230 lines
17 KiB
Markdown
230 lines
17 KiB
Markdown
|
# 25. Положение об обработке и защите персональных данных клиентов (23.07.2024)
|
|||
|
|
|
|||
|
|
**Тип:** Локальный правовой акт (Local Regulation), Приложение 1 к Политике оператора в отношении обработки ПД
|
|||
|
|
**Утверждено:** Директор ЗАО «Уайт Бёрд» М.А. Шабанов, 23.07.2024
|
|||
|
|
**Юр.лицо в документе:** ЗАО «Уайт Бёрд», г. Минск, ул. Свердлова 11, помещение 328
|
|||
|
|
**Размер:** 2.7 МБ, ~10 стр.
|
|||
|
|
**Глав:** 10
|
|||
|
|
**Базис:** Закон Республики Беларусь № 99-З от 07.05.2021 «О защите персональных данных»
|
|||
|
|
|
|||
|
|
## Что это
|
|||
|
|
Это **Local Regulation (LR)** из 12 обязательных нормативов ПВТ-резидента (см. #22), регламентирующий обработку ПД **клиентов и третьих лиц** (НЕ работников).
|
|||
|
|
|
|||
|
|
## Структура документа
|
|||
|
|
|
|||
|
|
### Глава 1. Общие положения
|
|||
|
|
Положение разработано на основе:
|
|||
|
|
- Конституции РБ
|
|||
|
|
- Трудового кодекса
|
|||
|
|
- Конвенции Совета Европы о защите ФЛ при автоматизированной обработке ПД (28.01.1981)
|
|||
|
|
- Хартии ЕС об основных правах (12.12.2007)
|
|||
|
|
- **Закон № 99-З от 07.05.2021 «О защите персональных данных»** — главный
|
|||
|
|
- Закон № 418-З от 21.07.2008 «О регистре населения»
|
|||
|
|
- Закон № 455-З от 10.11.2008 «Об информации, информатизации и защите информации»
|
|||
|
|
- Закон № 114-З от 28.05.2021 «Об изменении законов по вопросам трудовых отношений»
|
|||
|
|
|
|||
|
|
### Глава 2. Основные понятия
|
|||
|
|
13 терминов: ПД, субъект ПД, обработка ПД, обезличивание, блокирование, удаление, трансграничная передача и др.
|
|||
|
|
|
|||
|
|
### Глава 3. Категории субъектов ПД
|
|||
|
|
1. Родственники работников
|
|||
|
|
2. Кандидаты на рабочие места
|
|||
|
|
3. Работники и иные представители Общества
|
|||
|
|
4. Работники и иные представители контрагентов — юридических лиц
|
|||
|
|
5. **Контрагенты — физические лица, в т.ч. клиенты ЗАО «Уайт Бёрд» при осуществлении деятельности оператора криптоплатформы**
|
|||
|
|
6. Иные субъекты
|
|||
|
|
|
|||
|
|
### Глава 4. Содержание и объём ПД
|
|||
|
|
**Состав ПД клиентов очень широкий:**
|
|||
|
|
- ФИО (включая все предыдущие)
|
|||
|
|
- Дата и место рождения, гражданство
|
|||
|
|
- Паспортные данные (серия, номер, дата выдачи, орган)
|
|||
|
|
- Сведения о семейном положении
|
|||
|
|
- Регистрация по месту жительства + фактическое проживание
|
|||
|
|
- Номер страхового свидетельства соцстрахования
|
|||
|
|
- **Медицинские данные** (в случаях, предусмотренных законом)
|
|||
|
|
- **ИНН**
|
|||
|
|
- Сведения о трудовой деятельности
|
|||
|
|
- Образование, квалификация
|
|||
|
|
- Сведения о воинском учёте
|
|||
|
|
- **Биометрические данные** (фотографии, видеозаписи с камер наблюдения, **записи голоса**)
|
|||
|
|
- Социальные льготы и выплаты
|
|||
|
|
- Контактные данные
|
|||
|
|
- Награждения, поощрения
|
|||
|
|
|
|||
|
|
### Глава 5. Принципы обработки ПД
|
|||
|
|
1. **Соразмерность** заявленным целям
|
|||
|
|
2. **Согласие** субъекта ПД (за исключениями Закона № 99-З)
|
|||
|
|
3. **Ограничение целями** — нельзя обрабатывать вне заявленных целей
|
|||
|
|
4. **Соответствие объёма** заявленным целям — не избыточно
|
|||
|
|
5. **Прозрачность** — субъекту предоставляется информация
|
|||
|
|
6. **Достоверность** — оператор обязан обновлять
|
|||
|
|
7. **Ограничение срока хранения** — не дольше необходимого
