Статья 17. Меры по обеспечению защиты персональных данных
1. Оператор (уполномоченное лицо) обязан принимать правовые, организационные и технические меры по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных.
2. Оператор (уполномоченное лицо) определяет состав и перечень мер, необходимых и достаточных для выполнения обязанностей по обеспечению защиты персональных данных, с учетом требований настоящего Закона и иных актов законодательства.
Это требует от каждого оператора выявления всех случаев обработки персональных данных, а также их анализа на предмет соответствия Закону и, в частности, положениям статьи 4 Закона.
Согласно пункту 3 статьи 17 Закона обязательными мерами по обеспечению защиты персональных данных являются:
- назначение оператором (уполномоченным лицом), являющимся государственным органом, юридическим лицом Республики Беларусь, иной организацией, структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;
- издание оператором (уполномоченным лицом), являющимся юридическим лицом Республики Беларусь, иной организацией, индивидуальным предпринимателем, документов, определяющих политику оператора (уполномоченного лица) в отношении обработки персональных данных;
- ознакомление работников оператора (уполномоченного лица) и иных лиц, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в том числе с требованиями по защите персональных данных, документами, определяющими политику оператора (уполномоченного лица) в отношении обработки персональных данных, а также обучение указанных работников и иных лиц в порядке, установленном законодательством;
- установление порядка доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе);
- осуществление технической и криптографической защиты персональных данных в порядке, установленном Оперативно-аналитическим центром при Президенте Республики Беларусь, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные.
- В соответствии с пунктом 4 статьи 17 Закона оператор (уполномоченное лицо), являющийся юридическим лицом Республики Беларусь, иной организацией, индивидуальным предпринимателем, обязан обеспечить неограниченный доступ, в том числе с использованием глобальной компьютерной сети Интернет, к документам, определяющим политику оператора (уполномоченного лица) в отношении обработки персональных данных, до начала такой обработки.
Подпунктом 3.5 пункта 3 Указа установлено, что операторы, являющиеся государственными органами, юридическими лицами Республики Беларусь, иными организациями, устанавливают и поддерживают в актуальном состоянии:
а) перечень информационных ресурсов (систем), содержащих персональные данные, собственниками (владельцами) которых они являются;
б) категории персональных данных, подлежащих включению в такие ресурсы (системы):
общедоступные персональные данные;
специальные персональные данные (кроме биометрических и генетических персональных данных);
биометрические и генетические персональные данные;
персональные данные, не являющиеся общедоступными или специальными;
в) перечень уполномоченных лиц, если обработка персональных данных осуществляется уполномоченными лицами;
г) срок хранения обрабатываемых персональных данных.
Для наиболее полной реализации мер по обеспечению защиты персональных данных на практике операторам (уполномоченным лицам) предлагается воспользоваться алгоритмом приведения их деятельности в соответствие с требованиями Закона, размещенным на нашем сайте.