Конфиденциальность персональных данных: что это такое и как ее обеспечить

Что такое конфиденциальность персональных данных

Конфиденциальность — ограничение доступа к информации или ресурсу, на котором она хранится для предотвращение утечки или разглашения. Персданные относят к сведениям конфиденциального характера (Указ Президента № 188).

Персональные данные — это информация, благодаря которой можно идентифицировать физлицо. В законодательстве нет конкретного списка персданных. В частности, к ним можно отнести:

• ФИО;
• возраст;
• семейное и финансовое положение;
• фото, которое можно использовать для установления личности;
• отпечатки пальцев;
• сведения о состоянии здоровья;
• данные из документов, подтверждающих личность и квалификацию и т.д.

Что подразумевается под конфиденциальностью персональных данных

Конфиденциальность персональных данных — это запрет на передачу третьим лицам и распространение персданных без согласия физлица (ст. 7 № 152-ФЗ). Это относится к операторам и иным лицам, которые получили доступ к персональным данным.

Какие персональные данные не требуют обеспечения конфиденциальности:

• обезличенные персданные (нельзя по ним определить физлицо без дополнительной информации);
• Персданные, разрешенные физлицом для распространения («общедоступные»).

К примеру, дата рождения сотрудника к общедоступным персданным не относится (ст. 8 № 152-ФЗ). Поэтому на нее распространяется принцип конфиденциальности.

Уровни защиты конфиденциальных данных

Одним из гарантов безопасности персданных является информационная система персональных данных (ИСПДн). Она представляет собой комплекс мер для сбора, хранения и защиты персональных данных работника.  

Существует 4 уровня защищенности персональных анных:

• 1 УЗ – максимальный (высший);
• 2 УЗ – хороший (защита от взломов, создание резервных копий);
• 3 УЗ – достаточный (незаконный доступ к ПДн не будет иметь значительных последствий);
• 4 УЗ – базовый (минимальная необходимость в обеспечении безопасности данных).

Уровень защищенности зависит от ряда факторов:

• категория обрабатываемых ПДн;
• обрабатываются данные сотрудников или других субъектов, не относящихся к работодателю;
• количество субъектов, ПДн которых обрабатываются:
• тип актуальной угрозы (Постановление Правительства от 01.11.2012 № 1119), который определяется оператором самостоятельно.

Для определить тип угрозы и уровня защищенности персданных в вашей организации используйте сервис от Системы Главбух. Ответьте на вопросы и узнаете, какой в вашей организации тип угрозы и уровень защищенности персданных:

Сервис для оценки угроз для защиты персональных данных

Определить тип угрозы и уровень защищенности персданных

Читайте также: Образец положения об обработке персональных данных сотрудников

Как гарантировать конфиденциальность персональных данных

Для сохранности конфиденциальных данных в компании должно быть разработано Положение о работе с персональными данными. Обязательно включите в Положение раздел "Гарантии конфиденциальных данных". В этом разделе гарантируйте сотрудникам сохранность их персональных данных, а также определите права сотрудников, если произойдет неправомерное разглашение сведений о них.

Образец положения, составленный под актуальные требования Роскомнадзора, можете скачать в Системе Главбух:

Скачать образцы

Автоматизация защиты конфиденциальности персональных данных

Организация защиты персданных в ИСПДн – сложный процесс. Изучить 152-ФЗ – первостепенная задача для каждого специалиста, работающего с ПДн.

В законе детально прописано:

• как собирать, хранить и копировать данные;
• правила блокировки и уничтожения информации.

Но одного закона мало. Есть множество уточнений по организационным и техническим мерам. Их можно найти в:

• Приказе ФСТЭК России от 18.02.2013 № 21
  ;

• Приказ ФСТЭК от 11.02.2013 № 17
  ;

• Приказе ФСБ России от 10.07.2014 № 378
  .

Непрофильному специалисту может быть сложно разобраться во всех нюансах. Поэтому зачастую для организации технической защиты персданных привлекают специализированные юрлица. Это может быть организация или ИП. Важное, чтобы у них была лицензия на проведение таких процедур.

После определения уровня защиты могут быть применены следующие технические меры:

1. Подписание согласия на обработку персональных данных через КЭДО.
2. Внедрение системы аутентификации для доступа к ПДн или к местам их хранения (серверы, помещения).
3. Регулярное обновление программного обеспечения и антивирусных программ;
4. Создание резервных копий на постоянной основе, чтобы не потерять данные.
5. Установка и обновление программ для восстановления удаленных или поврежденных данных.
6. Регулярные технические проверки для выявления уязвимых мест системы.
7. Проведение аттестации ИСПДн.

Не менее важным аспектом является и организационная часть мер:

• разработка Политики конфиденциальности;
• обучение сотрудников правилам работы с персданными.

Эксперты Системы Главбух составили подборку всех документов, которые должны быть в компании для работы с персональными данными работников, клиентов, контрагентов и пользователей сайтов. Скачивайте нужный приказ или положение, редактируйте его под свою компанию и используйте в работе.

Скачать документы по персданным

Пример из практики

По итогам определения типа угрозы принято решение обеспечить 4 УЗ (минимальный). Специалист предоставил следующий список мер:

• обезопасить помещения, в которых размещена ИСПДн, от неконтролируемого проникновения или неправомерного доступа с помощью цифрового ключа;
• обеспечить сохранность носителей персональных данных (обязательная аутентификация при входе в систему с ПДн – логин и пароль);
• утвердить перечень лиц, имеющих в силу трудовых обязанностей доступ к ИСПДн;
• защитить информацию с помощью средств, прошедших процедуру оценки соответствия (сертифицированные).

Также задачей всех юрлиц является передача информации об атаках на информационные ресурсы. Например, нужно уведомлять уведомлять о компьютерных инцидентах, из-за которых персданные неправомерно переданы (ч.12 ст. 19 № 152-ФЗ). Как это сделать описано в Приказе ФСБ от 13.02.2023 № 77.

Читайте также: как составить характеристику с места работы в суд

Документы, которые нужны каждому бухгалтеру