПД при подтверждении сведений, указанных в жалобе. В таком случае НЦЗПД принимает необходимые меры по защите нарушенных прав, свобод и законных интересов субъекта персональных данных, подавшего жалобу, и уведомляет его об этом.
В случае если содержащиеся в жалобе сведения о нарушениях при обработке персональных данных не подтверждаются, то НЦЗПД оставляет такую жалобу без удовлетворения и информирует об этом субъекта персональных данных, подавшего жалобу, с разъяснением порядка обжалования такого решения.
Принятые по результатам рассмотрения жалоб решения НЦЗПД могут быть обжалованы в судебном порядке.
Обучение
В подп. 3.1 п. 3 Указа № 422 НЦЗПД предоставлено право реализовывать образовательную программу повышения квалификации руководящих работников и специалистов, в т.ч. по вопросам технической и (или) криптографической защиты информации, защиты персональных данных.
Справочно
Напомним, что согласно п. 2 ст. 242 Кодекса об образовании образовательная программа повышения квалификации руководящих работников и специалистов – образовательная программа, направленная на профессиональное совершенствование работников.
Более подробно вопросы реализации такой программы предусмотрены Положением о непрерывном профессиональном образовании руководящих работников и специалистов, утв. постановлением Совета Министров от 15.07.2011 № 954 «О вопросах дополнительного образования взрослых».
Обучение в области обеспечения информационной безопасности.
В подп. 3.2 п. 3 Указа № 422 предусмотрены случаи прохождения обучения в области обработки и защиты персональных данных обеспечение информационной безопасности (таблица 4).
Таблица 4
Прохождение обучения в области обработки и защиты персональных данных и обеспечения информационной безопасности
|
Категории лиц |
Пояснения по категории лиц |
Порядок и сроки обучения |
|
Собственники (владельцы) информационных систем |
в которых обрабатывается служебная информация ограниченного распространения |
● обучение в НЦЗПД не реже 1 раза в 3 года своих работников и (или) иных лиц, в обязанности которых входит обеспечение информационной безопасности, по образовательной программе повышения квалификации руководящих работников и специалистов по вопросам технической и (или) криптографической защиты информации; ● ежегодное до 15 ноября представление НЦЗПД информации о количестве работников и (или) иных лиц, в обязанности которых входит обеспечение информационной безопасности, для повышения их квалификации |
|
в которых обрабатываются информация о частной жизни физлица и персональные данные, за исключением информационных систем, созданных с участием резидента ПВТ либо третьими лицами и используемых резидентом ПВТ при осуществлении деятельности в соответствии с п. 3 Положения о Парке высоких технологий, утв. Декретом Президента от 22.09.2005 № 12, которая связана с разработкой и (или) применением технологии реестра блоков транзакций (блокчейн) |
||
|
в которых обрабатываются электронные документы |
||
|
предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, являющиеся госорганами и иными госорганизациями, а также хозобществами, в уставных фондах которых 50 и более % акций (долей) находится в собственности Республики Беларусь и (или) ее административно-территориальных единиц |
||
|
Владельцы критически важных объектов информатизации |
Процедура проверки по определению соответствия условиям отнесения объектов информатизации к критически важным объектам информатизации (далее – КВОИ) осуществляется в соответствии с требованиями Указа Президента от 09.12.2019 № 449 «О совершенствовании государственного регулирования в области защиты информации», и следующих НПА: ● Положением о порядке отнесения объектов информатизации к критически важным объектам информатизации, утв. Указом № 196; ● приказом Оперативно-аналитического центра при Президенте Республики Беларусь от 20.02.2020 № 65 «О показателях уровня вероятного ущерба национальным интересам Республики Беларусь»; ● приложением 1 к приказу Оперативно-аналитического центра при Президенте Республики Беларусь от 20.02.2020 № 66 «О мерах по реализации Указа Президента Республики Беларусь от 9 декабря 2019 г. № 449». Объект информатизации подлежит отнесению к КВОИ при условии его соответствия критериям и показателям уровня вероятного ущерба национальным интересам Республики Беларусь в политической, экономической, социальной, информационной, экологической и иных сферах (далее – показатели уровня вероятного ущерба) в случае создания угроз информационной безопасности либо в результате возникновения рисков информационной безопасности в отношении объекта информатизации (его составляющих элементов) согласно приложению к приказу Оперативно-аналитического центра при Президенте от 20.02.2020 № 66. Критериями отнесения объектов информатизации к КВОИ являются: ● критерий социальной значимости – в отношении объектов информатизации, обеспечивающих жизнедеятельность населения; ● критерий экономической значимости – в отношении объектов информатизации, обеспечивающих функционирование объектов (организаций) основных отраслей экономики и (или) иные важные экономические потребности, в т.ч. обеспечивающих проведение безналичных (межбанковских) расчетов, осуществляющих процессинг; ● критерий экологической значимости – в отношении объектов информатизации, нарушение или прекращение функционирования которых может причинить ущерб окружающей среде; ● критерий информационной значимости – в отношении объектов информатизации в области связи и СМИ |
|
|
Организации, осуществляющие лицензируемую деятельность по технической и (или) криптографической защите информации |
|
В настоящее время возникает вопрос о применении постановления Совета Министров от 03.04.2020 № 204 «О повышении квалификации по вопросам технической и (или) криптографической защиты информации», согласно которому собственники (владельцы) информационных систем и владельцы критически важных объектов информатизации, иные юрлица:
● начиная с 01.04.2020 организуют на базе РУП «Национальный центр обмена трафиком» не реже 1 раза в 3 года повышение квалификации своих работников и (или) иных лиц, в обязанности которых входит обеспечение информационной безопасности по вопросам технической и (или) криптографической защиты информации;
● ежегодно до 15 ноября обеспечивают представление РУП «Национальный центр обмена трафиком» предложений о кандидатурах вышеназванных работников для повышения их квалификации.
