Публичное обсуждение проектов НПА

ПРОДОЛЖЕНИЕ1

№2. Статья 18 [в отношении
изменений в Закон №99-З]

№2.1.

п. 2 [в отношении статьи 3 Закона №99-З]

Предлагаемое дополнение пункта 3 статьи 3 Закона №99-З словами «и (или) принятыми (изданными) в их развитие иными актами законодательства» приведет к дополнению Закона №99-З необоснованной бланкетной нормой, что при этом приведёт также к снижению уровня защиты до подзаконных актов (которые в том числе составляют законодательство). По этой причине от такого дополнения предлагается отказаться.

Кроме того, в результате редакция пункт приобретет формулировку «3. В случае, если законодательным актом, устанавливающим правовой режим охраняемой законом тайны и (или) принятыми (изданными) в их развитие иными актами законодательства, предусматриваются особенности обработки персональных данных, входящих в состав охраняемой законом тайны, применяются положения этого законодательного акта.», т.е. необходимо либо закончить редактирование в части сохраняющейся формулировки «применяются положения этого законодательного акта», либо отказаться от дополнения.

№2.2.

п. 4 [в отношении статьи 5 Закона №99-З]

№2.2.1.

предлагаемое в Проекте Закона изменение абзаца седьмого части первой пункта 5 статьи 5 Закона №99-З приведёт к исключению обязанности оператора до получения согласия сообщить субъекту «перечень действий с персональными данными, на совершение которых дается согласие субъекта персональных данных, общее описание используемых оператором способов обработки персональных данных». Предоставление таких сведений (фактически о важнейших характеристиках объёма обработки, т.е. значимых сведений для принятия субъектом именно информированного решения) является важным, наличие данной нормы в Законе №99-З может характеризоваться положительно, а её исключение – как сужающее условия для защиты персональных данных.

В этой связи предлагается сохранить текущую редакцию абзаца седьмого части первой пункта 5 статьи 5 Закона №99-З, а предлагаемые новации (в отношении информации о принятии с оценкой индивидуальной ситуации на основании исключительно автоматизированной обработки персональных данных) ввести отдельным абзацем либо в ином структурном элементе.

№2.2.2.

Представляется, что предложенная в Проекте Закона редакция абзаца седьмого части первой пункта 5 статьи 5 Закона №99-З также не в полной мере соответствует требованию конкретности, поскольку: не имеют нормативного определения термины «исключительно автоматизированная обработка», «решения с оценкой индивидуальной ситуации»; критерий «или иным образом затрагивающих его права и законные интересы» распространяет описанное условие на все случаи применения предлагаемой нормы, поскольку любое решение, принятое в отношении субъекта персональных данных, самым непосредственным образом затрагивает интересы субъекта.

ПРОДОЛЖЕНИЕ2

№2.3.

п. 5 [в
отношении статьи 6 Закона №99-З]

№2.3.1.

предлагаемое в Проекте Закона дополнение абзаца двадцатого статьи 6 Закона №99-З словами «и (или) принятыми (изданными) в их развитие иными актами законодательства» приведет к дополнению Закона №99-З необоснованной бланкетной нормой, что при этом приведёт также к снижению уровня защиты до подзаконных актов (которые в том числе составляют законодательство). По этой причине от такого дополнения предлагается отказаться.

№2.3.2.

предлагаемое в Проекте Закона изменение абзаца двадцать первого статьи 6 Закона №99-З в целом можно признать обоснованным, т.к. в текущей редакции мы имеем дело с конкретизацией положения предыдущего абзаца данной статьи, однако всё же представляется, что предлагаемое решение приведёт к исключению такого значимого для правоприменительной практики и системы правового регулирования персональных данных основания обработки без согласия субъекта, как «в случаях, когда Законом и иными законодательными актами прямо предусматривается обработка персональных данных без согласия субъекта персональных данных». Такое решение не представляется неизбежно необходимым, может увеличить правовую неопределённость для правоприменителей.

