Конфиденциальность персональных данных: от понимания до обеспечения

О чем речь? Конфиденциальность персональных данных – запрет на их разглашение. Накладывается законом и обязательна к соблюдению всеми – физическими и юридическими лицами. Для обработки персональных данных у человека нужно получить на это разрешение.

Что учесть? Получив ФИО, адрес, номер телефона пользователя, нужно обеспечить надежную защиту, чтобы данные никому не достались. Если по вине оператора они станут известны широкой массе, последует жесткое наказание рублем или арест на шесть лет.

Что такое персональные данные

Значение этого термина определяется положениями Федерального Закона № 152-ФЗ «О персональных данных»: персональные данные – это любая информация, относящаяся к прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных). Иными словами, это сведения, благодаря которым возможно идентифицировать того или иного человека.

Что называют персональными данными? Приведем примеры:

• Имя, фамилия и отчество.
• Данные о дате рождения.
• Телефон.
• Место жительства или пребывания.
• Серия и номер паспорта, идентификационный номер налогоплательщика (ИНН).
• Интернет-ссылки для перехода на страницы в социальных сетях.
• Информация о группе крови, дактилоскопические параметры.
• Трудовой стаж, размер зарплаты, сведения об отпускных периодах.

Исходя из степени доступности, персональные данные бывают:

• общедоступные;
• конфиденциальные.

В положениях закона № 152-ФЗ подробно разъяснено, что именно можно отнести в первую категорию данных: это сведения о человеке из справочников, каталогов, сборников, опубликованные с его согласия. Общедоступными сделать можно любые персональные данные (ПД) на усмотрение их владельца, к примеру, ФИО, телефонный номер, место жительства.

Читайте также

Риск-менеджмент: задачи, инструменты, результаты

Конфиденциальные сведения должны быть защищены от доступа посторонних лиц. Эта информация, как правило, не выставляется субъектом на общее обозрение. В эту категорию могут входить данные, которые владелец разрешает разместить в открытых источниках — контакты, связанные с конкретным человеком. К конфиденциальным сведениям относят также проведенные банковские операции, данные о судимости и т. д.

В случаях, когда сайт или приложение проводят сбор информации личного характера о пользователях, ее владелец (он может быть как физическим, так и юридическим лицом) автоматически превращается в оператора персональных данных. Он записывает их, хранит, систематизирует и актуализирует. Допущенные к работе с ПД лица обязаны обеспечивать их конфиденциальность, так как речь идет о работе с личными сведениями людей.

По программе поддержки предпринимательства и малого бизнеса

Полезные материалы по продажам из закрытого клуба Деловой Среды

Мы знаем, как руководителям сейчас непросто, поэтому подготовили материалы, внедрив которые, вы можете увеличить количество продаж ваших менеджеров на 60%. Обратите особое внимание на 3 документ, его важно знать каждому!

Скачивайте и используйте уже сегодня:

Как увеличить продажи на 15 чеков в день

Конспект лайфхака

Как сделать KPI для отдела продаж, чтобы прибыль росла на 20% и более?

Что нужно сделать, чтобы клиент понял, что ему нужны именно вы

Как на холодных звонках заработать 1.5 млрд ₽

Гайд по составлению продающих скриптов для менеджеров

Рабочие способы, как увеличить средний чек в продажах

2 действия, которые увеличат не только чек, но и продажи как минимум в 2 раза

Скачать подборку бесплатно

PDF 2,5 mb

Уже скачали 27173 человек

Только до 1 ноября

Полезные материалы по продажам из закрытого клуба Деловой Среды

Как увеличить продажи на 15 чеков в день

Как сделать KPI для отдела продаж, чтобы прибыль росла на 20% и более?

Как на холодных звонках заработать 1.5 млрд ₽

Рабочие способы, как увеличить средний чек в продажах

Только до 1 ноября

Введите ваши данные для получения доступа к файлу:

Введите ваши данные для получения доступа к файлу:

Проанализируйте, какую информацию вы собираете у посетителей, и поймете – являетесь ли вы таким оператором. В приведенных ниже случаях – являетесь:

• на вашем ресурсе пользователь видит предложение подписаться на рассылку, указав при этом адрес электронной почты;
• чтобы пройти регистрацию на вашем сайте, надо ввести имя, телефон или имейл;
• для получения подробного расчета стоимости услуг потенциальный клиент должен запросить на сайте обратный звонок, оставив свой номер телефона.

