Кто несет ответственность, если провайдер облачных услуг не обеспечил соответствие локальным законам о данных

Ответственность за несоответствие локальным законам о данных при использовании облачных услуг в Республике Беларусь

1. Правовая основа

Основным нормативным правовым актом, регулирующим рассматриваемый вопрос, является Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее — Закон № 99-З). Согласно этому Закону, ключевым субъектом ответственности выступает оператор персональных данных — юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных, определяющее цели и содержание такой обработки.

2. Обязанности оператора (статья 16 Закона № 99-З)

Согласно статье 16 Закона № 99-З, оператор персональных данных обязан, в частности:

• обеспечивать защиту персональных данных в процессе их обработки;
• получать согласие субъекта персональных данных (за исключением предусмотренных законом случаев);
• разъяснять субъекту его права, связанные с обработкой персональных данных;
• предоставлять субъекту информацию о его персональных данных и о предоставлении их третьим лицам;
• вносить изменения в персональные данные в установленных случаях.

Таким образом, именно оператор несёт основную ответственность за соответствие обработки персональных данных требованиям законодательства, в том числе при использовании облачной инфраструктуры.

3. Меры по обеспечению защиты (статья 17 Закона № 99-З)

Согласно статье 17 Закона № 99-З, оператор (уполномоченное лицо) обязан принимать правовые, организационные и технические меры по обеспечению защиты персональных данных от:

• несанкционированного или случайного доступа;
• изменения, блокирования, копирования, распространения;
• предоставления, удаления персональных данных;
• иных неправомерных действий.

Оператор самостоятельно определяет состав и перечень необходимых мер с учётом требований законодательства. Это означает, что при передаче данных в облако оператор обязан убедиться, что облачный провайдер обеспечивает достаточный уровень защиты, соответствующий требованиям белорусского законодательства.

4. Распределение ответственности между оператором и облачным провайдером

В белорусском праве действует следующий принцип распределения ответственности:

Если облачный провайдер выступает в качестве уполномоченного лица оператора (обработчика), он также подпадает под требования статьи 17 Закона № 99-З и обязан принимать надлежащие меры защиты. В случае несоблюдения этих мер ответственность может быть возложена как на провайдера, так и на оператора (в зависимости от условий договора и характера нарушения).

5. Виды юридической ответственности

5.1. Административная ответственность

Статья 23.7 Кодекса Республики Беларусь об административных правонарушениях (от 6 января 2021 г. № 91-З) — «Нарушение законодательства о защите персональных данных»:

Часть 1: Умышленные незаконные сбор, обработка, хранение или предоставление персональных данных физического лица либо нарушение его прав, связанных с обработкой персональных данных, — влекут наложение штрафа в размере до пятидесяти базовых величин.

Часть 2: Те же деяния, совершённые повторно, влекут более строгое наказание.

URL: КоАП РБ, ст. 23.7

5.2. Уголовная ответственность

Статья 203¹ Уголовного кодекса Республики Беларусь (от 9 июля 1999 г. № 275-З) — «Незаконные действия в отношении информации о частной жизни и персональных данных»:

Умышленные незаконные сбор, предоставление информации о частной жизни и (или) персональных данных другого лица без его согласия, повлекшие причинение существенного вреда правам, свободам и законным интересам гражданина, — наказываются общественными работами, или штрафом, и т.д.

URL: УК РБ, ст. 203¹

Статья 203² Уголовного кодекса Республики Беларусь — «Несоблюдение мер обеспечения защиты персональных данных»:

Несоблюдение мер обеспечения защиты персональных данных лицом, осуществляющим обработку персональных данных, повлекшее по неосторожности их распространение и причинение тяжких последствий, — наказывается штрафом, или лишением права занимать определённые должности или заниматься определённой деятельностью, и т.д.

URL: УК РБ, ст. 203²

Данная статья применима непосредственно к облачному провайдеру, если он является лицом, осуществляющим обработку персональных данных, и не принял надлежащих мер защиты.

Статья 349 Уголовного кодекса Республики Беларусь — «Несанкционированный доступ к компьютерной информации»:

Несанкционированный доступ к компьютерной информации, сопровождающийся нарушением системы защиты, совершённый из корыстной заинтересованности либо повлекший по неосторожности причинение существенного вреда, — наказывается штрафом, или лишением права занимать определённые должности, и т.д.

URL: УК РБ, ст. 349

5.3. Гражданско-правовая ответственность

Оператор персональных данных также несёт гражданско-правовую ответственность перед субъектом персональных данных за причинённый вред в соответствии с общими нормами Гражданского кодекса Республики Беларусь (статьи 933, 944 и др.). Впоследствии оператор вправе предъявить регрессный иск к облачному провайдеру в рамках договорных отношений.

6. Практические выводы

1. Основная ответственность за соответствие обработки персональных данных требованиям законодательства Республики Беларусь возлагается на оператора — лицо, определяющее цели и содержание обработки (ст. 16 Закона № 99-З).

2. Облачный провайдер несёт ответственность как лицо, осуществляющее обработку (в том числе как уполномоченное лицо оператора), за несоблюдение мер обеспечения защиты персональных данных (ст. 17 Закона № 99-З, ст. 203² УК РБ).

3. При выявлении нарушений возможно одновременное привлечение к ответственности обоих субъектов: оператора — за ненадлежащий выбор провайдера и контроль, провайдера — за неисполнение технических и организационных мер защиты.

4. Оператору рекомендуется заключать с облачным провайдером детализированный договор, предусматривающий:

   • обязательства провайдера по соблюдению требований белорусского законодательства о защите персональных данных;
   • перечень применяемых технических и организационных мер защиты;
   • порядок регрессной ответственности провайдера за причинённый вред.

Источники:

• Закон Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» — ст. 16, ст. 17 (pravo.by)
• Кодекс Республики Беларусь об административных правонарушениях от 06.01.2021 № 91-З — ст. 23.7 (etalonline.by)
• Уголовный кодекс Республики Беларусь от 09.07.1999 № 275-З — ст. 203¹, ст. 203², ст. 349 (etalonline.by)
• Гражданский кодекс Республики Беларусь от 07.12.1998 № 218-З — ст. 933, ст. 944