|
|||
|
|
|
|||
|
|
### Глава 6. Цели обработки ПД (16 целей)
|
|||
|
|
- Исполнение функций по законодательству
|
|||
|
|
- Предоставление льгот родственникам
|
|||
|
|
- Выявление конфликта интересов
|
|||
|
|
- Рассмотрение кандидатов на трудоустройство
|
|||
|
|
- Ведение кадрового резерва
|
|||
|
|
- Проверка контрагентов
|
|||
|
|
- Организация деловых поездок
|
|||
|
|
- Безопасность, предотвращение правонарушений
|
|||
|
|
- Выпуск доверенностей
|
|||
|
|
- Ведение переговоров, заключение договоров
|
|||
|
|
- **Реклама и продвижение услуг Общества**
|
|||
|
|
- Обработка обращений с претензиями
|
|||
|
|
- Исполнение обязанности налогового агента
|
|||
|
|
- Соблюдение трудового законодательства
|
|||
|
|
|
|||
|
|
### Глава 7. Правила обработки ПД
|
|||
|
|
Самая критическая глава:
|
|||
|
|
- **Смешанная обработка** (авто + не-авто), внутренние сети + интернет
|
|||
|
|
- **Письменное согласие** клиента — обязательное условие (с исключениями)
|
|||
|
|
- Содержание согласия: ФИО, дата рождения, идент. номер, подпись
|
|||
|
|
- **17 исключений** когда согласие НЕ требуется (адм/угол. процесс, противодействие отмыванию, налоговое и др.)
|
|||
|
|
- **Сбор ПД** — только от субъекта; через третьих лиц — только с уведомлением + письменным согласием
|
|||
|
|
- **Хранение** на бумажных + электронных носителях, защита от несанкционированного доступа
|
|||
|
|
- **Использование** — только сотрудниками с допуском
|
|||
|
|
- **Передача третьим лицам** — минимум, с уведомлением субъекта
|
|||
|
|
- **Трансграничная передача** запрещена, кроме case-by-case исключений
|
|||
|
|
- **Поручение обработки** уполномоченному лицу — допустимо с договором
|
|||
|
|
- **Защита ПД** — организационно-технические меры (Глава 17 Закона № 99-З)
|
|||
|
|
|
|||
|
|
### Глава 8. Права и обязанности субъекта ПД
|
|||
|
|
**Право:**
|
|||
|
|
- Отозвать согласие в любое время без объяснения причин
|
|||
|
|
- Получить информацию об обработке (раз в год бесплатно)
|
|||
|
|
- Требовать внесения изменений
|
|||
|
|
- Получать информацию о передаче третьим лицам
|
|||
|
|
- **Требовать прекращения обработки и удаления**
|
|||
|
|
- Обжаловать в уполномоченный орган
|
|||
|
|
|
|||
|
|
**Обязанность:**
|
|||
|
|
- Предоставлять достоверные ПД
|
|||
|
|
- Сообщать об изменениях
|
|||
|
|
|
|||
|
|
### Глава 9. Права и обязанности Общества
|
|||
|
|
**Право:** устанавливать порядок, вносить изменения
|
|||
|
|
**Обязанность:**
|
|||
|
|
- Разъяснять права субъекту
|
|||
|
|
- Получать согласие
|
|||
|
|
- Защищать ПД
|
|||
|
|
- Предоставлять информацию по запросу
|
|||
|
|
- Вносить изменения
|
|||
|
|
- Прекращать обработку
|
|||
|
|
- **Уведомлять уполномоченный орган в течение 3 рабочих дней** при инциденте
|
|||
|
|
- **Уведомлять клиента** при риске нарушения его прав
|
|||
|
|
- Вести **электронный журнал инцидентов**
|
|||
|
|
- Изменять/блокировать/удалять ПД по требованию уполномоченного органа
|
|||
|
|
|
|||
|
|
### Глава 10. Ответственность
|
|||
|
|
- Дисциплинарная (по Трудовому кодексу)
|
|||
|
|
- Материальная
|
|||
|
|
- Гражданско-правовая
|
|||
|
|
- Административная
|
|||
|
|
- **Уголовная** (УК РБ ст. 203-1, 203-2)
|
|||
|
|
|
|||
|
|
## Моё мнение
|
|||
|
|
**Это очень тщательная и детальная разработка.** Whitebird явно работали с серьёзным юристом по ПД. Документ полностью совместим с **GDPR-стандартами**, что позволяет работать с EU-клиентами.