В этой связи предлагается сохранить текущую редакцию абзаца двадцать первого статьи 6 Закона №99-З, а предлагаемые новации (в отношении обработки персональных данных в целях сохранения исторической правды и памяти о героическом подвиге белорусского народа в годы Великой Отечественной войны) ввести отдельным абзацем либо в ином структурном элементе.

№2.3.3.

Предлагаемая редакция абзаца двадцать первого статьи 6 Закона №99-З не обеспечивает конкретности регулирования (в каком значении использовано понятие «иные государственные организациями»? почем только государственные организации? Что должно быть предметом предлагаемых соглашений и каковы должны быть их обязательные условия? об обработке персональных данных какого круга субъектов идёт речь?) в связи с чем на последующих этапах работы над Проектом Закона предлагается доработать данную норму с целью её конкретизации.

ПРОДОЛЖЕНИЕ3

№2.3.4.

Предлагаемое
введение в статью 6 Закона №99-З абзаца с содержанием «при распространении оператором новостных материалов с фото- и (или) видеоизображениями граждан, полученных при проведении мероприятий в рамках распространения информации о таких мероприятиях» представляется необоснованным с точки зрения обеспечения баланса общественных и личных интересов, а с учётом высокой степени неконкретности – создающим существенные риски для прав субъектов. Необходимо учитывать, что термин «новостные материалы» раскрыт в Законе Республики Беларусь от 17 июля 2008 г. № 427-З «О средствах массовой информации», а сфера действия данного закона ограничена. Идёт речь о СМИ или обо всех операторах? Предлагается на последующих этапах работы над Проектом Закона обеспечить критически необходимую конкретизацию вводимой нормы либо отказаться от её введения.

№2.4.

п. 8 [в отношении статьи 8 Закона №99-З]

№2.4.1.

Предлагаемое дополнение абзаца семнадцатого пункта 2 статьи 8 Закона №99-З словами «и (или) принятыми (изданными) в их развитие иными актами законодательства» приведет к дополнению Закона №99-З необоснованной бланкетной нормой, что при этом приведёт к снижению уровня защиты до подзаконных актов (которые в том числе составляют законодательство). Такое решение фактически позволит на уровне подзаконных актов вводить ограничения прав граждан.

№2.4.2.

Предлагаемое дополнение абзаца семнадцатого пункта 2 статьи 8 Закона №99-З словами «, за исключением случаев, когда в законодательном акте предусмотрено осуществление обработки специальных персональных данных только на основании согласия субъекта персональных данных» является избыточным, поскольку подобное ограничение уже установлено в пункте 1 статьи 8 Закона №99-З.

№2.4.3

Аналогично замечанию №2.3.3.

№2.5.

п. 9 [в отношении статьи 9 Закона №99-З]

№2.5.1

В абзаце 1 п.9 Проекта Закона исправить опечатку (написано «В пункте 1 статье 9»).

№2.5.2

Предлагаемое введение в пункт 1 статьи 9 Закона №99-З абзаца с содержанием «обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами и (или) принятыми (изданными) в их развитие иными актами законодательства, а также международно-правовых актов, содержащих обязательства Республики Беларусь» в части слов «и (или) принятыми (изданными) в их развитие иными актами законодательства» является избыточным и от него предлагается отказаться (см. предложения №2.1, №2.3.1, №2.4.1).

ПРОДОЛЖЕНИЕ4

№2.6.

п. 10 [в
отношении дополнения Закона №99-З главой 21 ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ]

№2.6.1

Исходя из предлагаемого содержания вводимой главы предлагается рассмотреть уточнение её названия на «Специальные случаи обработки персональных данных» либо «Особенности обработки персональных данных посредством технических средств и при автоматизированном принятии решений»

Название нуждается в уточнении поскольку не определено особенности чего и по сравнению с чем устанавливаются.

№2.6.2.

Предлагаемый в пункте 2 вводимой статьи 91 запрет видеонаблюдения для целей «учета рабочего времени, контроля трудовой и исполнительской дисциплины» представляется необоснованно нарушающим баланс интересов работников и нанимателей. При неизбирательным контроле такие меры не только широко распространены и законны на данный момент, но и являются весьма эффективными. В частном случае по записям с камеры на вход в здание наниматель не сможет проверить своевременность прихода на работу (т.к. для этой цели вводится запрет).

