Публичное обсуждение проектов НПА

Часть 3

Прошу рассмотреть следующие
предложения и замечания к проекту Закона Республики Беларусь «Об изменении законов по вопросам защиты персональных данных».

3. В статье 8 пункте втором из абзаца пятого предлагается исключить слова «профессиональными союзами», однако возникает существенная проблема: данные союзы в большинстве случаев рассматривают заявления и обращения членов об оказании им материальной помощи. Однако притянуть профсоюз к трудовому законодательству можно, но достаточно сложно, т.к. они могут оказывать помощь не только совместно с нанимателем, но и отдельно от него. Исключая профсоюзы из нормы, придется искать правовые основания или брать согласие с субъекта персональных данных, что ухудшает работу в данной части. Осложняет вопрос и тот факт, что в пункте 2 статьи 8 отсутствует правовое основание – в виде заявлений, направленных в адрес оператора.

В связи с чем, предлагаю не исключать из абзаца пятого пункта второго статьи 8 слова «профессиональными союзами».

А также дополнить пункт 2 статьи 8 абзацем следующего содержания:

«при обработке персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа;»

Обоснование. Субъект персональных данных имеет право указать в своем заявлении сведения, которые могут относиться к персональным данным (например, при оставлении обращения в книгу замечаний и предложений, направление информации о благотворительных сборах) и оператор должен иметь право обрабатывать данные персональные данные в соответствии с данной целью. Наличие такой нормы помогло бы нивелировать исключение слов «профессиональными союзами» из абзаца пятого пункта второго статьи 8 Закона № 99.

4. С учетом того, что законодательством Республики Беларусь не урегулированы вопросы накопления исторических фактов, событий, личностей и т.п. в части сохранения истории о развитии конкретной отрасли, организации и т.п. предлагаю дополнить статьи 6 и 8 правовым основанием, позволяющим оператору осуществлять обработку персональных данных без согласия субъекта с целью сохранения исторического наследия развития отрасли, государственного органа и организаций.

Часть 4

Прошу рассмотреть следующие
предложения и замечания к проекту Закона Республики Беларусь «Об изменении законов по вопросам защиты персональных данных».

5. В статье 91  Закона № 99.

В пункте 2 прописаны запрет на размещения камер видеонаблюдения. Однако данный запрет противоречит позиции НЦЗПД, которую он размещает на своем сайте:

«В исключительных случаях допускается осуществление видеонаблюдения в целях обеспечения производственно-технологической, исполнительской и трудовой дисциплины работников на основании пункта 2 части первой статьи 55 Трудового кодекса Республики Беларусь, в частности:

   при наличии высокой степени рисков, связанных с опасными условиями труда (отдельные участки атомных станций, химических производств, хранилищ высокотоксичных и опасных веществ и т.д.);

   при работе с материальными ценностями или связанной с непрерывным обслуживанием клиентов (кассиры на торговых объектах, в банках и т.д.).»

Предлагаю сохранить данную позицию в Законе № 99. Т.к. операторы организовали свою работу с учетом мнения НЦЗПД, а по факту выхода Закона придется вкладывать ресурсы и нести издержки по корректировке бизнес-процессов.

Также считаю целесообразным дополнить пункт 2 нормой, позволяющей оператору размещать системы видеонаблюдения за контролем трудовой и исполнительской дисциплины в случаях, когда иная форма контроля не может быть рассмотрена. Т.е. предоставить право нанимателю доказать, что камеры это единственная возможность осуществить контроль. У большинства организаций цель – получение прибыли или сохранения издержек и для контроля того же факта как работает персонал исходя из требований Закона № 99 организации должны нанять еще один штат сотрудников, которые проверяли бы работу персонала, но и эти сотрудники не смогут контролировать данную работу постоянно. В тоже время материальные носители информации являются более ценным доказательством, чем слова (объяснительные записки, анонимки) какого-либо сотрудника или клиента. Фактически Закон № 99 вмешивается в трудовые отношения, хотя его отношения четко определены защитой персональных данных.

В современных условиях развитие цифровой
интеграции в рамках интеграционных объединений ЕАЭС и Союзного государства требует новых подходов к информированию. В связи с чем, полагаем, целесообразно создать на сайте уполномоченного органа по защите прав субъектов персональных данных раздел, содержащий совместные разъяснения по вопросам трансграничной передачи персональных данных; сопоставительные таблицы норм законодательства стран-участниц; ссылки на сервисы регуляторов государств-партнеров. Для чего дополнить пункт 3 статьи 18 Закона о защите персональных данных соответствующей нормой.

