Защита персональных данных в России регулируется Федеральным законом № 152-ФЗ «О персональных данных». Если компания собирает и хранит сведения о людях — клиентах, сотрудниках, кандидатах, подписчиках, — она становится оператором персональных данных и обязана их защищать. Закон требует обрабатывать данные законно и для понятных целей, не собирать лишнего и принимать организационные и технические меры защиты. Ниже — основы без юридического тумана; для конкретных решений всегда сверяйтесь с актуальной редакцией закона и консультируйтесь с юристом.
Что такое персональные данные
Персональные данные — любая информация, которая относится к прямо или косвенно определённому человеку. Это не только паспорт:
имя и фамилия, телефон, электронная почта;
адрес доставки и история заказов;
данные сотрудников в кадровых документах;
резюме кандидатов;
фотографии, если по ним можно узнать человека.
Отдельно закон выделяет специальные категории (например, сведения о здоровье) и биометрические данные — для них требования строже.
Кто такой оператор и что он обязан делать
Оператор — тот, кто решает, зачем и как обрабатывать персональные данные. Почти любая компания с сотрудниками или клиентами — оператор.
Основные обязанности по 152-ФЗ в упрощённом виде:
Иметь законное основание. Например, согласие человека, договор с ним или требование закона.
Обрабатывать данные только для заявленных целей и не собирать больше, чем нужно для этих целей.
Опубликовать политику обработки персональных данных — документ, где описано, какие данные и зачем вы собираете.
Уведомить Роскомнадзор об обработке персональных данных, если закон не освобождает от этого в вашем случае.
Назначить ответственного за организацию обработки персональных данных.
Принять меры защиты — организационные и технические.
Соблюдать права людей: дать доступ к их данным, исправить или удалить их по законному запросу.
Сообщать об инцидентах. Закон предусматривает уведомление Роскомнадзора об утечках — порядок и сроки уточните в действующей редакции.
Учитывать требования к месту хранения баз данных с персональными данными граждан России.
Кибербезопасность персональных данных: какие меры принять
Юридическая часть без технической не работает. Кибербезопасность персональных данных — это конкретные действия:
знайте, где лежат данные: CRM, почта, таблицы, облако, бумажные папки;
ограничьте доступ: менеджер по продажам не должен видеть кадровые дела, а стажёр — всю клиентскую базу;
включите двухфакторную аутентификацию для систем с персональными данными;
не пересылайте выгрузки в личные мессенджеры и почту;
шифруйте ноутбуки и носители, на которых есть данные;
ведите журналы доступа — кто и когда открывал данные;
удаляйте данные, когда цель обработки достигнута, а срок хранения истёк;
проверяйте подрядчиков, которым передаёте данные: служба доставки, колл-центр, разработчик сайта.
Типичные ситуации и что с ними делать
Ситуация | Что проверить |
|---|---|
Форма заявки на сайте | Есть ли согласие и ссылка на политику обработки |
Выгрузка клиентов в таблицу | Кто имеет к ней доступ, где она хранится |
Резюме кандидатов | Сколько времени храните и зачем |
Подрядчик получает базу | Есть ли поручение на обработку в договоре |
Сотрудник уволился | Отозваны ли его доступы к системам с данными |
Частые ошибки
Галочка согласия стоит по умолчанию или текст согласия никто не может найти.
Данные собираются «на всякий случай» — дата рождения там, где она не нужна.
Одна учётная запись на весь отдел — невозможно понять, кто скачал базу.
Старые выгрузки годами лежат в общей папке.
Политика обработки скопирована у другой компании и не соответствует реальности.
Кто отвечает за это в компании
Обычно это совместная работа юристов, службы ИБ и ИТ. Юристы отвечают за основания и документы, специалисты по безопасности — за меры защиты и контроль, ИТ — за техническую реализацию. Специалистов, которые разбираются и в требованиях, и в технике, относят к направлению GRC.
Развить такие компетенции можно на CYBY: среди карьерных треков есть «риски и соответствие» (GRC), а для сотрудников компаний — обучение команд CYBY Teams.
Частые вопросы
Если у нас только сайт с формой обратной связи, мы оператор? Да, если через форму вы получаете имя, телефон или почту человека. Значит, нужны основания для обработки, политика и меры защиты.
Нужно ли согласие на обработку данных сотрудников? Во многих случаях обработка нужна для исполнения трудового договора и требований закона. Но есть ситуации, где согласие требуется отдельно, — уточните у юриста.
Достаточно ли написать политику обработки? Нет. Документ — только часть требований. Нужны реальные меры защиты и порядок, который соблюдают сотрудники.
Где смотреть актуальные требования? В действующей редакции 152-ФЗ и разъяснениях Роскомнадзора на официальном сайте.
Разберитесь в защите данных
Освойте основы ИБ и направления GRC на практике на cyby.ai — для старта есть бесплатный тариф Demo.