Публичное обсуждение проектов НПА

Видео-, аудиозапись.

Вносимые изменения
в части «Оператор не вправе устанавливать технические средства, осуществляющие видеозапись, с целью избирательного наблюдения и контроля за действиями конкретных работников, учета рабочего времени, контроля трудовой и исполнительской дисциплины или для оценки эффективности труда работников» противоречат требованиям действующего законодательства.

Справочно. Перечень законодательных актов, закрепляющих обязанности оператора довольно большой. В качестве примера рассмотрим ТК и Закон «Об охране труда».

Согласно статье 55 ТК наниматель обязан: обеспечивать производственно-технологическую, исполнительскую и трудовую дисциплину; вести учет фактически отработанного работником времени; исполнять другие обязанности, вытекающие из законодательства, локальных правовых актов и трудовых договоров.

Согласно статье 17 Закона «Об охране труда» работодатель обязан: принимать меры по предотвращению аварийных ситуаций, сохранению жизни и здоровья работающих при возникновении таких ситуаций, оказанию потерпевшим при несчастных случаях на производстве необходимой помощи, их доставке в организацию здравоохранения; осуществлять контроль за соблюдением законодательства об охране труда работниками; исполнять другие обязанности, предусмотренные законодательством об охране труда.

При этом каким образом наниматель обязан это делать и какие технические средства может использовать в ТК и Законе не закреплено.

Когда в организации работает 20 человек и организация расположена в одном здании – это одно. Но как наниматель должен выполнять свои обязанности, когда в организации работает 10000 и более человек, а территория и площадь занимает десятки тысяч метров, объекты территориально удалены друг от друга, имеются опасные производства, вход на территорию и отдельные ее участки осуществляется через множество проходных, организация работает круглосуточно в сменном режиме и др.

Современное программное обеспечение, используемое при осуществлении видеонаблюдения, позволяет выявлять возникновение аварийных ситуаций, нарушения со стороны работников на первоначальных этапах, и многое другое не допуская наступления тяжких последствий.

Применение технических средств в ряде случаев помогает предотвратить ту или иную ситуацию, оказать профилактическое воздействие на работника. Именно по такому принципу работают камеры, включенные в единую систему видеонаблюдения за состоянием общественной безопасности (на профилактику, выявление правонарушений, а не сбор информации в отношении конкретного лица). Наниматель также работает на профилактику и выявление фактов нарушения охраны труда, производственно-технологической, исполнительской и трудовой дисциплины, он не собирает информацию в отношении конкретного лица.

Предложение. Не ограничивать операторов в данной части.

Новостной контент.

Согласие субъекта
персональных данных на обработку персональных данных не требуется:

при распространении оператором новостных материалов с фото- и (или) видеоизображениями граждан, полученных при проведении мероприятий в рамках распространения информации о таких мероприятиях.

Из данной нормы непонятно какие фото-, видеоизображения можно размещать без согласия, а какие только при его получении (групповые, когда все смотрят в кадр или никто не смотрит в кадр, когда кто-то смотрит в кадр, а кто-то не смотрит в кадр, индивидуальные, когда субъект основной объект съемки). Размещаемые фото и видеоизображения мероприятий также сопровождаются текстовой частью (состоялось мероприятие, приняли участие Петров, Иванов, Сидоров – работники ОАО, прошел конкурс, победителем признан Сидоров – работник ОАО, и др.). Данную информацию можно размещать без согласия, или необходимо его наличие?

Предложение. Внесите конкретику. Дать официальные разъяснения.

п.6, ст.91: Сроки хранения сложно ограничить
30 днями ввиду большого количества объектов, находящихся под видеонаблюдением (169 объектов 604 камеры), также установленная система видеонаблюдения организована с использованием средств определения движения, что не всегда позволяет вложиться в указанный срок, и также отсутствует возможность предустановки настроек, позволяющих ограничить срок хранения 30 днями (перезапись осуществляется только после полного заполнения жесткого диска видеорегистратора) 169 объектов 604 камеры. Исходя из вышеупомянутого выявляется проблема, пути решения которой представляют собой либо же полная модернизация системы видеонаблюдения, что требует немалых капиталовложений, либо же отказ от системы видеонаблюдения, что противоречит НПА, поступающим в организацию, предписывающим использование систем аудио- и видеонаблюдения и создает уязвимости в системе охраны Предприятия.