Предлагаю дополнить статью 81 Закона Республики
Беларусь от 18.07.2011 № 300-З «Об обращениях граждан и юридических лиц» абзацем следующего содержания:

«рассматривать материалы, полученные посредством технических средств, осуществляющих видео-, аудиозапись, непосредственно относящиеся к рассмотрению обращений»;

Статью 9 Закона Республики Беларусь от 18.07.2011 № 300-З «Об обращениях граждан и юридических лиц» дополнить абзацем следующего содержания:

«хранить материалы и (или) сведения, непосредственно относящиеся к рассмотрению обращений, в сроки, установленные законодательством».

Обоснование. С учетом того, что в Законе нет четкого определения, что относится к материалам по обращениям граждан, что относится к сведениям по обращениям граждан, и учитывая тот факт, что организации используют в своей практике аудио- и видеозаписи при рассмотрении обращений необходимо четко в Законе прописать возможность рассматривать данные записи как материалы. Кроме того, в Законе нет отсылочной нормы на хранение материалов и сведений, однако иными нормативными правовыми актами устанавливаются сроки хранения копий ответов и  материалов по обращениям заявителей.

Тема: запрет на использование систем
видеонаблюдения в съемочных залах фотостудий.

Обоснование проблемы

Владельцы фотостудий устанавливают камеры видеонаблюдения в съемочных павильонах, ссылаясь на обеспечение сохранности оборудования и контроль за правилами аренды. Однако специфика фотостудий такова, что клиенты регулярно:

• переодеваются непосредственно в залах (для экономии времени при почасовой аренде);
• участвуют в съемках интимного характера (будуарные, в белье, ню, беременность).

В таких условиях камеры фиксируют граждан в обнаженном виде. Табличка «Ведется видеонаблюдение» не решает проблему: клиент, оплативший аренду и фотографа, фактически лишен возможности отказаться. Это создает риск утечки деликатных данных в интернет, шантажа и грубого нарушения тайны личной жизни.

Даже при обычных съемках сам факт постоянного наблюдения неприемлем для многих (особенно публичных лиц). Камеры выступают стрессовым фактором, разрушают доверительную атмосферу и вынуждают отказываться от услуг.

Предложение

Запретить установку и использование систем видеонаблюдения непосредственно в арендуемых съемочных павильонах и залах фотостудий. Видеонаблюдение в таких организациях допускается исключительно в зонах общего пользования (коридоры, зоны ожидания, ресепшн).

Дополнить пункт 1 статьи 9¹ проекта словами: «...а также в помещениях, непосредственно предназначенных для оказания услуг фото- и видеосъемки физических лиц (съемочных залах фотостудий)».

• Статья 28 Конституции Республики Беларусь гарантирует право каждого на защиту от незаконного вмешательства в его личную жизнь.
• Пункт 2 статьи 4 Закона № 99-З «О защите персональных данных» гласит, что обработка персональных данных должна быть соразмерна заявленным целям. Использование постоянного видеонаблюдения в съемочных залах нарушает баланс интересов: цель «сохранности имущества» не может превалировать над правом граждан на неприкосновенность частной жизни и защиту чести и достоинства.

Принятие поправки позволит:

1. Защитить граждан от недобросовестных действий со стороны администраторов, владельцев студий и третьих лиц (хакеров). 2. Снизить уровень стресса и дискомфорта клиентов при получении услуг. 3. Привести практику применения видеонаблюдения в соответствие с принципом соразмерности (ст. 4 Закона № 99-З). Для контроля за имуществом студии могут использоваться иные методы – например, осмотр оборудования до и после аренды.

Тема: уточнение требований к указанию
места жительства операторов – физических лиц в целях защиты их приватности и физической безопасности.

Суть проблемы Действующая редакция Закона (абзац 2 части 1 пункта 5 статьи 5 и абзац 2 части 1 пункта 1 статьи 11) обязывает оператора предоставлять субъекту персональных данных информацию о своем месте нахождения (адресе места жительства/пребывания). Для операторов, являющихся физическими лицами (индивидуальные предприниматели, ремесленники, самозанятые), домашний адрес совпадает с юридическим. Выполнение текущих требований Закона вынуждает таких лиц публиковать в открытом доступе (в Политиках обработки ПД на сайтах) точные адреса своих квартир и домов.

