Персональные данные находятся не только в базах данных клиентов. Они проходят через сайт, CRM, корпоративную почту, кадровые системы, облачные сервисы, резервные копии и рабочие устройства сотрудников. Поэтому соответствие требованиям законодательства нельзя обеспечить одним комплектом документов: необходимо контролировать весь жизненный цикл данных — от получения до уничтожения.
Нарушения при обработке персональных данных создают одновременно регуляторные, финансовые, технические и репутационные риски. При этом причиной претензий может стать не только утечка, но и отсутствие уведомления Роскомнадзора, некорректная форма на сайте, избыточный сбор данных или несоответствие документов реальным процессам компании.
Кто считается оператором персональных данных
Персональные данные — это информация, которая относится к прямо или косвенно определённому физическому лицу. Идентифицировать человека можно не только по имени и паспорту, но и по совокупности сведений: номеру телефона, адресу электронной почты, идентификатору аккаунта, IP-адресу, истории заказов или обращениям в поддержку.
Оператором становится организация или физическое лицо, которые определяют цели обработки персональных данных, состав данных и действия, совершаемые с ними. Поэтому практически любая компания, имеющая сотрудников, клиентов, соискателей, пользователей сайта или представителей контрагентов, работает с персональными данными.
Контакты, заказы, обращения, данные личного кабинета, история взаимодействия с компанией.
Резюме, кадровые документы, сведения о зарплате, отпусках, обучении и состоянии здоровья.
IP-адреса, cookie-файлы, идентификаторы устройств, журналы действий и другие сведения, позволяющие выделить пользователя.
Различия персональных данных с точки зрения закона
Закон отдельно регулирует специальные категории персональных данных — например, сведения о здоровье, национальности, политических взглядах и религиозных убеждениях. Отдельные правила действуют и для биометрических данных.
Фотография, запись голоса или видео становятся биометрическими персональными данными не автоматически, а когда используются для установления личности. Категорию данных необходимо определять с учётом цели и способа их использования.
Жизненный цикл персональных данных
Типичная ошибка — проверять только момент получения согласия. В действительности нарушение может возникнуть на любом этапе: при сборе, передаче подрядчику, предоставлении доступа сотруднику, хранении резервной копии или несвоевременном уничтожении данных.
Для каждого этапа должны быть определены цель, правовое основание, ответственные, допустимые действия, круг пользователей и срок обработки.
Что должен сделать оператор персональных данных
Начинать следует не с шаблонов документов, а с инвентаризации фактических процессов. Компания должна понимать, какие данные она получает, зачем они нужны, где находятся, кто имеет к ним доступ и кому они передаются.
- Определить цели обработки и категории субъектов.
- Составить перечень собираемых персональных данных.
- Установить правовое основание для каждой цели обработки.
- Исключить сведения, не требующиеся для заявленной цели.
- Определить информационные системы и места хранения данных.
- Зафиксировать передачи подрядчикам и другим получателям.
- Назначить ответственного за организацию обработки ПДн.
- Разработать политику и необходимые локальные документы.
- Определить сроки хранения и порядок уничтожения данных.
- Настроить обработку обращений субъектов персональных данных.
- Проверить необходимость уведомления Роскомнадзора.
- Организовать внутренний контроль и обучение сотрудников.
Согласие — не единственное правовое основание
Получать согласие «на всякий случай» неправильно. В зависимости от процесса основанием обработки может быть закон, договор, исполнение обязанности оператора или согласие субъекта. Для каждой цели необходимо определить подходящее основание и не использовать собранные данные для несовместимых целей.
Уведомление Роскомнадзора должно соответствовать реальности
До начала обработки оператор, как правило, должен направить уведомление в Роскомнадзор, если конкретная операция не относится к предусмотренным законом исключениям. При изменении целей, состава данных, адресов баз, ответственного лица или других заявленных сведений информацию в реестре необходимо актуализировать.
Компания присутствует в реестре операторов, но сведения в уведомлении были поданы несколько лет назад и больше не соответствуют используемым системам, процессам и подрядчикам.
Основные зоны риска при работе с персональными данными
Формы без корректного информирования, заранее установленные отметки согласия, скрытые цели сбора, недоступная политика, необоснованные обязательные поля, сторонние виджеты и аналитические сервисы.
Повторное использование контактов для другой цели, покупные базы, отсутствие контроля выгрузок, некорректные рассылки и бессрочное хранение неактуальных сведений.
