Кто является оператором персональных данных

Кто является оператором персональных данных?

Согласно ст. 3 Закона N 152-ФЗ оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку таких данных, а также определяющие цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с данными.

Общим признаком оператора персональных данных для всех организаций является обработка персональных данных работников. Организации, оказывающие услуги населению, обрабатывают еще и персональные данные клиентов. То есть, по сути, операторами персональных данных являются все без исключения организации.

Однако не все операторы должны исполнять требования Закона N 152-ФЗ в полном объеме. Так, не все операторы должны исполнять обязанность по уведомлению уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных согласно ст. 22 Закона N 152-ФЗ. Исключения, в частности, установлены для организаций, осуществляющих обработку персональных данных:

обрабатываемых в соответствии с трудовым законодательством;

полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если они не распространяются, не предоставляются третьим лицам без согласия субъекта данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими объединением или организацией, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;

сделанных субъектом персональных данных общедоступными;

включающих в себя только фамилии, имена и отчества субъектов персональных данных;

необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;

включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;

обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

Все остальные операторы такие уведомления направляют, после чего включаются в реестр операторов.

Обратите внимание! Сведения об операторе, содержащиеся в реестре, являются общедоступными. Они размещаются для ознакомления на официальном сайте и портале персональных данных Роскомнадзора.

Соответственно, организации, не подающие уведомления, в реестр операторов не включаются.

Что же касается обязанности по составлению Политики и других локальных документов, здесь исключений никаких не установлено. Соответственно документ, определяющий политику в отношении обработки персональных данных, должен быть в каждой организации.

Причем если организация осуществляет сбор персональных данных граждан с использованием Интернета (регистрация на сайте, форма обратной связи, куда необходимо внести персональные данные), этот документ должен быть размещен на сайте организации. К таким организациям, в первую очередь, относятся интернет-магазины, социальные сети и другие сайты, государственные и муниципальные органы, а также медицинские учреждения, образовательные организации, налоговые и другие регистрирующие органы, организации в сфере социальных услуг, банки, турагентства. Это могут быть и просто организации, которые проводят конкурсы на занятие определенных должностей и на своих сайтах выставляют имеющиеся вакансии и предлагают кандидатам заполнить анкету.

Если органы контроля установят, что оператор не опубликовал или не обеспечил иным образом неограниченный доступ к своей Политике или сведениям о реализуемых требованиях к защите персональных данных, организация будет оштрафована в соответствии с ч. 3 ст. 13.11 КоАП РФ, предусматривающей штраф для должностных лиц от 3 000 до 6 000 руб., а для юридических — от 15 000 до 30 000 руб.

К сведению. В целях ограничения доступа к информации в сети «Интернет», обрабатываемой с нарушением законодательства РФ в области персональных данных, создается автоматизированная информационная система «Реестр нарушителей прав субъектов персональных данных». Формирует данный реестр Роскомнадзор (ст. 15.5 Федерального закона от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации»).

Что это за документ?	>> Рекомендации по составлению Политики
Содержание Политика оператора персональных данных (В.В. Данилова, журнал «Отдел кадров государственного (муниципального) учреждения».

Актуальная версия заинтересовавшего Вас документа доступна только в коммерческой версии системы ГАРАНТ. Вы можете подать заявку на получение полного доступа к системе бесплатно на 3 дня.

Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.

Оператор персональных данных

Многие индивидуальные предприниматели и компании не знают, нужно ли им передавать о себе данные в Роскомнадзор и регистрироваться в качестве оператора персональных данных. Постараемся разобраться, кому это делать необходимо.

Про ОПД

К персональным данным человека относится ФИО, номер паспорта, адрес прописки и пр. Исчерпывающий список не утвержден ни одним из действующих законов. Оператор персональных данных это любое физическое лицо или государственный орган, который обрабатывает ПД в тех или иных целях.

Т.е. если сотруднику предприятия по специфике своей работы приходится запрашивать или пересылать персональные данные, его можно назвать их оператором. Это же относится и к лицам, которые имеют доступ к ПД.