|
|||
|
|
|
|||
|
|
### Сильные стороны
|
|||
|
|
1. **Полнота категорий субъектов ПД** — клиенты явно выделены отдельно
|
|||
|
|
2. **Очень широкий состав собираемых ПД** — биометрия + записи голоса (для KYC-видео)
|
|||
|
|
3. **Чёткая структура согласия** — что должно быть в нём
|
|||
|
|
4. **17 исключений** для безсогласной обработки — гибкость для AML/KYC
|
|||
|
|
5. **Защитные меры технические + организационные** (Глава 17 Закона № 99-З)
|
|||
|
|
6. **Жёсткий уведомительный режим** — 3 дня уполномоченному органу
|
|||
|
|
|
|||
|
|
### Слабые стороны
|
|||
|
|
1. **Срок хранения не указан конкретно** — только «не дольше необходимого». Это **серый момент** — нужно дополнительное Положение о сроках.
|
|||
|
|
2. **Журнал инцидентов в электронном виде** — но **формат не определён**. Это потенциальная дыра.
|
|||
|
|
3. **Трансграничная передача упомянута, но не конкретизирована** — какие страны разрешены, какие нет.
|
|||
|
|
4. **Биометрия (запись голоса)** — это **специальная категория ПД**, требует усиленной защиты, но это не отражено в защитных мерах.
|
|||
|
|
|
|||
|
|
## Что нужно команде Монтаны для копирования 1:1
|
|||
|
|
|
|||
|
|
### Обязательные документы по ПД
|
|||
|
|
| Документ | Содержание | Размер |
|
|||
|
|
|---|---|---|
|
|||
|
|
| **Политика обработки ПД (общая)** | Top-level политика, описывает всю систему | 3-5 стр. |
|
|||
|
|
| **Положение об обработке ПД клиентов** | Этот документ — детальный для клиентов | 10-15 стр. |
|
|||
|
|
| **Положение об обработке ПД работников** | Аналогичный для сотрудников | 10-15 стр. |
|
|||
|
|
| **Положение о согласии на обработку ПД** | Формы согласий | 5 стр. + шаблоны |
|
|||
|
|
| **Положение об инцидентах ПД** | Процедура реагирования | 5-7 стр. |
|
|||
|
|
| **Положение о трансграничной передаче ПД** | Какие страны, какие договоры | 5 стр. |
|
|||
|
|
| **Положение о сроках хранения ПД** | Конкретные сроки по категориям | 3 стр. + таблица |
|
|||
|
|
|
|||
|
|
### Шаблон согласия на обработку ПД (для Монтаны)
|
|||
|
|
```
|
|||
|
|
Я, [ФИО], дата рождения [DD.MM.YYYY], идент. номер [ID],
|
|||
|
|
паспорт [серия номер дата орган], даю своё согласие
|
|||
|
|
ООО/ЗАО «Монтана» (УНП: XXX, Минск/Дубай/Вильнюс) на:
|
|||
|
|
|
|||
|
|
1. Цели обработки:
|
|||
|
|
- Регистрация на платформе Монтана
|
|||
|
|
- KYC/AML проверка
|
|||
|
|
- Маркетинг и информационные рассылки
|
|||
|
|
- Налоговое декларирование операций
|
|||
|
|
- Передача в антифрод-системы
|
|||
|
|
|
|||
|
|
2. Состав обрабатываемых ПД: ФИО, паспортные данные,
|
|||
|
|
биометрия (фото + видео для KYC), контактные данные,
|
|||
|
|
платёжные реквизиты, IP-адреса, история операций.
