Безопасность персональных данных

Что такое персональные данные и базовые правила их обработки

Каждый день люди оставляют цифровые следы: покупают товары в интернет-магазинах, оформляют бонусные карты, записываются к врачу или регистрируются в социальных сетях. Вся информация, которая позволяет идентифицировать конкретного человека, представляет собой огромную ценность для бизнеса и государства.

Персональные данные — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Это лицо в юридической практике называется субъектом персональных данных.

> Персональные данные — это не только паспортные данные или ИНН. К ним относится любая совокупность информации, которая позволяет однозначно узнать конкретного человека. > > legalacts.ru

Организация или человек, которые собирают и используют эту информацию, называются оператором персональных данных. Оператором может быть крупный банк, маленькая кофейня с программой лояльности или даже частный репетитор, собирающий телефоны учеников.

Категории персональных данных

Законодательство разделяет информацию о людях на несколько категорий. От того, к какой категории относятся сведения, зависит уровень требований к их защите.

| Категория данных | Описание | Примеры | | :--- | :--- | :--- | | Общие (стандартные) | Базовая информация, которая чаще всего используется при регистрации или оформлении документов. | Фамилия, имя, отчество, номер телефона, адрес электронной почты, дата рождения, СНИЛС. | | Специальные | Чувствительная информация, касающаяся частной жизни, убеждений и здоровья. Их обработка строго ограничена. | Расовая или национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь. | | Биометрические | Физиологические и биологические особенности человека, на основании которых можно установить его личность. | Отпечатки пальцев, рисунок радужной оболочки глаза, запись голоса, геометрия лица. | | Иные | Данные, которые сложно отнести к конкретной категории, но в совокупности они идентифицируют человека. | Данные о геолокации, файлы cookie, история покупок, IP-адрес. |

Представим ситуацию: фитнес-клуб продает абонементы. Для оформления договора клуб запрашивает у клиента ФИО и номер телефона — это общие данные. Если клуб просит заполнить анкету о хронических заболеваниях для составления программы тренировок, он начинает обрабатывать специальные данные. А если на входе в клуб устанавливается система пропуска по сканированию лица, в дело вступают биометрические данные. В каждом из этих случаев фитнес-клуб обязан применять разные уровни криптографической и физической защиты серверов.

Что считается обработкой

Многие предприниматели ошибочно полагают, что если они не передают информацию третьим лицам, то они не занимаются обработкой персональных данных. Это заблуждение.

Обработка включает в себя любое действие или совокупность действий с данными. К ним относятся: * Сбор и запись (клиент заполнил форму на сайте). * Систематизация и накопление (менеджер перенес контакты в CRM-систему). * Хранение (база данных лежит на сервере компании). * Уточнение (обновление номера телефона при его смене). * Извлечение и использование (отправка SMS-рассылки по базе). * Передача (отправка списка сотрудников в зарплатный банк). * Обезличивание, блокирование, удаление и уничтожение.

Даже если компания просто хранит резюме кандидатов на жестком диске компьютера, не открывая их годами, она уже осуществляет обработку и несет за это юридическую ответственность.

Ключевые принципы обработки

Работа с личной информацией граждан строго регламентирована. В основе мировых стандартов, таких как европейский GDPR (Общий регламент по защите данных), и российского законодательства лежат единые принципы.

Законность и справедливость

Нельзя собирать информацию скрыто или обманным путем. Субъект должен понимать, кто, зачем и на каких основаниях берет его данные. Чаще всего таким основанием выступает добровольное согласие, договор или прямое требование закона (например, Трудового кодекса при найме сотрудника).

Ограничение конкретной целью

Информация должна собираться только для заранее заявленных и законных целей. Нельзя собирать данные «на всякий случай» или использовать их для задач, несовместимых с первоначальной целью.

Интернет-магазин собирает адреса электронной почты покупателей для отправки электронных чеков. База достигает 50 000 контактов. Маркетолог решает использовать эту базу для рассылки рекламы новых товаров. Это прямое нарушение принципа целеполагания: клиенты давали email для получения чека (исполнение договора), а не для получения рекламы. Для рекламы требуется отдельное, явно выраженное согласие.

Минимизация данных

Содержание и объем обрабатываемой информации должны строго соответствовать заявленным целям. Запрещено запрашивать избыточные сведения.

Служба доставки пиццы просит клиента указать при регистрации ФИО, номер телефона, адрес доставки и паспортные данные. Паспортные данные в этом случае являются избыточными. Для доставки еды достаточно имени, телефона и адреса. Сбор паспорта нарушает принцип минимизации и может привести к штрафу.

Точность и актуальность

Оператор обязан обеспечивать точность данных, их достаточность и актуальность. Если информация изменилась или оказалась ошибочной, оператор должен ее обновить или удалить.

Ограничение сроков хранения

Данные не должны храниться вечно. Как только цель обработки достигнута, информация должна быть уничтожена или обезличена, если иное не предусмотрено федеральными законами.

Компания наняла подрядчика по договору гражданско-правового характера на 3 месяца. После подписания актов выполненных работ и истечения сроков исковой давности и налогового учета (обычно от 3 до 5 лет в зависимости от типа документов), компания обязана уничтожить копию паспорта и СНИЛС этого подрядчика из своих баз.

Обезличивание как метод защиты

Один из способов снизить риски при работе с большими массивами информации — это обезличивание персональных данных. Это процесс, в результате которого становится невозможно без использования дополнительной информации определить принадлежность данных конкретному человеку.

> Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных. > > consultant.ru

Например, аналитический отдел банка хочет изучить, как возраст клиентов влияет на частоту использования кредитных карт. Если передать аналитикам таблицу с колонками «ФИО», «Возраст» и «Количество транзакций», это будет передачей персональных данных. Если же удалить колонку «ФИО» и заменить ее на случайно сгенерированный ID (например, «Клиент 8472»), данные станут обезличенными. Аналитики смогут провести исследование, выявив, что клиенты в возрасте от 25 до 35 лет совершают в среднем 40 транзакций в месяц, но при этом они не будут знать, кто именно скрывается за каждым ID.

Обезличенные данные можно хранить дольше и использовать для статистических или исследовательских целей, не нарушая принцип ограничения сроков хранения.

Финансовые риски и ответственность

Игнорирование принципов работы с личной информацией ведет к серьезным финансовым потерям. Государственные органы регулярно проводят проверки, а недовольные клиенты могут подавать жалобы.

Штрафы за нарушения зависят от тяжести проступка. Например, обработка данных без письменного согласия (когда оно обязательно) обойдется юридическому лицу в сумму от 30 000 до 150 000 рублей за первый случай. Если компания собирает данные граждан и хранит их на зарубежных серверах, штраф может составить от 1 000 000 до 6 000 000 рублей, а при повторном нарушении — до 18 000 000 рублей.

Предположим, небольшая клиника собрала данные 1 000 пациентов без подписания согласия на обработку специальных категорий данных (информации о здоровье). При проверке регулятор может расценить это как множественное нарушение. Даже если штраф будет выписан по нижней границе за сам факт отсутствия правильной формы согласия в процессах клиники, потеря 150 000 рублей существенно ударит по бюджету малого бизнеса. Кроме того, клинику обяжут приостановить обработку, что парализует ее работу.

Понимание того, что относится к персональным данным и по каким правилам с ними нужно работать — это первый шаг к построению безопасной и законной системы в любой организации.