Соответственно оператором можно назвать почти любого человека. К примеру, пользователь ПК ведет свой сайт в интернете и собирает информацию о подписчиках. Про банки и различные компании, которые целенаправленно собирают данные гражданина отдельный разговор. Даже если продавец в магазине предлагает покупателю приобрести фирменную бонусную карту, он также является оператором ПД.

Обязанности оператора

Граждане, которые сталкиваются с обработкой персональных данных, обязаны соблюдать связанные с этим вопросом законы. Самый главный из них – неразглашение. После того, как ПД клиента больше не нужны, оператор обязан уничтожить их из хранилища. К прочим обязанностям оператора персональных данных относятся:

1. Разъяснение. Перед тем, как человек сообщит свои данные, оператор обязан объяснить, для чего они нужны и в каких целях будут использоваться. После этого клиент в письменном виде должен дать согласие на обработку ПД. Такое правило регламентируется ФЗ № 152.
2. Политика обработки. Оператор обязан разработать документ, в котором будет подробно описана политика обработки персональных данных в компании. Документ публикуется любым удобным способом. Чаще всего его помещают на официальный сайт компании. Там с ним может ознакомиться люб ой человек.
3. Меры защиты. Главное правило для оператора ПД – неразглашение. Кроме этого лицо, отвечающее за обработку, обязано обеспечить защиту персональных данных от похищения третьими лицами. Т.е. если данные хранятся на компьютере, от оператора требуется защитить их от хакерских атак и пр. Если ПД хранятся на бумажных носителях в помещении, доступ туда должен быть только у оператора.
4. Уничтожение. После того, как ПД больше не нужны (например, клиент прекратил сотрудничество с компанией) данные должны быть уничтожены в отведенные законом сроки. Эта обязанность также лежит на операторе.

Все правила касательно обработки персональных данных закреплены Федеральным законом № 152 от 26 июля 2006 года.

Как зарегистрироваться в качестве ОПД

Перед тем, как оператор начнет обрабатывать персональные данные клиентов, он обязан обратиться в соответствующий государственный орган надзора и сообщить об этом. Однако, согласно все тому же ФЗ № 152 (ч. 2 ст. 22) от постановки на учет освобождаются:

1. Лица, которые используют для своей работы общедоступные данные, которые люди раскрыли сами. Это может быть информация, которая содержится на личных страницах в соц.сетях или на сайтах.
2. Операторы государственных информационных систем, которые используются для обеспечения общественного порядка. Их очень много (Эра-Глонасс, Усправление и пр.).
3. Частные лица и организации, которые используют персональные данные для обеспечения безопасного функционирования транспорта. К примеру, при поездке на междугороднем автобусе или поезде кассир обязан спросить человека ФИО и паспортные данные. Однако регистрироваться в качестве оператора ПД ему не нужно.
4. Освобождаются от регистрации и организации, которые обрабатывают персональные данные вручную, без каких бы то ни было средств автоматизации.

Однако, даже если организация не попадает в обязательный список регистрации операторов ПД, ей все равно придется сообщить о своей деятельности в Роскомнадзор.

Важно! После внесения поправок в действующее законодательство 01. 09. 2022 любой работодатель обязан быть зарегистрированным в реестре Роскомнадзора в качестве оператора персональных данных. Это касается как ИП, у которых есть сотрудники, так и глав больших организаций.

Для регистрации человеку необходимо подать заявление в Роскомнадзор. Его образец можно скачать на сайте контролирующего органа или на Госуслугах. Есть он и в Приказе Минкомсвязи России от 21.12.2011 № 346.

Важно! Подать заявление можно как в бумажном, так и в электронном виде. В первом случае человек после заполнения бланка лично относит его в территориальный орган Роскомнадзора или отправляет его по почте. Во втором – документ оформляется непосредственно на сайте контролирующего органа.

