Персональные данные

В Беларуси планируют повысить штрафы за нарушение законодательства в области защиты персональных данных. Об этом журналистам сообщил директор Национального центра защиты персональных данных Андрей Гаев.   "Мы хотим придать контрольной деятельности центра комплексно-завершенный характер. Сегодня центр не имеет полномочий на составление протоколов и вынужден в этих ситуациях обращаться в органы внутренних дел, у которых есть масса других задач, а данное направление не является профильным. Мы видим, что наделение центра полномочиями позволит повысить эффективность в такой работе", - пояснил Андрей Гаев.   По его словам, сегодня максимальный штраф за непринятие мер по организации обработки персональных данных для юридических лиц составляет всего 50 базовых величин. "Это несоизмеримо с теми затратами, которые бизнесу необходимо провести для того, чтобы защитить наши права, и многие просто хотят откупиться минимальными суммами от выполнения обязанностей", - добавил директор Национального центра защиты персональных данных.   Он отметил, что за года работы сотрудники центра удалили более 22 млн единиц информации, незаконно обрабатываемой в отношении наших граждан, в том числе 2 млн 300 тыс. уникальных записей.   Несмотря на то, что основная цель Национального центра защиты персональных данных - это предупреждение, были случаи, в которых операторов приходилось привлекать к ответственности.

Конкурс на лучшую работу в сфере защиты персональных данных объявлен в Беларуси, сообщили БЕЛТА в Национальном центре защиты персональных данных.   Участвовать могут студенты, магистранты, профессорско-преподавательский состав учреждений высшего образования, работники научных, научно-практических и иных организаций, а также другие работники юридических специальностей.   На конкурс с 16 сентября по 15 декабря можно подавать как индивидуальные, так и коллективные работы. Итоги будут подведены к Международному дню защиты персональных данных.   Конкурсные работы могут быть выполнены на такие темы, как "Отнесение cookie-файлов к персональным данным: за и против" (номинация "Лучшая студенческая работа") и "Реализация модели сооператорства в практической деятельности по законодательству Республики Беларусь" (номинация "Лучшая работа практикующего юриста").   Работы будут оцениваться по таким критериям, как соответствие теме конкурса, актуальность и новизна рассматриваемых вопросов, значимость полученных результатов (теоретическая, практическая, социальная, экономическая), отражение собственного отношения автора к избранной теме и др.   По информации БЕЛТА

