Правильная обработка персональных данных: как классифицировать, защищать и не нарушать закон 152-ФЗ

70% российских компаний обрабатывают персональные данные с нарушениями. Основная причина проблем - не злой умысел, а ошибки сотрудников, которые просто не знают, как правильно работать с персональными данными в рамках закона. Рассказываем, как бизнесу навести порядок в работе с ПДн: что именно считается персональными данными, как их классифицировать, на каких основаниях собирать и что делать, чтобы не попасть под штраф.

Персональные данные (ПДн)- это любая информация, идентифицирующая человека. Это не только паспорт и СНИЛС, но и IP-адрес, координаты местоположения (геолокация) и история онлайн-действий, если они связаны с конкретным пользователем. Примеры персональных данных в бизнесе: - ФИО, ИНН, паспортные данные; - телефон для связи, адрес e-mail, юридический/регистрационный адрес; - банковские реквизиты; - место работы, должность.

Если хотя бы один из этих пунктов помогает идентифицировать клиента - это персональные данные, и вы обязаны их защищать по закону. Не являются персональными данными: - Анонимные данные, которые нельзя связать с человеком. - Агрегированные данные без конкретики (например, средний чек). - Общие рабочие контакты вроде info@company.ru. Зачем компаниям правильно классифицировать ПДн Не все ПДн одинаково чувствительны. Закон делит их на категории, и для каждой предусмотрен свой уровень защиты.

Правильная классификация помогает: - Не перегружать бизнес-процессы лишними мерами. - Избегать штрафов за ошибочную обработку чувствительных данных. Основные категории ПДн:

Важно! Отнесение данных к той или иной категории - обязанность оператора (компании). Ошибка в классификации, например, неверная работа с биометрическими или специальными данными, ведет к самым серьезным штрафам и репутационным рискам.

Понимание закона - важно. Но главное - уметь применять его на практике. Вот простой алгоритм, который поможет вашей компании выстроить безопасную и соответствующую закону систему обработки ПДн. Шаг 1. Найдите законное основание для каждой операции Собирать данные "про запас" - нельзя. Для каждой цели должно быть конкретное основание по 152-ФЗ: - Согласие клиента - когда человек сам разрешил использовать информацию.

Согласие должно быть отдельным, четким и добровольным. - Исполнение договора с субъектом данных- к примеру, регистрация пользователя или доставка товара. Здесь согласие не нужно. - По закону - если данные нужны для налогового учета, трудоустройства, воинского учета и т.п. - В экстренных случаях - для сохранения жизни или здоровья, например при передаче медданных врачу. Пример: магазин собирает имя, адрес и телефон для доставки - это исполнение договора.

Чтобы потом отправить клиенту рекламу, нужно отдельное согласие. Нельзя объединять все в одну галочку. Шаг 2.

Получайте согласие правильно Форма согласия - это юридический документ, в котором должно быть: - Название и контакты компании. - Четкий список собираемых данных. - Конкретные цели (например: "рассылка новостей", "создание личного кабинета"). - Как вы обрабатываете данные - вручную и/или автоматически. - Период действия согласия и процедура его отзыва. Важно: не ставьте галочку в поле согласия по умолчанию - пользователь сам должен дать разрешение. Шаг 3.

Разместите Политику обработки ПДн в общедоступном месте Политика - это открытый документ, где вы объясняете, как работаете с данными. Включите в него: - цели обработки; - какие сведения собираете; - с кем можете делиться (например, служба доставки); - права клиентов и как ими воспользоваться. Политика - это не согласие. Она нужна для прозрачности, а согласие - для законной обработки. Шаг 4.

Сообщите в надзорный орган о начале обработки ПДн Компания, обрабатывающая личную информацию, должна подать соответствующее уведомление в Роскомнадзор. Штраф за его отсутствие может составить до 300 000 рублей. Для подачи уведомления: 1. Заполните форму - стандартный бланк можно скачать на сайте Роскомнадзора. 2. Отправьте уведомление - через сайт Роскомнадзора, "Госуслуги" или по почте в ваш территориальный орган РКН. 3. Ждите подтверждения - обычно проверка занимает до 30 дней.

