Персональные данные: что это такое, обработка, определение, классификация, защита

Персональные данные (ПДн) — это категория особо чувствительной информации, представляющей значительный интерес для различных групп людей — начиная от злоумышленников и заканчивая конкурентами организаций, использующих такие данные в своих целях. В этой статье мы раскроем понятие персональных данных, а также рассмотрим связанные с обработкой ПДн угрозы информационной безопасности и способы эффективной организации мер по их защите.

Персональные данные: определение, классификация, примеры

Федеральным законом № 152-ФЗ «О персональных данных» это понятие трактуется следующим образом: персональные данные (ПДн) — это любая информация, относящаяся к определенному физическому лицу (субъекту персональных данных), позволяющая прямо или косвенно установить его личность. Она включает в себя большой круг сведений — от имен и фамилий до уникальных физиологических признаков.

Классификация персональных данных позволяет распределить их по двум большим группам:

Общедоступные персональные данные: информация, доступная широкому кругу лиц и свободно распространяемая. Например, контактная информация в открытых справочниках, профили в соцсетях, опубликованные резюме и прочие публично доступные материалы.
Конфиденциальные персональные данные: закрытая информация, распространение которой ограничено и требует специальных условий хранения и обработки. Такая категория данных субъектов должна быть защищена от неправомерного распространения или использования третьими лицами.

ПДн могут храниться в разных форматах: это могут быть тексты, графические файлы, видеозаписи, звуковые записи и т. п. В каком виде хранить эти сведения, решают операторы персональных данных. Операторами могут выступать физические и юридические лица, государственные и муниципальные органы, которые определяют цели обработки персональных данных, организуют их сбор, хранение и обеспечивают необходимую защиту.

Чтобы было понятнее, о какой информации идет речь, разберем четыре основных категории персональных данных:

Общие персональные данные. Включают стандартные идентификационные сведения: ФИО, адрес проживания, рабочий телефон, электронная почта, фотография профиля и прочая легко доступная информация.
Специальные персональные данные. Эти данные касаются личной сферы жизни индивида: вероисповедания, национальности, состояния здоровья, наличия судимости и прочих специфичных аспектов. Часто такие сведения носят деликатный характер и требуют особой охраны.
Биометрические персональные данные. Биометрия основана на уникальности физиологических особенностей организма каждого человека: отпечатки пальцев, сетчатка глаза, строение лица и др. Эти данные применяются преимущественно для идентификации и авторизации пользователей, например, в банковских приложениях или системах контроля доступа.
Иные персональные данные. Сюда включаются разнообразные личные характеристики, которые сложно отнести к предыдущим категориям, такие как интересы, предпочтения, хобби, мнения, убеждения и прочее.

Любые операции с персональными данными осуществляются исключительно с согласия самого субъекта данных, выраженного письменно либо иным способом, предусмотренным законом. Нарушение порядка обработки влечет серьезные правовые последствия для оператора.

Права субъектов персональных данных

Законодательство наделяет владельцев данных значимыми правами, среди которых:

Возможность требовать разъяснения действий оператора относительно собранных данных.
Запрет на использование собственных данных для массовой рассылки рекламы или спама.
Требование ограничить обработку или удалить свои данные из баз данных оператора.
Обжалование действий оператора, нарушающих законные основания обработки данных.

Надзор за соблюдением прав субъектов персональных данных осуществляет Роскомнадзор, который уполномочен контролировать соблюдение законодательства, привлекать к ответственности виновных и ограничивать доступ к ресурсам, незаконно использующим персональные данные российских граждан.

Что угрожает персональным данным, почему важно обеспечить защиту от утечек

Основные риски информационной безопасности связаны с утечками персональной информации, которые могут произойти как по злому умыслу, так и непреднамеренно. Обычно такие инциденты происходят по вине внутренних нарушителей, то есть сотрудников компании.

Вот некоторые распространенные примеры случайных утечек:

Сотрудник разместил документ с личными данными коллег или клиентов в публичном облачном хранилище, доступном сторонним пользователям.
Невнимательность привела к неправильной утилизации документов с информацией о клиентах, которые были уничтожены вместе с обычными отходами.
Работник случайно отправил сообщение, связанное с персональными данными, коллеге, не имеющему отношения к их обработке.

Во всех этих случаях люди не преследовали злого умысла — они просто ошиблись и нарушили правила обработки персональных данных. Теперь рассмотрим примеры умышленной утечки, когда сотрудники действовали намеренно, преследуя корыстные цели:

Недовольный сотрудник решил нанести удар по имиджу своей компании, распространив конфиденциальную информацию о персонале и клиентах.
Перед увольнением сотрудник скопировал важную документацию, содержащую персональные данные, и передал ее конкурирующей фирме.
Мотивированный материальной выгодой сотрудник продал базу данных клиентов преступным организациям, занимающимся вымогательством.

Последствия утечек затрагивают обе стороны: компанию и самих владельцев персональных данных. Организации сталкиваются с финансовыми потерями (штрафы, компенсационные выплаты, временная остановка бизнеса), падением доверия потребителей и снижением продуктивности труда. Лица же, чьи данные пострадали, испытывают моральное потрясение, подвергаются назойливым звонкам мошенников и риску стать жертвой шантажа.