Более 100 тыс. уникальных записей белорусов, распространенных без разрешения, удалено из сети в 2023, сообщил журналистам директор Национального центра защиты персональных данных Андрей Гаев, передает корреспондент БЕЛТА.   "В результате профилактических мероприятий в этом году из сети удалено более 100 тыс. записей, ранее распространенных без должных правовых оснований. Такими записями успешно пользуются мошенники, рассылая разного рода вредоносное программное обеспечение и обращаясь к фишинг-технологии", - рассказал Андрей Гаев.   "Государство создает условия для защиты персональных данных и безопасности личности общества при их использовании, но то, что происходит с нашей личной информацией, зависит не столько от государства, сколько от действий организаций, которые собирают персональную информацию, и каждого человека в отдельности. Так, недавно произошли крупные утечки персональной информации из торговых сетей "Остров чистоты и вкуса", "Буслик" и сети салонов связи "Алло". Большая утечка по различным организациям прошла практически одновременно. Ее можно считать единой, потому что злоумышленники воспользовались уязвимостью информационной системы "Битрикс" и смогли внедриться в информационные ресурсы организаций. Был проведен анализ ситуации с поиском ответа на вопрос, что способствовало произошедшим утечкам. К несанкционированным последствиям привело непринятие мер по защите информации в конкретных организациях. Меры по контролю за безопасностью информации, предусмотренные законодательством, в каждой организации не были соблюдены, поэтому соответствующие информационные ресурсы и системы не были должным образом защищены с технической стороны", - добавил Андрей Гаев.   По его словам, никто, кроме специалистов, не мог в этой ситуации должным образом обеспечить защиту информации о гражданах. "По сути, бизнес, зарабатывая деньги на оказании услуг и продаже товаров, должен заботиться о тех, кто эти самые деньги и прибыль ему приносит. Национальный центр защиты персональных данных создан для того, чтобы обеспечивать в стране надлежащее исполнение правовых норм и помогать в соблюдении прав гражданам и самим организациям", - отметил директор Национального центра защиты персональных данных.   Он подчеркнул, что за текущий год центром был проведен мониторинг более 50 сайтов различных организаций. "Если в прошлом году мы делали упор на работку с субъектами и ассоциациями, представляющим различные направления бизнеса, то в текущем году работа строится с конкретными ресурсами и организациями, прежде всего теми, которые оказывают услуги и продают товары через интернет. К сожалению, в каждом случае по результатам мониторинга появлялись нарушения, и по каждому случаю сейчас проводится работа. Это очень тонкая тема. Хотелось бы озвучить названия организаций, но как только названия становятся известными, это автоматически дает возможность злоумышленникам ломать системы, которые во многих случаях совсем не защищены", - сказал Андрей Гаев.   "Недавно прошел мониторинг крупного информационного ресурса, по результатам которого оказалось, что информация нескольких сотен тысяч наших граждан даже не была перенесена на защищенный хостинг. Никакие меры, связанные с технической защитой информации, не были выполнены. Ни одного варианта логирования действий нескольких тысяч сотрудников организации не производилось, т.е. установить, кто и что делает с персональной информацией, было невозможно. По каждой из таких ситуаций проводится персональная индивидуальная работа. Устанавливаются графики с жесткими сроками реализации мер защиты, которые организации обязаны сделать по закону. Туда входит и назначение ответственных за организацию внутреннего контроля, налаживание работы по предоставлению доступа только для конкретных лиц и к конкретному объему информации, установление локальными актами правил работы с персональными данными в организации, реализация технических мер безопасности, которая требует времени и средств, но во многом способствует обеспечению должной защиты информации", - заметил директор Национального центра защиты персональных данных.   Он добавил, что каждый сотрудник, работающий в определенной организации, а также каждый клиент, на котором компании зарабатывают деньги, вправе требовать соблюдения закона и должной защиты персональной информации.   По информации БЕЛТА

Персональные данные пользователей интернет-магазина "Остров чистоты и вкуса" повторно утекли в сеть, сообщили БЕЛТА в Национальном центре защиты персональных данных.   Как пояснили эксперты, утечка произошла в результате несанкционированного доступа к информационной системе ЧТУП "ЗападХимТорг". Злоумышленники выставили на продажу базу данных, в которой содержатся персональные данные более 730 тыс. пользователей ресурса.   Ранее центр уже проводил внеплановую проверку ЧТУП "ЗападХимТорг" в связи с предыдущей утечкой данных. Однако требование провести мероприятия по технической и криптографической защите персональной информации выполнено не было, что привело к повторному инциденту.   В Национальном центре защиты персональных данных обратили внимание операторов на необходимость принятия мер по защите персональных данных, в том числе по осуществлению технической и криптографической защиты.   Василий Роше