п.2, ст.91: Ограничение контроля эффективности труда сотрудников охватывает очень широкий спектр возможных ситуаций, вместе с тем существует ряд вопросов, на которые сложно сформировать ответ, на примере Предприятия, осуществляющего розничную торговлю лекарственными препаратами поясняю: в соответствии с Постановлением Министерства здравоохранения «О надлежащей аптечной практике», руководители аптек, а также сотрудники аптек, имеющие высшее фармацевтическое образование осуществляют фармацевтическое консультирование населения (по требованию), также не реже 1 раза в год лицом, ответственным за введение и функционирование системы обеспечения качества, организуется проведение самоинспекции путем привлечения для участия работников аптеки. С целью контроля фактического исполнения предписанных требований руководства по качеству или иного эквивалентного документа, ТИ, СОП и правильности предоставленных рекомендаций, а также для анализа и последующего разрешения, возникших входе обслуживания, спорных ситуаций, допустимо ли вести аудио- и видеозапись?

         п.2, ст.91: Исполнение трудовой и исполнительской дисциплины, является обязательством сотрудника перед Предприятием, в то же время закон прямо ограничивает Предприятие в контроле соблюдения данного обязательства, не смотря на то что сама видеозапись остается на носителе информации, принадлежащем Предприятию, Предприятие не в праве проанализировать информацию, хранящуюся на данном машинном носителе информации (даже при условии отсутствия технических средств, позволяющих однозначно идентифицировать субъекты персональных данных, попавших в кадр)

1. К статье 2 «Предмет регулирования
настоящего Закона»

Предлагаем прямо предусмотреть в статье сферу действия Закона по территории и по кругу лиц (территориальный и персональный критерии применимости). Действующая редакция определяет предмет регулирования через способ обработки (с использованием / без использования средств автоматизации), однако не содержит однозначных критериев, позволяющих определить, распространяется ли Закон на операторов-нерезидентов, обрабатывающих персональные данные лиц, находящихся на территории Республики Беларусь, а также на операторов Республики Беларусь, осуществляющих обработку за её пределами. Отсутствие таких критериев создаёт правовую неопределённость для трансграничных бизнес-моделей и осложняет применение Закона к иностранным сервисам.

2. К пункту 3 статьи 4 «Общие требования к обработке персональных данных»

Просим разъяснить правовое основание обработки строго необходимых (технических) файлов cookie. Из перечня оснований обработки, закреплённого в пункте 3 статьи 4 и в статье 6, прямо не следует, к какому из оснований относится обработка cookie, обеспечивающих базовую работоспособность интернет-ресурса (аутентификация сессии, безопасность, балансировка нагрузки и т.п.). Предлагаем либо прямо поименовать данный случай в перечне оснований обработки без согласия, либо дать официальные разъяснения об отнесении такой обработки к обработке, необходимой для исполнения договора / оказания запрошенной пользователем услуги.

3. К пункту 1 статьи 5 «Согласие субъекта персональных данных»

Просим уточнить квалификацию согласия в случае, если договор с субъектом объективно включает обработку специальных персональных данных, необходимую для его исполнения. С одной стороны, согласие признаётся свободным, если исполнение договора не зависит от согласия; с другой — для специальных персональных данных договор сам по себе не является основанием обработки (пункт 2 статьи 8). Возникает вопрос: будет ли согласие в такой ситуации считаться свободным и законным, если без обработки специальных персональных данных исполнение договора объективно невозможно (например, услуги, включающие биометрическую идентификацию). Предлагаем закрепить в Законе прямое регулирование данной коллизии, в том числе критерии допустимости получения согласия «в связи с договором» на обработку специальных персональных данных.

4. К пункту 5 статьи 5 «Содержание информации,
предоставляемой до получения согласия»

Обращаем внимание на внутреннее противоречие проекта:

• в пункте 3 статьи 4 согласие на трансграничную передачу отдельно не поименовано среди оснований обработки;
• в то же время пункт 5 статьи 5 относит информацию о трансграничной передаче к сведениям, предоставляемым субъекту до получения согласия на обработку, то есть фактически включает её в единое согласие;
• статья 9 при этом рассматривает согласие как самостоятельное условие трансграничной передачи в страны без надлежащего уровня защиты.

