Защита персональных данных: ЕС и Республика Беларусь

Материал подготовлен с использованием правовых актов по состоянию на 9 декабря 2021 г.

Анализируются принципы защиты персональных данных пользователей, порядок обеспечения сохранности данных, а также законные основания для обработки таких данных в ЕС и Республике Беларусь.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

Современный интернет-маркетинг одной из своих целей ставит получение контактов клиентов. Для этого повсеместно используются формы обратной связи, опросники, калькуляторы, квизы и другие способы захвата персональных данных. В них пользователь сам оставляет свои персональные данные, по которым потом осуществляется направление предложений продавцами посредством электронной почты или телефона.

Персональными данными является любая информация, с помощью которой возможно идентифицировать физлицо. Объем этих данных в последнее время вырос, возникают новые механизмы мошенничества и необходимость обезопасить лицо от посягательств на его персональные данные. В связи с этим возникает необходимость законодательного регулирования порядка защиты персональных данных. 15.11.2021 на территории Республики Беларусь вступил в силу Закон № 99-З. Это первый закон, специально посвященный защите персональных данных в Беларуси.

За рубежом вопросы защиты персональных данных на законодательном уровне уже давно оформлены. Так, в ЕС Регламент по защите персональных данных (далее – Регламент) (GDPR) был разработан и принят Европарламентом и Советом ЕС еще в 2016 году, а вступил в законную силу 25.05.2018. Несмотря на тот факт, что указанный правовой акт был принят органами ЕС, любая организация попадает под действие Регламента, если официальный сайт организации предоставляет обратную связь, а также техническую поддержку на одном из государственных языков стран ЕС, имеет рекламу, которая направлена на жителей ЕС, проводит мониторинг действий физлиц, которые находятся на территории ЕС, прямо указывает, что организация нацелена на продвижение своей продукции на территории ЕС.

Многие положения Регламента актуальны и для белорусских пользователей, что подтверждается нормами белорусского законодательства в области защиты персональных данных, а именно обработка таких данных должна быть законной, справедливой и прозрачной для субъекта; данные должны обрабатываться для законных целей, которые явно определены для субъекта сбора данных; сбор и обработка такого количества данных, сколько необходимо для указанных целей; поддерживание точности личных данных и внесение в них изменений при необходимости; хранение личных данных лишь необходимый промежуток времени.

Обработка должна обеспечить безопасность, целостность и конфиденциальность данных, защитить от несанкционированной или незаконной обработки и от случайной потери, уничтожения или повреждения, с использованием соответствующих технических или организационных мер (например, с использованием шифрования). Немаловажным фактором является также соблюдение принципа ответственности через назначение инспектора по защите данных (Data protection officer), если такая обработка проводится госрганом, осуществляется регулярный мониторинг данных, обрабатываются специальные категории данных в крупных масштабах.

Кроме того, необходимо вести подробную документацию о собираемых данных, о том, как они используются, где хранятся, кто за них отвечает, нужно определить законные основания для обработки данных, оценить риски и принять технические и организационные меры по их снижению.

Чтобы реализовать все поставленные цели по сбору данных через сайт на территории ЕС, белорусской организации необходимо подготовить минимальный пакет следующих документов:

1. Уведомление об обработке персональных данных (Privacy Notice), которое должно содержать информацию о порядке использования персональных данных пользователя: объем собираемых данных, порядок их сбора, использования и период хранения таких данных, а также при необходимости указывается возможность передачи таких данных третьим сторонам.

2.Политика обработки персональных данных (Privacy Policy).

3. Согласие на обработку персональных данных (Consent to the processing of personal data).

4. Политика защиты персональных данных (Personal data protection policy).

5. Согласие, заключаемое между оператором персональных данных (controller) и обработчиком персональных данных (processor) (Data Processing Agreement) (оно составляется в случае необходимости).

6. Политика обработки cookie-файлов (Сookie Policy).

При этом существует возможность создать один консолидированный документ – Политику обработки персональных данных (Privacy Policy), который будет включать и Уведомление об обработке персональных данных, и Политику обработки cookie-файлов (Сookie Policy). Сookie-файлы также являются персональными данными, что позволяют определить субъекта персональных данных. Но конкретный пользователь не определяется по его паспортным данным и месту жительства, а при этом используется информация о его активностях на сайте для возможного контакта через e-mail.

