ФЗ № 152 — Федеральный закон от 27.07.2006

Все операторы персональных данных (ПДн) должны обеспечить надежную защиту информации от утечки и несанкционированного использования. Это требование ФЗ № 152 — Федерального закона от 27.07.2006. Документ регламентирует ключевые моменты, связанные с обработкой и хранением персональных сведений. В статье обсудим его краткое содержание, ответственность за нарушение положений и меры, которые компании должны принимать для защиты персональных данных.

Закон «О защите персональных данных» № 152-ФЗ: ключевые понятия

Основная цель закона заключается в предотвращении незаконного распространения, потери или неправомерного использования персональных данных путем установления строгих правил и требований к операторам, занимающимся обработкой подобной информации.

Основные положения закона включают следующие аспекты:

• Определение терминов: федеральный закон четко формулирует понятие персональных данных, их различая, общедоступные и конфиденциальные категории. Подлежащие обязательному согласию субъекта и обработке исключительно уполномоченными операторами, личные данные гарантируют гражданам право контролировать распространение своей частной информации.
• Требования к операторам: любые юридические лица и индивидуальные предприниматели, работающие с персональными данными, обязаны соблюдать требования законодательства, включая получение обязательного письменного согласия граждан на обработку их данных, строго ограничивая цели использования информации заранее определенными условиями.
• Ответственность за нарушения: нарушение порядка обработки персональных данных влечет серьезные последствия вплоть до административных штрафов и уголовной ответственности, что делает обязательным исполнение норм закона всеми участниками рынка информационных услуг.

Таким образом, федеральный закон № 152 создает юридически значимую систему регулирования отношений в области персональных данных, способствуя укреплению доверия граждан к организациям, ответственным за безопасность и сохранность их приватной информации.

Основные принципы закона о защите персональных данных

Федеральный закон № 152-ФЗ «О персональных данных» устанавливает ключевые правила защиты личной информации граждан Российской Федерации. Рассмотрим важнейшие принципы этого нормативного акта, определяющие порядок сбора, обработки и хранения персональных данных:

• Законность и справедливость. Сбор и обработка персональных данных должны осуществляться строго в рамках действующего законодательства Российской Федерации и исключительно с согласия субъекта данных либо в случаях, предусмотренных законом. Вся информация должна предоставляться прозрачно и честно, без злоупотреблений полномочиями операторов.
• Ограничение цели обработки. Использование персональных данных возможно лишь для тех целей, которые были заранее заявлены субъекту данных оператором. Любые попытки обработать данные сверх объявленных целей запрещаются законом.
• Точность и актуальность данных. Закон обязует оператора своевременно обновлять персональные данные пользователей, исключая возможность накопления недостоверной или устаревшей информации. Если оператор выявляет ошибку или несоответствие данных действительности, он обязан внести исправления незамедлительно.
• Конфиденциальность и безопасность. Оператор несет ответственность за обеспечение полной защищенности персональных данных от неправомерного доступа третьих лиц, случайных потерь или разглашения. Для достижения этой цели организации обязаны внедрять необходимые технические и организационные меры информационной безопасности.

Кроме указанных основополагающих принципов, федеральный закон также определяет порядок передачи данных третьим лицам, требования к хранению и срокам удаления сведений, нормы архивирования и уничтожения данных. Соблюдение данных норм является обязательным условием ведения хозяйственной деятельности в области информационных технологий в России.

Порядок работы с персональными данными внутри организации согласно требованиям ФЗ № 152

Чтобы не нарушить Федеральный закон от 27.07.2006, все компании, независимо от масштабов деятельности, должны предпринять следующие меры:

• Проинспектировать информационные массивы и составить перечень персональной информации. Например, это могут быть сведения о клиентах, партнерах, подрядчиках (ФИО, номера паспортов и СНИЛС, должности, семейное положение и т. д). Большая часть такой информации является конфиденциальной, то есть не подлежит разглашению.
• Составить внутреннюю политику работы с ПДн, положения о защите. Информацию следует оформить как локальный нормативный акт, ознакомить с ним сотрудников и собрать подписи. Таким образом, работники компании будут осведомлены о нюансах работы и мерах ответственности за нарушения.
• Определить круг ответственных лиц, которые должны отслеживать соблюдение внутренних регламентов.
• Составить приказ о закреплении полномочий доступа к персональной информации. В нем должен содержаться перечень лиц, которые имеют право работать с конфиденциальными сведениями. Важно указать их привилегии.
• Обеспечить надлежащее хранение данных, разграничить доступ к активам, продумать порядок удаления ПДн.

Также ФЗ № 152 «О защите персональных данных» предписывает использование надежных средств обеспечения безопасности, среди которых могут быть DLP-системы (Data Leak Prevention).

Права субъектов ПДн, согласно ФЗ № 152 «О защите персональных данных»

Закон о защите персональных данных гласит, что субъекты ПДн имеют право на:

• Доступ к персональным данным. Каждый гражданин имеет право получать доступ ко всей информации, которую компания о нем собрала. Эта процедура позволяет человеку убедиться в достоверности, полноте и легитимности собираемых данных. Компания обязана предоставить ему запрашиваемую информацию в установленный законом срок.
• Изменение или удаление персональных данных. Гражданин вправе требовать внесения изменений в свою личную информацию, если она оказалась неполной, неверной или устарела. Более того, в случае прекращения оснований для обработки данных субъект вправе обратиться с требованием удалить ранее переданные сведения.
• Отзыв согласия на обработку персональных данных. Если компания нарушает установленные соглашением условия использования данных, особенно в ситуациях, когда информация используется нецелевым способом (например, для рассылки рекламных материалов), гражданин может отозвать свое согласие на дальнейшую обработку данных.
• Обращение в суд или Роскомнадзор. При нарушении прав гражданина на неприкосновенность частной жизни или нарушении порядка обработки данных предусмотрена возможность подачи жалобы в компетентные органы (Роскомнадзор) или обращения в судебные инстанции для восстановления справедливости и компенсации нанесенного ущерба.