После вашу организацию добавят в список (реестр) операторов, которые работают с ПДн. Важно знать об исключениях: уведомлять Роскомнадзор не нужно всего в нескольких случаях, например, если вы обрабатываете данные только своих сотрудников для трудовых отношений или если обработка ведется исключительно без средств автоматизации (вручную).

Шаг 5. Защитите данные на деле, а не на бумаге Безопасность - это 3 уровня: организационные меры, техника, документы. - Оргмеры: назначьте ответственного за ПДн, создайте инструкции, обучите команду (особенно маркетинг и поддержку). - Техника:используйте HTTPS, обновляйте ПО, шифруйте базы с чувствительными данными, ограничивайте доступ, делайте бэкапы. - Локализация: данные российских граждан необходимо хранить в России.

Даже если вы используете облака.

Шаг 6. Настройте прием и обработку запросов от клиентов Клиенты могут: - узнать, что вы храните; - исправить или удалить данные; - отозвать согласие. Чтобы не срывать сроки и не терять лицо: - создайте отдельный email или форму на сайте; - пропишите регламент - кто отвечает, когда, как; - подготовьте шаблоны писем (подтверждение, удаление, отказ и т.п.). Срок ответа по закону - 30 дней.Лучше - быстрее: 10-15 дней. Шаг 7.

Аудит и подрядчики - Аудит: минимум раз в год проверьте, как фактически обрабатывается информация. Обновите цели, состав данных, процессы. - Подрядчики: если передаете сведения кому-то (email-сервис, колл-центр), убедитесь: у вас есть договор, а у них - защита.

Когда у компании миллионы клиентов и сотрудников, ошибка в защите данных может стоить слишком дорого. Ниже - два кейса, которые показывают, как российский бизнес переходит от формального подхода к реальной системной защите. X5 Group: как утечка стала поводом для реформ Ситуация: в 2022 году у ритейлера произошла утечка данных соискателей. Причиной стал подрядчик, но ответственность - на X5.

Инцидент показал слабые места в системе контроля и стал точкой старта для масштабных изменений. Решение:комплексное усиление защиты - в компании установили программные решения (DLP), которые в реальном времени отслеживают и блокируют попытки несанкционированного копирования или отправки информации. Параллельно провели масштабное обучение сотрудников на всех уровнях - от линейного персонала до руководства - по правилам работы с персональными данными.

Также пересмотрели работу с подрядчиками: в договорах появились четкие требования по информационной безопасности и санкции за нарушения. Результат: - Снизили риск повторных утечек и штрафов на миллионы рублей. - Вернули доверие клиентов, показав серьёзный подход к безопасности. - Повысили дисциплину в работе с данными: от топ-менеджера до кассира. Как промышленный гигант защитил данные 20 000 сотрудников Ситуация: крупный промышленный холдинг с десятками тысяч сотрудников работал по устаревшим схемам.

Данные хранились в разных местах, об утечках узнавали постфактум, контроль почти отсутствовал.

Это мешало проходить проверки и участвовать в тендерах. Решение: команда партнеров реализовала комплексную защиту ПДн, а именно: - Организовали единый центр мониторинга и контроля ПДн и назначили ответственного с доступом к руководству. - Запустили проактивный мониторинг утечек: система сама сканирует даркнет и открытые источники на предмет появления данных компании. - Провели полный аудит: где и как хранятся данные, кто к ним имеет доступ.

Настроили контроль доступа (DAM). - Ввели автоматическое обезличивание в тестовых средах - теперь реальные данные не попадают к разработчикам. - Обязали всех сотрудников пройти обучение по информационной безопасности. Результат: - Существенно сократили количество инцидентов. - Получили преимущество в переговорах с партнерами и банками: безопасный бизнес - привлекательный бизнес. - Уменьшили затраты на реагирование: вместо ликвидации последствий теперь делают ставку на предупреждение. Кейсы доказывают: вложения в грамотную работу с ПДн - это не расходы, а инвестиции в устойчивость бизнеса.

Компании, которые внедряют технологии защиты, проводят аудит данных и обучают сотрудников, не только снижают риск утечек и штрафов, но и повышают уровень доверия к бизнесу. Это напрямую влияет на репутацию, ускоряет сделки, помогает проходить проверки и открывает путь к новым контрактам.