4 ключевых изменения в Законе «О защите персональных данных»: к чему готовиться бизнесу

Сфера персональных данных в Беларуси готовится к очередному витку трансформации. Национальный центр защиты персональных данных (НЦЗПД) неоднократно анонсировал серьёзные поправки в Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон).

Законопроект прошёл масштабное согласование с госорганами и профильным сообществом. Сейчас его вынесли на общественное обсуждение.

Если всё пойдёт по плану, уже осенью парламент одобрит изменения. Для бизнеса это означает одно: время приводить внутренние процессы и документы в порядок. Тем более что часть норм вступит в силу сразу, а по отдельным положениям дадут небольшую отсрочку в 6 месяцев. Словом, к концу года у компаний останется совсем немного времени на раскачку.

Сознательно не будем разбирать точечные и технические правки, а остановимся на 4 ключевых новшествах, которые напрямую касаются работы бизнеса.

1. Найм без лишней бюрократии: резюме соискателей можно обрабатывать без согласия

Начнём с позитивных новостей, которые давно ждал рынок.

Статьи 6 и 8 Закона содержат перечни случаев, когда оператор имеет право обрабатывать персональные данные без согласия физических лиц. На практике действовавшая редакция создавала бизнесу головную боль на этапе подбора персонала: статья 6 позволяла обрабатывать данные без согласия в рамках трудовых отношений только с момента их возникновения (т.е. после подписания трудового договора или контракта).

В итоге обработка анкет и резюме кандидатов до заключения договора формально требовала отдельного письменного согласия по правилам статьи 5 Закона.

Что меняется:

Статью 6 Закона дополняют специальным абзацем. Теперь персональные данные, которые кандидат направляет будущему нанимателю в рамках процесса найма (резюме, анкетирование, оценка кандидата), компания вправе обрабатывать без получения отдельного согласия:

«при обработке персональных данных оператором для заключения или на основании заключенного (заключаемого) договора, по которому субъект персональных данных является его стороной и (или) лицом, в пользу которого должно быть произведено исполнение, и (или) лицом, на которого такое исполнение возложено, в целях совершения действий, установленных этим договором»

Это однозначно положительное изменение: уходит искусственный барьер и лишние «бумажки» на этапе подбора кадров.

2. Запись разговоров и колл-центры: гайки остаются закрученными

А вот в части аудиозаписи звонков клиентам поблажек бизнесу ждать не стоит.

С 2021 года Закон № 99-З не содержал прямых норм, разрешающих бизнесу записывать телефонные разговоры (например, в колл-центрах) без согласия субъекта. Позиция регулятора была и остаётся жёсткой: если в специальном/отраслевом законодательстве нет прямого разрешения на запись без согласия, компания обязана сначала получить согласие в соответствии со статьёй 5 Закона.

Что меняется:

В Закон вносится отдельная статья, регулирующая аудиозапись, однако бизнесу она облегчение вряд ли принесёт:

Статья 9-1. Обработка персональных данных посредством технических средств, осуществляющих видео-, аудиозапись

При обработке персональных данных посредством технических средств, осуществляющих видео-, аудиозапись, оператор (уполномоченное лицо) должен принимать меры по исключению или минимизации случаев записи информации, не связанной с заявленной целью. Осуществление видео-, аудиозаписи не допускается в местах, предназначенных для удовлетворения личных нужд субъекта персональных данных (переодевания, приёма пищи, гигиены и других подобных местах), если иное не предусмотрено законодательными актами.

Оператор не вправе устанавливать технические средства, осуществляющие видеозапись, с целью избирательного наблюдения и контроля за действиями конкретных работников, учёта рабочего времени, контроля трудовой и исполнительской дисциплины или для оценки эффективности труда работников.

Оператор (уполномоченное лицо) вправе осуществлять аудиозапись телефонного разговора без согласия субъекта персональных данных при его обращении в экстренные (диспетчерские) службы (за исключением служб экстренной психологической помощи («телефонов доверия»)) и в иных случаях, предусмотренных законодательством.

Субъект персональных данных должен быть проинформирован об осуществлении видео-, аудиозаписи с помощью специальных информационных знаков (табличек), размещённых в доступном для обозрения месте, либо иным доступным способом, а об аудиозаписи телефонного разговора — перед началом разговора.

В случае отказа субъекта персональных данных от видео-, аудиозаписи, осуществляемых на основании согласия субъекта персональных данных, оператор (уполномоченное лицо) обязан предоставить возможность совершения юридически значимых и иных действий, за которыми обратился субъект персональных данных, без осуществления видео-, аудиозаписи.

Хранение видео-, аудиозаписи не должно превышать тридцати календарных дней со дня её осуществления, если иное не предусмотрено законодательством или не вытекает из цели обработки персональных данных.

Если законодательными актами установлены особенности осуществления видео-, аудиозаписи, положения настоящей статьи применяются с учётом изъятий, установленных законодательными актами.

