Материал помещен в архив. Актуальный материал по теме см. здесь

Ольга Марочкина
юрист

28.11.2023

Комментарии

Комментарий 1. Сведения, которые обязательно указываются в согласии:

• фамилия, собственное имя, отчество (если таковое имеется);

• дата рождения;

• идентификационный номер (ч.1 п.6 ст.5 Закона № 99-З).

Если у физического лица нет идентификационного номера, то необходимо указать номер документа, удостоверяющего его личность.

Не допускается получать общее согласие на достижение всех целей. Если оператор заинтересован в получении согласия на несколько не связанных между собой целей обработки, то он может сделать это в одном документе, но обязан получать отдельное согласие на каждую цель (например, согласие на передачу персональных данных конкретной организации (организациям), согласие на получение рекламной рассылки). При этом субъекту должна быть предоставлена возможность согласиться с одной целью и не соглашаться с другой (другими) (с учетом Рекомендаций НЦЗПД от 17.03.2023 № 5-13/93 «О применении Закона Республики Беларусь от 7 мая 2021 г. № 99-З "О защите персональных данных"»).

Комментарий 2. Фамилия, имя, отчество, пол, место рождения и регистрации, данные о родителях, супруге, детях, семейном положении, о воинской обязанности, о роде занятий, о высшем образовании и другие данные перечислены среди данных, вносимых в регистр населения (п.1 ст.8, п.1 ст.10 Закона от 21.07.2008 № 418-З «О регистре населения»).

Персональные данные, касающиеся расовой или национальной принадлежности, политических взглядов, членства в профсоюзах и т. п., относятся к специальным персональным данным (абз.12 ст.1 Закона № 99-З).

Комментарий 3. Отражаемая информация:

• как будет осуществляться обработка - с использованием средств автоматизации или посредством создания картотек, списков, баз данных, журналов и т. п., без их использования;

• информация об использовании обезличивания персональных данных в целях повышения их защищенности (при использовании обезличивания);

• конкретные действия, совершаемые с персональными данными (например, сбор, систематизация, хранение, изменение, использование, обезличивание, блокирование, удаление персональных данных);

• условия, при которых возможно распространение персональных данных (если предполагается их распространение);

• при наличии трансграничной передачи персональных данных - государства, в которые будет осуществляться передача. В случае передачи в страны, где не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, необходимо отразить возможные риски такой передачи. Такими рисками, например, могут быть отсутствие единого правового регулирования, то есть общего закона о защите персональных данных, узкое понимание персональных данных (отнесение к ним ограниченного круга сведений о физическом лице), отсутствие независимого контролирующего органа по защите прав субъектов персональных данных, ограниченный круг (отсутствие) прав субъектов персональных данных, широкий доступ к персональным данным у органов государственной власти в целях национальной безопасности и т. п. (разъяснение НЦЗПД).

Перечень действий с персональными данными, на совершение которых дается согласие субъекта персональных данных, общее описание используемых оператором способов обработки персональных данных:

✓ конкретные действия, совершаемые с персональными данными, поручаемые уполномоченному лицу (например, сбор персональных данных для заключения договора с определением перечня необходимых персональных данных; внесение сведений в информационный ресурс; хранение персональных данных с указанием сроков и условий хранения; их актуализация путем сопоставления с дополнительной информацией и т. п.);

✓ информация об использовании обезличивания персональных данных в целях повышения их защищенности (при использовании обезличивания);

✓ условия, при которых возможно предоставление персональных данных третьим лицам или их распространение (если предполагается их предоставление или распространение);

при наличии трансграничной передачи персональных данных - государства, в которые будет осуществляться передача. В случае передачи в страны, где не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, необходимо отразить возможные риски такой передачи (абз.2 п.1 ст.9 Закона № 99-З) (комментарий к ст.5 Закона № 99-З постатейного комментария к Закону Республики Беларусь «О защите персональных данных»).

Комментарий 4. Указываются конкретные уполномоченные лица и место их нахождения, а в случае затруднительности такого указания (например, наличие значительного количества уполномоченных лиц и их постоянное изменение) - конкретные категории таких лиц (например, организации, оказывающие оператору услуги по системному администрированию локальной сети; организации, осуществляющие доставку покупателю купленных у оператора товаров; организации, оказывающие оператору услуги по ведению бухгалтерского, кадрового учета) и место их нахождения (страна нахождения).

Не допускается указание слишком общих категорий (например, «лица, с которыми оператор имеет договорные отношения»), а также открытого перечня таких лиц («и иные лица») (комментарий к ст.5 Закона № 99-З постатейного комментария).

Комментарий 5. Срок согласия должен быть конкретным, доступным для восприятия и понятным для субъекта персональных данных. Срок согласия может быть выражен конкретными датой, периодом времени либо критериями, используемыми для определения таких сроков.

1. Срок согласия - конкретная дата (например, до 31 декабря 2023 г.).

Пример «Настоящее согласие предоставляется сроком на 1 (один) год с 01.12.2023 по 30.11.2024. Данное согласие на обработку персональных данных может быть отозвано мною в любой момент без объяснения причин посредством направления оператору соответствующего заявления».

В таком случае нужно учитывать, что по окончании этого срока могут понадобиться персональные данные гражданина, однако до оформления нового согласия воспользоваться ими не получится, поэтому можно потерять много времени на документальное оформление. Рекомендуем постоянно контролировать сроки действия согласия и до окончания указанной в нем даты оформить новое согласие.

2. Срок согласия указан как период (например, 1 год с даты получения согласия, истечение срока программы лояльности).

В согласии гражданина на обработку его персональных данных можно указать какое-либо событие вместо конкретного срока (даты).

Пример «Срок действия настоящего согласия - 1 год с даты получения такого согласия. Данное согласие на обработку персональных данных может быть отозвано мною в любой момент без объяснения причин посредством направления оператору соответствующего заявления».

Такой формат срока действия согласия более приемлем в плане уменьшения затрат времени на фиксацию получения согласия.

3. Комбинированный срок согласия (например, в течение 1 года (месяца) с даты совершения последней покупки, авторизации на сайте и т. п.).

Не допускается использование при определении сроков согласия таких формулировок, как «до отзыва согласия субъектом персональных данных», «сроки устанавливаются законодательством» и т. п., поскольку они не соответствуют требованиям прозрачности обработки персональных данных.

Не рекомендуется определять срок действия согласия свыше 3 лет, поскольку в связи со значительным количеством оставляемых согласий гражданину будет затруднительно контролировать обработку своих персональных данных.

Если срок согласия различается для каждой цели, то его необходимо обозначить для каждой цели отдельно (с учетом комментария к ст.5 Закона № 99-З постатейного комментария).

Комментарий 6. До получения согласия субъекта персональных данных оператор обязан простым и ясным языком разъяснить субъекту персональных данных его права, связанные с обработкой персональных данных, механизм реализации таких прав, а также последствия дачи согласия субъекта персональных данных или отказа в даче такого согласия. Эта информация должна быть предоставлена оператором субъекту персональных данных в письменной либо электронной форме, соответствующей форме выражения его согласия, отдельно от иной предоставляемой ему информации (ч.2 п.5 ст.5 Закона № 99-З).