Из совокупности указанных норм невозможно однозначно определить, является ли согласие на трансграничную передачу самостоятельным согласием либо частью общего согласия на обработку, и достаточно ли для передачи в «ненадлежащую» юрисдикцию простого информирования субъекта в тексте общего согласия — без обособленного волеизъявления.

Предлагаем прямо закрепить в Законе соотношение указанных согласий: определить, является ли согласие на трансграничную передачу самостоятельным основанием или частью согласия на обработку, установить требования к форме его выражения и согласовать между собой пункт 3 статьи 4, пункт 5 статьи 5 и статью 9.

5. К абзацу об общедоступных персональных данных статьи 6

Просим уточнить порядок реализации субъектом права на возражение против обработки его общедоступных персональных данных:

• должно ли соответствующее заявление направляться исключительно в порядке статьи 14, или допускаются иные формы волеизъявления (в частности, размещаемая самим субъектом при публикации оговорка о запрете обработки его данных коммерческими организациями - риэлторами, автохаусами, кадровыми агентствами и т.п.);
• если после заявления субъекта о прекращении обработки одному оператору персональные данные объективно остаются в открытом доступе, является ли сам факт их доступности достаточным основанием для продолжения обработки как этим, так и иными операторами.

9. К пункту 1 статьи 7 - определяющие условия
договора между оператором и уполномоченным лицом

10. К статьям 11 и 13 — особенности реализации
прав субъекта при обработке посредством видеонаблюдения

Предлагаем прямо урегулировать в Законе особенности реализации прав субъекта персональных данных (на получение информации, а также на прекращение обработки и удаление) применительно к обработке посредством видеонаблюдения, с учётом того, что такая обработка, как правило, не направлена на идентификацию конкретных субъектов, а материалы записи одновременно содержат персональные данные иных лиц.

В частности, считаем целесообразным закрепить:

• допустимые форматы предоставления информации субъекту — например, извлечение фрагмента записи с обезличиванием третьих лиц, предоставление стоп-кадров, обзорной информации о зонах наблюдения, сроках хранения и целях обработки — без нарушения прав иных субъектов, попавших в кадр;
• порядок и форму передачи субъекту самой записи (её фрагмента): обязан ли оператор предоставлять запись на съёмном носителе (и за чей счёт приобретается такой носитель), либо допустимо исполнение обязанности иными способами (направление по защищённому каналу связи, предоставление доступа к просмотру в помещении оператора, выгрузка через защищённый веб-сервис и т.п.), а также критерии выбора оператором конкретного способа с учётом объёма записи, требований к защите данных иных лиц и технической возможности оператора;
• порядок реализации права на прекращение обработки и удаление записи, учитывая, что удаление или блокирование отдельного фрагмента может затронуть права иных субъектов, зафиксированных на этой же записи, и/или сделать невозможным достижение правомерных целей наблюдения (обеспечение безопасности, сохранности имущества); предлагаем закрепить критерии удовлетворения такого требования и допустимые технические способы его исполнения (в том числе локальное обезличивание/маскирование изображения субъекта);
• порядок идентификации субъекта, обращающегося с заявлением, с учётом того, что оператор при видеонаблюдении, как правило, не располагает установочными данными субъекта; в этой связи целесообразно определить: какие дополнительные сведения и документы оператор вправе запросить исключительно в целях идентификации (в частности, копию документа, удостоверяющего личность, описание внешности, времени и места нахождения в зоне наблюдения), как это соотносится с принципами минимизации и соразмерности обработки (пункты 2 и 5 статьи 4), а также последствия невозможности идентификации субъекта, включая порядок оформления оператором отказа в удовлетворении заявления.

Данный запрет, исходя из буквального прочтения, является императивным и даже не допускает установления из него изъятий в отраслевом законодательстве с учетом специфики работы в конкретной отрасли.

При этом, из нормы неясно, что следует понимать под «избирательным наблюдением и контролем за действиями конкретных работников».

Полагаем, что в отношении данной формулировки в ходе правоприменения возможны расширительные толкования, которые будут препятствовать внедрению видеонаблюдения для контроля за соблюдением работниками требований в области охраны труда, в том числе о ношении СИЗ, при работе на опасных производственных объектах и (или) потенциально опасных объектах, строительных площадках и т.п. Например, по типу «умных» камер, которые оценивают правильность ношения работником средств индивидуальной защиты, наличие у них необходимого оборудования перед началом опасных работ, а также для оценки соблюдения требований на площадке выполнения работ.

