Защита персональных данных приобретает все большее значение во всех юрисдикциях, в том числе и в Беларуси. По мере расширения услуг финансового сектора возрастают и определенные требования и риски, связанные с обработкой персональных данных участников финансовых операций.
В Беларуси до недавнего времени отсутствовало надлежащее регулирование обработки персональных данных, не было консолидированного акта, определяющего единые подходы. Однако в 2021 году было принято первое комплексное законодательство по защите персональных данных, характеризующееся риск-ориентированным подходом.
В настоящее время обработка персональных данных в Беларуси, в частности, регулируется следующим:
Закон регулирует все сферы деятельности, в том числе и обработку персональных данных в финансовом секторе. Помимо Закона обработка персональных данных в финансовом секторе регулируется специальными актами, в том числе:
Учитывая специфику и особенности обработки персональных данных в финансовом секторе, регулятор разработал рекомендации по применению Закона в банковской и страховой деятельности. Однако эти рекомендации доступны только организациям, осуществляющим банковскую и страховую деятельность, и не являются общедоступными.
Национальный центр защиты персональных данных (НЦЗПД) является уполномоченным лицом по защите прав субъектов персональных данных. В его обязанности входит принятие мер по защите прав субъектов персональных данных, для исполнения которых НЦЗПД в т.ч. проводит проверки соблюдения требований к обработке персональных данных. Также НЦЗПД организовывает обучение по вопросам защиты персональных данных.
Оперативно-аналитический центр при Президенте Республики Беларусь (ОАЦ) отвечает за регулирование технических мер, направленных на защиту информации от утечки по техническим каналам, несанкционированных и непреднамеренных воздействий.
В регулировании обработки персональных данных в финансовом секторе, при условии, что они обрабатывают персональные данные, участвуют:
Персональные данные могут обрабатываться только при наличии правовых оснований для такой обработки. Закон закрепляет правовые основания для обработки персональных данных (статьи 5, 6, 8, 9 Закона).
В финансовом секторе для обработки персональных данных зачастую используются следующие правовые основания:
Хотя согласие является базовым правовым основанием для обработки персональных данных в Беларуси, оно не является универсальным или обязательным условием. В финансовом секторе некоторые субъекты, в первую очередь государственные органы и организации, могут обрабатывать персональные данные без получения согласия в силу своих обязанностей и полномочий, закрепленных в законодательных актах. Кроме того, обработка персональных данных может осуществляться на основании договора с физическим лицом, например, договора об открытии счета в банке.
Для соблюдения законодательства о персональных данных каждая организация, в том числе и работающая в финансовом секторе, должна предпринимать определенные правовые меры. К таким мерам относится подготовка внутренних документов, регламентирующих обработку персональных данных в организации. Кроме того, определённые документы должны быть размещены на сайте организации или в приложении, при его наличии.
С учетом риск-ориентированного подхода организации определяют состав и перечень мер, необходимых и достаточных для выполнения обязательств по обеспечению защиты персональных данных. на несмотря на такой подход, Национальный центр защиты персональных данных установил ряд обязательных документов, таких как перечень уполномоченных лиц, имеющих доступ к персональным данным организации, перечень информационных ресурсов (систем), содержащих персональные данные и иные документы.
Основными документами, описывающими процессы обработки персональных данных в организации, являются:
Национальный центр защиты персональных данных разработал рекомендации по составлению документа, определяющего политику оператора (уполномоченного лица) в отношении обработки персональных данных. Этими рекомендациями (доступны здесь), следует руководствоваться при составлении Положения (Политики) об обработке персональных данных.
С помощью Положения (Политики) об обработке персональных данных субъект персональных данных информируется о том, кто собирает, использует или иным образом обрабатывает персональные данные, в каком объеме и для каких целей обрабатываются персональные данные, какими правами обладает субъект персональных данных в этой связи и каков механизм реализации этих прав.
При обработке персональных данных на основании согласия оператор должен предварительно предоставить субъекту данных всю информацию о такой обработке, отдельно от иной предоставляемой информации. Простой ссылки на Положение (Политику) об обработке персональных данных недостаточно.
Помимо правовых мер, организации должны осуществлять технические меры защиты информации, в том числе осуществлять техническую и криптографическую защиту персональных данных в соответствии с требованиями ОАЦ. Эти меры предполагают, в частности, применение систем защиты информации и сертификацию таких систем.
Поскольку финансовые организации в основном обрабатывают нераскрываемую информацию, они должны соблюдать дополнительные требования к защите информации и кибербезопасности, установленные Национальным банком. Эти требования относятся к оказанию платежных услуг, включая требования к программному обеспечению платежных систем, безопасности платежных услуг, а также к мерам по защите информации, защите информационных ресурсов и систем.
Трансграничная передача персональных данных регулируется Законом. Процедура такой передачи зависит от страны назначения и может быть разделена на два типа:
При передаче персональных данных в иностранные государства, где обеспечивается надлежащий уровень защиты прав субъектов персональных данных, должны соблюдаться общие правила обработки персональных данных. Однако если персональные данные передаются в иностранные государства, не обеспечивающие надлежащий уровень защиты, то передача персональных данных на такую территорию запрещена. Из этого запрета есть определенные исключения:
Так, существуют случаи взаимодействия, в частности, органа финансового мониторинга с иностранными и международными организациями. В этих случаях может возникнуть необходимость в предоставлении персональных данных участников финансовых операций, которые могут содержать банковскую или иную охраняемую законом тайну. Однако такие данные могут быть представлены только в том случае, если они не наносят ущерба национальной безопасности Беларуси и не используются без предварительного согласия органа финансового мониторинга.