Это создает существенные риски для физической безопасности операторов, угрозу преследования, мошенничества, вмешательства в их частную жизнь и является несоразмерным требованием для обеспечения прав субъектов ПД. С учетом того, что идентификация оператора – физического лица для государственных органов легко осуществляется через Учетный номер плательщика (УНП), публичное раскрытие полного домашнего адреса неограниченному кругу лиц избыточно.

Предложение Внести изменения в статьи 5 и 11 Закона, предусмотрев альтернативные способы указания контактных данных для операторов – физических лиц, позволяющие субъектам ПД реализовать свои права без нарушения приватности самого оператора.

1. Дополнить пункт 5 статьи 5 (после абзаца восьмого части первой) частью следующего содержания:

«В случае, если оператором является физическое лицо (в том числе индивидуальный предприниматель), вместо адреса места жительства (места пребывания) допускается указывать учетный номер плательщика (при его наличии) совместно с адресом абонентского почтового ящика и (или) адресом электронной почты для направления корреспонденции субъектами персональных данных».

2. Внести аналогичное дополнение в пункт 1 статьи 11.

Ожидаемый положительный эффект

• Обеспечение баланса интересов: защита приватности и физической безопасности малого бизнеса и самозанятых граждан.
• Сохранение прозрачности: наличие УНП позволяет государственным и контролирующим органам однозначно идентифицировать оператора в случае правонарушения.
• Обеспечение прав граждан: наличие e-mail или абонентского ящика позволяет субъектам ПД быстро и эффективно направлять заявления оператору.
• Повышение уровня соблюдения Закона: малый бизнес перестанет уклоняться от публикации Политик обработки ПД из-за страха раскрытия домашних адресов.

Тема: упрощение процедуры отзыва
согласия на обработку ПД.

Суть проблемы

В пункте 15 cтатьи 18 обсуждаемого Проекта (касающемся дополнения пункта 2 статьи 14 Закона) содержится норма, позволяющая субъекту не указывать избыточные данные (например, паспортные) при отзыве согласия, если они не собирались оператором изначально. Это крайне позитивный и долгожданный шаг, соответствующий принципу минимизации данных.

Однако второе предложение данного абзаца наделяет оператора правом принимать «дополнительные меры по идентификации». На практике это приведет к тому, что операторы продолжат требовать сканы паспортов при попытке отписаться от e-mail рассылки или удалить профиль на сайте, прикрываясь правом на «дополнительную идентификацию». Кроме того, операторы могут злоупотреблять требованием статьи 14 о наличии собственноручной или электронной цифровой подписи (ЭЦП) даже в тех случаях, когда согласие давалось в сети Интернет в один клик.

Предлагаемая редакция

Прошу изложить абзац, вводимый пунктом 15 cтатьи 18 Проекта (дополнение в ст. 14 Закона), в следующей редакции:

«Если оператор не обрабатывает все или отдельные персональные данные, указанные в части первой настоящего пункта, субъект персональных данных может не указывать их в заявлении. При этом оператор вправе принять дополнительные меры, направленные на идентификацию субъекта персональных данных в качестве такого лица с соблюдением общих требований к обработке персональных данных, предусмотренных пунктами 2, 4 и 5 статьи 4 настоящего Закона. В рамках таких мер оператор не вправе запрашивать у субъекта документ, удостоверяющий личность, или его реквизиты, иные персональные данные, которые не предоставлялись оператору изначально, а также требовать проставления собственноручной или электронной цифровой подписи, если согласие на обработку данных было получено без их использования.»

Обоснование

Данное уточнение необходимо для пресечения сложившейся порочной практики, когда отзыв согласия (например, на маркетинговую рассылку или базовую регистрацию на сайте) превращается для гражданина в процедуру принудительного предоставления полных паспортных данных или отправки бумажных писем из-за отсутствия у большинства граждан ЭЦП. Реализация субъектом своих прав не должна приводить к сбору избыточной информации и искусственным бюрократическим барьерам. Отзыв согласия должен осуществляться в той же форме и с тем же объемом данных, что и его предоставление.

Тема: упрощение порядка подачи жалоб
на нарушения закона.

Суть проблемы В настоящий момент субъекты персональных данных лишены возможности просто и безопасно сообщить в уполномоченный орган (НЦЗПД) о нарушениях со стороны операторов (например, об отсутствии политики конфиденциальности на сайте, незаконном использовании cookie-файлов или массовом спаме).