Соответствующие мероприятия позволяют более эффективно и комплексно проводить работу по предупреждению совершения работниками нарушений в области охраны труда и техники безопасности, которые могут повлечь причинение вреда жизни и здоровью не только их самих, но и иных граждан.

С учетом изложенного, предлагается пункт 2 статьи 9-1 исключить или предусмотреть в нем возможность предусмотреть иное в «законодательном акте и (или) принятом в его развитие ином акте законодательства».

2. В проектируемой статье 9-2 предлагается
формулировку «на основании исключительно автоматизированной обработки персональных данных» заменить формулировкой «путем исключительно автоматизированной обработки персональных данных». Такое уточнение считаем необходимым, чтобы подчеркнуть, что действие статьи 9-2 распространяется на случаи, когда юридически значимое решение принимается самой автоматизированной системой без участия человека, и действие указанной нормы не распространяется на случаи, когда юридически значимое решение принимается человеком на основании данных, которые были получены (собраны) в ходе автоматизированной обработки. Например, когда соответствующая система фиксирует и собирает информацию, которая впоследствии оценивается человеком для принятия юридически значимого решения.

3. Ряд новых норм, предлагаемых к включению в Закон «О защите персональных данных» предоставляют возможность предусмотреть иное регулирование в ином законодательном акте и (или) принятом в его развитие ином акте законодательства (например, часть 2 пункта 1 статьи 9-1, пункт 1 статьи 9-2). Поскольку для разработки соответствующего отраслевого законодательства может потребоваться значительное время, предлагается значительно увеличить предусмотренный в статье 25 проекта Закона срок на вступления в силу его статьи 18. Как минимум – через один год после официального опубликования.

С учётом анализа представленного на обсуждение
проекта Закона Республики Беларусь «Об изменении законов по вопросам защиты персональных данных» (далее – Проект Закона), исходя из результатов научных исследований в области правового регулирования персональных данных и с учётом анализа и обобщения правоприменительной практики, предлагаю рассмотреть и учесть (I) замечания непосредственно по тексту Проекта Закона и (II) дополнительные предложения по совершенствованию правового регулирования персональных данных:

(I) замечания непосредственно по тексту Проекта Закона

№1. Статья 12 [в отношении изменений в Кодекс Республики Беларусь об образовании от 13 января 2011 г. (далее – Кодекс об образовании)]

№1.1.

П.1 Введение нормы о предоставлении для всеобщего ознакомления списков обучающихся, которым предоставлены жилые помещения (их части) в общежитии, не представляется обоснованным каким-либо значимым общественным интересом, который бы давал основание для ограничения конституционного права. Установление неограниченного доступа к спискам проживающих в общежитии будет нарушать баланс общественных интересов и интересов конкретных субъектов персональных данных.

Единственный вероятный интерес – закрепление обязанности оперативно информировать самих обучающихся. В этих целях может быть закреплена норма об предоставлении возможности индивидуально ознакомиться с информацией о том, предоставлено ли место в общежитии конкретному обучающемуся самому обучающемуся либо его законному представителю.

№1.2

П. 3. В отношении предлагаемой редакции пункта 3 статьи 55 Кодекса об образовании представляется

избыточным информирование в отношении лиц, которые ещё не были зачислены («рекомендуемые к зачислению»)

не имеющим достаточной обоснованности исключение (по отношению к действующей редакции Кодекса об образовании) уровня дошкольного образования для основного образования, а для дополнительного – уровней дополнительного образования детей и молодежи и дополнительного образования взрослых.

Одними из основных целей установления обязательности информирования о зачислении для получения образования являются с одной стороны обеспечение прозрачности в функционировании учреждений образования, а с другой стороны – оперативное информирование о результатах принятия значимых для граждан (их законных представителей) решений.

Учитывая установленное в Законе Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее – Закон № 99-З) требование соразмерности представляется разумным при урегулировании опубликования сведений в сети Интернет предусмотреть ограничение возможности ознакомления с полными списками, их копирования для неограниченного круга лиц. При сохранении предлагаемой редакции целесообразно дополнительно рассмотреть дополнение перечня сведений в списке информацией о факультете, на который происходит зачисление (для уровня высшего образования).