Das Gesetz „Über den Schutz personenbezogener Daten“ wurde verabschiedet

In Belarus wurde das Gesetz vom 07.05.2021 Nr. 99-Z „Über den Schutz personenbezogener Daten“ verabschiedet, das bereits ab 15.11.2021 die Verarbeitung personenbezogener Daten radikal verändert, neue Rechte und Pflichten sowie Mechanismen zum Schutz der Rechte von betroffenen Personen verankert.

Nachfolgend stellen wir Ihnen die wichtigsten Änderungen vor.

Was sind personenbezogene Daten?

Personenbezogene Daten (im Folgenden „PD“) sind alle Informationen, die sich auf eine natürliche Person beziehen, die identifiziert ist bzw. identifiziert werden kann (direkt oder indirekt, insbesondere durch den Namen, das Geburtsdatum, die Identifikationsnummer oder durch eine oder mehrere Merkmale ihrer physischen, psychischen, mentalen, wirtschaftlichen, kulturellen oder sozialen Identität).

Zu einer separaten PD-Gruppe gehören:

• besondere PD – personenbezogene Daten über Rasse oder Nationalität, politische Ansichten, Mitgliedschaft in Gewerkschaften, religiöse oder andere Überzeugungen, Gesundheit oder Sexualleben, verwaltungsrechtliche oder strafrechtliche Verfolgung, biometrische und genetische PD;
• öffentlich zugängliche PD – personenbezogene Daten, die von der betroffenen Person selbst bzw. mit ihrer Einwilligung oder gemäß den Rechtsvorschriften verbreitet werden.

Zur Information. Derzeit sind PD die Haupt- und zusätzliche PD einer natürlichen Person, die ins Bevölkerungsregister einzutragen sind, sowie weitere Daten, die die Identifizierung einer solchen Person ermöglichen.

Was ist die Verarbeitung von PD?

Die Verarbeitung von PD ist jede Handlung oder jede Reihe von Handlungen, die mit PD ausgeführt werden, einschließlich deren Erfassung, Systematisierung, Speicherung, Veränderung, Verwendung, Pseudonymisierung, Sperrung, Verbreitung, Bereitstellung und Löschung.

Wie erfolgt die Verarbeitung von PD?

Die Verarbeitung von PD muss:

• auf rechtmäßige Weise erfolgen;
• den erklärten Zwecken angemessen sein;
• mit Einwilligung der betroffenen Person erfolgen;
• auf die Erreichung bestimmter, vorher erklärter legitimer Zwecke beschränkt sein. Die Verarbeitung von personenbezogenen Daten, die mit den ursprünglich angegebenen Zwecken nicht vereinbar ist, ist nicht zulässig. Ist eine Änderung des Verarbeitungszwecks erforderlich, muss der Auftragsverarbeiter die Einwilligung der betroffenen Person erneut einholen;
• transparent sein: der betroffenen Person werden relevante Informationen zur Verarbeitung ihrer PD bereitgestellt.

Wie wird die Einwilligung der betroffenen Person eingeholt und wann ist diese nicht erforderlich?

Die Einwilligung der betroffenen Person ist eine freie, eindeutige und informierte Willenserklärung, durch die sie die Verarbeitung ihrer PD gestattet. Sie kann schriftlich, in Form eines elektronischen Dokuments oder in anderer elektronischer Form (in bestimmten Fällen nur schriftlich oder nur in Form eines elektronischen Dokuments) erfolgen.

Vor Einholung der Einwilligung muss der Auftragsverarbeiter:

• der betroffenen Person in schriftlicher oder elektronischer Form Informationen zukommen lassen, die Folgendes enthalten:
• Bezeichnung (ggf. Name und Sitz (Wohn- bzw. Aufenthaltsadresse)) des die Einwilligung einholenden Auftragsverarbeiters;
• Zwecke der Verarbeitung von PD;
• Liste von PD, für deren Verarbeitung die Einwilligung erteilt wird;
• Frist, für die die Einwilligung erteilt wird;
• Informationen über autorisierte Personen, wenn die PD-Verarbeitung durch diese erfolgt;
• Liste von Handlungen mit personenbezogenen Daten, für deren Ausführung die Einwilligung erteilt wird, eine allgemeine Beschreibung der vom Auftragsverarbeiter verwendeten Methoden zur Verarbeitung von PD;
• andere Informationen, die erforderlich sind, um die Transparenz der Verarbeitung von PD sicherzustellen;
• der betroffenen Person in einfacher und klarer Sprache ihre Rechte hinsichtlich der Verarbeitung von PD, die Mechanismen zur Ausübung dieser Rechte sowie die Folgen der Zustimmung/Verweigerung einer solchen Einwilligung erklären. Diese Angaben sind vom Auftragsverarbeiter in schriftlicher oder elektronischer Form getrennt von anderen von ihm übermittelten Informationen bereitzustellen.

Darüber hinaus ist der Auftragsverarbeiter verpflichtet:

• den Schutz personenbezogener Daten sicherzustellen;
• die Einwilligung der betroffenen Person einzuholen;
• Maßnahmen zu ergreifen, um die Richtigkeit der von ihm verarbeiteten PD sicherzustellen, ggf. diese zu aktualisieren;
• das Einholen der Einwilligung nachzuweisen;
• gegenüber der betroffenen Person für die Handlungen der autorisierten Person haften, die mit der PD-Verarbeitung betraut ist.

Die Einwilligung ist in folgenden Fällen nicht erforderlich:

• bei der individuellen (personifizierten) Erfassung von Informationen über Versicherte für Zwecke der staatlichen Sozialversicherung sowie der beruflichen Rentenversicherung;
• bei der Einstellung sowie in bestimmten Fällen während der beruflichen Tätigkeit der betroffenen Person;
• zum Zwecke der Gewährung und Auszahlung von Renten, Beihilfen;
• für die Organisation und Durchführung staatlicher statistischer Beobachtungen, die Erstellung amtlicher Statistiken;
• beim Erhalt der PD durch den Auftragsverarbeiter aufgrund eines mit der betroffenen Person abgeschlossenen (abzuschließenden) Vertrags, um die in diesem Vertrag festgelegten Handlungen auszuführen;
• bei der Verarbeitung von PD, wenn sie in einem an den Auftragsverarbeiter gerichteten und von der betroffenen Person unterzeichneten Dokument angegeben sind, entsprechend dem Inhalt eines solchen Dokuments;
• wenn die Rechtsvorschriften die Verarbeitung der PD ohne Einwilligung der betroffenen Person ausdrücklich vorsehen usw.

Darüber hinaus ist seit dem 01.03.2021 die Verantwortlichkeit bei der Arbeit mit personenbezogenen Daten verschärft, somit empfehlen wir Ihnen, sich über die wichtigsten Änderungen sorgfältig zu informieren.