💡🇧🇾Эксперты RPPA [РБ] обсудили подготовленный аналитический материал об определении личности субъекта персональных данных при обращении к оператору и пришли к выводу о возможности его использования в практике белорусских privacy-специалистов с рядом уточнений и комментариев:
1. У оператора может не быть информации, необходимой для идентификации обратившегося с запросом лица, — это не является ни нарушением, ни каким-либо исключением из общего правила.
2. Осуществление прямых контактов со всеми субъектами, чьи данные в информационной системе совпадают с данными в запросе (со всеми Иванами Ивановичами Ивановыми), представляется нарушающим принципы минимизации и соразмерности обработки персональных данных.
3. Субъект персональных данных, исходя из системного толкования Закона Республики Беларусь от 07.05.2021 № 99-З "О защите персональных данных" (99-З), — идентифицированное или идентифицируемое физическое лицо, к которому относится обрабатываемая оператором информация, — именно от того, является ли обратившееся лицо субъектом в отношении обрабатываемых оператором персональных данных, зависит возможность оператора способствовать этому лицу в реализации его прав, предусмотренных 99-З.
Например, если единственный из указанных субъектом идентификаторов, входящий в состав собираемой оператором информации, пересекается у 100 других субъектов, попытка выяснить, кто из субъектов — обратившееся лицо, может привести к избыточной обработке и вмешательству в частную жизнь 99 субъектов, не направлявших запрос.
4. Идеальный случай при обработке персональных данных в онлайн-среде — реализация прав непосредственно в интерфейсе сервиса, в его авторизованной зоне, где у оператора уже отсутствует необходимость в идентификации обратившегося лица, в том числе посредством запроса дополнительной информации о нем.
5. Дополнительным основанием для запроса дополнительной информации у обратившегося может быть ссылка на ст. ст. 16-17 99-З, так как оператор обязан обеспечить безопасность обрабатываемых данных и самостоятельно определяет перечень мер защиты: уточнение информации, таким образом, будет служить снижению риска несанкционированного доступа неавторизованных лиц к данным субъекта при условии соблюдения принципов обработки персональных данных, установленных 99-З. Более того, согласно ст. 31 Закона Республики Беларусь от 10.10.2008 № 455-З "Об информации, информатизации и защите информации", обладатель информации, оператор информационной системы обязаны, в частности, обеспечить конфиденциальность информации, то есть, в том числе исключить её предоставление без согласия или иного основания, предусмотренного законом.
6. По мнению экспертов необходимо проработать возможность внесения изменений в 99-З, которые бы позволили обеспечить правовую определенность в отношении права оператора персональных данных при получении запроса субъекта персональных данных по каналу, не используемому при взаимодействии соответствующих субъекта и оператора, принимать дополнительные меры по идентификации отправителя или предлагать альтернативный, доверенный канал для реализации прав субъекта персональных данных.
Например, это может быть достигнуто через внесение изменений в п.2 ст.14 99-З в части дополнения перечня подлежащих указанию данных "идентификатором, используемым во взаимодействии между оператором и субъектом".
