Публичное обсуждение проектов НПА

(Продолжение) Вместе с тем, Закон о защите
персональных данных практически полностью состоит из формулировок и нормативных правовых предписаний, допускающих различное толкование, что подтверждается количеством выпущенных НЦЗПД разъяснений, содержание которых прямо указывает на неисчерпаемость возможных требований к субъектам хозяйствования по исполнению законодательства о защите персональных данных. При этом, письменные разъяснения регулятора нормативными правовыми актами не являются и не имеют юридической силы. Фактически, понимание требований уже принятого Закона формируется, в том числе, у регулятора, в процессе его реализации, что приводит к нестабильности правового регулирования и дополнительной необоснованной нагрузке на экономику. Кроме того, сложившаяся ситуация приводит к необоснованному бесконтрольному расширению полномочий НЦЗПД как регулятора и контролера, что крайне отрицательно сказывается как на условиях осуществления предпринимательской деятельности, так и на системе государственного управления. 3) Частью 9 статьи 6 Закона о нормативных правовых актах также установлен принцип системности и комплексности правового регулирования общественных отношений, который, в том числе, обеспечивается наличием целостной и согласованной совокупности нормативных правовых актов, отсутствием пробелов в законодательстве (правовом регулировании), исключающих или затрудняющих реализацию принимаемых (издаваемых) нормативных правовых актов и отсутствием коллизий нормативных правовых актов. Вместе с тем, обработка персональных данных осуществляется в рамках практически всех видов правоотношений, как с непосредственным участием физических лиц, так и с их участием в качестве работников, учредителей и представителей юридических лиц. Данные правоотношения урегулированы значительным массивом нормативных правовых актов, содержащих самые различные нормы, затрагивающие персональные данные и их обработку. В результате же принятия Закона о защите персональных данных, осуществление всех указанных видов правоотношений значительно усложнилось, о чем также свидетельствует постоянное появление разъяснений НЦЗПД по исполнению норм Закона о защите персональных данных в той или иной сфере деятельности. Изложенное в совокупности свидетельствует о том, что при разработке и принятии Закона о защите персональных данных, как минимум, в заведомо недостаточной мере учитывались требования иных нормативных правовых актов, не говоря о существе и содержании регулируемых правоотношений, что привело к взрывному росту нагрузки на все субъекты правоотношений и усложнению практически всех видов деятельности. (Продолжение ниже)

(Продолжение) По нашему мнению, регулирование
защиты персональных данных в Республике Беларусь должно исходить из реально существующих и обоснованных целей, а именно: - обеспечения доступа экспортеров на рынки ЕС и иных государств, предъявляющих требования по защите персональных данных. - профилактики и расследования преступлений, связанных с незаконным использованием персональных данных. Для достижения указанных целей, необходимо принятие следующих мер: а) усиление технической защиты на критически важных объектах информатизации (причем критерием отнесения к таким объектам должно быть их назначение и состав обрабатываемых данных, необязательно персональных, а не просто количество обрабатываемых персональных данных); б) кадровое и техническое укрепление подразделений силовых структур, ответственных за борьбу с киберпреступлениями, развитие методологии в данной сфере. Назначением же НЦЗПД должно являться методологическое и методическое обеспечение деятельности по защите информации, консультирование субъектов хозяйствования, сертификация систем защиты. Реализация указанного подхода позволит реально усилить защиту информации в целом и защиту персональных данных в частности, а также избавит экономику и субъектов хозяйствования от заведомо необоснованной нагрузки по предостережению рисков, стоимость которых в разы ниже стоимости мер по недопущению их наступления. Таким образом, рассматриваемый проект Закона требует коренной переработки и должен предусматривать не точечные корректировки, а концептуальный и комплексный пересмотр Закона о защите персональных данных, а также регулирования данной сферы, обеспечив: - недопущение возложения на субъекты хозяйствования, иные организации и граждан требований, издержки на исполнение которых, сопоставимы либо превышают потенциальные издержки от рисков возможного разглашения обрабатываемых ими персональных данных; - обоснованно доказанную социально-экономическую обусловленность каждого требования в отношении субъектов хозяйствования, иных организаций и граждан; - отсутствие норм и требований, допускающих множественное и (или) расширительное толкование, а также противоречащих требованиям иных актов законодательства либо усложняющих такие требования с установлением обязательного приоритета актов, регулирующих соответствующие правоотношения. (Продолжение ниже)