Минимизировать вероятность утечек и предотвратить негативные последствия возможно благодаря внедрению эффективных мер защиты: контролю доступа к данным, мониторингу активности работников и строгому регулированию каналов передачи информации. Эти мероприятия обязательно должны входить в комплексную систему защиты персональных данных.

Ответственность за утечку и разглашение персональных данных

Ненадлежащее обращение с персональными данными влечет различные виды юридической ответственности, установленные российским законодательством. Рассмотрим основные типы наказаний подробнее:

Дисциплинарная ответственность. Эта форма ответственности предусмотрена внутренними правилами организации и регулируется Трудовым кодексом РФ (статьи 81, 90, 192). Она наступает, если сотрудник нарушает порядок обработки персональных данных, установленный работодателем. Меры дисциплинарного воздействия включают: замечание, выговор, увольнение по соответствующим основаниям.
Гражданско-правовая ответственность. Регулируется Гражданским кодексом РФ (статья 15) и Федеральным законом № 152-ФЗ «О персональных данных». Предполагает компенсацию потерпевшему лицу морального вреда или возмещение убытков, возникших вследствие нарушения норм закона о персональных данных. Компенсация назначается судом исходя из масштаба нанесенного ущерба.
Административная ответственность. Определена Кодексом РФ об административных правонарушениях (КоАП РФ, статья 13.11). За ненадлежащее хранение, обработку или передачу персональных данных компания или должностное лицо могут подвергнуться административным взысканиям: предупреждение, штрафы различного размера, зависящие от обстоятельств дела и статуса нарушителя (организация, ИП, физическое лицо).
Уголовная ответственность. Наиболее серьезный вид наказания установлен Уголовным кодексом РФ (статьи 137, 140, 272): незаконное собирание или распространение сведений о частной жизни гражданина, составляющих тайну личной или семейной жизни, грозит крупным штрафом, обязательными работами или тюремным заключением. Распространение конфиденциальных данных о здоровье, сексуальной ориентации, религиозных убеждениях или иных обстоятельствах личной жизни также может привести к уголовной ответственности.

Таким образом, защита персональных данных является важной задачей, несоблюдение которой чревато серьезными юридическими последствиями как для организаций, так и для отдельных лиц.

Меры по защите персональных данных

Для надежной защиты персональных данных требуются специальные меры профилактики. Одна из них — обеспечение безопасной аутентификации и авторизации. Сложные пароли и их периодическая смена существенно уменьшают риск взлома аккаунтов. Дополнительно полезно внедрять механизмы двухфакторной или многофакторной аутентификации, такие как SMS-подтверждения или биометрический доступ.

Эффективным инструментом может стать применение современных технологий шифрования. Методы симметричной и асимметричной криптографии гарантируют надежную защиту данных даже в случае их хищения.

По-прежнему, ключевым элементом безопасности остается постоянное обновление программного обеспечения. Новые версии программ содержат важные патчи, ликвидирующие существующие уязвимости.

Кроме того, значимую роль в защите данных играют системы мониторинга каналов коммуникации и действий сотрудников в корпоративной среде. Пример такого решения — платформа класса DLP (Data Leak Prevention). Система способна фиксировать любые подозрительные действия и блокировать попытку вывода конфиденциальных данных за пределы контролируемой зоны. Такие меры способствуют существенному снижению риска нарушения конфиденциальности и широко используются крупными компаниями.

Как защитить персональные данные с помощью DLP-платформы Solar Dozor

Solar Dozor предоставляет комплексные инструменты для мониторинга движения данных, перехвата конфиденциальной информации, анализа пользовательского поведения и проведения расследований, что препятствует утечке персональных данных. Основные механизмы защиты ПДн с помощью Solar Dozor включают:

Мониторинг всех каналов передачи данных: контроль корпоративной и веб-почты, мессенджеров, облачных и локальных хранилищ, печати, съемных носителей и интернет-активности.
Контроль рабочих станций (Windows, Linux, macOS): отслеживание копирования, печати, передачи файлов, подключения устройств, работы с буфером обмена, а также запись экрана и звука.
Модуль поведенческого анализа UBA (User Behaviour Analytics): выявление аномалий и подозрительных паттернов, таких как признаки подготовки к увольнению, саботажа или корпоративного мошенничества.
Автоматизация расследований: модуль Dozor Detective позволяет быстро собирать доказательства, анализировать связи между участниками инцидента, формировать отчеты и проводить расследования, включая события вне цифрового периметра.
OCR — распознавание текста в изображениях: извлечение и анализ персональных данных даже из скриншотов и сканов.
Инвентаризация и контроль данных в покое: сканирование файловых хранилищ, построение карты корпоративной сети, автоматическая блокировка или замена файлов при выявлении нарушений.
Централизованное управление: единый веб-интерфейс для настройки политик, мониторинга событий и управления расследованиями по всей организации, включая филиалы.
Интеграция с периметровыми средствами защиты через протокол ICAP, например с шлюзом веб-безопасности Solar webProxy, что обеспечивает контроль передачи персональных данных даже в зашифрованном трафике.

Персональные данные относятся к категории конфиденциальных и требуют защиты как от внешних злоумышленников, так и от инсайдеров. Solar Dozor — надежная DLP-система, реализующая концепцию People-Centric Security с акцентом на человеке. Решение не только предотвращает утечки данных, но и помогает выявлять потенциальных нарушителей среди сотрудников.