Новый документ - согласие на обработку персональных данных - сейчас просят во многих учреждениях и организациях, в том числе здравоохранения. А мы тем временем привыкаем к тому, что личная информация должна надежно защищаться и может быть распространена только с нашего согласия. Особенно если она касается здоровья, факта обращения в то или иное медицинское учреждение. Впрочем, всегда ли давать такое согласие необходимо? Возможно, оно избыточно? На пяти жизненных примерах корреспондент БЕЛТА попыталась разобраться. Помог в этом начальник отдела по работе с обращениями Национального центра защиты персональных данных Дмитрий Шевчук.   Первая типичная ситуация. Человек пришел в свою районную поликлинику по месту жительства, где обслуживается уже много лет. Должны ли у него брать согласие на обработку персональных данных?   По словам Дмитрия Шевчука, ответ на поставленный вопрос во многом зависит от того, какой порядок обработки персональных данных пациентов применяется в конкретной поликлинике. К примеру, в случае записи пациента на прием, выдачи талона персональные данные, которые не относятся к специальным (ФИО, адрес и т.п.), обрабатываются без согласия. При обработке специальных персональных данных (к примеру, состояние здоровья пациента, диагноз и т.п.) при оказании медпомощи согласие физлица тоже не требуется.   Однако если при обработке специальных персональных данных используются средства автоматизации (например, заполнение электронной медицинской карты), то законодательство требует получение согласия на такую обработку.   При отказе пациента от дачи такого согласия ведение его медицинской карты будет осуществляться только на бумажных носителях. При этом такой выбор гражданина не повлияет на возможность получения им соответствующей услуги со стороны организации здравоохранения, подчеркнул начальник отдела.   Ситуация вторая. Пациент пришел на прием в частную стоматологию для лечения. В этом случае должны ли у него взять согласие на обработку персональных данных?   Дмитрий Шевчук подчеркнул: нормы законодательства о персональных данных применяются в отношении организаций здравоохранения независимо от их формы собственности.   Обработка персональных данных пациентов, которые пришли для оказания стоматологических услуг, осуществляется для целей оказания медицинской помощи субъекту персональных данных организацией здравоохранения и не требует дополнительного согласия субъекта персональных данных. Исключение составляют случаи, когда обработка специальных персональных данных происходит с использованием средств автоматизации.   При этом в описанном случае не следует путать дачу согласия на обработку персональных данных с дачей добровольного информированного согласия на оказание медицинской помощи, заметил начальник отдела. По его словам, такое согласие дается предварительно и является необходимым условием оказания медицинской помощи пациенту в соответствии с законом о здравоохранении.   Рассмотрим еще одну возможную ситуацию, когда согласие на обработку персональных данных не нужно. Например, ребенок попал в больницу после ДТП. Требуется экстренная операция, для проведения которой необходимы отдельные сведения из медицинских документов, иных источников информации. Должны ли брать согласие на обработку персональных данных ребенка у его родителей?   Как пояснил Дмитрий Шевчук, закон предусматривает, что согласие субъекта персональных данных на обработку персональных данных не требуется для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение такого согласия невозможно.   Таким образом, при необходимости проведения экстренной операции и в иных подобных исключительных случаях предоставление соответствующих сведений происходит без согласия на обработку персональных данных.   Логичен и следующий вопрос: имеет ли право работодатель напрямую обратиться в поликлинику за получением данных из медкарты без согласия пациента? Может ли поликлиника передать такие данные?   Дмитрий Шевчук обратил внимание, что обработка специальных персональных данных без согласия субъекта персональных данных запрещается, за исключением проведения расследования несчастного случая на производстве и профессионального заболевания. В иных ситуациях предоставление такой информации может происходить только с согласия работника.   Наконец, пятая ситуация. Родителя просят подписать согласие на вакцинацию ребенка. Должны ли в этом случае брать согласие на обработку персональных данных ребенка?   По словам начальника отдела, в данном случае речь идет о предоставлении согласия на медицинское вмешательство в соответствии с законодательством о здравоохранении, а не о согласии на обработку персональных данных. Лишь в случае, если персональные данные ребенка вносятся в электронную медицинскую карту, то согласие на такую обработку персональных данных требуется.   БЕЛТА

Национальный центр защиты персональных данных опросил подписчиков своего Telegram-канала о том, можно ли размещать на сайте школы фото с изображением несовершеннолетних учащихся и нужно ли при этом учреждению образования получать согласие на обработку персональных данных. В соцсети специалисты центра пояснили этот вопрос, сообщает БЕЛТА.   В подобном случае центр рекомендует руководствоваться положением о порядке функционирования интернет-сайтов государственных органов и организаций, утвержденным постановлением Совета Министров от 29 апреля 2010 года №645.   В целом размещение фото- и видеоинформации с несовершеннолетними в рамках новостного контента не является нарушением закона "О защите персональных данных". "Важно помнить о соразмерности обработки ПД и исключении избыточности обработки этих данных. К примеру, если съемка производится на публичном мероприятии или в месте, открытом для свободного посещения, изображение ребенка не должно быть основным объектом на снимке, фотография должна отражать именно проводимое мероприятие", - отметили в центре защиты персональных данных.   Если акцент делается на изображении ребенка, то для размещения такого фото или видео необходимо получать согласие участника мероприятия (в отношении несовершеннолетнего в возрасте до 16 лет - согласие одного из его законных представителей).