Хранение резюме без установленного срока, избыточный состав кадровых документов, пересылка сведений через личные мессенджеры и неконтролируемый доступ к общим папкам.
Передача данных без корректного поручения на обработку, отсутствие требований к защите и уничтожению, неизвестное местонахождение баз или неучтённая трансграничная передача.
На сайте важен не только текст политики
Необходимо сопоставить каждую форму с конкретной целью обработки. Пользователь должен понимать, какие сведения получает компания и для чего. Согласие на обработку, согласие на рекламную коммуникацию и принятие пользовательских условий не следует механически объединять в одну формулировку.
Cookie-файлы и технические идентификаторы требуют отдельной оценки. Если информация позволяет выделить пользователя или связать его действия с конкретным профилем, её обработку следует рассматривать в контексте законодательства о персональных данных.
Помимо юридической проверки форм стоит оценить их техническую защищённость. Уязвимости сайта могут позволить получить доступ к заявкам, учётным записям или внутренним системам. Для такой проверки используется тестирование сайта и веб-приложения на проникновение .
Использование зарубежных сервисов нужно анализировать отдельно
При сборе персональных данных граждан Российской Федерации через интернет оператор должен обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение этих данных с использованием баз, находящихся в России. Наличие иностранного облачного сервиса не означает автоматического запрета, но требует проверки архитектуры потока данных, места первичной записи, договорных условий и наличия трансграничной передачи.
Почему только документов недостаточно для защиты персональных данных
Главная задача проверки — сопоставить заявленный порядок обработки данных с тем, что происходит в компании фактически. Формально корректная политика не компенсирует открытое облачное хранилище, общую учётную запись или неконтролируемую выгрузку клиентской базы.
Что указано в документах
- доступ предоставляется по заявкам;
- неактуальные данные уничтожаются;
- действия пользователей регистрируются;
- подрядчики соблюдают требования оператора;
- сотрудники ознакомлены с правилами обработки.
Что необходимо проверить
- кто фактически имеет доступ к системам;
- удаляются ли данные из рабочих и резервных копий;
- можно ли восстановить последовательность действий;
- как подрядчик хранит и защищает полученные сведения;
- понимают ли сотрудники установленные правила.
Соответствие требованиям подтверждается не наличием папки с документами, а доказательствами того, что установленные правила действительно выполняются.
Как проверить защиту персональных данных внутри компании
Перечень необходимых мер зависит от состава данных, характера угроз, архитектуры системы и установленного уровня защищённости. Закон не требует от каждой компании одинакового набора средств защиты, но оператор должен обосновать выбранные меры и подтвердить их фактическую работу.
| Область проверки | Что анализируется | Что подтверждает результат |
|---|---|---|
| Управление доступом | Роли, привилегии, администраторские учётные записи, удалённый доступ. | Матрица доступа, заявки, настройки систем и результаты выборочной проверки. |
| Инфраструктура | Серверы, рабочие станции, сетевые узлы, облака и резервные копии. | Актуальная схема, инвентаризация и подтверждённые конфигурации. |
| Уязвимости | Обновления, ошибки конфигурации, доступные извне сервисы. | Результаты сканирования и план устранения обнаруженных проблем. |
| Регистрация событий | Полнота журналов, сроки хранения и возможность расследования. | Настройки журналирования и примеры зарегистрированных событий. |
| Реагирование | Обнаружение утечки, эскалация, локализация и взаимодействие подразделений. | Регламент, контактная схема и результаты учебной проверки сценария. |
Если требуется проверить не только ИСПДн, но и общую архитектуру, сетевой периметр, средства защиты и связанные бизнес-процессы, область работ можно расширить до аудита информационной безопасности .
Что делать при обнаружении утечки персональных данных вами или сотрудниками
План реагирования нужно подготовить до инцидента. В первые часы компания должна одновременно ограничить распространение данных, сохранить доказательства, определить затронутые системы и организовать взаимодействие ИТ, ИБ, юридической службы, руководства и коммуникационной команды.
Ограничить скомпрометированные доступы, изолировать затронутые системы, сохранить журналы и другие цифровые свидетельства.
Сообщить Роскомнадзору об инциденте, предполагаемых причинах, возможном вреде, принятых мерах и назначенном контактном лице.