В заявлении необходимо указать следующие данные:

• название компании (как полное, так и сокращенное);
• организационно-правовую форму компании;
• почтовый адрес;
• юридический адрес;
• цель обработки персональных данных;
• какие именно категории персональных данных планирует обрабатывать компания;
• ПД каких категорий граждан будут обрабатываться (пассажиров, работников и т.д.);
• законодательная база на основе которой организация считает возможным обработку персональных данных своими сотрудниками;
• полные сведения о сотрудниках, которые будут заниматься обработкой ПД;
• информацию о том, какие меры защиты ПД будут использованы в компании;
• планируемая дата начала обработки ПД;
• сведения о том, где будут храниться ПД.

Рассмотрение вопроса о регистрации может занять до 30 суток. Если заявление было подано в электронном формате, организации все равно придется направить в территориальный орган Роскомнадзора его бумажную копию. В процессе регистрации сотрудники контролирующего органа вправе потребовать у организации документы для уточнения тех или иных сведений.

Если в процессе работы у организации меняются цели или способы обработки персональных данных, ее руководство в 10-дневный срок обязано уведомить об этом Роскомнадзор. При этом в адрес контролирующего органа направляется письмо. Его форму можно посмотреть на сайте Роскомнадзора.

Основные изменения после 1 сентября 2022 года

В сентябре 2022 года в закон об обработке персональных данных был внесен ряд изменений. Основные из них:

1. Изменился срок ответа на запросы Роскомнадзора (его сократили с 30 до 10 суток);
2. Расширился список тех, к4то обязан регистрироваться в качестве оператора персональных данных. Теперь эту процедуру должны проходить практически все ИП и организации. Исключение – те компании, которые не используют средств автоматизации. К примеру. Если человеку для того, чтобы попасть на территорию предприятия необходимо получить пропуск, оформленный через специальную компьютерную программу, организации необходимо зарегистрироваться в качестве оператора. А если охранник вручную вносит его данные в журнал учета посетителей, регистрация не нужна.
3. В заявление на регистрацию теперь необходимо вносить данные о категории ПД, законодательной базе, на основе которой организация будет заниматься обработкой ПД и подробный перечень действий с ПД, способы их обработки и защиты.
4. Если в компании произошла утечка ПД в течение 24 часов ее руководство должно сообщить об этом в Роскомнадзор. 3 дня дается на проведение внутреннего расследования. Через 72 часа организация должна сообщить Роскомнадзору причину происшествия.
5. Бланк согласия на обработку ПД должен выглядеть понятно и однозначно. Т.е. прочитав его человек сразу должен понять, куда будут внесены его данные, где они буду храниться, как будут защищены и зачем с него требуют их предоставить.

Что будет если не зарегистрироваться в реестре

Ответственность за отказ регистрироваться в реестре наступает согласно ст. 19.7 КоАП РФ. Нарушителям в статусе должностного лица грозит штраф от 300 до 500 рублей, а юридическим лицам – от 3 до 5 тыс. рублей.

В случае, если оператор нарушил условия обработки персональных данных, он будет нести ответственность согласно ст. 13.11 КоАП РФ. Это штраф. Для юридических лиц он варьируется от 15 до 75 тыс. руб. Для ИП – от 5 до 20 тыс. руб. Здесь все зависит от тяжести преступления, а также от того, как именно оно повлияло на репутацию клиентов.

Оператор персональных данных

Знание законодательной базы для того, кто намерен осуществлять обработку ПДн в рамках своей деятельности, является обязательным, и главным нормативно-правовым актом является Федеральный Закон № 152, принятый в 2006 году. Он регулирует взаимоотношения владельцев личной информации и тех, кто использует эти сведения для коммерческих и иных целей. Детальный анализ ФЗ позволит разобраться, кто признается оператором персональных данных, какие у него права и обязанности, может ли быть обработчиком поручитель, какие требования предъявляются к тем, кто собирает, хранит, копирует, распространяет, уничтожает и блокирует сведения. Особого внимания заслуживает вопрос необходимости исполнения закона о ПДн в полном объеме, например, в отдельных случаях нет необходимости отправлять уведомление Роскомнадзору об осуществлении обработки информации.