Согласие на обработку персональных данных (Consent to the processing of personal data) является одним из законных оснований для их обработки согласно Регламенту. Оно требуется в случае, если пользователь подписывается на рассылки, предлагаемые компанией и осуществляемые через электронную почту. Строгой формы данного документа не существует, однако оно должно быть понятным в изложении и содержать цели сбора данных, порядок их обработки. При этом в Согласии на обработку персональных данных в обязательном порядке должна быть предусмотрена возможность отзыва согласия пользователя, которая прописывается в Политике обработки персональных данных.

Что же касается законодательного регулирования этого вопроса в Беларуси, то с этой целью был принят Закон № 99-З, который направлен на обеспечение защиты персональных данных, прав и свобод физлиц при обработке их данных. В целом можно отметить, что указанный правовой акт во многом схож по своим положениям с Регламентом, например, сохраняется подход, в соответствии с которым персональными данными является любая информация, с помощью которой возможно идентифицировать физлицо. Однако существуют и некоторые различия.

В частности, Законом № 99-З предусматривается определение порядка трансграничной передачи персональных данных. Оно запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных. По сравнению с этим Регламент дает возможность передачи собранных сведений в третьи страны (даже если эти страны не предоставляют надлежащий уровень защиты информации), если субъект данных дает свое согласие на такую передачу. Для этого достаточно подписать специальное соглашение и стандартные условия о передаче персональных данных.

Еще одним различием является то, что Закон № 99-З не содержит требований к программному обеспечению для защиты пользователей и достаточно поверхностно регулирует технические способы защиты персональных данных.

Если компания обрабатывает данные пользователей (собирает их телефоны, e-mail для обратной связи), то в таком случае необходимо назначить ответственного за защиту персональных данных. Здесь различие 2 актов права состоит в том, что Регламент требует назначить такого ответственного только в том случае, если основная деятельность компании требует масштабного, регулярного и систематического мониторинга данных, тогда как Закон № 99-З требует назначать такого ответственного в любом случае.

Согласно Закону № 99-З любой субъект, который самостоятельно или совместно с кем-либо организует и осуществляет обработку данных, является оператором. Оператором может стать любое лицо, которое осуществляет обработку персональных данных в связи с профессиональной или предпринимательской деятельностью. При этом не важно, как обрабатываются данные: с помощью автоматизированных средств или без них (например, картотеки, списки и т.п.). Оператору всегда необходимо получать согласие на обработку персональных данных от субъектов данных. По Регламенту в аналогичной ситуации при определенных условиях можно не получать согласие пользователя, а ссылаться на законный (легитимный) интерес. Согласие на обработку данных может быть дано как в письменной форме, так и с помощью CMC-сообщения с кодом, электронной почты, а также проставления отметки на сайте. Обязанность доказывания получения согласия субъекта персональных данных возлагается на оператора, поэтому рекомендуется хранить такие данные. Оператор также должен обеспечить неограниченный доступ, в т.ч. с использованием сети Интернет, к документам, определяющим его политику в отношении обработки персональных данных, до начала такой обработки. Содержание и объем обрабатываемых данных должны соответствовать заявленным целям их обработки, а при появлении новых целей необходимо получать новое согласие.

Субъект персональных данных при даче своего согласия указывает свои фамилию, имя, отчество (если таковое имеется), дату рождения, идентификационный номер, а при отсутствии такого – номер документа, удостоверяющего его личность. Но если цели обработки персональных данных не требуют обработки такой информации, то эта информация не подлежит обработке оператором. Пользователь может в любой момент отозвать свое согласие на использование данных, а оператор обязан в 15-дневный срок прекратить обработку этих данных, удалить их и уведомить об этом пользователя.

С 01.03.2021 скорректированы нормативные правовые предписания Кодекса Республики Беларусь об административных правонарушениях (далее – КоАП) об ответственности за нарушения в сфере персональных данных. Раньше ответственность касалась только узкого круга физлиц (которым коммерческая или иная охраняемая законом тайна либо персональные данные известны в связи с профессиональной или служебной деятельностью). С 01.03.2021 незаконные сбор, обработка, хранение или предоставление данных физлица либо нарушение его прав, связанных с обработкой данных, влекут наложение штрафа в размере до 50 БВ (ч. 1 ст. 23.7 КоАП). А если такие деяния совершены лицом, которому персональные данные известны в связи с его профессиональной деятельностью, то размер штрафа составляет до 100 БВ (ч. 2 ст. 23.7 КоАП). В настоящее время на рассмотрении находится вопрос ужесточения уголовной ответственности за незаконное раскрытие персональных данных.

Библиография

1. Регламент 2016/679 Европейского парламента и Совета от 27 апреля 2016 года о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных (Общие правила защиты данных) [Электронный ресурс]. – Дата доступа: 11.10.2021.