Обработка персональных данных: все, что необходимо знать о хранении и обработке персональных данных

Персональные данные (ПДн) — это сведения, относящиеся к определенному физическому лицу. Такие данные представляют собой значительную ценность и часто становятся объектом интереса злоумышленников, поскольку могут быть использованы для мошенничества или иных противоправных действий. В связи с этим обработка и хранение персональных данных должны осуществляться в строгом соответствии с законодательством и с применением мер защиты от несанкционированного доступа. В этой статье разберемся, как правильно организовать обработку персональных данных и какие методы помогут предотвратить их утечку.

Что относится к персональным данными, какие сведения входят в эту категорию

Обработка персональных данных — это любые действия с такими сведениями: сбор, запись, систематизация, хранение, изменение, использование, передача, обезличивание, удаление и другие операции. Как правило, обработка персональных данных допускается только с согласия их владельца, за исключением случаев, прямо предусмотренных законом (например, исполнение договора или выполнение требований законодательства).

Типы персональных данных

В зависимости от характера и степени чувствительности, персональные данные можно условно разделить на несколько категорий:

• Общедоступные — это сведения, к которым субъект предоставил доступ неограниченному кругу лиц, например разместив их в социальных сетях или на других открытых ресурсах. К таким данным могут относиться информация об образовании, контактные телефоны, адрес электронной почты, место работы, занимаемая должность и другие сведения, если они были опубликованы с согласия владельца. Субъект персональных данных вправе отозвать согласие на обработку таких данных, обратившись к оператору или в суд.
• Сведения специальной категории — это информация о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья и интимной жизни. Обработка таких данных допускается только в строго определенных законом случаях, как правило, с письменного согласия субъекта или по требованию закона (например, в рамках судебного разбирательства или уголовного расследования).
• Биометрические — это сведения, которые характеризуют физиологические и биологические особенности человека и позволяют установить его личность (например, отпечатки пальцев, изображение лица, рисунок вен, радужка глаза, ДНК). Для обработки биометрических данных требуется отдельное согласие субъекта, за исключением случаев, предусмотренных законом (например, проведение следственных действий).
• Иные персональные данные — это сведения, которые не относятся к специальным или биометрическим, но также позволяют идентифицировать человека. К ним могут относиться, например, социальный статус, материальное положение, стаж работы и другие характеристики.

В основе обработки персональных данных в том числе лежит принцип градации сведений на общедоступные и конфиденциальные. Общедоступные, о которых говорилось выше, должны обрабатываться в соответствии с требованиями законодательства. Конфиденциальные персональные данные, напротив, не предназначены для свободного распространения и требуют обязательной защиты от несанкционированного доступа третьих лиц.

Кто является субъектом персональных сведений

Субъектом персональных данных является физическое лицо, к которому относятся обрабатываемые сведения, то есть человек, которого можно прямо или косвенно идентифицировать по предоставленным данным. Именно субъект, как правило, дает согласие на обработку своих персональных данных, за исключением случаев, предусмотренных законом.

Субъекты персональных данных имеют право знать:

• С какой целью осуществляется сбор и обработка их сведений.
• Каким образом будет происходить обработка персональных данных.
• Кто является оператором и какие лица могут получить доступ к информации.
• В течение какого срока будут храниться персональные данные и другие условия их обработки.

Субъект имеет право в любой момент отозвать свое согласие на обработку персональных данных, после чего оператор обязан прекратить обработку и уничтожить сведения, если иное не предусмотрено законодательством. Кроме того, субъект может запретить обработку своих данных при подозрении на их ненадлежащее использование. Если станет известно, что персональные данные были получены или используются незаконно либо содержат недостоверную информацию, субъект вправе требовать их блокировки или уничтожения.

Для чего осуществляется обработка персональных данных

Обработка персональных данных может преследовать различные цели, в числе которых:

• Заключение, исполнение или прекращение гражданско-правовых договоров.
• Ведение кадрового учета и выполнение требований трудового законодательства.
• Соблюдение законодательных норм в сфере регистрации граждан и налогообложения.
• Внесение персональных данных в различные виды документации, предусмотренные законом или внутренними регламентами организации.

