Особенности обработки персональных данных одновременно двумя компаниями — аффилированными лицами

Кейс: Компания «А» (резидент Республики Беларусь) и компания «Б» (резидент Российской Федерации), которые являются аффилированными лицами и оказывают друг другу услуги транспортной экспедиции, хотят создать с использованием программного обеспечения (ERP, CRM или др.) единую базу работников и клиентов, где будут размещены их персональные данные. Вопросы: Необходимо ли получать согласие субъектов персональных данных на размещение их ФИО, должности, адреса электронной почты и номера телефона в такой базе? Необходимо ли отдельное соглашение между компаниями «А» и «Б» для обработки общих персональных данных?

Правовые основания обработки персональных данных

В первую очередь нужно определить, кто из работников компаний «А» (Беларусь) и «Б» (РФ) в соответствии с их трудовой функцией имеет отношение к заключению и исполнению договоров в сфере транспортной деятельности, чтобы не допустить избыточной обработки персональных данных – включения в такой информационный ресурс сведений о работниках, непосредственно в этом не участвующих. Определившись с информационным ресурсом, в котором будет размещаться и обрабатываться информация для целей заключения и исполнения договоров в сфере транспортной деятельности, в каждой компании необходимо установить порядок доступа к этому информационному ресурсу в соответствии с требованиями национального законодательства о персональных данных. При использовании для обработки персональных данных программного обеспечения ERP (Enterprise Resource Planning) или CRM (Customer Relationship Management) и пр., предоставляемого на условиях лицензионного договора (соглашения), необходимо прежде всего соблюдать требования к трансграничной передаче персональных данных – учитывать, где именно (на территории какого государства) находится сервер с таким программным обеспечением, то есть где происходит обработка персональных данных. В зависимости от этого возможны два варианта. Вариант 1. Компания «А» (резидент Республики Беларусь) может осуществлять трансграничную передачу персональных данных на территорию иностранного государства без ограничений, если на территории иностранного государства обеспечивается надлежащий уровень защиты прав субъектов персональных данных (это Российская Федерация и другие государства ЕАЭС, а также государства, являющиеся сторонами Конвенции Совета Европы от 28.01.1981 о защите физических лиц при автоматизированной обработке персональных данных) и при этом у компании есть правовые основания для обработки (трансграничной передачи) персональных данных, предусмотренные Законом Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон о защите персональных данных). Такими правовыми основаниями обработки (трансграничной передачи) персональных данных без согласия субъекта с учетом новой редакции (от 24.04.2025) разъяснений Национального центра защиты персональных данных по составлению документов, определяющих политику оператора (уполномоченного лица) в отношении обработки персональных данных, от 03.12.2021 (далее – Разъяснения НЦЗПД) являются: – для работников компаний и представителей клиентов – юридических лиц – абз. 8 ст. 6 Закона о защите персональных данных (не требуется согласие субъекта на обработку его персональных данных «в процессе трудовой (служебной) деятельности субъекта»), т.е. законодательство о труде, гражданское законодательство; – для клиентов – физических лиц (в том числе индивидуальных предпринимателей) – абз. 15 ст. 6 Закона о защите персональных данных (согласие субъекта на обработку его персональных данных не требуется «при получении персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором»), т.е. договоры с клиентами при условии, что обработка персональных данных клиентов предусмотрена в договоре или предполагается исходя из договора для его исполнения. Ссылка доступа: HYPERLINK "https://cpd.by/storage/2025/04/1-Razjasnenija-po-sostavleniju-dokumentov-opredeljajushhih-politiku-operatora_UL-v-otnoshenii-obrabotki-PD.doc" https://cpd.by/storage/2025/04/1-Razjasnenija-po-sostavleniju-dokumentov-opredeljajushhih-politiku-operatora_UL-v-otnoshenii-obrabotki-PD.doc Вместе с тем необходимо учитывать, что обработка, в том числе в программном обеспечении, таких персональных данных, как адрес личной электронной почты и личный номер телефона субъекта (работника, представителя клиента, клиента — физического лица), допускается только на основании его согласия. Если же это корпоративные контакты, не являющиеся личными, согласие на их использование получать не надо. При этом должны быть соблюдены требования к согласию на обработку и процедуре его получения, предусмотренные национальным законодательством о персональных данных того государства, где происходит получение такого согласия. В Республике Беларусь эти требования определены ст. 5 Закона о защите персональных данных. Вариант 2. Если на территории иностранного государства, где находится сервер с программным обеспечением, в котором происходит обработка персональных данных, не обеспечивается надлежащий уровень защиты прав субъектов персональных данных (государство не является стороной названной выше Конвенции Совета Европы либо членом ЕАЭС), трансграничная передача персональных данных на территорию такого иностранного государства может осуществляться компанией в случаях, предусмотренных ст. 9 Закона о защите персональных данных, в том числе когда: – дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты, либо – персональные данные получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором, либо – получено соответствующее разрешение Национального центра защиты персональных данных. Что еще важно: в целях соблюдения требований п. 6 ст. 4 Закона о защите персональных данных об обеспечении прозрачного характера обработки персональных данных и в соответствии с Разъяснениями НЦЗПД в политике в отношении обработки персональных данных и реестре обработки персональных данных необходимо: – привести перечень уполномоченных лиц, которым поручается обработка персональных данных, в том числе предоставляющих программное обеспечение, и – подробно отразить порядок, условия и правовые основания трансграничной передачи персональных данных. Кроме того, обязательно выполнять требования Указа Президента Республики Беларусь от 01.02.2010 № 60 «О мерах по совершенствованию использования национального сегмента сети Интернет» о том, что «деятельность по реализации товаров, выполнению работ, оказанию услуг на территории Республики Беларусь с использованием информационных сетей, систем и ресурсов, имеющих подключение к сети Интернет, осуществляется юридическими лицами, их филиалами и представительствами, созданными в соответствии с законодательством Республики Беларусь, с местонахождением в Республике Беларусь, а также индивидуальными предпринимателями, зарегистрированными в Республике Беларусь, с использованием информационных сетей, систем и ресурсов национального сегмента сети Интернет, размещенных на территории Республики Беларусь и зарегистрированных в установленном порядке» (п. 2 названного Указа).

Компании «А» и «Б» — самостоятельные операторы персональных данных

Отдельное соглашение компаниям «А» и «Б» для обработки персональных данных заключать не требуется. В данных отношениях компании выступают в качестве самостоятельных операторов обработки персональных данных, и каждая компания обязана соблюдать требования национального законодательства (соответственно, Республики Беларуси и Российской Федерации) об обработке персональных данных. Бизнес-процессы, предполагающие обработку персональных данных работников другой компании и общих клиентов, каждой компании необходимо отразить в своих документах — политике в отношении обработки персональных данных и реестре обработки персональных данных.

Резюме:

1. Ответы на вопросы о том, надо либо нет получать согласие и какого именно субъекта на обработку его персональных данных в конкретных случаях (процессах), а если не надо получать, то на каком правовом основании происходит обработка персональных данных, – следует отразить в политике компании в отношении обработки персональных данных и реестре обработки персональных данных. 2. Обязательно нужно отразить в этих документах информацию об уполномоченных лицах, которым поручается обработка персональных данных, и о трансграничной передаче персональных данных. 3. При разработке (актуализации) документов компании необходимо учитывать Разъяснения НЦЗПД.