Вызначэнне таго, ці апрацоўваеце вы персанальныя даныя як аператар або як упаўнаважаная асоба мае вялікае практычнае значэнне, паколькі Закон Рэспублікі Беларусь ад 7 мая 2021 г. № 99-З ”О защите персональных данных“ (далей – Закон) вызначае прававы статус такіх асоб па-рознаму. Калі аператар даручае апрацоўку персанальных даных упаўнаважанай асобе, то адказнасць перад суб’ектам персанальных даных за дзеянні названай асобы нясе аператар. У сваю чаргу, упаўнаважаная асоба нясе адказнасць за свае дзеянні перад аператарам.
Аператар ажыццяўляе апрацоўку ад свайго імя і ў сваіх інтарэсах. Так, ён сам вырашае якія персанальныя даныя і для якіх мэт варта апрацоўваць. У сваю чаргу, упаўнаважаная асоба такой свабодай дзеянняў не валодае, паколькі дзейнічае ад імя і ў інтарэсах аператара ў адпаведнасці з яго даручэннямі. Менавіта аператар прымае рашэнне аб тым якія персанальныя даныя якіх асоб і для якіх мэт будзе апрацоўваць упаўнаважаная асоба, а таксама тэрмін апрацоўкі і спосабы апрацоўкі.
Варта мець на ўвазе, што адна і таксама асоба ў дачыненні да адных апрацовак можа выступаць аператарам, а да іншых – упаўнаважаным асобай. У сувязі з гэтым для вызначэння прававога статусу асобы патрабуецца аналіз кожнай канкрэтнай апрацоўкі.
Вельмі распаўсюджанай практыкай для кампаній з’яўляецца перадача часткі сваіх функцый на аўтсорсінг іншай кампаніі (вядзенне бухгалтарскага ўліку, сістэмнае адміністраванне лакальнай сеткі, транспартныя паслугі, IT-падтрымка і т.п.). У кожным такім выпадку кампанія-выканаўца паслуг дзейнічае строга ў адпаведнасці з інструкцыямі (даручэннямі, указаннямі і т.п.) кампаніі-заказчыка, замацаванымі ў дамове, ад яго імя і ў яго інтарэсах. У падобных сітуацыях кампанія-заказчык выступае аператарам, а кампанія-выканаўца з’яўляецца ўпаўнаважанай асобай.
Разгледзім больш прыватныя прыклады:
Кампанія ”А“ даручыла кампаніі ”Б“ вырабіць візітоўкі для сваіх супрацоўнікаў. З гэтай мэтай кампанія ”А“ перадала кампаніі ”Б“ спіс сваіх супрацоўнікаў з указаннем іх прозвішчаў і імёнаў, пасад, а таксама кантактных тэлефонаў. Кампанія ”Б“ надрукавала візітоўкі супрацоўнікаў, адбіўшы ўказаную інфармацыю на іх.
У прадстаўленым прыкладзе кампанія ”А“ вызначыла мэту апрацоўкі (друк візітовак), асоб, чые персанальныя даныя будуць апрацоўвацца (супрацоўнікі), і пералік апрацоўваных персанальных даных (прозвішча, імя, пасада, кантактны тэлефон). У сваю чаргу, кампанія ”Б“ дзейнічала ў межах дадзеных ёй інструкцый. У сувязі з гэтым кампанія ”А“ з’яўляецца аператарам, кампанія ”Б“ – упаўнаважанай асобай.
Кампанія ”А“ прадае тавары праз Інтэрнэт, прапаноўваючы дастаўку тавару кур’ерам. З мэтай выканання абавязацельстваў па дастаўцы кампанія ”А“ запытвае ў пакупніка кантактныя даныя, неабходныя для дастаўкі, – адрас, імя і кантактны тэлефон.
Паколькі кампанія ”А“ не мае ўласнай кур’ерскай службы, яна наймае кампанію ”Б“, якая мае свой штат кур’ераў і займаецца дастаўкай тавараў. Кампанія ”А“ перадае сабраныя ёю персанальныя даныя пакупнікоў кампаніі ”Б“ для дастаўкі тавару.