ФЗ № 152 «О персональных данных» подразумевает для субъекта право не только отозвать разрешение на обработку ПДн, но и истребовать с оператора компенсацию за причинение морального вреда в случае нарушения регламентов обращения с информацией.

Ответственность за нарушение ФЗ № 152 «О защите персональных данных»

За утечку, разглашение или несанкционированное использование информации предусмотрены следующие меры ответственности:

• Дисциплинарная (внутри компании): замечание, выговор, увольнение (ст. 81, 90, 192 ТК РФ). Применяется за нарушения, не повлекшие значительных последствий.
• Административная: штрафы (ст. 13.11 КоАП РФ — нарушение законодательства о персональных данных; ст. 19.7 КоАП РФ — непредоставление информации по запросу госорганов).
• Уголовная: крупные штрафы, обязательные или принудительные работы, лишение свободы (УК РФ: ст. 137 — нарушение неприкосновенности частной жизни, ст. 140 — отказ в предоставлении информации, ст. 272 — неправомерный доступ к компьютерной информации). Уголовная ответственность наступает за серьезные нарушения, например за разглашение семейной тайны или неправомерный доступ к личной цифровой информации.

Также с 2024 года действуют оборотные штрафы за утечку персональных данных, введенные Федеральным законом № 420-ФЗ. Теперь штрафы рассчитываются как процент от общей выручки компании за предыдущий год и достигают сумм от 20 до 500 миллионов рублей за повторную утечку данных. Это ужесточило ответственность бизнеса за сохранность данных и стимулирует внедрение эффективных мер безопасности.

Меры и инструменты для защиты персональных данных

Чтобы соблюсти Федеральный закон от 27.07 2006 № 152-ФЗ, необходимо внедрить организационные, технические и физические меры безопасности. Что они подразумевают:

• Организационные меры: создание внутренних политик безопасности и правил обработки конфиденциальных данных, обучение персонала, разделение зон ответственности, контроль за исполнением политик информационной безопасности.
• Физические меры: применение современных систем контроля доступа (пропускные режимы, электронные ключи), изоляция серверных комнат и помещений, где хранится особо ценная информация, а также контроль за перемещением оборудования и бумаг, содержащих персональные данные.
• Технические меры: использование программных и аппаратных средств защиты, инструментов для шифрования и резервного копирования информации, методов надежной аутентификации пользователей, контроля доступа к информационным активам и отслеживания движения конфиденциальной информации.

ФЗ № 152 «О персональных данных» предписывает обязательное внедрение систем для контроля использования и передачи информации. Таким инструментом является DLP-система Solar Dozor, в которой реализованы продвинутые для данного класса решений функции, соответствующие требованиям законодательства.

Как Solar Dozor защищает персональные данные и помогает соблюсти ФЗ № 152

Ключевые возможности Solar Dozor в части контроля использования информации согласно требованиям федерального закона:

• Широкий охват каналов передачи данных. Solar Dozor контролирует широкий спектр каналов передачи информации, включая электронную почту, мессенджеры, веб-приложения и облачные сервисы. Такой охват позволяет выявлять и предотвращать утечки вне зависимости от используемого сотрудниками способа передачи данных.
• Гибкие политики безопасности. Система поддерживает настройку детализированных политик безопасности, которые можно адаптировать под специфику бизнеса и требования законодательства. Это позволяет точно регулировать доступ к персональным данным, контролировать их обработку и передачу, а также быстро реагировать на инциденты.
• Технология анализа поведения пользователей UBA (User Behaviour Analytics). Модуль анализа поведения пользователей выявляет аномалии и потенциальных инсайдеров за счет анализа действий сотрудников по множеству поведенческих паттернов. Это позволяет своевременно обнаруживать подозрительную активность, связанную с обработкой или передачей ПДн.
• Модуль расширенной аналитики Dossier. Позволяет службе безопасности получать полную картину сетевой активности сотрудников, включая коммуникации, обращения к данным и попытки передачи информации. Это помогает выявлять нарушения регламентов работы с персональными данными и предотвращать внутренние угрозы.
• File Crawler. Автоматически строит карту внутренней сети, обнаруживает все хранилища персональных данных — как локальные, так и облачные. Это обеспечивает полный контроль над местами хранения ПДн и позволяет своевременно выявлять несанкционированные копии или перемещения данных.
• Расследование инцидентов с Dozor Detective. Solar Dozor позволяет проводить ретроспективный анализ архива коммуникаций для расследования инцидентов, связанных с обработкой персональных данных, что помогает быстро находить источники утечек, формировать доказательную базу и уведомлять регулятора.

Также в Solar Dozor реализован универсальный плеер 4D, который позволяет офицеру безопасности просматривать коммуникации сотрудников в полном контексте: видеть предыдущие и последующие сообщения, перечень бесед с указанием мессенджера, список собеседников, данные инициатора беседы, а также общее количество сообщений и переданных файлов. Такой подход обеспечивает глубокий анализ инцидентов и помогает выявлять нарушения при работе с персональными данными.