Такое обучение будет соответствовать обучению по персональным данным, одного из них также будет достаточно.
Обучение в области защиты персональных данных.
В подп. 3.3 п. 3 Указа № 422 определено, что операторы (уполномоченные лица) организуют не реже 1 раза в 5 лет прохождение обучения по вопросам защиты персональных данных лицами, ответственными за осуществление внутреннего контроля за обработкой персональных данных, а также лицами, непосредственно осуществляющими обработку персональных данных, в т.ч.:
1) категориями лиц, определенными ОАЦ, – в НЦЗПД по образовательной программе повышения квалификации руководящих работников и специалистов;
2) иными лицами:
● в учреждениях образования, а также в иных организациях, которым предоставлено право реализации образовательной программы повышения квалификации руководящих работников и специалистов, по образовательной программе повышения квалификации руководящих работников и специалистов;
● в других организациях по образовательной программе обучающих курсов (лекториев, тематических семинаров, практикумов, тренингов, офицерских курсов и иных видов обучающих курсов);
● у оператора (уполномоченного лица) путем изучения установленных требований в области защиты персональных данных и проверки им знаний по вопросам защиты персональных данных (в форме собеседования, опроса, тестирования и других формах контроля знаний).
Операторы (уполномоченные лица) до 15.12.2021, а в последующие годы – до 15 ноября обеспечивают представление НЦЗПД информации о количестве лиц, ответственных за осуществление внутреннего контроля за обработкой персональных данных, а также лиц, непосредственно осуществляющих обработку персональных данных, которым необходимо пройти обучение в НЦЗПД.
Согласно подп. 7.2 п. 7 Указа № 422 ОАЦ до 15.11.2021 должен определить категории лиц, ответственных за осуществление внутреннего контроля за обработкой персональных данных, а также лиц, непосредственно осуществляющих обработку персональных данных, которые обязаны проходить обучение в НЦЗПД.
Реестр операторов персональных данных
Согласно подп. 3.5 п. 3 Указа № 422 операторы, являющиеся госорганами, юрлицами Республики Беларусь, иными организациями, устанавливают и поддерживают в актуальном состоянии:
1) перечень информационных ресурсов (систем), содержащих персональные данные, собственниками (владельцами) которых они являются;
2) категории персональных данных, подлежащих включению в такие ресурсы (системы):
● общедоступные персональные данные;
● специальные персональные данные (кроме биометрических и генетических персональных данных);
● биометрические и генетические персональные данные;
● персональные данные, не являющиеся общедоступными или специальными;
3) перечень уполномоченных лиц, если обработка персональных данных осуществляется уполномоченными лицами;
4) срок хранения обрабатываемых персональных данных.
В соответствии с подп. 3.6 п. 3 Указа № 422 операторы обязаны вносить в создаваемый НЦЗПД государственный информационный ресурс «Реестр операторов персональных данных» (далее – реестр) сведения об информационных ресурсах (системах), содержащих персональные данные, а также обеспечивать актуализацию соответствующих сведений.
Виды информационных ресурсов (систем), сведения о которых подлежат внесению в реестр, а также перечень включаемых в него сведений и срок их внесения в реестр, определяются ОАЦ. Так, согласно подп. 7.2 п. 7 Указа № 422 ОАЦ должен определить до 01.08.2022 виды информационных ресурсов (систем), сведения о которых подлежат внесению в реестр, а также перечень включаемых в него сведений и сроки их внесения в реестр.
Владельцем и оператором реестра является НЦЗПД.