Если собираете сведения, имеющие отношение к конкретному лицу, позволяющие так или иначе провести его идентификацию, то вы становитесь оператором ПД. Просто имя, без указания прочих данных, не относится к персональной информации. Получение анонимных материалов (например, оценка удобства сайта или интерфейса приложения) также не приравнивается к обработке персональных данных.

Технические данные, будь то IP-адреса, характеристики браузера, файлы cookie и т. п., относятся к конфиденциальным сведениям, поэтому их сбор сделает вас оператором ПД.

Что значит конфиденциальность персональных данных

Значение слова «конфиденциальный» трактуется русским языком как «тайный», «секретный», «не подлежащий разглашению», «скрытый». Эти слова обычно применяются для обозначения чего-то секретного для остальных и требующего надежной защиты от посторонних глаз.

В российском законодательстве закреплён подход, в соответствии с которым тайной считается информация, не известная третьим лицам, и которая не может быть легко получена, имеет определённую ценность и защищена от их доступа. Таким образом, конфиденциальность персональных данных защищается законом. Выделяют государственную (в том числе военную), профессиональную, служебную и коммерческую тайну, а также секрет производства — для каждого вида предусмотрен свой правовой режим.

Изучая зарубежный опыт, можно прийти к выводу, что понятие «конфиденциальность» сегодня имеет более широкое значение и включает в себя не только тайны (секреты), но и другие формы ограничения в отношении определённых типов информации. Существуют две основные ее разновидности:

• Секретность (secrecy) — это форма сокрытия, не предполагающая добровольного разглашения и предусматривающая наказание за нарушение режима. К этому типу конфиденциальности относятся государственные, профессиональные, служебные, коммерческие, а также тайны частной жизни. Сюда можно отнести и информацию для служебного пользования, конфиденциальную, согласованную между контрагентами и т. п.
• Приватность (privacy) — это форма ограничения доступа к личным данным, которая подразумевает, что использование таких сведений возможно только при наличии согласия субъекта. Такой тип конфиденциальности применяется к не являющейся тайной личной информации, но её применение третьими лицами допустимо только при соблюдении определённых правил. Под режим приватности подпадает любая личная информация, использование которой может нарушить неприкосновенность частной жизни субъекта.

Такое разделение нашло отражение и в российском законодательстве. Как раз о privacy (как виде конфиденциальности) говорится в статье 2 Федерального закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации». В ней под конфиденциальностью информации понимается «обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя».

Этапы обработки конфиденциальных персональных данных

Если вы планируете стать оператором, следующие шаги помогут обеспечить конфиденциальность персональных данных:

1. Определите специалиста, отвечающего за организацию процесса. Закрепите эти обязанности письменно.
2. Займитесь разработкой политики конфиденциальности и разместите её на сайте. Утвердите внутренние документы.
3. Убедитесь, что сервер для хранения персональных данных находится на территории России.
4. Подготовьте необходимое оборудование и надёжное программное обеспечение.
5. Отправьте уведомление в Роскомнадзор, подождите, пока от них придет ответ на письмо.
6. Определитесь с тем, какие сведения будут подлежать сбору и хранению в вашем случае. Обратитесь к официальным источникам для уточнения типов документов, подпадающих под категорию персональных данных.
7. Обеспечьте получение согласия на обработку ПД от пользователя.

Как получить согласие на обработку персональных данных

Обработка ПД — это, по сути, любые операции с личной информацией человека:

• получение;
• структуризация;
• хранение на носителях (в электронном виде, на бумаге);
• анализ;
• использование в любого рода деятельности;
• передача или допуск иных владельцев к базе данных;
• обезличивание — работа с данными, направленная на нивелирование их взаимосвязи с конкретным человеком;
• блокировка — приостановление использования данных в связи с обращением гражданина или регулятора;
• удаление и приведение в актуальное состояние;
• полное уничтожение.

