Каждый день беларусы оставляют свои личные данные десяткам организаций. Банки знают наши паспортные данные, поликлиники – историю болезней, мобильные операторы – номера телефонов, интернет-магазины – адреса доставки. Камеры видеонаблюдения ежедневно снимают миллионы людей. Именно такие ситуации регулирует закон «О защите персональных данных», принятый в 2021 году. Сейчас власти предлагают его изменить. Проект уже вынесли на общественное обсуждение. «Белсат» изучил не только сами поправки, но и комментарии юристов, специалистов в сфере защиты информации и представителей бизнеса, чтобы понять, как они могут повлиять на беларусов.
Что изменится для беларусов
Большинство поправок касается организаций, которые собирают и используют персональные данные. Однако некоторые изменения напрямую коснутся и обычных беларусов.
Во-первых, станет больше случаев, когда наши персональные данные смогут обрабатывать без отдельного согласия. Например, при рассмотрении резюме, обработке документов, которые человек сам направил в электронном виде, оказании административных услуг, а также при публикации фотографий и видеозаписей с публичных мероприятий в новостных материалах.
Во-вторых, впервые отдельная глава закона будет посвящена видеонаблюдению и аудиозаписи. Законопроект подробно регулирует использование камер видеонаблюдения и аудиозаписи. Владельцы камер должны будут заранее предупреждать о съемке с помощью вывесок или иным доступным способом.
Кроме того, документ запрещает устанавливать камеры в местах, предназначенных для переодевания, приема пищи, гигиенических процедур и других личных потребностей. Работники также не смогут использовать видеонаблюдение для выборочного контроля отдельных работников, учета рабочего времени или оценки эффективности их труда. Записи, как правило, нельзя будет хранить дольше 30 дней.
В-третьих, закон впервые устанавливает правила для решений, принимаемых автоматически –без участия человека. Например, если банк использует алгоритм для оценки заемщика, страховая компания – для расчета стоимости полиса, а онлайн-сервис – для автоматической проверки анкеты. Если такое решение может повлиять на права человека, использовать подобные системы можно будет только с его согласия или в случаях, просто предусмотренных законодательством. При этом человека должны заранее предупредить, что решение будет принимать алгоритм, а не сотрудник организации.
При этом большинство участников общественного обсуждения обращает внимание, что проект почти не расширяет прав самих граждан. Основные споры развернулись вокруг того, насколько понятными, выполнимыми и непротиворечивыми окажутся новые нормы на практике.
«Поправки не решают главных проблем»
Одну из самых подробных оценок проекта подготовил юрист Андрей Старжинский. По его мнению, власти исправляют отдельные положения закона, но не устраняют его основные недостатки.
«В целом же проект закона носит фрагментарно-косметический характер и не решает ни одной из базовых проблем действующего закона "О защите персональных данных" и регулирования этой сферы в целом», – пишет юрист.
По словам Старжинского, после принятия закона в 2021 году компаниям пришлось перестраивать работу: назначать ответственных за защиту данных, готовить новые документы, менять внутренние процедуры и нести дополнительные расходы. При этом многие положения закона так и остались непонятными.
Юрист напоминает, что документ создавался с оглядкой на европейский Общий регламент о защите данных (GDPR), чтобы облегчить работу беларусских компаний с партнерами из Евросоюза. Теперь, считает он, логичнее было бы пересмотреть закон полностью, а не ограничиваться точечными поправками.
Закон приходится объяснять
Еще одна претензия касается самых формулировок закона. По мнению Старжинского, многие его нормы допускают различное толкование, поэтому Национальному центру защиты персональных данных (НЦЗПД) приходится регулярно выпускать объяснения.
«Закон "О защите персональных данных" практически полностью состоит из формулировок и нормативных правовых предписаний, допускающих различное толкование», – отметил юрист.
При этом разъяснения НЦЗПД сами по себе не являются нормативными правовыми актами.
«Фактически понимание требований уже принятого закона формируется, в том числе у регулятора, в процессе его реализации», – написал он.
Цифра в 100 тысяч
Одно из наиболее обсуждаемых нововведений законопроекта – порог в 100 тысяч человек. Если организация обрабатывает персональные данные такого количества людей, ей придется создать отдельное подразделение или ввести должность специалиста внутреннего контроля.
Однако участники общественного обсуждения полагают, что такой критерий выбран произвольно.
Старжинский приводит пример: IT-компания может хранить данные полумиллиона клиентов, но почти не работать с ними. Небольшой медицинский центр, напротив, ежедневно обрабатывает конфиденциальную информацию всего тысячи пациентов.
«Простое хранение персональных данных 500 тысяч человек... требует гораздо меньших трудозатрат, чем обработка персональных данных одной тысячи человек медицинским центром», – отметил юрист.
Подобную позицию высказал и представитель МЗКТ Игорь Омельченко. По его мнению, учитывать следует не количество людей в базе, а особенности обработки персональных данных.
Некоторые нормы невозможно выполнить
Еще одно замечание касается обработки общедоступных персональных данных.
Проект предусматривает, что оператор должен прекратить такую обработку после заявления человека. Однако Старжинский обращает внимание: закон не объясняет, как оператор должен узнать о таком заявлении.
В качестве примера он приводит удаление страницы в социальной сети. Организации, которые ранее использовали опубликованную там информацию, формально должны приостановить ее обработку. Но узнать об удалении страницы они объективно не могут.
«Получается, что оператор может нарушить закон, даже не имея возможности выполнить его требования», – пишет Старжинский.
Фото без согласия
Одной из наиболее обсуждаемых поправок стало разрешение публиковать фотографии и видеозаписи людей без их согласия, если они сделаны во время публичного мероприятия и используются в новостных материалах.
Однако участники общественного обсуждения обращают внимание, что законопроект не объясняет, что считать «мероприятием» и что именно относится к «новостным материалам». Из-за этого, по их мнению, исключение может трактоваться слишком широко.
Один из комментаторов предлагает ограничить действие нормы официальными публичными мероприятиями, заранее информировать участников о съемке и дать им возможность отказаться от нее. Кроме того, если человек не является главным героем события, его изображение, по возможности, не должно становиться основным объектом публикации.
Добро пожаловать в реальность!