Кто является оператором персональных данных в соответствии с ФЗ-152?

В статье 3 четко прописано, что статус оператора ПДн имеют все, кто сами либо с помощью уполномоченных лиц обрабатывают персональные данные, предварительно установив их состав, цели и список выполняемых действий. Под данную категорию попадают как юридические, так и физические лица, а также муниципальные органы и государственные структуры. Фактически это все без исключения компании, реализующие товары или услуги.

В действующем законодательстве РФ указаны организации, которым не нужно дополнительно информировать Роскомнадзор о проведении операций с ПДн. К ним относятся фирмы и ИП, которые получают и используют личные сведения субъектов:

• на основании положений ТК России (каждый работодатель — это оператор);
• после заключения соответствующего договора для исполнения его условий;
• в рамках деятельности религиозного или общественного сообщества, но только в том случае, если они не будут передавать ПДн третьим лицам;
• входящие в состав государственных информационных систем (ГИС);
• в неавтоматизированных системах с соблюдением установленных требований ФЗ и других подзаконных актов;
• в ситуациях, когда требуется защита интересов и обеспечения безопасности общества и граждан, в том числе при оказании услуг связи, междугородных и международных перевозок и т.п.

Кроме того, оператор личных данных не должен сообщать в компетентный орган, если обрабатывает исключительно Ф.И.О. гражданина, сведения для выдачи однократных пропусков и ПДн, которые имеют общедоступный характер. Если ваша деятельность не относится ни к одной из перечисленных категорий, то уведомление посылать необходимо, причем сразу после этого вы будете включены в реестр. Каждый человек может в любое время зайти на официальный ресурс Роскомнадзора и узнать наименование и другие сведения об операторе персональных данных. Если в перечне информации нет, это может значить, что фирма или ИП не подали уведомление, соответственно, нарушили закон либо совершают операции, для которых не требуется его предоставлять.

Проконсультироваться, нужно ли в вашем случае контактировать с проверяющей организацией, можно в нашем специализированном центре. Опытные эксперты по защите ПДн изучат ситуацию и дадут конкретные рекомендации по поводу правового урегулирования деятельности согласно ФЗ-152.

Независимо от того, в какой сфере работает компания, насколько большой штат сотрудников и объем обрабатываемой личной информации, в обязательном порядке необходима разработка Политики обработки ПДн и прочей внутренней документации, определяющей порядок совершения всех операций. Для тех, кто ведет бизнес онлайн, предусмотрено требование опубликовать основные документы на сайте. При отсутствии неограниченного доступа к Политике можно получить штраф в пределах от 3 до 30 тысяч рублей, в дополнение к этому организация автоматически попадает в реестр нарушителей, что негативно скажется на деловой репутации.

Права и обязанности оператора персональных данных

Занимаясь обработкой ПДн, предприниматель или фирма должны четко придерживаться законодательных нормативов. Например, есть возможность осуществлять с полученными сведениями такие операции, как:

• копирование;
• сбор, анализ и сохранение;
• изменение, дополнение, обновление;
• распространение;
• использование;
• систематизация и накопление;
• обезличивание;
• блокировка, уничтожение, удаление.

Но при этом установлены ограничения относительно продолжительности хранения и способа применения. Запрещено продолжать обрабатывать ПДн после достижения изначально поставленных целей и сроков.

Что касается требований к операторам персональных данных, то основными среди них являются:

1. Отправка уведомления о начале проведения действий с ПДн сотрудников, клиентов с обязательным указанием адреса, Ф.И.О./названия организации, субъектов и типов обрабатываемых сведений, правового обоснования деятельности, списка операций, предпринятых мер обеспечения безопасности. Также нужно сообщить дату начала работ с ПДн, сроки и условия её завершения, наличие трансграничной передачи информации (передачи на территорию иностранного государства).
2. Обеспечение защиты ПДн от несанкционированного доступа. На предприятии должен быть сотрудник, ответственный за внедрение и контроль операций, а также разработаны и интегрированы организационные и технические меры защиты. Для внедрения мер обеспечения безопасности требуется составить достаточной большой список локальных документов, начиная от должностных инструкций, заканчивая моделью актуальных угроз ПДн.
3. Конфиденциальность информации. Операторы должны организовать свою деятельность таким образом, чтобы к ней имели доступ только уполномоченные лица, не происходило утечек, и не было случаев передачи ПДн третьей стороне без предварительного получения письменного согласия.
4. Использование локальных ИСПДн — имеется ввиду необходимость хранения и обработки на российских серверах при сборе ПДн. При этом возможность дальнейшей трансграничной передачи не запрещена.
5. Прекращение операций после истечения предусмотренного срока или достижения изначально установленных условий обработки. Кроме того, ФЗ-152 позволяет каждому субъекту написать заявление с просьбой отозвать согласие на использование его ПДн, после чего у фирмы или ИП есть 30 дней на исполнение данного требования, если конечно же нет законных оснований для продолжения обработки его ПДн.

Что проверяет Роскомнадзор?

Регулярные проверки ведомства — мощный стимул для организаций не нарушать положения ФЗ-152. Главное, на что обращают внимание представители госструктуры:

• наличие письменного согласия субъектов в случае их необходимости;
• присутствие локальной документации, регулирующей взаимоотношения между оператором и владельцем ПДн, а также их соблюдение;
• своевременное уведомление о начале обработки;
• поставленные цели и длительность хранения информации;
• применяемые меры защиты, налаженная система ограничения доступа;
• сервера, на которые помещаются сведения для систематизации и хранения.

Естественно, если в прошлом оператор персональных данных совершал нарушения, но его будут инспектировать особенно тщательно, так что есть смысл изначально привести деятельность в сфере ПДн в соответствие в требованиями ФЗ-152.

Делегирование обработки ПДн

Осуществлять обработку самостоятельно необязательно — можно поручить организацию обработки и защиту информации специалистам. Это может быть сервис-провайдер либо иное лицо (например, наш Центр безопасности данных), которое возьмет на себя обеспечение технической части согласно условиям подписанного договора и нормативам российского законодательства. Юридическое право выполнять действия с ПДн закрепляется в поручении, где отдельным пунктом прописана необходимость обеспечения безопасности и конфиденциальности обрабатываемых данных граждан.

Чем грозит разглашение личной информации граждан?

Закон предусматривает различные виды ответственности за несоблюдение оператором требований ФЗ-152 в отношении операций с ПДн, а именно:

• замечание, выговор и увольнение сотрудника, допустившего разглашение конфиденциальной информации;
• взыскание суммы ущерба с работника-нарушителя;
• возмещение морального вреда субъекту персональных данных в результате гражданских исков;
• наложение административного штрафа, размер которого может варьироваться в зависимости от обстоятельств дела (от 15 тысяч до 18 миллионов рублей);
• и другие виды ответственности, вплоть до уголовной для руководителя при значительных нарушениях, повлекших за собой серьезные последствия для субъекта.

Почему закон о персональных данных глубже, чем кажется

Рассказываем в тексте, как должны храниться персональные данные и почему они попадают в сеть. Рассматриваем также, как распределяются зоны ответственности и какие федеральные законы регламентируют действия операторов данных.

О чем ФЗ-152

В России с 2007 года действует Федеральный закон №152, в котором отражено большинство требований и предписаний, касающихся защиты персональных данных от использования третьими лицами. Закон регулярно дополняется, поэтому отвечает большинству тенденций.

25 мая 2022 года в первом чтении было одобрено сразу несколько поправок, направленных на ускорение подачи данных об утечках в органы власти и постоянное взаимодействие с ГосСОПКА.

ФЗ-152 регламентирует отношения между оператором данных и пользователями. Операторами данных могут быть не только интернет-ресурсы, но и бумажные картотеки или периодические издания. Юридические или физические лица. Закон затрагивает сферу обработки, хранения и утилизации персональных данных операторами. То есть данных, по которым можно безошибочно идентифицировать человека. Например, одного ФИО для этого часто недостаточно, поскольку таких людей даже в одном городе может быть несколько. Хотя исключения и уникальные ФИО тоже бывают.

