Персональные данные: защита, ответственность и основные ошибки

В эпоху цифровых технологий персональные данные (далее – ПД) приобрели исключительную ценность, обусловливая необходимость их надежной защиты. Защита ПД – это не просто формальное соответствие закону, но и инвестиция в репутацию, доверие клиентов и устойчивость бизнеса. В условиях, когда утечка информации стала обычным явлением, клиенты особенно ценят компании, обеспечивающие надежную защиту их ПД.

Чем регулируется защита персональных данных в Республике Беларусь?

Основным нормативным правовым актом, регулирующим вопросы защиты ПД, является:

• Конституция Республики Беларусь
• Закон Республики Беларусь от 7 мая 2021 года «О защите персональных данных» (далее – Закон о защите персональных данных). Закон о защите персональных данных вступил в силу 15 ноября 2021 года и внес значительные изменения в правовое регулирование данной сферы.
• Указ Президента Республики Беларусь от 28.10.2021 г.№422 «О мерах по совершенствованию защиты персональных данных».
• Закон Республики Беларусь от 10.11.2008 г.№455-З «Об информации, информатизации и защите информации».
• Трудовой кодекс Республики Беларусь (статья 47).

Что такое персональные данные и что к ним относится?

ПД – это любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано (абз. 9 ст. 1 Закона о защите персональных данных).

Что это значит?

Это означает, что любая информация, которая позволяет прямо или косвенно идентифицировать конкретного человека, считается ПД.

Примеры информации, которая может быть отнесена к ПД:

• ФИО;
• дата и место рождения;
• паспортные данные;
• контактные данные (телефон, e-mail, адрес регистрации и т.д.);
• фото/видео;
• данные о семейном положении, образовании, должности;
• сведения о состоянии здоровья, расовой или этнической принадлежности, политических взглядах, номер телефона, IP-адрес, cookie-файлы, история посещений, поисковые запросы, данные о покупках, подписках, членстве в организациях, бонусных картах, банковских счетах и транзакциях и т.д.;
• иные данные, позволяющие идентифицировать лицо.

Примеры ПД:
• Иванов Иван Иванович
• Иванов И.И. 01.01.1996
• Паспорт МР1111111
• IvanovII@mail.ru

Даже если информация сама по себе не позволяет идентифицировать человека, она может быть отнесена к ПД, если в совокупности с другой информацией это возможно.

Таким образом, не существует единого перечня, определяющего, какие сведения считать ПД. Поэтому вопрос об отнесении тех или иных сведений к ПД требует индивидуального подхода и тщательного анализа каждой конкретной ситуации.

Что учитывать при обработке ПД?

Соблюдение законодательства о защите ПД требует комплексного подхода, включающего организационные, технические и правовые меры.
Вот основные шаги, которые необходимо предпринять бизнесу:

• Определите цели обработки персональных данных.
  

  Четко сформулируйте, для каких целей вы собираете и используете персональные данные. Цели должны быть законными, конкретными и заранее заявленными. Собирайте только те ПД, которые необходимы для достижения заявленных целей, т.к. обрабатываемые ПД не должны быть избыточными по отношению к заявленным целям их обработки.

• Получите согласие субъекта ПД.
  

  В большинстве случаев для обработки ПД требуется согласие субъекта. Согласие должно быть свободным, однозначным и информированным выражением воли субъекта. Согласие должно быть оформлено в письменной форме, в форме электронного документа или иной электронной форме, позволяющей установить факт его получения. Убедитесь, что форма согласия соответствует требованиям законодательства.

• Назначьте лицо, ответственное за осуществление внутреннего контроля за обработкой ПД.
  

  Оператор обязан назначить лицо, ответственное за осуществление внутреннего контроля за обработкой ПД.

• Обучите работников.
  

  Все работники, имеющие доступ к ПД, должны быть обучены правилам обработки ПД.

• Храните персональные данные только в течение срока, необходимого для достижения целей обработки.
  

  Сроки должны быть не дольше, чем этого требуют заявленные цели обработки персональных данных.

• Составьте и внедрите необходимые документы по обработке ПД.

Какие документы необходимо разработать?

Для соблюдения законодательства Республики Беларусь о защите персональных данных организация должна разработать и внедрить ряд документов:

• приказ о назначении ответственного за внутренний контроль за обработкой ПД;
• политики обработки ПД (клиентов/контрагентов/посетителей сайта/ cookies);
• реестр обработки ПД;
• перечень уполномоченных лиц, обрабатывающих персональные данны;
• форма согласия на обработку ПД;
• положение о порядке осуществления внутреннего контроля за обработкой ПД;
• должностная инструкция ответственного за внутренний контроль за обработкой ПД;
• положение/приказ об организации обучения лиц, имеющих доступ к ПД;
• форма отзыва согласия на обработку ПД;
• форма заявления об осуществлении прав субъекта ПД;
• перечень информационных ресурсов (систем), содержащих ПД, и категории ПД, подлежащих включению в них;
• порядок доступа ПД, в том числе обрабатываемых в информационном ресурсе;
• положение о порядке уничтожения ПД.

Обращаем ваше внимание, что не стоит рассчитывать на универсальные шаблоны документов. Составление документов по обработке ПД требует индивидуального подхода, поэтому каждой организации необходимо разработать пакет документов, отражающий специфику ее деятельности

Какая ответственность за несоблюдение законодательства о защите персональных данных?

Несоблюдение законодательства о защите ПД влечет административную, уголовную и гражданско-правовую ответственность.

• Административная ответственность.
  

  Нарушение законодательства о защите персональных данных влечет наложение штрафа на юридическое лицо в размере до 200 базовых величин.

• Уголовная ответственность.
  

  Незаконный сбор, хранение, распространение персональных данных может повлечь за собой уголовную ответственность в виде лишения свободы на срок до пяти лет.

• Гражданско-правовая ответственность.
  

  Субъект персональных данных может требовать компенсации морального вреда, в случае нарушения его прав.

Таким образом, соблюдение законодательства о персональных данных – это не только обязанность, но и защита бизнеса от штрафов и репутационных рисков. Чтобы избежать нарушений, важно грамотно выстроить процессы обработки ПД.

Стоимость услуг по разработке и внедрению пакета документов о защите ПД формируется в индивидуальном порядке с учетом сложностей и предполагаемого объема мероприятий, работ.