Конкретные цели обработки зависят от сферы деятельности оператора. Например, в сфере здравоохранения персональные данные необходимы для ведения медицинских карт, обмена данными с целью постановки диагнозов и назначения лечения. В финансовых учреждениях — для открытия счетов, оформления кредитов и проведения иных операций с денежными средствами.

Принципы надлежащей обработки персональных данных

Согласно законодательству, обработка персональных данных должна осуществляться с соблюдением следующих основных принципов:

• Обработка данных допускается только на законных основаниях и в строгом соответствии с требованиями законодательства.
• Использование персональных данных возможно исключительно для заранее определенных и законных целей; обработка в целях, отличных от обозначенных, не допускается.
• Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется для различных, несовместимых между собой целей.
• Обработке персональных данных подлежат только те, которые соответствуют целям такой обработки. ПДн быть точными, актуальными и при необходимости обновляться.
• Объем и характер обрабатываемых данных должны соответствовать заявленным целям; сбор и обработка избыточных данных не допускаются.
• Оператор обязан обеспечивать точность, полноту и актуальность персональных данных, а также своевременно вносить необходимые изменения или удалять неточные и устаревшие сведения.

Эти принципы обязательны для всех организаций и индивидуальных предпринимателей, осуществляющих обработку персональных данных.

Как хранить персональные данные

Операторы персональных данных обязаны соблюдать ряд требований при хранении информации:

• Получить согласие субъекта на обработку и хранение персональных данных, за исключением случаев, предусмотренных законом.
• Организовать хранение данных таким образом, чтобы была обеспечена возможность оперативной идентификации субъекта персональных данных.
• После достижения целей обработки или по истечении установленного срока хранения оператор обязан уничтожить или обезличить персональные данные.
• Хранение должно быть организовано с учетом мер, минимизирующих риски несанкционированного доступа, утраты или иного неправомерного использования информации.
• Определить формат хранения данных — в электронном виде, на бумажных носителях или в смешанном формате, а также установить разграничение доступа к этим сведениям.
• Назначить ответственных сотрудников, отвечающих за сохранность и обработку персональных данных.

Распространено мнение, что существует единый регламент хранения персональных данных. На самом деле законодательство устанавливает лишь общие требования, а каждая организация обязана самостоятельно разработать внутренние документы, регламентирующие порядок хранения и защиты информации. Важно продумать способы защиты данных, определить места и способы хранения, установить ограничения доступа и меры ответственности за нарушения. Четко прописанные внутренние регламенты позволяют организовать системную работу с персональными данными, соблюдать требования законодательства и минимизировать риски утечек и других инцидентов.

Ответственность за утечку персональных данных

Ответственность за нарушения правил обработки и защиты персональных данных:

Административная ответственность

Согласно статье 13.11 Кодекса Российской Федерации об административных правонарушениях (КоАП РФ), организации и должностные лица могут быть привлечены к административной ответственности за неправомерную обработку, хранение или распространение персональных данных, включая случаи их утечки. Виды наказания варьируются в зависимости от степени тяжести нарушения и объема нанесенного ущерба.

Начиная с 2024 года юридическим лицам грозит новая форма санкций — оборотные штрафы. За повторные утечки их величина составляет от 1 до 3% общей выручки компании за прошедший финансовый год, однако существует ограничение: максимальный штраф — 500 млн рублей, а нижний предел — 20 млн рублей.

Однако законодательство допускает возможность уменьшения размера штрафа, если компания предпринимала активные шаги по улучшению своей информационной безопасности. Среди критериев снижения наказания учитываются регулярные вложения в системы защиты данных в размере не менее 0,1% годовых доходов компании за предыдущие три года до момента выявления нарушения. Эти меры способствуют развитию корпоративной культуры кибербезопасности и снижению риска крупных убытков от штрафов.