Какими бывают персональные данные:

1. Общедоступные. Эти данные открыты неограниченному количеству лиц с согласия человека. Например, информация об авторе материала в СМИ, либо на основании ФЗ: выписки из ЕГРЮЛ или ЕГРИП.
2. Биометрические. В эту группу попадает информация о биологических и физиологических особенностях, которые используются для идентификации. Отпечатки пальцев, даже образцы голоса и сканы сетчатки глаз.
3. Специальные. Сюда относятся не только данные, которые хранят карточки в поликлиниках. Это также информация о судимостях и прохождении воинской службы. Информация о расовой и национальной принадлежности, политических и религиозных взглядах.
4. Иные. Название группы достаточно общее, но это самая популярная категория персональных данных. Сюда относятся данные, которые не были упомянуты в других группах. Это ФИО, адрес, паспортные данные, электронная почта и мессенджеры, стаж работы — данные, полученные с согласия субъекта. Эти данные собирают все интернет-магазины и большинство сервисов во время регистрации или оформления заказов.

Тем не менее, не все связки персональных данных представляют одинаковую опасность для пользователей и ценность для злоумышленников. Например, слитые строки с электронными адресами и ФИО вряд ли можно радикально использовать против человека.

В мире социальных сетей и интернет-покупок персональные данные можно считать персональными лишь частично. С ними постоянно взаимодействуют различные сервисы, они обрабатываются и хранятся в самых разных условиях. Данные часто становятся товаром для бесплатных VPN и спам-сервисов. На заседании от 25 мая также обратили внимание на компании, занятые передачей трансграничных ПДн, поэтому этот сектор в ближайшее время скорее всего ждут новые ограничения и новые санкции за несоблюдение мер безопасности.

Закон о персональных данных тесно связан с ФЗ-242, который предписывает операторам данных хранить их на территории страны. С отказом выполнять это требование был связан, например, уход LinkedIn в 2016 году.

Кого касается ФЗ-152

Может показаться, что исполнять требования ФЗ-152 должны только банки и медицинские учреждения. То есть организации, работающие с целым набором документов и данных.

На самом деле, под действие закона попадают почти все информационные системы. Интернет-магазины, библиотеки, государственные учреждения, биллинговые системы, call-центры.

Многие компании воспринимают требования ФЗ-152 как ростовую фигуру, за которой может не стоять содержания. Кажется, что достаточно спросить пользователя, готов ли он записать данные в cookie, и все. Система действительно может так работать до первой утечки данных или до проверки регулятором.

Если говорить о технической защите персональных данных, то стоит обратиться к подзаконным актам 152-ФЗ — 1119 ПП, 21 Приказ ФСТЭК. В них прописаны меры обеспечения защиты персональных данных, в зависимости от характера данных.

Например, сервисам, которые обрабатывают специальные категории персональных данных >100000 пользователей необходимо соблюдать защитные меры второго уровня защищенности.

Для каждой системы должна быть разработана модель угроз. Несмотря на то, что применение криптографических средств защиты не является обязательным пунктом при защите персональных данных, они могут требоваться, если актуальны угрозы, связанные с перехватом персональных данных по каналам связи. Или когда из модели угроз требуется использовать криптографические средства для шифрования баз данных с персональными данными.

Почему персональные данные попадают в сеть

Причин, почему персональные данные оказываются в открытом доступе, достаточно много. Все инциденты можно локализовать на трех уровнях: на уровне персонала, приложения или инфраструктуры. Стоит заметить, что ФЗ-152 в меньшей степени сконцентрирован на действиях персонала, способствующих утечке ПДн. Его фокус направлен на то, как компании должны организовать работу с конкретным типом данных.

Уровень персонала

Все инциденты утечек данных тщательно расследуются с применением DLP-систем анализа трафика сотрудников. Всей правды мы никогда не узнаем, но, например, исследование RTM Group говорит, что чаще всего в утечках данных виноваты сотрудники салонов сотовой связи.