№2.6.3.

Предлагаемый в пункте 6 вводимой статьи 91 срок хранения видео-, аудиозаписи в 30 ней не только не конкретен в отношении объекта хранения, но и мало обоснован. При его установлении, с учётом интересов обеспечения не только интересов конкретных субъектов, но и интересов в области обеспечения общественного порядка, противодействия преступности, срок следовало бы установить более продолжительным, при учёте исключения неоправданных дополнительных затрат, в том числе для бюджетов.

Кроме того, не представляется оправданным установление в Законе №99-З конкретного срока хранения при одновременном допущении отступления от такого через подзаконные акты либо самим оператором («если иное не предусмотрено законодательством или не вытекает из цели обработки персональных данных»).

№2.6.4.

Предлагаемый во вводимой статье 92 общий запрет на принятие юридически значимых решений без согласия субъекта представляется полностью обоснованным, однако вызывает сомнение не более корректным было бы закрепление данных норм в ином законодательном акте – Законе Республики Беларусь от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации». (Ранее высказанные замечания о терминологической неопределённости сохраняются и для данного предложения)

При этом абзац третий пункта 1 статье 92 предлагается на данном этапе исключить, либо ограничится допустимостью исключения для автоматизированного решения без согласия субъекта только на уровне законодательного акта (обоснование для схожего случая приводилось ранее).

ПРОДОЛЖЕНИЕ5

№2.6.5.

Предлагаемый
в пункте 2 вводимой статьи 92 перечень обязанностей оператора представляется необходимым дополнить иными обязанностями кроме обязанности информирования.

Кроме того, представляется необходимым выразительно закрепить положение о возможности для гражданина обжаловать решения, принятые на основании исключительно автоматизированной обработки персональных данных.

№ 2.7

п. 14 [в отношении части второй пункта 2 статьи 13 Закона №99-З]

Предлагается слова «за исключением хранения» заменить на «за исключением хранения в пределах установленных законодательством сроков».

№ 2.8

п. 18 [в отношении предлагаемой ко введению статьи 171 Закона №99-З]

Введение данной статьи в целом является обоснованным, однако ее содержание требует внимательной доработки/переработки

№ 2.8.1

В предлагаемом пункте 1 устанавливается «Оператор (уполномоченное лицо) в зависимости от объема обрабатываемых персональных данных, в том числе их трансграничной передачи,». При этом представляется, что трансграничная передача не является характеристикой объема персональных данных. В этой связи более уместно видится формулировка «и характера их обработки».

№ 2.8.2

Предусматриваемое в пункте 2 исключение для случаев, «когда структура, типовые штаты или штатная численность (численность) такого оператора (уполномоченного лица) утверждаются законодательством» фактически исключает из регулирования значительную часть операторов, при этом добавляется неясность – почему и что таким операторам делать.

№ 2.8.3

Предлагаемое в пункте 3 требование о необходимости обеспечения независимости структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных, является весьма значимым, однако требует детализации и конкретизации, равно как и решения вопроса о степени возможной независимости оказывающего соответствующие услуги юридического лица (индивидуального предпринимателя).

№ 3. Статья 25 [в отношении вступления в силу Проекта Закона]

Установлено, что все положения Проекта Закона предполагаются ко вступлению в силу «после официального опубликования», исключение сделано только для статьи 18, в которой определены изменения и дополнения в Закон №99-З.

Представляется, что разумно было бы предусмотреть, что все изменения в законы вступают в силу через 6 месяцев, а после опубликования – только поручения по принятию мер по приведению законодательства в соответствие с Законом.