У прадстаўленым прыкладзе кампанія ”А“ вызначыла мэту апрацоўкі (дастаўка тавару), асоб, чые персанальныя даныя будуць апрацоўвацца (пакупнікі), і пералік апрацоўваных персанальных даных (адрас, імя і кантактны тэлефон). У сваю чаргу, кампанія ”Б”, выкарыстоўваючы сабраныя персанальныя даныя, ад імя кампаніі ”А“ даставіла тавар. У сувязі з гэтым кампанія ”А“ з’яўляецца аператарам, кампанія ”Б“ – упаўнаважанай асобай.
Асоба можа быць аператарам у сілу палажэнняў нарматыўнага прававога акта, напрыклад, калі апрацоўвае (часцей за ўсё, збірае) персанальныя даныя для рэалізацыі дзяржаўна-ўладных паўнамоцтваў. У сувязі з гэтым хаця мэты апрацоўкі і парадак такой апрацоўкі вызначаны заканадаўствам, аператарам з’яўляецца орган, адказны за такую апрацоўку. Як правіла, з улікам тэрміналогіі Закона Рэспублікі Беларусь ад 10 лістапада 2008 г. № 455-З ”Аб інфармацыі, інфарматызацыі і абароне інфармацыі“ гэтым органам з’яўляецца ўладальнік інфармацыйнага рэсурсу.
Напрыклад, у адпаведнасці з пунктам 9 Указа Прэзідэнта Рэспублікі Беларусь ад 25 чэрвеня 2021 г. № 240 ”Об административных процедурах, осуществляемых в отношении субъектов хозяйствования“ Міністэрства эканомікі з’яўляецца ўладальнікам рэестра адміністрацыйных працэдур, якія ажыццяўляюцца ў адносінах да суб’ектаў гаспадарання. Да кампетэнцыі Міністэрства эканомікі аднесена стварэнне, функцыянаванне рэестра, а таксама сумесна з органамі-рэгулятарамі, упаўнаважанымі органамі і іншымі зацікаўленымі суб’ектамі або асобамі забеспячэнне фарміравання і вядзення рэестра. Такім чынам, Міністэрства эканомікі з’яўляецца аператарам у разуменні заканадаўства аб персанальных даных.
Прававая аснова адносін паміж аператарам і ўпаўнаважанай асобай.
Узаемаадносіны аператара і ўпаўнаважанай асобы могуць апасродкавацца:
• дамовай паміж аператарам і ўпаўнаважанай асобай;
• актам заканадаўства;
• рашэннем дзяржаўнага органа.
Такія дакументы павінны змяшчаць:
• мэты апрацоўкі персанальных даных;
• пералік дзеянняў, якія будуць здзяйсняцца з персанальнымі данымі ўпаўнаважанай асобай;
• абавязкі па выкананні канфідэнцыйнасці персанальных даных;
• меры па забеспячэнні абароны персанальных даных у адпаведнасці з артыкулам 17 Закона.
На практыцы, найбольш часта сустракаемай сітуацыяй з’яўляецца заключэнне дамовы паміж аператарам і ўпаўнаважанай асобай. У такім выпадку названыя вышэй палажэнні могуць быць уключаны, напрыклад, у дагавор на аказанне паслуг па аўтсорсінгу той ці іншай функцыі.
Нягледзячы на тое, што згодна з палажэннямі артыкула 14 Закона суб’ект персанальных даных для рэалізацыі сваіх праў падае заявы выключна да аператара, часта аператар можа і не мець доступу да персанальных даных, якія апрацоўваюцца. У сувязі з гэтым упаўнаважаная асоба можа аказваць садзейнічанне аператару ў рэалізацыі праў суб’ектаў персанальных даных, разглядаючы такія заявы ў выпадку іх паступлення або падрыхтоўваць праект інфармацыі для аператара.
Пры гэтым аператар не мае права адмовіць суб’екту персанальных даных у разглядзе яго заявы па прычыне перадачы функцый па разглядзе заяў упаўнаважанай асобе.
'