Приказом №94 "О государственном информационном ресурсе "Реестр операторов персональных данных", принятым 1 июня Оперативно-аналитическим центром при Президенте, регламентированы сведения, которые будут включаться в реестр операторов персональных данных, сообщает БЕЛТА со ссылкой на Национальный правовой интернет-портал.   Согласно правовому акту в реестр будет включена информация об информационных ресурсах (системах), через которые будут трансгранично передаваться специальные персональные данные, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением некоторых случаев. Помимо этого, будут обрабатываться биометрические и (или) генетические персональные данные, персональные данные более 100 тыс. физических лиц и персональные данные более 10 тыс. физических лиц, не достигших 16-летнего возраста.   В частности, в реестр должны вноситься данные о наименовании информационного ресурса (системы), местонахождении систем хранения данных и серверного оборудования, на которых размещается информационный ресурс (система), дате внесения сведений в реестр и их изменения, количестве субъектов персональных данных, которые обрабатываются в информационном ресурсе (системе) на момент внесения информации в реестр, а также заявленных целях и правовых основаниях обработки персональных данных и другое.   "Оператор или уполномоченное лицо вносят сведения в реестр не позднее 15 января 2024 года, в отношении информационного ресурса (системы), созданного (созданной) после 1 января 2024 года, - в течение десяти рабочих дней после ввода его (ее) в постоянную эксплуатацию", - говорится в документе.

В Бресте завершили расследование дела о незаконном распространении персональных данных. Об этом БЕЛТА сообщили в Следственном комитете Республики Беларусь.   "Студент из Бреста поддался на бесконечные призывы деструктивных сообществ и инициативно вышел на связь с администраторами Telegram-канала, участники которого признаны экстремистским формированием. Брестчанин поведал о своих навыках в программировании и предложил помощь в создании дополнительных функций для сайта. На электронном ресурсе осуществлялся незаконный сбор и предоставление информации о частной жизни и персональных данных сотрудников правоохранительных органов и их близких в целях оскорбления, применения к ним насилия, уничтожения и повреждения имущества", - поделились подробностями расследования в Следственном комитете.   По информации СК, молодой человек получил от участников экстремистского формирования задание на создание виртуальной кнопки на сайте. Ее функция заключалась в выводе информации для печати. Созданный файл с "кнопкой" он направил в чат-бот экстремистского Telegram-канала. При проведении оперативно-разыскных мероприятий было установлено, что 23-летний житель Бреста причастен к ряду преступлений. В ходе обыска в квартире по месту жительства студента изъят ноутбук, в котором в последующем в ходе осмотра обнаружены файлы, созданные для осуществления функции печати. В содержимом кода имеются комментарии обвиняемого, предназначенные для облегчения понимания порядка его применения.   Во время допросов фигурант рассказал, что у него было полное осознание незаконной деятельности администраторов сайта. Однако это его не остановило, и он полагался на конфиденциальность своих действий. К нему применена мера пресечения в виде заключения под стражу. В настоящий момент расследование уголовного дела завершено, материалы переданы прокурору для направления в суд.

Рекомендации по обработке персональных данных в связи с трудовой (служебной) деятельностью подготовлены в Беларуси, сообщили БЕЛТА в Национальном центре защиты персональных данных.   Рекомендации призваны определить единообразные подходы к обработке персональных данных в связи с трудовыми отношениями, а также с целью недопущения нарушения прав граждан.   В них содержатся разъяснения по обработке персональных данных (ПД) при оформлении трудовых (служебных) отношений, в процессе трудовой (служебной) деятельности, по обработке ПД соискателей на трудоустройство, близких родственников (членов семьи) работника, а также по предоставлению ПД работника (в том числе уволенного) третьим лицам.   Ознакомиться с текстом рекомендаций можно в банке данных "Правоприменительная практика" ИПС "Эталон-Online".