Согласно п. 1 ст. 15 Закона, порядок обжалования регулируется общим законодательством об обращениях граждан. Это означает, что для сообщения о нарушении гражданин обязан предоставить НЦЗПД свои полные паспортные данные, адрес регистрации и ЭЦП. Возникает парадокс: чтобы защитить свои данные от избыточного сбора, гражданин вынужден подвергать свои данные избыточному сбору со стороны контролирующего органа, даже если суть жалобы касается публичного нарушения оператора (например, формы на сайте), для проверки которого идентификация заявителя не требуется.

Предлагаемая поправка Прошу дополнить cтатью 15 Закона («Право на обжалование...») новым пунктом 3 следующего содержания:

«3. В случае, если обжалуемые действия (бездействие) оператора касаются неопределенного круга лиц (отсутствие документов, определяющих политику в отношении обработки персональных данных, нарушения при сборе данных в сети Интернет и иные публичные нарушения), субъект персональных данных вправе направить электронное сообщение о нарушении посредством специальной формы на официальном сайте уполномоченного органа без соблюдения требований к идентификации заявителя, установленных законодательством об обращениях граждан и юридических лиц. Порядок использования таких сообщений для проведения профилактических и контрольных мероприятий определяется уполномоченным органом.»

Обоснование Внедрение института «электронных сигналов о нарушении» (без бюрократической процедуры полной идентификации через ЭЦП, которой у подавляющего большинства физических лиц попросту нет) многократно повысит эффективность выявления нарушений. Прямая обязанность уполномоченного органа разместить на своем сайте простую форму для отправки таких сигналов (без обязательного ввода личных данных заявителя) позволит гражданам в один клик сообщать о нарушениях.

Это соответствует передовой международной практике и избавит НЦЗПД от необходимости тратить ресурсы на сложный формальный документооборот по жалобам, позволив сфокусироваться на реальном пресечении незаконной деятельности операторов.

Тема: обработка данных в рамках функционала
социальных сетей.

Суть проблемы В текущей правоприменительной практике упоминание профиля другого человека в социальных сетях (тегинг) или репост его публикаций часто трактуется как незаконное распространение персональных данных без согласия субъекта. Это доводит ситуацию до абсурда: субъект добровольно регистрируется в социальной сети, принимает ее пользовательское соглашение и самостоятельно делает свой профиль и материалы публичными (общедоступными). Требовать от пользователей писать друг другу запросы на получение отдельного согласия на каждую отметку в публикации — значит противоречить базовым принципам взаимодействия в сети Интернет. Использование встроенных функций соцсетей (кнопки «репост», «ответить», «упомянуть») в отношении открытых аккаунтов должно признаваться законным по умолчанию.

Предлагаемая поправка

Прошу дополнить cтатью 6 Закона («Обработка персональных данных без согласия субъекта...») новым абзацем следующего содержания:

«при обработке персональных данных, сделанных общедоступными самим субъектом, с использованием стандартного функционала социальных сетей (упоминание, репост);».

Обоснование

Данная норма защитит пользователей социальных сетей от необоснованных обвинений в незаконном распространении данных при использовании привычного функционала платформ в отношении открытых аккаунтов. Логика поправки прозрачна: если человек сделал свои данные общедоступными, другие пользователи имеют право взаимодействовать с ними через стандартный интерфейс этой площадки. При этом права субъекта остаются надежно защищены архитектурой самой сети: если человек запретит упоминания или репосты в настройках приватности, стандартный функционал станет недоступен, а обход этого ограничения (например, путем публикации скриншотов) по-прежнему будет требовать согласия.

Тема: исключение сбора избыточных
данных в типовых формах (анкетах).

Суть проблемы На практике повсеместно нарушается принцип соразмерности (п. 5 ст. 4 Закона): операторы (поликлиники, банки, организации ЖКХ) требуют от граждан предоставления избыточных персональных данных (например, информации о месте работы, должности, составе семьи) только на том основании, что эти графы присутствуют в утвержденных типовых формах, анкетах или медицинских картах. При этом для оказания конкретной услуги (например, заведения медкарты без выдачи листка нетрудоспособности) эти данные не требуются. Сбор данных «на всякий случай» или «потому что так в бланке» нарушает права граждан.

Предлагаемая поправка Прошу дополнить пункт 5 cтатьи 4 Закона («Общие требования к обработке...») абзацем следующего содержания:

«Наличие в типовых формах документов, бланках или программном обеспечении оператора полей для внесения персональных данных не является основанием для их обязательного заполнения, если для достижения конкретной цели обработки такие данные избыточны. Оператор не вправе отказывать субъекту в оказании услуг на основании незаполнения субъектом избыточных полей.»