Ключевые принципы обеспечения сохранности персональных сведений
Согласно закону № 152-ФЗ, организации и индивидуальные предприниматели, а также физические лица, работающие в качестве самозанятых, обязаны применять собранные персональные данные строго в соответствии с заявленной целью. После достижения этой цели оператор обязан немедленно уничтожить или обезличить полученные данные.
Обеспечение безопасности информации является прямой ответственностью владельцев данных и требует применения таких мер, как криптографическая защита, строгий контроль доступа и использование многофакторной аутентификации. Продолжительность хранения персональных сведений устанавливается внутренними нормативными актами организации (например, регламентом или политикой). По истечении установленного срока либо по запросу субъекта данных в течение тридцатидневного периода информация должна быть удалена.
С июля 2025 года законодательство обязывает хранить все персональные данные граждан России только на серверах, находящихся в пределах Российской Федерации. До этого момента было достаточно обеспечить размещение данных на территории России, не требуя ограничений при их последующей обработке за рубежом. В настоящее время вся совокупность информации, относящаяся к персональным данным россиян, должна находиться на российских серверных площадках.
В связи с миграцией основного веб-сайта компании на российские серверы, требуется также переместить туда все сопутствующие компоненты инфраструктуры. К ним относятся вспомогательные сайты, инструменты аналитики, платежные системы, CRM и корпоративная электронная почта. В частности, необходимо перенести коды статистики используемых аналитических сервисов (Google Analytics, Яндекс Метрика и другие) на новый сайт, а также выполнить их перенастройку, включая цели и отслеживаемые события. Данные требования касаются всех информационных ресурсов, применяемых бизнесом для взаимодействия с аудиторией.
Процесс перехода на российский сервер
Переход предполагает выполнение ряда ключевых этапов:
- Необходимо определить все каналы получения персональных данных, такие как клиентская база, мобильное приложение, кадровые документы и другие.
- Регистрация в роли оператора персональных данных: направить уведомление в Роскомнадзор по форме, утвержденной приказом ведомства (№180 от 28 октября 2022 года). Это можно сделать онлайн на сайте ведомства или через портал «Госуслуги».
Неточности в сообщениях об обработке персональных данных
Что необходимо сделать, чтобы правильно оформить и отправить уведомление в Роскомнадзор об осуществлении обработки персональных данных
- Обеспечить защиту и улучшить безопасность сведений: применять надежные парольные комбинации, активировать двухэтапную систему подтверждения личности, использовать актуальное антивирусное программное обеспечение и системы защиты сети, а также предоставить доступ к информации только авторизованным работникам.
- Необходимо обновить документы, касающиеся защиты персональных данных: разработать или актуализировать общедоступную политику конфиденциальности, которая будет размещена на официальном сайте компании и включена в договоры сотрудничества.
Перечень документов, обязательных для наличия у компании согласно требованиям законодательства об обработке персональных данных.
Хранение данных на бумажных носителях
Персональные данные, зафиксированные на бумажных носителях, необходимо хранить в сейфах, металлических шкафах или специально выделенных помещениях. Право доступа к этим местам хранения и сейфам имеют исключительно сотрудники, которые указаны во внутреннем документе компании (например, в приказе или положении о защите персональных данных).
В документах отдела управления человеческими ресурсами, таких как личные дела работников, не должны содержаться копии удостоверяющих личность документов – паспортов, страховых номеров индивидуального лицевого счета и других подобных свидетельств, если это не вызвано спецификой выполняемой работы.
В соответствии с рекомендациями Министерства обороны от 11 июля 2017 года, документы, касающиеся воинского учета, должны храниться только в металлических шкафах. Стол для ведения воинского учета необходимо располагать в отдельном помещении.
Хранение данных в электронных системах
Порядок хранения электронных документов, содержащих персональные данные, определен постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119. Доступ к файлам должен быть защищен от несанкционированного использования. Сотрудники, имеющие доступ к этим данным, получают персональные логины и пароли для входа в информационную систему.
В соответствии с Федеральным законом № 152-ФЗ и Постановлением Правительства РФ № 1119, наряду с обычными методами сохранения персональных данных в бумажном или цифровом формате, разрешено применение облачных хранилищ, гарантирующих необходимый уровень информационной безопасности.
Требования к облачному хранилищу включают:
- Обеспечение безопасности информации посредством шифрования.
- Двухуровневую систему подтверждения личности для исключения несанкционированного проникновения.
- Автоматическое резервное копирование данных.
- Обеспечение взаимодействия с существующими корпоративными информационными системами.
Необходимо учитывать местные нормативные акты. К примеру, если требуется хранить данные в определенном регионе, удостоверьтесь, что поставщик услуг обладает подходящими центрами обработки данных в этой местности.
Определение поставщика облачных сервисов хранения должно основываться на положениях Приказа ФСТЭК России № 21 от 18 февраля 2013 года, регламентирующего обязательную сертификацию программно-аппаратных средств защиты информации.
Степень безопасности можно оценить при помощи специализированного инструмента – онлайн-калькулятора, разработанного ФСТЭК.
Автор. Е. Грицак