Уголовная ответственность

Статья 137 Уголовного кодекса РФ предполагает серьезные правовые последствия для тех, кто нарушает право граждан на тайну личной жизни путем нелегального сбора, распространения или использования персональных данных. Такое деяние наказывается крупными штрафами, исправительными работами или даже ограничением свободы.

Законодательство развивается динамично, устанавливая все более строгий контроль за соблюдением мер по обработке и хранению персональных данных, направленный на снижение рисков нарушений прав граждан и укрепление правовой основы защиты приватности россиян.

Защита персональной информации и меры предотвращения утечек

Защита персональных данных должна строиться на комплексном подходе, сочетающем организационные меры и внедрение современных технических инструментов информационной безопасности.

К организационным мерам относятся разработка и внедрение внутренних регламентов по обработке персональных данных, а также формирование корпоративной культуры информационной безопасности. Важно не только донести до сотрудников значимость соблюдения правил работы с ПДн, но и четко обозначить ответственность за нарушения. Дополнительно необходимо уделять внимание мотивации персонала, укреплению дисциплины и созданию позитивного психологического климата в коллективе. Практика показывает, что системная работа в этих направлениях существенно снижает риск преднамеренных утечек информации.

В качестве специальных средств защиты персональных данных используются системы управления доступом и решения класса DLP (Data Leak Prevention), предназначенные для предотвращения утечек информации. В портфеле ГК «Солар» одним из ключевых решений является продукт Solar Dozor. Это многомодульная система, которая не только предотвращает утечки, но и обеспечивает полный контроль над коммуникациями сотрудников, выявляет круг их контактов и помогает обнаруживать случаи корпоративного мошенничества.

В Solar Dozor реализован ряд ключевых преимуществ, которые позволяют своевременно выявлять ненадлежащую обработку персональных данных и предотвращать их утечку:

• Широкий диапазон каналов передачи данных. Solar Dozor контролирует большой спектр каналов передачи информации, включая электронную почту, мессенджеры, веб-приложения и облачные сервисы. Такой охват позволяет выявлять и предотвращать утечки вне зависимости от используемого сотрудниками способа передачи данных.
• Гибкие политики безопасности. Система поддерживает настройку детализированных политик безопасности, которые можно адаптировать под специфику бизнеса и требования законодательства. Это позволяет точно регулировать доступ к персональным данным, контролировать их обработку и передачу, а также быстро реагировать на инциденты.
• Технология анализа поведения пользователей UBA (User Behaviour Analytics). Модуль анализа поведения пользователей выявляет аномалии и потенциальных инсайдеров за счет изучения действий сотрудников по множеству поведенческих паттернов. Это позволяет своевременно обнаруживать подозрительную активность, связанную с обработкой или передачей ПДн.
• Модуль расширенной аналитики Dossier. Позволяет службе безопасности получать полную картину сетевой активности сотрудников, включая коммуникации, обращения к данным и попытки передачи информации. Это помогает выявлять нарушения регламентов работы с персональными данными и предотвращать внутренние угрозы.
• File Crawler. Автоматически строит карту внутренней сети, обнаруживает все хранилища персональных данных — как локальные, так и облачные. Это обеспечивает полный контроль над местами хранения ПДн и позволяет своевременно выявлять несанкционированные копии или перемещения данных.
• Расследование инцидентов с Dozor Detective. Solar Dozor позволяет проводить ретроспективный анализ архива коммуникаций для расследования инцидентов, связанных с обработкой персональных данных, что помогает быстро находить источники утечек, формировать доказательную базу и уведомлять регулятора.

Также в Solar Dozor реализован универсальный плеер 4D, который позволяет офицеру безопасности просматривать коммуникации сотрудников в полном контексте: видеть предыдущие и последующие сообщения, перечень бесед с указанием мессенджера, список собеседников, данные инициатора беседы, а также общее количество сообщений и переданных файлов. Такой подход обеспечивает глубокий анализ инцидентов и помогает выявлять нарушения при работе с персональными данными.