Определение статуса оператора и уполномоченного лица при обработке персональных данных

Определение статуса оператора и уполномоченного лица при обработке персональных данных играет важную роль для разграничения ответственности между ними, понимания, в каких объемах и на каком основании могут обрабатываться персональные данные, кто получает согласие у субъекта персональных данных в случае такой необходимости. Этот вопрос наиболее актуален при передаче части функций компании, связанных с обработкой персональных данных, на аутсорсинг (ведение бухгалтерского учета, транспортные услуги, IT-поддержка и т.п.).

29 ноября 2022 года были опубликованы Рекомендации о взаимоотношениях операторов и уполномоченных лиц при обработке персональных данных (Рекомендации), в которых Национальным центром защиты персональных данных определены особенности разграничения статуса оператора и уполномоченного лица.

Юристы REVERA law group Юлия Бурмистрова и Алёна Поторская подготовили обзор Рекомендаций.

Оператор и сооператоры

Оператор

Оператором может быть государственный орган, юридическое лицо Республики Беларусь (независимо от наличия либо отсутствия коммерческой выгоды от обработки персональных данных и объема обработки), иная организация, физическое лицо, в т.ч. ИП.

Оператор в отношении персональных данных может действовать тремя разными способами: 

• только организовывать обработку персональных данных

Оператор определяет основные параметры обработки персональных данных: цели и сроки обработки, объем обрабатываемых персональных данных, круг лиц, которым предоставляются персональные данные. А все действия по обработке персональных данных осуществляет уполномоченное лицо;

• только осуществлять обработку персональных данных

Оператор не определяет порядок обработки персональных данных, а только осуществляет их обработку. Зачастую цели и порядок такой обработки определяются законодательством;

• организовывать и осуществлять обработку персональных данных

Оператор непосредственно определяет параметры обработки персональных данных и в соответствии с заданными параметрами обрабатывает персональные данные (собирает, систематизирует, хранит, изменяет, использует и т.д.).
Основной особенностью оператора в общем виде является то, что это лицо ответственное за обработку персональных данных, даже если обработка персональных данных поручена им уполномоченному лицу. Уполномоченное лицо в свою очередь несет ответственность перед оператором.

Важно: оператор несет ответственность за случаи «утечки» персональных данных, допущенные уполномоченным лицом на территории иностранного государства.

Сооператоры

Рекомендациями закреплено новое понятие «сооператоры», которое ранее не было отражено в Законе Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (Закон).

Сооператоры – это операторы (юридические и (или) физические лица), которые совместно организуют и (или) осуществляют обработку персональных данных. Пример сооператорства – ведение (использование) общей базы данных несколькими операторами (участие в программе лояльности всех субъектов торговли, входящих в одну группу лиц. При участии в программе лояльности такие субъекты торговли являются сооператорами).

При сооператорстве важно обратить внимание на следующие важные особенности: 

• каждый из операторов самостоятельно несет полную ответственность за несоблюдение требований законодательства,
• при обработке персональных данных на основании согласия такое согласие должно быть получено от субъекта персональных данных каждым из операторов. Согласие может получить один из сооператоров в отношении всех сооператоров для конкретной цели. Отказ субъекта персональных данных в обработке его персональных данных для конкретной цели одному из сооператоров означает также отказ в такой обработке всем остальным сооператорам, 
• распределение функций между сооператорами, например, путём заключения между ними соглашения (договора). В таком документе могут быть закреплены  цели обработки, порядок распределения ответственности, рассмотрения заявлений субъектов, иное.
• документ, определяющий политику каждого оператора в отношении обработки персональных данных в целях соблюдения принципа прозрачности обработки дополняется информацией о совместной обработке персональных данных.

Уполномоченное лицо

Оператор может привлекать (в т.ч. на основании договора) уполномоченное лицо для осуществления обработки персональных данных от имени оператора или в его интересах. Уполномоченным лицом может быть государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо.

В Рекомендациях разъяснены особенности статуса уполномоченного лица при обработке персональных данных. 

Так уполномоченное лицо:

• обрабатывает персональных данные на том же юридическом основании, что и оператор, т.е. для уполномоченного лица не нужны отдельные от оператора правовые основания для обработки;
• выступает отдельным от оператора юридическим или физическим лицом:
  работники организации не рассматриваются в качестве самостоятельных операторов или уполномоченных лиц, выполняя свои трудовые функции, они являются «частью» оператора или уполномоченного лица,

  физические лица, выполняющие работу на основании гражданско-правового договора, могут быть как «частью» оператора, так и самостоятельными операторами, их статус при обработке персональных данных определяться в каждом конкретном случае;

• ограничено поручениями оператора в действиях, которые оно может осуществлять с персональными данными;
• не определяет ключевые параметры обработки персональных данных. Но для выполнения поручений оператора уполномоченное лицо может принимать свои собственные оперативные решения, использовать свои знания и навыки, чтобы решить, как выполнять определенные действия в интересах оператора;
• после окончания обработки должно прекратить обработку соответствующих персональных данных (передать такие данные оператору, либо удалить (блокировать));
• может привлекать к обработке персональных данных иных лиц – субуполномоченных лиц для выполнения поручений оператора. Привлечь таких лиц возможно только, если это предусмотрено в договоре (положениях договора) между оператором и уполномоченным лицом;
• как и оператор обязано исполнять требования пунктов 3, 4 ст.17 Закона по принятию правовых, организационных и технических мер по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Фиксация отношений между оператором и уполномоченным лицом

Правовой основой отношений между оператором и уполномоченным лицом в том числе может выступать самостоятельный договор или положения в уже заключенном договоре.

Важно: договор (положения в договоре) должен заключаться в том числе с уполномоченным лицом, расположенным на территории иностранного государства, независимо от того, является ли иностранное государство с ненадлежащим или надлежащим уровнем защиты прав субъектов персональных данных.

Отсутствие такого договора (положений в договоре) является нарушением Закона, но не изменяет статус лиц, осуществляющих обработку персональных данных.

Договор должен содержать следующие положения:

• цели обработки персональных данных. Цели обработки персональных данных уполномоченным лицом должны соответствовать целям, заявленным в документе, определяющем политику оператора в отношении такой обработки, не должны быть абстрактными или общими;
• перечень конкретных действий, которые будут совершаться с персональными данными уполномоченным лицом (например, условия, при которых возможно распространение или предоставление персональных данных (если предполагается их распространение или предоставление));
• обязанности по соблюдению конфиденциальности обрабатываемых персональных данных;
• меры по обеспечению защиты персональных данных в соответствии со ст.17 Закона.

Таже в приложении к Рекомендациям приведен полный перечень стандартных положений для включения в текст договора между оператором и уполномоченным лицом.

Подробнее ознакомиться с полным текстом Рекомендаций о взаимоотношениях операторов и уполномоченных лиц при обработке персональных данных можно по ссылке.

Уважаемые журналисты, использование материалов с сайта REVERA в публикациях возможно только после нашего письменного разрешения. 

Для согласования материалов обращайтесь на e-mail: i.antonova@revera.legal или Telegram: https://t.me/iiiihaaaa