(Окончание) Так, требование о недопущении
возложения на субъекты хозяйствования, иные организации и граждан требований, издержки на исполнение которых, сопоставимы либо превышают потенциальные издержки от рисков возможного разглашения обрабатываемых ими персональных данных позволит в действительности реализовать декларируемый рискориентированный подход, который в действующей редакции указанного Закона ограничивается риском разглашения персональных данных, не учитывая размер потенциальных издержек от такого разглашения, что приводит к заведомой несоразмерности издержек на соблюдение требований Закона о защите персональных данных и издержек от рисков возможного разглашения, т.е. существенные ресурсы (финансовые, трудовые, временные и пр.) расходуются во избежание наступления минимальных последствий. Обеспечение обоснованно доказанной социально-экономической обусловленности каждого требования в отношении субъектов хозяйствования, иных организаций и граждан потребует от законодателя экономически обосновать и доказать указанную обусловленность уже на этапе разработки новой редакции Закона, а также на всех дальнейших этапах формирования нормативно-правовой базы и правоприменения. Кроме того, наличие данного условия объективно заставит регулятора четко ограничить сферу действия, как Закона о защите персональных данных, так и всего регулирования в целом. Отсутствие норм и требований, допускающих множественное и (или) расширительное толкование, а также противоречащих требованиям иных актов законодательства либо усложняющих такие требования с установлением обязательного приоритета актов, регулирующих соответствующие правоотношения позволит очистить Закон о защите персональных данных от неоднозначных формулировок и предписаний, установить исчерпывающие требования и критерии, прекратить практику «регулирования разъяснениями», а в части обязательного приоритета актов, регулирующих соответствующие правоотношения – исключить уже проявившиеся в практике работы НЦЗПД дополнительные требования к осуществлению различных урегулированных специальными НПА действий (например, требование, кроме предусмотренного Законом о рекламе согласия абонентов на получение ими рекламных рассылок, получать отдельное согласие этих же абонентов на обработку их персональных данных для целей рекламных рассылок).

Согласно проекту закона "О пер. дан" граждане
РБ, отказавшиеся давать согласие на обработку пер. дан., в нарушение Конституции РБ, лишаются почти всех своих прав - права на соцобслуживание­, права на медоблуживание, на образование, предоставление льготного жилья и т.п. . Мы считаем, что в законе "О пер. дан." должен быть прописан механизм обеспечения прав и законных интересов граждан в случае их отказа предоставить пер. дан. . Как вообще человечество жило столько веков без закона "О пер. дан."! Мы считаем, что данный закон парализует работу СМИ. Это дурь с Запада, как правильно сказал А. Г. Лукашенко, может привести к тому, что СМИ не смогут достоверно освещать информацию, а граждане лишатся права получать информацию о происходящем в сране.

Закон «О персональных данных» является
избыточной законодательной инициативой, которая создаст много проблем в сфере защиты личной информации гражданах. Данный законопроект является нарушением суверенитета РБ, регулярно напоминающей на международной арене о своей незалежности. В законе «О персональных данных» мы видим пример плохого перевода, навязанной нам Стамбульской конвенции, которая не принята РБ. Данный закон, как и проект закона «О насилии», - это попытка протащить Стамбульскую конвенцию через задний ход Палаты представителей, а не через парадных ход законной ратификации. Чего стоит бездарный перевод некоторых терминов. Например, «персональные данные». Те, кто хорошо знает нашу культуру, перевел бы этот чисто западный термин – «личная информация». Еще в философии западной и восточной традиции существовала разница в понимании и определении личности. «Персона», западный вариант, – это «личина», «маска», то, как человек проявляет себя в социальных ролях. В нашей традиции термин «персона» по-прежнему имеет семантическое значение «личина» - например, персонаж. Мы считаем, что, если наши законодатели демонстрируют незалежность на каждом углу, то хотя бы для хоть какого-то приличия не надо слепо принимать то, что нам диктуют иностранные приказчики. Использование термина в законе «личная информация» вместо «персональные данные» - это хоть какая-то иллюзия суверенности и независимости. К тому же в белзаконодатель­стве есть, проработано и работает определение «информация», а вот что такое «данные», пока четко в юридической терминологии не определено. «Данные» - это понятие из сферы информационных технологий, которое имеет крайне широкое толкование, поэтому использование понятия «личная информация» больше отвечает истинным задачам закона - защита личной жизни, защита личной информации о человеке. Пользуясь случаем, хотелось бы напомнить законопереписат­елям с иностранных методичек, что целью закона «О персональных данных» должна быть защита прав граждан, а не беспомощное наблюдение со стороны государства за злоупотребления­ми в этой сфере. В проекте закона не сказано, что его целью является защита прав, свобод и законных интересов граждан по защите личной информации. Не предусмотрена уголовная ответственность за нарушение прав граждан в этой сфере. В законе вообще не сказано о гражданах РБ. Они являются, согласно тексту проекта закона, «субъектом пер. дан.». Для самоуважения и приличия нужно было бы лишенных в проекте закона гражданства «субъектов» хотя бы назвать «собственниками персональных данных» или «лицами, которым принадлежат персональные данные». Закон «О пер. дан.» – это попрание всякого человеческого достоинства, начиная с терминологии законопроекта, заканчивая концепцией этой законодательной инициативы.