|
|||
|
|
|
|||
|
|
3. Срок: с даты подписания до момента полного
|
|||
|
|
расторжения отношений с Обществом + 10 лет
|
|||
|
|
(для AML целей).
|
|||
|
|
|
|||
|
|
4. Право отзыва: в любое время через личный кабинет
|
|||
|
|
или письменно в Общество.
|
|||
|
|
|
|||
|
|
Подпись: _________________ Дата: _____________
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
### Технические меры защиты ПД (минимум)
|
|||
|
|
1. **Шифрование at-rest** — БД зашифрованы (PostgreSQL TDE / Vault для секретов)
|
|||
|
|
2. **Шифрование in-transit** — TLS 1.3 + mTLS для внутренних API
|
|||
|
|
3. **Шифрование ПД клиента** на уровне приложения — даже DBA не видит plaintext
|
|||
|
|
4. **HSM** для ключей шифрования (HashiCorp Vault / AWS KMS)
|
|||
|
|
5. **PII tokenization** — токены вместо реальных ПД в analytics БД
|
|||
|
|
6. **Доступ по ролям (RBAC)** + **MFA** для всех сотрудников
|
|||
|
|
7. **Audit log** — все операции с ПД логгируются
|
|||
|
|
8. **DLP** (Data Loss Prevention) для предотвращения утечек
|
|||
|
|
9. **Регулярные penetration tests** (квартально)
|
|||
|
|
10. **Backup encryption** — резервные копии шифруются отдельным ключом
|
|||
|
|
11. **GDPR-compliant data deletion** — physical erase на NVMe + verification
|
|||
|
|
12. **Privacy by design** — default настройки = максимум приватности
|
|||
|
|
|
|||
|
|
### Организационные меры
|
|||
|
|
1. **DPO (Data Protection Officer)** — отдельный человек, реальный, не nominal
|
|||
|
|
2. **Privacy training** для всех новых сотрудников
|
|||
|
|
3. **Quarterly privacy audit** — внутренний + внешний
|
|||
|
|
4. **Incident response plan** — 24/7 dedicated team
|
|||
|
|
5. **Data minimization** — собирать только необходимое
|
|||
|
|
6. **Right to be forgotten** — техническая реализация на уровне БД
|
|||
|
|
|
|||
|
|
### Уведомительный процесс при инциденте
|
|||
|
|
**24-72 часа максимум** на:
|
|||
|
|
- Уведомление уполномоченного органа (3 раб. дня по РБ; 72 часа по GDPR)
|
|||
|
|
- Уведомление пострадавших клиентов
|
|||
|
|
- Внутреннее расследование (форензика)
|
|||
|
|
- Корректирующие меры
|
|||
|
|
- Public disclosure (если масштаб большой)
|
|||
|
|
|
|||
|
|
### Особое для Монтаны (по сравнению с Whitebird)
|
|||
|
|
1. **Privacy by default** — это уже в memory автора как принцип
|
|||
|
|
2. **Zero-knowledge** там где возможно — Монтана может пойти дальше Whitebird:
|
|||
|
|
- PEDERSEN commitments для balances
|
|||
|
|
- Range proofs для transactions
|
|||
|
|
- Stealth addresses
|
|||
|
|
- Mixers (если регулятор разрешит)
|
|||
|
|
3. **Self-sovereign identity** — клиент управляет своими ПД
|
|||
|
|
4. **Минимизация KYC** — только то что требует регулятор, никакого «коллекционирования»
|
|||
|
|
|
|||
|
|
## Ссылки внутри Whitebird-стека
|
|||
|
|
- → #18 (общая политика обработки ПД)
|
|||
|
|
- → #27 (политика конфиденциальности данных)
|
|||
|
|
- → #22 (аудит Kept — упоминает LR по ПД)
|
|||
|
|
- → #11 (положение о рисках — включая кибер-риски)
|