Как Национальный центр защиты персональных данных будет проводить проверки

Важные детали:

1. Уполномоченным органом по защите прав субъектов персональных данных является Национальный центр защиты персональных данных (далее – Центр).
2. Центр уполномочен проводить плановые, внеплановые и камеральные проверки.

Какие функции возлагаются на Центр

Основными задачами, которые возлагаются на Центр, являются:

• принятие мер по защите прав субъектов персональных данных при обработке их персональных данных;
• организация обучения по вопросам защиты персональных данных.

В рамках этих задач Центр уполномочен, в частности:

• осуществлять контроль за обработкой персональных данных;
• рассматривать жалобы субъектов персональных данных по вопросам обработки персональных данных;
• разъяснять вопросы применения законодательства о персональных данных, проводить иную разъяснительную работу о законодательстве о персональных данных;
• реализовывать образовательные программы дополнительного образования взрослых в соответствии с законодательством об образовании и т.д.

Какие проверки вправе проводить Центр

Контроль за обработкой персональных данных Центр вправе осуществлять посредством:

• плановых проверок. Проводятся в соответствии с планом проверок соблюдения законодательства о персональных данных, который будет ежегодно утверждаться директором Центра и размещаться на официальном сайте Центра не позднее 30 декабря года, предшествующего году проведения проверки; 
• внеплановых проверок. Могут назначаться директором Центра, например, в случае поступления жалоб от субъектов персональных данных, свидетельствующих о совершаемом (совершенном) нарушении требований законодательства о персональных данных;
• камеральных проверок.

Центр также вправе на договорной основе проводить добровольный аудит соблюдения операторами (уполномоченными лицами) требований законодательства о персональных данных. Если организация проведет такой аудит и получит положительное заключение Центра, то она не подлежит плановым проверкам в течение 5 лет со дня получения соответствующего заключения (пп. 8, 13 Положения).

Справочно:

если информация о наличии нарушений будет анонимной, то внеплановая проверка не будет назначена.

Плановые проверки одного и того же оператора (уполномоченного лица) проводятся не чаще 1 раза в 2 года.

Что Центр будет проверять

В Положении идет речь лишь о том, что в ходе плановой и вне­плановой проверки будут оцениваться:

• меры, принятые оператором (уполномоченным лицом) для обеспечения защиты персональных данных;
• достаточность принятых мер для защиты персональных данных.

При этом руководитель комиссии по проверке наделен правом самостоятельно определять методы и способы ее осуществления.

В ходе проверки проверяющие имеют право требовать:

– представления документов (их копий) и (или) сведений, связанных с обработкой персональных данных. Если такие документы в соответствии с требованиями законодательства находятся не в месте проверки, они должны быть представлены не позднее следующего рабочего дня со дня предъявления требования о представлении документов;

– обеспечения доступа при предъявлении служебных удостоверений и предписания на проведение проверки:

• в помещения и иные объекты (на территории), в которых осуществляется обработка персональных данных (за исключением жилых помещений);
• к программно-техническим средствам, с помощью которых осуществляется такая обработка.

Если в ходе проверки невозможно исследование программно-технических средств на месте, то они могут быть изъяты на срок, не превышающий срока проведения проверки. Решение об изъятии принимает директор Центра.

Сроки проведения проверок

Плановые и внеплановые проверки должны длиться не более 20 рабочих дней. Однако директор Центра в случае необходимости может продлить срок проверки не более чем на 10 рабочих дней. Продление возможно только 1 раз.

При назначении плановой проверки не позднее 10 рабочих дней до начала ее проведения Центр письменно уведомляет об этом проверяемое лицо. В уведомлении должны быть указаны (п. 16 Положения):

• дата начала проверки;
• сроки проведения;
• состав комиссии;
• вопросы, подлежащие проверке.

Если в ходе проверки выявят нарушения

Результаты проверки (плановой и внеплановой) оформляются соответствующим актом, который составляется в течение 10 рабочих дней со дня окончания проверки и подписывается всеми членами комиссии.

Если в ходе проверки будут выявлены нарушения, то директор Центра также в течение 10 рабочих дней со дня окончания проверки выносит письменное требование (предписание) об устранении выявленных нарушений и (или) приостановлении (прекращении) обработки персональных данных в информационном ресурсе (системе). В предписании указываются конкретные действия, которые должны быть приостановлены (прекращены), и устанавливается срок такого устранения и (или) приостановления (прекращения), не превышающий 6 месяцев.

После того как нарушения будут устранены, проверяемый субъект должен письменно сообщить в Центр об этом, приложив подтверждающие документы. Также в случае необходимости надо предоставить Центру возможность удостовериться (в т.ч. на месте) в устранении нарушений.

Если оператор (уполномоченное лицо) не уложится в сроки, указанные в предписании по устранению нарушений, то он вправе подать в Центр заявление о продлении сроков. Сделать это необходимо не позднее 3 рабочих дней до дня истечения сроков, указанных в предписании. В заявлении должны быть изложены объективные обстоятельства, которые не позволили устранить нарушения своевременно.

Оспорить акт плановой или внеплановой проверки можно в Центре не позднее 15 рабочих дней со дня поступления акта путем подачи письменных возражений по его содержанию. Обжаловать предписание, а также действия (бездействие) проверяющих можно в судебном порядке.

Проведение камеральных проверок

Камеральные проверки проводятся Центром по месту своего нахождения. В ходе камеральной проверки изучаются, анализируются и оцениваются:

• информация, размещенная в СМИ и Интернете;
• документы и иная информация, в т.ч. полученная от оператора (уполномоченного лица) по запросу Центра.

Камеральная проверка проводится без выдачи предписания на ее проведение и уведомления об этом оператора (уполномоченного лица). По результатам такой проверки оператору (уполномоченному лицу) могут быть направлены рекомендации об устранении выявленных нарушений законодательства о персональных данных.

Документ:

Положение о Национальном центре защиты персональных данных, утвержденное Указом Президента Республики Беларусь от 28.10.2021 № 422 (Положение).