9 рекомендаций Роскомнадзора операторам персональных данных

09.08.2023

1. Храните различные идентификаторы в разных базах данных

Идентификаторы, указывающие на личные данные человека(ФИО, e-mail, телефон, адрес) и данные о взаимодействии с ним(оказанные услуги, проданные товары, переписка, договора и т д), храните в разных не связанных друг с другом базах данных.

2. Используйте для связи этих баз синтетические идентификаторы

Синтетические идентификаторы, которые не будут позволять без дополнительной информации и алгоритмов относить информацию в этих базах данных к конкретному субъекту персональных данных, и храните их отдельно от предыдущих двух баз.

3. Обеспечьте раздельное хранение различных категорий персональных данных

Необходимо обеспечивать раздельное хранение персональных данных, обработка которых осуществляется в различных целях(клиенты, работники, соискатели и т.д.)

4. Минимизируйте перечень персональных данных, которые собираете и обрабатываете

Используйте лишь те данные, которые действительно необходимы для оказания услуг, продажи товаров и другой деятельности организации.

5. Назначьте ответственного сотрудника, который будет отвечать за организацию обработки персональных данных в компании

Для этого утвердите локальный акт, например, Регламент допуска работников к обработке персональных данных, издайте приказ, в котором пропишите должности и фамилии сотрудников, а также закрепленные за ними объекты обработки. и полномочия.

6. Своевременно информируйте Роскомнадзор о признаках и (или) наступивших инцидентах, повлекших (возможно повлекших) распространение персональных данных субъектов.

Федеральный закон от 27.07.2006 № 152-ФЗ “О персональных данных” (далее – Закон № 152-ФЗ) обязывает операторов персональных данных уведомлять Роскомнадзор о случаях неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов таких данных. В частности, необходимо сообщать в ведомство (ч. 3.1 ст. 21 Закона № 152-ФЗ):
в течение 24 часов – о произошедшем инциденте (первичное уведомление),
в течение 72 часов – о результатах внутреннего расследования инцидента (дополнительное уведомление).

7.Принимайте дополнительные меры физического контроля доступа к данным во избежание компрометации данных внутренним нарушителем

Физический контроль ограничивает доступ к помещениям: зданиям, объектам внутри зданий или к физическим активам.

8. Используйте технические и программные средства, принадлежащие оператору, для обеспечения необходимого уровня безопасности данных. Поручение обработки данных третьим лицам не снимает с оператора ответственности, но снижает контроль со стороны оператора за принимаемыми мерами безопасности.

Программное обеспечение средств защиты информации осуществляет сохранность данных при подготовке или проведении восстановительных мероприятий — это характерно для любого рода работы с ЭВМ. К результативным способам обороны от несанкционированного входа относят средства регистрации и контроля доступа. При этом первое решает задачи по совершённым действиям, а вторые рассчитаны для предупреждения НСД.Помимо использования специализированного ПО для профилактики и защиты от вредоносного воздействия вирусов на ПК необходимо проводить и комплекс специальных организационных мер.

9. Откажитесь от практики накопления персональных данных «на всякий случай», от формирования профилей клиента, если это не жизненно нужно для организации. Своевременно уничтожайте персональные данные при достижении цели их обработки (например, после оказания услуги).

Согласно ч. 7 ст. 5 Федерального закона от 27.07.2006 N 152-ФЗ “О персональных данных” (далее – Закон N 152-ФЗ) достижение целей обработки персональных данных или утрата необходимости в достижении этих целей является одним из оснований для их уничтожения. При этом максимальный срок уничтожения персональных данных составляет тридцать дней с даты достижения цели, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом (ч. 4 ст. 21 Закона N 152-ФЗ).