Понятие "исключительно автоматизированной
обработки" (п.10 ст. 18 проекта Закона) Статья 9^2 новой редакции Закона запрещает принятие решений с юридически значимыми последствиями на основании исключительно автоматизированной обработки персональных данных. Однако само понятие "исключительно автоматизированной обработки" в законе не раскрывает. Это создает правовую неопределенность, поскольку:  - любой гражданин может ошибочно полагать, что любая обработка персональных данных с использованием компьютера является исключительно автоматизированной; - для операторов неясно, какой уровень участия человека достаточен, чтобы обработка не считалась исключительно автоматизированной (например, достаточно ли подписи работника на документе, полностью сформированном автоматизированной системой) В результате возникают риски как для субъектов персональных данных (непонимание своих прав), так и для операторов (неясность требований). Исходя из вышеизложенного предлагается дополнить статью 1 Закона определением: "Исключительно автоматизированная обработка персональных данных" - обработка персональных данных, при которой принятие решения производится без участия человека на всех этапах, а также без возможность последующего пересмотра решения с участием человека. При этом участие человека, ограничивающееся утверждением (подписанием) уже сформированного автоматизированной системой решения без его содержательного анализа, не считается достаточным для признания обработки не исключительно автоматизированной" Также в статье 9^2 закрепить обязанность оператора: " Информировать субъекта персональных данных о том, какое решение принято с использованием исключительно автоматизированной обработки персональных данных, и разъяснять его право на пересмотр такого решения с участием человека"

О публикации фото- видеоматериалов с мероприятий
(п. 5 ст. 18 Закона) Пункт 5 статьи 18 Закона позволяет операторам при распространении новостных материалов с фото- и видеоизображениями граждан, полученных при проведении мероприятий, не получать согласия субъектов персональных данных. Однако отсутствует четкое определение "мероприятия": по это понятие могут подпадать любые события (корпоративы, дни рождения сотрудников и т.д.), также неясно, относятся ли к "новостным материалам" публикации в социальных сетях или на корпоративных сайтах, которые носят скорее рекламный или имиджевый характер. Предлагается абз. 20 п.5 ст. 18 проекта Закона изложить в следующей редакции: "при распространении оператором материалов с фото- и (или) видеоизображениями граждан, полученных при проведении официальных массовых мероприятий, непосредственно связанных с деятельностью оператора и имеющих публичный характер. Публикация таких материалов допускается исключительно в целях информирования о самом мероприятии. При этом оператор обязан принимать меры для исключения или минимизации случаев публикации изображений, на которых субъекты персональных данных являются основным объектом съемки, если это не связано с их участием в мероприятии в качестве официальных лиц. Указанное положение не отменяет обязанность оператора уведомлять субъектов персональных данных о факте съемки и целях использования полученных изображений способом, позволяющим субъекту персональных данных отказаться от участия в съемке."

Предлагаю запретить делать формы согласия
на обработку персданных в +100500 строк.  

Предлагаю ввести прямую норму, запрещающую
обработку специальных персональных данных организациями, которые не аттестовали свои системы защиты информации.