6. К абзацу об обработке в силу обязанностей,
предусмотренных законодательными актами и принятыми в их развитие актами, статьи 6

Просим уточнить пределы понятия «принятые (изданные) в развитие законодательных актов иные акты законодательства» как основания обработки без согласия. Из действующей редакции неясно, требуется ли, чтобы обязанность по обработке персональных данных была прямо задана законодательным актом, или достаточно любого делегирующего положения, позволяющего ведомству издать подзаконный акт, вводящий обработку. По нашему мнению, широкая трактовка создаёт риски злоупотреблений со стороны государственных органов, наделённых полномочиями издавать акты в своей сфере (например, Национальный банк - в банковской сфере), путём фактического введения новых оснований обработки на подзаконном уровне. Предлагаем ограничить основание обработки случаями, когда конкретная обязанность по обработке персональных данных прямо и определённо установлена законодательным актом.

7. К абзацу о распространении новостных материалов с фото-/видеоизображениями граждан статьи 6

Считаем формулировку чрезмерно широкой и создающей реальные риски для прав субъектов. Предлагаем:

• конкретизировать, о каких именно «мероприятиях» идёт речь (публичные, официальные, массовые и т.п.), и ввести критерии их отграничения от частных мероприятий;
• прямо урегулировать в Законе не только распространение, но и создание (сбор, съёмка) таких материалов — в текущей редакции неясно, на каком основании изначально создаётся фото-/видеоматериал с изображениями граждан.

8. К пункту 1 статьи 7 «Обработка персональных данных уполномоченным лицом» — случай оператора-нерезидента

В п. 9 ст. 5 Закона Республики Беларусь
«О защите персональных данных» не урегулирован вопрос обработки персональных данных лица, признанного судом безвестно отсутствующим. Предлагаем закрепить в данном пункте правило о том, что доверительный управляющий имуществом лица, признанного безвестно отсутствующим, вправе давать согласие на обработку персональных данных в случае, необходимом для реализации прав лица, признанного безвестно отсутствующим, или исполнения обязательств или управления имуществом доверительным управляющим.

В п. 6 ст. 5 Закона Республики Беларусь «О защите персональных данных» предлагаем сформулировать норму исходя из принципа минимизации обработки персональных данных. Формулировка может быть следующая: «При даче согласия субъект персональных данных передает оператору сведения, необходимые для обработки персональных данных и достаточные для его идентификации. Оператор не вправе запрашивать персональные данные в объеме, превышающем необходимый для целей их обработки. Согласие на обработку персональных данных может содержать сведения не более чем о фамилии, собственном имени, отчестве (при наличии), дате рождения и идентификационном номере.».

В предложенной редакции статьи 71 Закона Республики Беларусь «О защите персональных данных» отсутствует указание на то, как единое согласие при сооператорстве относится к деятельности каждого сооператора. В связи с этим остается открытым вопрос, если сооператор, получивший физически согласие на обработку персональных данных, прекращает обработку персональных данных, какова судьба полученного согласия по отношению к другим сооператорам.

В п. 3 ст. 91 Закона Республики Беларусь «О защите персональных данных» указаны два основания аудиозаписи без согласия субъекта персональных данных: (1) обращение в экстренные (диспетчерские) службы, (2) иные случаи, предусмотренные законодательством. С учетом повышенной чувствительности такой обработки персональных данных полагаем необходимым предусмотреть исчерпывающий перечень оснований для осуществления аудиозаписи, в который могут быть включены:

(1) обращение в экстренные (диспетчерские) службы;

(2) совершение процессуальных действий в рамках судопроизводства, административного и (или) уголовного процесса;

(3) прием и рассмотрение устных обращений граждан и юридических лиц;

(4) обработка данных при осуществлении охранной деятельности;

(5) иные случаи, прямо предусмотренные законодательством.

В ст. 9-2 Закона Республики Беларусь «О
защите персональных данных» указывается про принятие решений на основании исключительно автоматизированной обработки данных. При этом Закон не раскрывает содержание понятия «исключительно автоматизированная обработка персональных данных». По нашему мнению, такая обработка характеризуется меньшей степенью непосредственного контроля со стороны оператора, в связи с чем требует установления более строгих условий ее осуществления, которые целесообразно прямо закрепить в Законе. В частности, полагаем, что положения об исключительно автоматизированной обработке персональных данных следует выделить в отдельный раздел либо приложение к политике обработки персональных данных. Такая обработка должна допускаться только в информационных системах, аттестованных в соответствии с Приказом ОАЦ № 66, осуществляться операторами, в штате которых имеется специалист по внутреннему контролю за обработкой персональных данных, а результаты принятия решений по итогам такой обработки должны храниться на серверах, размещенных в Республике Беларусь.