Исходя из новой нормы, запись разговоров без согласия напрямую разрешается только экстренным службам (за исключением службы экстренной психологической помощи, где обрабатываются специальные персональные данные). В статью 8 Закона аналогичные послабления также не вносятся.

Что это значит для бизнеса?

У компании остаётся два пути:

Внедрять и строго соблюдать механизм предварительного получения согласия клиентов на запись (согласно ст. 5 Закона).
Инициировать через профильные регуляторы вашей сферы принятие НПА, где будет прямо прописано право на аудиозапись без согласия.

Учитывая, что НЦЗПД и раньше при проверках считал нарушением запись разговоров без согласия, после вступления изменений в силу эта зона окажется под ещё более пристальным контролем.

3. Видеонаблюдение: чёткий срок хранения в 30 дней

Внутреннее видеонаблюдение есть практически у каждого второго бизнеса. При этом специального законодательства, детально регулирующего порядок видеосъёмки без согласия, долгое время не хватало.

Что меняется:

Законодатель впервые устанавливает конкретный нормативный срок хранения видеозаписей. Это предусмотрено пунктом 6 статьи 9-1, которую мы процитировали выше.

Главное правило: видеозаписи необходимо хранить 30 календарных дней, если иной срок не установлен специальными нормами законодательства для конкретной сферы.

После официального принятия и опубликования Закона у бизнеса будет 6 месяцев переходного периода, чтобы технически и организационно настроить свои системы видеонаблюдения и регламенты под этот 30-дневный лимит.

4. Революция в институте DPO: порог в 100 тысяч данных и законный аутсорсинг

Самые масштабные организационные изменения касаются внутреннего контроля за обработкой персональных данных (статья 17 Закона).

Раньше статья 17 требовала от операторов принимать правовые, организационные и технические меры, в число которых входило назначение ответственного лица (DPO — Data Protection Officer) или создание профильного структурного подразделения. На практике это порождало споры о том, кому и в каких объёмах нужен отдельный специалист или целое подразделение.

Что меняется:

В новой статье 17-1 вводятся чёткие критерии и новые возможности:

Оператор (уполномоченное лицо), организующий и (или) осуществляющий обработку персональных данных:

более ста тысяч физических лиц, при численности работников оператора (уполномоченного лица) более ста человек создаёт структурное подразделение, ответственное за осуществление внутреннего контроля за обработкой персональных данных, или вводит в штат должность специалиста по внутреннему контролю за обработкой персональных данных, за исключением случаев, когда структура, типовые штаты или штатная численность (численность) такого оператора (уполномоченного лица) утверждаются законодательством;

в холдинге независимо от количества субъектов, персональные данные которых обрабатывает организация холдинга, вправе принять решение о передаче всех или части функций структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных, управляющей компании (собственнику) на основании учредительных документов участников холдинга, договоров доверительного управления или договоров, в соответствии с которыми управляющей компанией приобретаются права по управлению деятельностью дочерних компаний;

менее одной тысячи физических лиц и являющийся юридическим лицом Республики Беларусь, отнесённым к субъектам малого предпринимательства, а также в иных случаях, предусмотренных законодательными актами, вправе привлекать для осуществления внутреннего контроля за обработкой персональных данных оказывающее соответствующие услуги юридическое лицо (индивидуального предпринимателя).

Ключевые выводы:

Количественный критерий. Обязанность назначать DPO или создавать отдельное подразделение возникает при обработке 100 000 и более персональных данных физических лиц в совокупности.
Аутсорсинг DPO. Малый и средний бизнес, не достигающий этого порога (или в иных установленных случаях), получает официальное право привлекать сторонних специалистов/организации для ведения внутреннего контроля. Понятие аутсорсинга DPO наконец-то легализуется на уровне Закона.
Требование независимости DPO. В Закон напрямую вносится норма о том, что назначенный DPO (или подразделение) должен быть независимым и подчиняться напрямую руководителю организации (либо его заместителю). Это сделано для исключения конфликта интересов, когда, например, DPO подчиняют IT-директору или маркетологу, чью работу он и должен контролировать.

Если у вас уже назначен DPO, стоит заранее проверить его подчинённость и пересмотреть локальные акты, чтобы исключить возможный конфликт интересов.

Резюме

Предстоящие изменения в Закон «О защите персональных данных» — это смесь давно ожидаемых упрощений (как в сфере HR) и ужесточения проверочных акцентов (аудиозаписи, видеонаблюдение, независимость DPO).

Осенью законопроект пройдёт парламент, после чего у бизнеса будет ограниченный запас времени на адаптацию. Рекомендуем уже сейчас провести аудирование процессов обработки данных, оценить объёмы хранящейся информации и обновить внутренние регламенты.

Будем следить за прохождением законопроекта в парламенте и информировать о появляющихся разъяснениях регулятора.