Обрабатывать ПД можно только с разрешения их субъекта. Для законного его получения нужно:

• Уведомить Роскомнадзор о своих планах по обработке персональных данных.
• Подготовить проект соглашения и разместить текст на сайте или предоставить документ в бумажном виде. В нем должно быть предусмотрено специальное поле для проставления отметки о согласии на обработку ПД.
• Предупредить посетителей сайта о сборе файлов cookie и других метаданных (местоположение, IP-адрес) при помощи технологии «всплывающего окна».
• Разместить рабочую ссылку на сайте для желающих ознакомиться с политикой конфиденциальности компании или правилами работы с ПД.

Разрешение на обработку персональных данных, представленное в устном формате, не имеет абсолютно никакой юридической силы. Также его нельзя получить по умолчанию. К примеру, оформление заказа на сайте не означает, что клиент согласен на обработку его данных.

Чтобы проводить сбор биометрических сведений, необходимо обзавестись специальным оборудованием, а также обязательно иметь согласие субъекта ПД в письменном виде. Поставить галочку в чекбоксе будет недостаточно.

Безопасность работы с конфиденциальными сведениями

Законодатели подразумевают под защитой персональных данных совокупность мер, направленных на предотвращение уязвимостей систем и обеспечение безопасности. Эти меры включают в себя использование IT-инфраструктуры, специализированного ПО, организационные и правовые действия. Их цель – исключение нарушения конфиденциальности персональных данных за счет несанкционированного или случайного доступа к защищаемой информации.

Организационно-правовые меры включают в себя подготовку и внедрение рабочих алгоритмов (инструкций) и политики безопасности, назначение ответственных за их соблюдение работников. К техническим мерам относятся приобретение и установка программного обеспечения (брандмауэры, антивирусная и DLP-защита от утечек информации), системы контроля и управления доступом (СКУД) и структуры видеонаблюдения.

Защита персональных данных требует комплексного подхода, включающего использование как физической инфраструктуры (серверы), так и облачных хранилищ. Кроме того, очень важно обеспечить соблюдение правовых норм, предусматривающих санкции за нарушение законодательства в области защиты конфиденциальности информации.

Ответственность за разглашение персональных данных

Нарушение конфиденциальности персональных данных предусматривает установленную законом ответственность в соответствии с административным, гражданским и уголовным кодексами.

Согласно статье 13.11 Кодекса об административных нарушениях РФ, штрафы за такое правонарушение предусмотрены размером от 10 тысяч до 18 млн рублей, в зависимости от статуса допустившего нарушение (физическое/юридическое лицо, ИП), а также от характера нарушения и того, впервые ли оно допущено.

Уголовное законодательство предусматривает более строгие меры для тех, кто нарушает неприкосновенность частной жизни. По статье 137 Уголовного кодекса РФ осуждённый может быть оштрафован на сумму до 350 тысяч рублей, привлечён к принудительным работам, лишён права заниматься некоторыми видами деятельности или занимать определённые должности, а также свободы на срок до шести лет.

Помимо административной и уголовной ответственности, допустивший нарушение конфиденциальности персональных данных может быть наказан материально через подачу гражданского иска в суд общей юрисдикции.

Часто задаваемые вопросы о конфиденциальности персональных данных

Если пользователь не одобрил обработку своих ПД, можно ли их использовать?

Молчание человека, отсутствие действий не может приравниваться к разрешению, а потому при отсутствии прямого одобрения субъекта его данными распоряжаться запрещено. Владелец всегда может отозвать своё согласие, но оператор ПД может продолжать производить операции с теми материалами, в отношении использования которых не требуется согласия субъекта.

Кто может выступать оператором персональных данных?

Согласно законодательству, операторами может быть большинство организаций и физических лиц. Основное условие – добровольное разрешение владельца информации на получение и обработку ПД. Статьи 6 и 10 Закона № 152-ФЗ от 27 июля 2006 года приводят случаи и перечень возможных получателей персональных данных.

Какие ПД не подлежат разглашению?

Абсолютно все! Если только их обладатель не обозначил особых распоряжений по этому поводу.

Читайте также

Система управления контентом: суть, критерии выбора

Государство считает важным обеспечить защиту персональных данных своих граждан, а потому принимает все возможные меры в рамках нормативного регулирования данной сферы. Безопасность такой информации обеспечивается за счет соблюдения законов, использования современных технологий и программного обеспечения. Нарушения в сфере защиты конфиденциальности персональных данных граждан влекут за собой серьезные материальные и уголовные санкции.