При передаче персональных данных в иностранные государства необходимо указать в Положении (Политике) об обработке персональных данных перечень иностранных компаний, страну, в которую передаются персональные данные и правовое основание для такой передачи.
Основным принципом обработки персональных данных является ограничение срока их хранения. Персональные данные должны храниться столько, сколько необходимо для выполнения целей обработки. Сроки хранения персональных данных устанавливаются в законодательстве или, при отсутствии установленных сроков хранения, определяются самой организацией. Базовый срок хранения финансовых документов, в том числе содержащих персональные данные, установлен Постановлением Министерства юстиции Республики Беларусь от 24 мая 2012 г. № 140 “О перечне типовых документов”.
Важно также учитывать место хранения персональных данных. В Беларуси не существует требований по локализации персональных данных. Однако существуют требования к технической защите информации. Эти требования предусматривают, что обработка персональных данных должна осуществляться только в информационных системах, оснащенных соответствующими средствами защиты информации. Такие системы защиты информации должны быть сертифицированы в установленном порядке ОАЦ.
Система защиты информации должна быть обеспечена средствами защиты информации, имеющими сертификат соответствия, выданный Национальной системой подтверждения соответствия Республики Беларусь, или положительное экспертное заключение по результатам государственной экспертизы.
Таким образом, обработка или хранение персональных данных в информационных системах, не отвечающих требованиям защиты ОАЦ, является нарушением законодательства Республики Беларусь.
Что касается ведения учета обработки персональных данных и процедур доступа к персональным данным, то он организован следующим образом:
Организация обязана уведомить НЦЗПД в случае нарушения системы защиты персональных данных. Уведомление должно быть направлено организацией незамедлительно, но не позднее трёх рабочих дней после того, как организации стало известно о нарушении.
Несмотря на отсутствие конкретной обязанности уведомлять об утечке персональных данных субъектов, хорошей практикой является, например, размещение на сайте организации информации об утечке.
Существуют также случаи, когда уведомлять Национальный центр защиты персональных данных не требуется. Уведомление не направляется, если нарушение систем защиты не привело к:
Особенность обработки персональных данных в финансовом секторе заключается в обработке персональных данных, составляющих охраняемую законом тайну.
Персональные данные и информация, отнесенная к банковской и иной охраняемой законом тайне, являются разными видами информации, на которую распространяются ограничения. Во многих случаях одна и та же информация может быть отнесена и к персональным данным, и к информации, составляющей охраняемую законом тайну.
Персональные данные, относящиеся к категории охраняемой законом тайны, подлежат специальному регулированию. Обработка таких данных регулируется специальным законодательством, которое имеет приоритет над положениями Закона.
Банковская тайна включает в себя информацию о:
Эта информация должна охраняться в определённом порядке и не подлежит разглашению. Доступ к такой информации осуществляется в установленном законодательными актами порядке и с согласия субъекта, к которому относится информация. В отдельных случаях доступ к такой информации может быть предоставлен третьим лицам и аудиторским организациям, но только в объеме, необходимом для выполнения договора на оказание аудиторских услуг.
Определен перечень случаев, когда информация, составляющая банковскую тайну, может быть предоставлена без согласия субъекта персональных данных. В частности, информация предоставляется:
За разглашение охраняемой законом тайны, в том числе банковской, предусмотрена административная ответственность, в том числе штраф в размере до 20 базовых величин (около 260 долларов США), а также уголовная ответственность. Уголовная ответственность может включать в себя штраф, лишение права занимать определенные должности или заниматься определенной деятельностью, арест, ограничение свободы или лишение свободы на срок до трех лет.
Ряд обязательных процедур в финансовом секторе предполагает сбор большого количества персональных данных. Такие процедуры, как “Знай своего клиента” (KYC) и “Противодействие отмыванию денег” (AML), предусмотрены Законом о мерах по предотвращению легализации преступных доходов и Постановлением Правления Национального банка Республики Беларусь от 24 декабря 2014 г. № 818 “О внутреннем контроле при осуществлении банковских операций”.
Процедуры AML/KYC широко распространены в банковской, страховой деятельности, деятельности операторов криптоплатформ, операторов обмена криптовалют для идентификации клиентов и проверки информации о них.
Для выполнения процедур AML/KYC организации обрабатывают большой объем данных на основании прямого требования законодательного акта, не получая согласия от лиц, чьи данные обрабатываются.
Кроме того, отдельные категории организаций, такие как банки, страховые компании, операторы криптоплатформ, операторы обмена криптовалют, не несут ответственности за передачу информации, содержащей персональные данные, в орган финансового мониторинга, поскольку это не нарушает банковскую или иную охраняемую законом тайну.
При нарушении требований законодательства об обработке персональных данных предусмотрены различные виды ответственности, в том числе:
Следует отметить, что практика привлечения организаций к ответственности за нарушения порядка обработки персональных данных в Беларуси только зарождается. В 2022 году в отношении 10 организаций были направлены материалы о привлечении к административной ответственности, максимальный размер штрафа составил 200 базовых величин (около 2600 долларов США).
Уважаемые журналисты, использование материалов с сайта REVERA в публикациях возможно только после нашего письменного разрешения.
Для согласования материалов обращайтесь на e-mail: i.antonova@revera.legal или Telegram: https://t.me/PR_revera