Передать информацию о результатах внутреннего расследования и, при наличии соответствующих сведений, о лицах, действия которых стали причиной инцидента.
Пересмотреть доступы, конфигурации, документы и сценарии реагирования, зафиксировать корректирующие меры и проконтролировать их выполнение.
Нельзя откладывать регистрацию инцидента до получения полной картины. Первичное уведомление и результаты расследования являются разными этапами, для которых установлены отдельные сроки.
Проверить готовность команды к такому сценарию можно в рамках киберучений: они показывают, способны ли подразделения обнаружить инцидент, принять решение, выполнить регламент и восстановить работу в контролируемых условиях.
Чек-лист: что бизнес может проверить самостоятельно
Если хотя бы на несколько вопросов нет подтверждённого ответа, соответствующий процесс следует включить в область внутренней проверки.
- Определены ли все цели обработки персональных данных?
- Известно ли, в каких системах и базах хранятся данные?
- Соответствуют ли сведения в реестре Роскомнадзора реальным процессам?
- Не собирают ли формы на сайте избыточные сведения?
- Разделены ли разные виды согласий?
- Определены ли сроки хранения и порядок уничтожения?
- Актуален ли перечень сотрудников с доступом к данным?
- Оформлены ли отношения с подрядчиками, обрабатывающими ПДн?
- Известно ли местонахождение используемых баз данных?
- Настроены ли журналирование и обнаружение несанкционированного доступа?
- Есть ли рабочий регламент реагирования на утечку?
- Можно ли документально подтвердить выполнение всех заявленных мер?
Аудит помогает сопоставить документы с фактическими процессами, проверить ИСПДн и сформировать план устранения выявленных несоответствий.
Когда стоит привлечь независимых специалистов
Внутренний контроль и аудит соответствия относятся к мерам, которые должен организовать оператор. При этом обязательность именно внешнего аудита для всех компаний законом не установлена. Формат проверки выбирается с учётом масштаба, рисков и компетенций внутренней команды.
Независимая оценка особенно полезна, если компания:
- ранее не проводила полную инвентаризацию процессов обработки ПДн;
- запускает новый сайт, приложение, CRM или личный кабинет;
- переносит данные в облако или меняет подрядчика;
- обрабатывает специальные категории или биометрические данные;
- существенно увеличила объём клиентской базы;
- готовится к проверке или получила запрос регулятора;
- столкнулась с утечкой или подозрением на компрометацию;
- не может подтвердить соответствие документов реальным настройкам систем.
Независимый аудитор не снимает ответственность с оператора, но помогает увидеть расхождения, которые внутренняя команда может не замечать из-за привычки к сложившимся процессам.
Частые вопросы о работе с персональными данными
Любая ли компания является оператором персональных данных?
Большинство компаний обрабатывают данные сотрудников, клиентов, соискателей или представителей контрагентов и поэтому выполняют функции оператора. Но состав обязанностей зависит от конкретных процессов, категорий данных и правовых оснований.
Для любой обработки необходимо согласие?
Нет. Согласие является одним из правовых оснований. В ряде случаев обработка необходима для исполнения договора, выполнения обязанности, установленной законом, или осуществляется на другом предусмотренном основании.
Достаточно ли разместить на сайте политику?
Нет. Политика должна соответствовать фактическим целям, системам, срокам хранения, категориям субъектов и способам обработки. Дополнительно проверяются формы, согласия, подрядчики и технические меры защиты.
Запрещено ли использовать зарубежные облачные сервисы?
Само по себе иностранное происхождение сервиса не даёт универсального ответа. Необходимо проверить место первичной записи данных российских граждан, архитектуру хранения, условия передачи и наличие трансграничной обработки.
Нужно ли проводить аудит регулярно?
Периодичность определяется оператором с учётом рисков. Повторная проверка особенно важна после изменения процессов, запуска новой системы, смены подрядчика, существенного роста объёма данных или произошедшего инцидента.
Что в итоге
Защита персональных данных — это управляемый процесс, а не разовая подготовка документов. Компания должна понимать движение данных, ограничивать их состав, контролировать доступ, проверять подрядчиков, своевременно уничтожать сведения и быть готовой подтвердить работу принятых мер.
Такой подход снижает вероятность утечки, упрощает взаимодействие с регулятором и позволяет обнаруживать нарушения до того, как они приведут к финансовым, операционным и репутационным последствиям.
