Допустимость обработки ПД

СТРАТЕГИЯ 1

Игра на победу

Максимизация выгоды

Данные как актив: больше сбора и аналитики, быстрее запуск продуктов

СТРАТЕГИЯ 2

Игра на избегание неудач

Минимизация ущерба

Данные как риск: меньше лишних данных, меньше поводов для претензий и штрафов

vs

Материал состоит из трех частей

• Часто задаваемые вопросы
• стр. 1

• Информационная брошюра
• стр. 2-3

• Текст проекта Положения
• стр. 4-33

Структура: 12 разделов

• 1
• общие положения, роли, документы

• 2-11
• области контроля, как в чек-листе ПД

• 12
• термины и сокращения

В каждом разделе 2-11

• Соблюдаемые правила
• Ролевая вовлеченность (RACI)

• Документированная информация
• Связанные документы

Актуальность: 31.03.2026

МОДЕЛЬ RACI

• И
• исполнитель

• О
• ответственный

• К
• консультирующий

• У
• уведомляемый

для 10 функций: от DPO и DSO до высшего руководства

• 01
• Предметность
• 152-ФЗ ст.3 п.1

Любые сведения о человеке - это ПД, пока не доказано обратное

• 02
• Целенаправленность
• 152-ФЗ ст.5 ч.2

Конкретные, заранее определенные и законные цели

• 03
• Пропорциональность
• 152-ФЗ ст.5 ч.3-7

Минимум данных, раздельное хранение, без накопления впрок

• 04
• Легальность
• 152-ФЗ ст.6 ч.1

Каждая обработка опирается на основание из закона

• 05
• Транспарентность
• 152-ФЗ ст.14 ч.1-2

Субъект понимает, что и зачем делают с его данными

• 06
• Безопасность
• 152-ФЗ ст.7 и ст.19

Конфиденциальность ПД и меры по их защите

Любые сведения о человеке - это ПД, пока прямо не доказано обратное

человек

Сделки и реализация продукции

Мероприятия, взаимодействия и спорт

ИТ, связь и Интернет

Геолокация и навигация

Диагностика и телеметрия

Медицинские данные

Биометрия, геном и антропометрика

• Деловая (экономическая) деятельность
• Правоприменительные и особо чувствительные данные

Поездки и транспорт

Страхование, пенсия, налоги

Трудовая деятельность, воинский учет, госслужба

Образование и профессия

Личность и семья

Базовые идентифицирующие данные

• ПД - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу
• не только точно идентифицирующая конкретного человека
• но и та, которую можно ассоциировать с человеком

Обработка ограничивается конкретными, заранее определенными и законными целями

Необходимость обработки обоснована, если

Минимизируется перечень собираемых и обрабатываемых ПД

Раздельно хранятся категории ПД, в том числе несовместимые между собой по целям обработки

Идентификаторы (ФИО, e-mail, телефон, адрес) и данные о взаимодействии (услуги, покупки, переписка) хранятся в разных базах

Нет накопления ПД "на всякий случай" и профилирования клиентов без жизненной необходимости

Меньше поручений обработки третьим лицам: ответственность остается у оператора, а контроль за мерами безопасности снижается

Основной квартет оснований обработки ПД

• п.1
• Согласие субъекта ПД
• п.2
• Функции, полномочия и обязанности оператора

• п.5
• Договор оператора с субъектом ПД
• п.7
• Права и законные интересы оператора или третьих лиц

Вспомогательные основания, а также пп.4, 10, 11

• п.3
• участие оператора в судопроизводстве

• п.3.1
• участие в исполнительном производстве

• п.6
• защита жизни, здоровья, жизненно важных интересов субъекта

• п.8
• массмедиа, журналистская, научная, литературная, творческая деятельность

• п.9
• статистическая и исследовательская деятельность

• Транспарентность
• =
• управление ожиданиями субъекта ПД
• доверие субъекта ПД к оператору

Субъект ПД вправе получить информацию об обработке его ПД в доступной форме. Контрольные вопросы для самопроверки оператора:

?

Был ли субъект надлежащим образом проинформирован об обработке ПД до ее начала или существенного изменения?

?

Есть ли у субъекта разумное ожидание обработки ПД: логичное, справедливое и обоснованное с точки зрения обычного человека в конкретной ситуации?

Классическая ИБ: 30+ подсистем, в том числе

• Идентификация и аутентификация
• Защита от вредоносного ПО

• Межсетевое экранирование и сегментация
• Защита каналов связи

• Анализ защищенности
• Криптографическая защита

Обезличивание

Обезличивание

Технологии защищенной обработки данных (ТЗОД)

Белая книга ТЗОД