marketis.by > Тенденции > Персональные данные – что должна знать каждая организация в Беларуси

Персональные данные – что должна знать каждая организация в Беларуси

hoster.by |

Формы регистраций и сбора заявок, личный кабинет с платежами, рекламные рассылки и заказы с доставкой на дом – все это примеры взаимодействия проекта с персональными данными. И в подобных случаях организациям необходимо учитывать требования законодательства и соблюдать необходимые меры по правомерной работе со сведениями о клиентах, сотрудниках и партнерах.

Вместе с экспертами hoster.by разбираемся, какие данные относятся к персональным и что нужно учитывать при работе с такой информацией.

Изображение сгенерировано ИИ

Что такое персональные данные

Как отмечает DPO hoster.by Николай Саванович, по Закону Республики Беларусь № 99-З «О защите персональных данных» к таким данным относится любая информация, с помощью которой можно идентифицировать человека. Вот некоторые примеры:

  • ФИО, дата рождения, номер телефона, адрес проживания;
  • электронная почта, логин и пароль;
  • место работы и должность, заработная плата, переписка в корпоративных чатах;
  • фото и видео с людьми;
  • номер договора, платежная информация, история покупок;
  • ID пользователя, cookie-файлы, данные GPS, IP.

При этом Николай Саванович обращает внимание: в определении границ персональных данных (ПД) нужно учитывать контекст.  

  • Например, номер телефона, написанный на листике бумаги, не относится к ПД, регулируемым Законом.
  • А вот номер телефона, оставленный в заявке на сайте – это уже персональные данные, к обработке которых применяется Закон.

Или допустим, вы проводите совместное мероприятие с другой организацией и готовите об этом рассылку. Данные об участниках-юрлицах также, по общему правилу, не будут относиться к ПД, хотя и могут включать номера телефонов или электронные адреса конкретных людей.

Как понять, что компания работает с персональными данными

По Закону 99-3, обработка персональных данных включает любые действия с ПД: их сбор, хранение, использование, обезличивание, блокирование и другие операции.

Компания может ошибочно полагать, что не работает с ПД и игнорировать меры по их защите. Однако обработка ПД касается бизнес-процессов в самых разных организациях.

  • Сайты и приложения банков, интернет-магазины, маркетплейсы и другие сервисы хранят ФИО клиентов, обрабатывают учетные и платежные данные.
  • При найме сотрудника любая организация забирает на хранение трудовую книжку и вносит в нее данные, добавляет в бухгалтерию платежные сведения.
  • Учреждения здравоохранения работают с медицинскими и другими данными клиентов.
  • Школы, колледжи, университеты и онлайн-курсы работают со свидетельствами о рождении, сведениями об успеваемости, справками о состоянии здоровья, платежными и другими данными.
  • Букмекерские конторы и онлайн-казино работают с платежными, геолокационными и другими данными пользователей.

Обработка ПД может охватывать сайт, личный кабинет, базы данных, сервисы рассылок, системы CRM и ERP, такие как «Битрикс24» и «1С:Бухгалтерия».

Кто может участвовать в обработке персональных данных

Согласно законодательству, взаимодействовать с ПД могут следующие лица.

Оператор ПД – юридическое или физическое лицо, самозанятые и ИП, которые обрабатывают ПД самостоятельно или с привлечением сторонних организаций. Например, интернет-магазин, медицинский центр, репетитор или фитнес-тренер. Оператор инициирует обработку ПД и несет за нее ответственность, получает при необходимости согласие субъекта.

Уполномоченное лицо – сторонняя организация, привлекаемая оператором для обработки данных. Это может быть хоситнг-провайдер, сервис рассылок, бухгалтерский аутсорсинг.

Субъект ПД – человек, чьи данные обрабатывает компания. Например, сотрудник, клиент, пользователь личного кабинета и посетитель сайта.

Что должна сделать компания при работе с ПД

Николай Саванович подчеркивает, что каждая организация, которая работает с ПД, должна обеспечить защиту персональных данных.

Меры по обеспечению защиты персональных данных

Оператор или уполномоченное лицо должны реализовать следующие меры.

  • Назначить структурное подразделение или специалиста, ответственного за внутренний контроль за обработкой ПД.
  • Издать политику по обработке ПД.
  • Проинформировать персонал о законе и политике компании в обработке ПД, обучить сотрудников, взаимодействующих с ПД.
  • Установить порядок доступа к ПД.
  • Утвердить перечень информационных ресурсов компании, в которых обрабатываются персональные данные.
  • Утвердить перечень привлекаемых уполномоченных лиц.
  • Обеспечить техническую и криптографическую защиту персональных данных в соответствии с классификацией информационных ресурсов и систем, содержащих ПД.

Согласие на обработку персональных данных

В ряде случаев организация должна получать у пользователей согласие на обработку ПД – в письменной или электронной форме. Например, на сайтах и приложениях для этого часто используется поле для проставления галочек напротив пунктов с описанием целей обработки ПД.  

Согласие на обработку ПД должно быть однозначным и свободным. А цели – явными. Пользователи должны четко понимать, какие конкретно ПД и для каких целей они разрешают использовать.

Если было дано согласие только на рекламную рассылку по электронной почте, нельзя звонить и предлагать что-то купить такому клиенту без получения дополнительного согласия. При изменении цели использования ПД нужно получать повторное согласие.

При этом должна быть реализована возможность отзыва согласия в той форме, в которой ранее было предоставлено согласие на обработку ПД.

Юридические риски и как их сократить

Неправомерная работа с ПД может приводить к наложению штрафа согласно ст. 23.7. КоАП, приостановлению работы ресурса и потере доверия клиентов. Избежать подобных рисков и привести бизнес-процессы в соответствие с законодательством о персональных данных поможет аудит работы с ПД от компании hoster.by.

Материал подготовлен на правах рекламы.