GDPR vs. Закон о защите персональных данных РБ: как не запутаться в требованиях?

Белорусский закон «О защите персональных данных» (№ 99-З) и европейский GDPR (General Data Protection Regulation) регулируют обработку персональных данных, но имеют существенные различия. Для компаний, работающих с европейскими партнерами, важно понимать эти различия, чтобы избежать нарушений и штрафов. В этой статье мы подробно рассмотрим ключевые аспекты, требующие особого внимания.

Зачем нужно знать о различиях между GDPR и законом РБ?

Глобализация бизнеса привела к тому, что многие белорусские компании работают с европейскими партнерами и обрабатывают данные граждан ЕС. В этом случае необходимо соблюдать требования как белорусского, так и европейского законодательства. Незнание или игнорирование различий между GDPR и законом РБ может привести к серьезным последствиям, включая крупные штрафы, судебные разбирательства и потерю деловой репутации. Как говорил Питер Друкер: «Лучший способ предсказать будущее — это создать его». В контексте защиты данных, создание «безопасного будущего» невозможно без знания и соблюдения соответствующих законов.

Ключевые различия между GDPR и законом РБ:

Несмотря на общую цель – защиту персональных данных, между GDPR и законом РБ есть ряд важных отличий. Рассмотрим их подробнее:

1. Территориальная сфера действия:

   • GDPR: распространяется на все организации, обрабатывающие персональные данные граждан ЕС, независимо от местонахождения организации. То есть, белорусская компания, обрабатывающая данные граждан ЕС, обязана соблюдать GDPR.

   • Закон РБ: распространяется на отношения, возникающие при обработке персональных данных на территории Республики Беларусь. Однако, если обработка данных осуществляется для предложения товаров или услуг гражданам РБ, находящимся за пределами страны, закон РБ также применяется.

   • Важность для руководителей: Если ваша компания обрабатывает данные граждан ЕС, GDPR имеет приоритет, даже если вы находитесь в Беларуси.

2. Основания для обработки данных:

   • GDPR: устанавливает шесть законных оснований для обработки данных: согласие, договор, юридическое обязательство, защита жизненно важных интересов, выполнение задачи в общественных интересах, законные интересы контролера.

   • Закон РБ: также предусматривает несколько оснований, включая согласие, исполнение договора, выполнение требований законодательства, защиту жизни, здоровья или иных жизненно важных интересов, осуществление полномочий государственных органов.

   • Важность для руководителей: В целом, основания схожи, но формулировки могут отличаться. Важно убедиться, что основание для обработки данных соответствует требованиям обоих законов, если они применимы одновременно.

3. Согласие на обработку данных:

   • GDPR: требует, чтобы согласие было «свободным, конкретным, информированным и недвусмысленным». Согласие должно быть дано посредством четкого позитивного действия (например, проставление галочки). Предварительно проставленные галочки или молчание не считаются согласием.

   • Закон РБ: также требует согласия, но формулировки могут быть менее строгими.

   • Важность для руководителей: GDPR предъявляет более высокие требования к форме и содержанию согласия. При работе с данными граждан ЕС необходимо убедиться, что согласие соответствует требованиям GDPR.

4. Права субъектов данных:

   • GDPR: предоставляет субъектам данных широкий спектр прав, включая право на доступ, исправление, удаление, ограничение обработки, переносимость данных, возражение против обработки, право не быть объектом решения, основанного исключительно на автоматизированной обработке.

   • Закон РБ: также закрепляет права субъектов данных, но их объем может быть несколько меньше.

   • Важность для руководителей: Необходимо обеспечить реализацию всех прав субъектов данных в соответствии с GDPR, если это применимо.

5. Трансграничная передача данных:

   • GDPR: устанавливает строгие правила передачи данных за пределы ЕС. Передача возможна только в страны, обеспечивающие адекватный уровень защиты, или при наличии соответствующих гарантий (например, стандартные договорные условия).

   • Закон РБ: также регулирует трансграничную передачу данных, но требования могут отличаться.

   • Важность для руководителей: При передаче данных граждан ЕС за пределы Беларуси необходимо убедиться в соблюдении требований GDPR к трансграничной передаче данных.

6. Ответственность и штрафы:

   • GDPR: предусматривает очень высокие штрафы за нарушения, до 4% годового оборота компании или 20 миллионов евро (в зависимости от того, что больше).

   • Закон РБ: также устанавливает ответственность за нарушения, но размеры штрафов значительно ниже.

   • Важность для руководителей: Риски, связанные с нарушением GDPR, значительно выше, поэтому необходимо уделять особое внимание соблюдению его требований.

Что требует особого внимания руководителей и специалистов:

• Аудит обработки данных: Проведите аудит всех процессов обработки персональных данных в компании, чтобы определить, какие данные обрабатываются, на каком основании, где хранятся и кому передаются.
• Разработка документации: Разработайте необходимые документы, включая Политику конфиденциальности, Положение о защите персональных данных, формы согласия на обработку данных.
• Обучение персонала: Проведите обучение для сотрудников, ответственных за обработку персональных данных.
• Внедрение технических и организационных мер: Внедрите необходимые технические и организационные меры для защиты данных, включая шифрование, контроль доступа, резервное копирование.
• Назначение DPO (Data Protection Officer): В некоторых случаях назначение DPO является обязательным в соответствии с GDPR.

Что делать сначала и потом регулярно?

• Сначала: Проведите GAP-анализ соответствия вашей компании требованиям GDPR и закона РБ. Разработайте план действий по устранению выявленных несоответствий.
• Регулярно: Отслеживайте изменения в законодательстве. Проводите внутренние аудиты. Актуализируйте документацию. Обучайте персонал.

В заключение:

Соблюдение требований как белорусского, так и европейского законодательства о защите персональных данных является критически важным для компаний, работающих на международном рынке. Понимание различий между GDPR и законом РБ позволит избежать серьезных проблем и укрепить доверие клиентов и партнеров.

Как говорил Генри Форд: «Собираться вместе — это начало, держаться вместе — это прогресс, работать вместе — это успех».

В контексте защиты данных, «работать вместе» означает согласованно соблюдать требования всех применимых законов.