Изменения в законе о персональных данных: новые требования для бизнеса

Национальный центр защиты персональных данных подготовил изменения в законодательство о персональных данных. Новые правила затронут порядок получения согласия на обработку данных, их передачу, использование видеозаписи, применение искусственного интеллекта и внутренний контроль. 

Подписывайтесь на Telegram‑канал и Viber. Главное об экономике Беларуси — раньше, чем в новостях TelegramViber

Срок согласия на обработку персональных данных

Оператор уже сейчас обязан указывать срок, на который получает согласие субъекта на обработку персональных данных (ПД). Законопроект уточняет, что этот срок может быть определен календарной датой, периодом времени (годами, месяцами, днями) либо указанием на событие, которое должно неизбежно наступить.

Устанавливается, что согласие в письменной форме или в виде электронного документа должно содержать дату его предоставления и личную подпись субъекта ПД (в т.ч. электронную или цифровую).

Согласие в иной электронной форме должно позволять установить дату его предоставления.

Таким образом, электронные формы получения согласия и базы хранения этой информации потребуется доработать так, чтобы можно было сохранять дату согласия и контролировать окончание срока его действия.

О чем нужно предупредить до получения согласия

До получения согласия субъекта ПД оператор в письменной или электронной форме обязан будет сообщить ему информацию о трансграничной передаче данных, их распространении и обработке на условиях сооператорства.

То есть если компания планирует хранить данные на зарубежных серверах либо передавать их другим организациям, то об этом необходимо предупредить физлицо до получения согласия.

Обработка данных при трудоустройстве

Законопроект уточняет, что для обработки персональных данных, переданных оператору в целях трудоустройства, получение согласия субъекта ПД не требуется.

Например, работодатель сможет получать и изучать резюме соискателей без оформления письменного согласия на обработку данных.

Обработка данных при заключении договора

Не потребуется согласие физлица, являющегося стороной или бенефициаром договора с оператором, если обработка персональных данных необходима для заключения или исполнения условий этого договора.

Передача персональных данных уполномоченному лицу

В договоре между оператором и уполномоченным лицом должен быть определен порядок подтверждения соблюдения требований по защите персональных данных.

Если уполномоченное лицо является нерезидентом, оно должно обеспечивать меры защиты, установленные его национальным законодательством и эквивалентные требуемым законодательством Беларуси.

При прекращении договора уполномоченное лицо обязано прекратить обработку полученных данных и передать их оператору либо удалить (при невозможности удаления – заблокировать).

Сооператорство при обработке персональных данных

Законопроект вводит понятие сооператорства – совместной обработки персональных данных несколькими организациями, которые определяют общие цели и параметры такой работы, а также распределяют права и обязанности в договоре между ними.

Если обработка осуществляется на основании согласия субъекта ПД, его можно будет получить одному из сооператоров сразу в интересах всех участников. При этом каждый сооператор самостоятельно отвечает за подтверждение получения согласия.

Субъект ПД сможет обращаться для реализации своих прав к любому из сооператоров. Такая модель может применяться, например, при реализации компаниями совместных программ для клиентов.

Расширение возможностей трансграничной передачи данных

Уточняется перечень случаев, когда разрешена трансграничная передача персональных данных. Она будет возможна в отношении не только физлиц, являющихся сторонами договоров, но и их бенефициаров.

Видео- и аудиозапись: новые правила

При использовании видео- и аудиозаписи организация должна принимать меры для исключения или минимизации записи информации, не связанной с заявленной целью обработки ПД.

Запрещается вести такую запись в местах, предназначенных для удовлетворения личных потребностей человека, включая помещения для переодевания, приема пищи и гигиены, если иное не преду­смотрено законодательством.

О ведении видео- или аудио­записи субъект должен быть проинформирован с помощью специальных знаков либо иным доступным способом. Об аудиозаписи телефонного разговора необходимо сообщать до его начала.

При обращении граждан в экстренные или диспетчерские службы аудиозапись может осуществляться без согласия субъекта ПД, за исключением служб экстренной психологической помощи («телефонов доверия»).

Запрет на видеоконтроль работников

Оператор не сможет использовать видеозапись для избирательного наблюдения за конкретными работниками, учета рабочего времени, контроля дисциплины или оценки эффективности труда.

Отказ от видео- и аудиофиксации

Если субъект ПД отказался от записи, которая осуществляется на основании его согласия, оператор обязан предоставить ему возможность совершить необходимые юридически значимые действия без такой фиксации.

Срок хранения записей

Видео- и аудиозаписи нельзя будет хранить более 30 календарных дней со дня их создания, если иной срок не установлен законодательством или не связан с целью обработки данных.

Искусственный интеллект при обработке данных

Принятие решений, которые имеют юридически значимые последствия для человека, только на основании автоматизированной обработки персональных данных будет возможно лишь в случаях, предусмотренных законодательством, либо при наличии согласия субъекта.

Оператор должен будет уведомить человека о такой обработке до ее начала.

Например, использование автоматизированного скоринга при выдаче кредитов или оформлении страховки потребует соответствующего правового основания или согласия клиента.

Срок ответа на запросы увеличат

Срок ответа оператора на запрос субъекта ПД увеличивается с 5 рабочих дней до 15 календарных дней.

При запросе информации о передаче данных третьим лицам оператор сможет принять дополнительные меры для подтверждения личности заявителя.

Требования к документам по обработке ПД

Законопроект закрепляет требования к документам, определяющим политику организации в сфере обработки персональных данных.

Для каждой цели обработки необходимо будет указывать:

• перечень обрабатываемых данных;

• категории субъектов, чьи данные обрабатываются;

• основания обработки;

• сроки обработки и хранения.

Ранее такие требования содержались в рекомендациях НЦЗПД.

Внутренний контроль за обработкой данных

Организации, которые обрабатывают данные более 100 тыс. физических лиц и имеют свыше 100 работников, должны будут создать отдельное структурное подразделение внутреннего контроля либо ввести должность специалиста по внутреннему контролю за обработкой персональных данных.

Холдинги смогут передавать все или часть функций внутреннего контроля управляющей компании.

Юридические лица, являющиеся субъектами малого предпринимательства, обрабатывающие данные менее 1 тыс. физлиц, смогут привлекать для осуществления внутреннего контроля за обработкой ПД сторонние организации или ИП.

Оператор обязан обеспечить независимость подразделения или специалиста, отвечающего за внутренний контроль, и создать условия для выполнения этой функции.

***

Источник «Экономическая газета»