В п. 1 ст. 14 Закона Республики Беларусь «О защите персональных данных» предусмотрены только две формы заявления субъекта персональных данных: (1) письменная форма, (2) форма электронного документа. Полагаем возможным предусмотреть третью форму заявления субъекта персональных данных: форма, аналогичная форме согласия субъекта персональных данных. Данное положение позволит автоматизировать процесс реализации прав субъектов персональных данных.

В п. 3 ст. 17 Закона Республики Беларусь «О защите персональных данных» закреплены меры по защите персональных данных. С учетом введения понятия «система защиты персональных данных» полагаем целесообразным сосредоточить все такие меры в рамках одного пункта, дополнив их двумя мерами, предусмотренными Указом Президента № 422 (в части ведения перечня информационных ресурсов (систем) и перечня уполномоченных лиц), а также сгруппировать указанные меры на три категории: правовые, организационные и технические. Кроме того, в Законе Республики Беларусь «О защите персональных данных» рекомендуем предусмотреть отдельную статью о минимальных требованиях к технической защите персональных данных, включая, в частности, использование лицензионного программного обеспечения, наличие в штате оператора специалиста по информационной безопасности, а также локализацию серверной аппаратуры в Республике Беларусь — в случаях, когда Национальный центр защиты персональных данных придет к выводу о необходимости локализации хранения, поскольку отдельные выводы в настоящее время строятся на нормах Указа Президента № 60, которые напрямую таких требований не содержат.

В ст. 19 Закона Республики Беларусь «О
защите персональных данных» закреплены общие положения об ответственности оператора за нарушение законодательства о персональных данных. В этой связи полагаем целесообразным дополнить Закон перечнем способов защиты прав субъекта персональных данных в случае их нарушения оператором, включив в него, в частности, следующие требования: 1) о прекращении незаконной обработки персональных данных; 2) об удалении персональных данных; 3) о приостановлении обработки персональных данных в информационных системах оператора; 4) о признании согласия на обработку персональных данных недействительным; 5) об изменении правового основания обработки персональных данных; 6) об изменении объема обрабатываемых персональных данных; 7) о возмещении убытков; 8) о взыскании компенсации; 9) о компенсации морального вреда; 10) иные требования, предусмотренные законодательством.

В ст. 4 Закона Республики Беларусь «О защите персональных данных» считаем необходимым внести положения о условиях и минимальных требованиях для блокирования персональных данных. В частности, какие обстоятельства подтверждают невозможность удаления персональных данных, а также в какой момент можно считать блокирование персональных данных оконченным.

В развитие законодательства о персональных данных полагаем возможным пересмотреть положения ст. 23.7 Кодекса Республики Беларусь об административных правонарушениях. В ч. 1 ст. 23.7 КоАП считаем необходимым указать «умышленная незаконная обработка персональных данных, осуществленная в процессе использования, не связанного с профессиональной или предпринимательской деятельностью», в ч. 2 ст. 23.7 КоАП следует указать «умышленная незаконная обработка персональных данных, осуществленная в процессе использования, связанного с профессиональной или предпринимательской деятельностью», в ч. 3 ст. 23.7 КоАП следует указать «несоблюдение мер обеспечения защиты персональных данных физических лиц, не повлекшее причинение вреда правам и законным интересам субъекта персональных данных», в ч. 4 ст. 23.7 КоАП следует указать «несоблюдение мер обеспечения защиты персональных данных физических лиц, повлекшее причинение вреда правам и законным интересам субъекта персональных данных». Полагаем возможным в ч. 4 ст. 23.7 КоАП включить для юридического лица штраф, рассчитанный в кратном отношении от суммы причиненного вреда. Данное положение должно стимулировать операторов обработки персональных данных создать систему защиты персональных данных, поскольку затраты на создание и поддержание системы защиты персональных данных гораздо выше по сравнению со штрафом в размере 50 базовых величин.