Правильнее читать эту новость в другом ключе.

Чаще всего в утечках данных виноваты не вредоносные программы или уязвимости в инфраструктуре, а персонал. Сотрудники часто раскрывают персональные данные случайно, когда общаются с конкурентами или коллегами с другим уровнем допуска.

В этом деле всегда есть место обычной халатности и незаблокированным экранам. Часто данные просто копируют и уносят на флешках, чтобы продать.

Бороться с такими преступлениями следует с помощью кадровой политики, постоянного обучения сотрудников и дифференцированной политике доступов к ПДн.

Уровень приложения

Утечка персональных данных может случиться на уровне приложения.

Само приложение может содержать массу уязвимостей, поэтому если утечка произошла на уровне приложения, то даже провайдер, который полностью выполняет обязательства ФЗ-152 на уровне инфраструктуры, не может на это повлиять, поскольку это находится не в его зоне ответственности. Например, для услуги выделенные серверы Selectel, схема ответственности выглядит следующим образом:

Зона ответственности клиента	Зона ответственности Selectel
Клиентские данные	Сетевое оборудование Selectel
Прикладное программное обеспечение	Аппаратная инфраструктура
Связующее программное обеспечение	Средства обеспечения функционирования (электропитание, кондиционирование и т.д.)
Системное программное обеспечение
Сетевое оборудование заказчика

Если клиент размещает свои информационные системы/приложения с персональными данными у провайдера, то ему необходимо убедиться, что провайдер выполняет требования 152-ФЗ на уровне инфраструктуры.

Стоит заметить, что выделенные серверы и облака проходят «раздельную» оценку эффективности принимаемых мер защиты персональных данных по 152-ФЗ. Например, в Selectel и облако, и выделенные серверы во всех дата-центрах на уровне инфраструктуры соответствуют ФЗ-152 и предоставляют защиту персональных данных до 3 уровня включительно (УЗ-3). При таком уровне защищенности возможно хранить, например, почти все персональные и медицинские данные до 100 000 субъектов.

С клиентской точки зрения, это решение не несет каких-либо дополнительных затрат, поскольку является особенностью инфраструктуры компании.

В России есть несколько специализированных центров, которые с равным успехом проводят мероприятия по оценке эффективности.

Процедура оценки эффективности принимаемых мер защиты предполагает проверку соответствия инфраструктуры провайдера на соответствие уровню защиты. Сам провайдер при этом не является оператором персональных данных для клиентов сервиса, который размещается в его инфраструктуре — только для самого сервиса. Процесс предполагает оценку как организационных (документация, приказы и т.п.), так и технических мер (настройка средств защиты и пр.).

С точки зрения бизнеса, следует еще на этапе выбора провайдера проверить наличие Акта оценки эффективности или Аттестата соответствия. Хорошо, если компания публично разместила его прямо на сайте.

Для клиентов, которые хотят построить систему с повышенными требованиями безопасности существует решение аттестованный сегмент ЦОД.

ФЗ-152 как верхушка айсберга. Что еще можно сделать для безопасности данных

Аттестованный сегмент ЦОД — это не только соответствие Tier III. По факту это отдельные стойки, которые дополнительно оборудованы электронным замком со стороны холодного и горячего коридоров и дополнительными камерами. В стойках аттестованного сегмента ЦОД клиенты могут разместить серверы произвольной конфигурации за индивидуальным аппаратным межсетевым экраном. Таким образом достигается изоляция систем клиента от других клиентов и сетей Selectel. Доступ в это пространство имеют, как правило, только сотрудники, которые прошли обучение и получили согласование отдела клиентской безопасности.

Ключевая проблема, которую решает размещение в аттестованном сегменте ЦОД — потребность в полном контроле за безопасностью и аттестации своей системы для операторов данных.

Арендуйте выделенные серверы, соответствующие ФЗ-152

Воспользуйтесь конфигуратором, чтобы подобрать решение для вашего бизнеса.