Передача персональных данных в КГК: когда организация вправе отказать

Предоставление персональных данных, в т.ч. в ответе на запрос, является обработкой персональных данных и регулируется Законом от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З).

В соответствии со ст. 4 Закона № 99-З:

• обработка персональных данных осуществляется в соответствии с Законом № 99-З и иными актами законодательства;
• обработка персональных данных должна быть соразмерна заявленным целям их обработки и обеспечивать на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц;
• обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных Законом № 99-З и иными законодательными актами;
• в случае обработки персональных данных без согласия субъекта персональных данных цели обработки персональных данных устанавливаются Законом № 99-З и иными законодательными актами;
• обработка персональных данных должна ограничиваться достижением конкретных, заранее заявленных законных целей. Не допускается обработка персональных данных, не совместимая с первоначально заявленными целями их обработки;
• содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям их обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

В статье 6 Закона № 99-З определены конкретные случаи, когда не требуется согласие субъекта на обработку его персональных данных, в т.ч. их предоставление по запросу.

В соответствии с Законом № 99-З и разъяснениями Национального центра защиты персональных данных (НЦЗПД) обработка, в т.ч. предоставление персональных данных по запросу, допускается лишь при наличии правового основания, определенной (конкретной и законной) цели обработки персональных данных и с соблюдением принципа минимизации объема предоставляемых персональных данных.

Тем самым в тексте запроса о предоставлении персональных данных запрашивающий орган (организация) должен указать правовые основания для запроса, конкретную законную цель запроса (для реализации какой функции или полномочия запрашивающего органа необходимы данные сведения), содержание и объем запрашиваемых персональных данных.

В случае отсутствия в запросе подобной информации, когда организации, получившей запрос, не очевидны цель и правовые основания предоставления информации, эта организация может направить в запрашивающий орган письмо с предложением сообщить:

• конкретную законную цель запроса о предоставлении сведений (автор обращает внимание, что формулировка цели «служебная необходимость» не является конкретной и тем самым не соответствует ст. 4 Закона № 99-З);
• правовое основание – на основании какого из абзацев ст. 6 Закона № 99-З и каких положений иных законодательных актов (какого именно закона, кодекса, декрета или указа Президента с указанием его структурного элемента – статьи, пункта) запрашивающий орган имеет право потребовать у ОАО предоставления указанной в письме информации, а ОАО, в свою очередь, обязано ее предоставить без согласия указанных в письме субъектов персональных данных;
• в отношении кого именно и в каком объеме запрашивается информация.

Полученная в ответ на такое письмо дополнительная информация позволит ОАО надлежащим образом исполнить требования законодательства Республики Беларусь, в т.ч. о защите персональных данных, обеспечить передачу персональных данных акционеров строго в необходимом и достаточном объеме, избежать рисков ответственности за незаконное предоставление персональных данных, а также жалоб субъектов персональных данных.

Обращаем внимание на п. 5 Рекомендаций НЦЗПД от 18.01.2022 «Рекомендации об обработке персональных данных в связи с трудовой (служебной) деятельностью».