Управление прайваси-рисками

ДАТА-ОПТИМИЗМ

Игра на победу, максимизация выгоды

Данные как новая нефть, чем их больше, тем больше ценности

аналитика, персонализация и обучение ИИ

накопленный объем умножает цену утечки

ДАТА-ПЕССИМИЗМ

Игра на избегание неудач, минимизация ущерба

Данные как токсичный материал, чем раньше их уничтожить, тем меньше уязвимость

меньше поверхность утечки и санкций

бизнес теряет ценность данных

• Классический privacy-комплаенс
• Бережливая обработка данных
• Технологии защищенной обработки данных

• Михаил Мишустин, премьер-министр РФ, 12.03.2020
• Милош Вагнер, замруководителя РКН, 20.06.2023

Регуляторно-нормативный ров окружает все, и каждая опора строится с учетом его требований

КОМУ ГРОЗИТ РИСК

Риск оценивают для обеих сторон, иначе решение будет однобоким

Эта часть. Стоит ли обрабатывать, в каком объеме и на каких условиях. Следующая часть. Как нарушитель доберется до данных и какие меры защиты нужны

Человек ведет себя по-разному в зависимости от контекста. Если данные из разных контекстов объединить, он больше не может разделять роли, предназначенные для разных людей

Работа

профиль в профессиональной сети: должность, опыт, деловые контакты

Друзья

соцсети с шутками, праздниками и спорами

Семья

фото детей, домашние события, адрес

Личная жизнь

приложения знакомств и то, что человек показывает только там

Правило: сводить в одну базу данные из разных источников и для разных целей без нужды нельзя: закон запрещает объединять базы с несовместимыми целями (ч.3 ст.5 152-ФЗ)

КАТЕГОРИЯ РИСКА ОПЕРАТОРА

Высокий

Значительный

Средний

Умеренный

Низкий

С 01.07.2021 Роскомнадзор относит операторов к одной из пяти категорий риска по ПП № 1046, критерии переписаны ПП № 1286 от 27.08.2025

ОЦЕНКА ВРЕДА СУБЪЕКТУ

высокая

средняя

низкая

Оценка вреда обязательна для каждого оператора, степень определяется по приказу РКН № 178 от 27.10.2022, п.5 ч.1 ст.18.1 152-ФЗ

САНКЦИИ

до 500 млн ₽

оборотный штраф за повторную утечку, ст.13.11 КоАП с 30.05.2025

Вывод. Риск-ориентированный подход уже встроен в регулирование, и у компании должна быть своя, документированная оценка

• всегда, оценка обязательна для каждого оператора
• Когда
• если обработка может повлечь высокий риск для прав и свобод людей

• степень вреда субъекту (высокая, средняя, низкая) по ситуациям из приказа № 178
• Что оценивают
• конкретную операцию, ее необходимость, пропорциональность, риски и меры

• акт оценки вреда
• Результат
• отчет DPIA с мерами, его пересматривают при изменении риска

• отдельной процедуры нет, меры оператор выбирает сам
• Высокий риск
• консультация с надзорным органом до начала обработки

Вывод. Акт оценки вреда закрывает формальное требование, а решение о мерах дает оценка риска каждого процесса, по логике она ближе к DPIA

Степень вреда по приказу № 178

Высокая

биометрия вне случаев, прямо установленных законом

спецкатегории вне случаев, прямо установленных законом

ПД несовершеннолетних в (пред)договорных отношениях вне прямых указаний закона

обезличивание, в том числе для исследований, вне п.9 ч.1 ст.6 152-ФЗ

поручение обработки ПД граждан РФ иностранному лицу

сбор ПД с использованием баз за пределами РФ

Средняя

распространение ПД вне прямых указаний закона, в том числе в результате инцидента

обработка в дополнительных целях, отличных от первоначальной цели сбора

продвижение товаров прямыми контактами по чужой базе ПД

согласие через простую веб-форму (click-wrap) на сайте

согласие в отношении (не)определенного круга лиц в несовместимых между собой целях

• Низкая
• ведение общедоступных источников ПД по ст.8 152-ФЗ

назначение ответственным за организацию обработки ПД лица не из штата оператора

Правило: при нескольких основаниях выбирают наиболее высокую степень, а если ни один вид обработки не подходит, по устной позиции Роскомнадзора в акте пишут, что степень вреда не выявлена

Акт оценки вреда

Обязательные реквизиты

наименование или ФИО и адрес оператора

дата издания акта и дата проведения оценки

ФИО, должности и подписи тех, кто проводил оценку

степень вреда, а из нескольких выбирают наиболее высокую

перечень случаев причинения вреда закрытый

Роскомнадзор

Что решает оператор

случаи проведения оценки, по видам деятельности и по каждой ИСПД или в совокупности

методику, объект, причины, срок или период оценки

состав и порядок работы комиссии

соотношение вреда и принимаемых мер

вопросы безопасности ПД приказ не затрагивает, это компетенция ФСБ и ФСТЭК

Пробелы: срок хранения акта, основания и периодичность пересмотра приказ не задает, поэтому их закрепляют в локальном акте. Сведения об ИСПД в акте не обязательны (Управление по Камчатскому краю, 14.12.2023)

01

02

03

04

05

06

Те, кто пренебрегает документами, - воск в руках тех, кто документами не пренебрегает

1

• 1.1
• Статус лица в отношении ПД

• 1.2
• Цель обработки

• 1.3
• Чувствительность ПД

• 1.4
• Источники получения

• 1.5
• Категории субъектов

• 1.6
• Участие третьих лиц

• 1.7
• Трансграничная передача

• 1.8
• Масштаб обработки

• 1.9
• Сценарии обработки

• 1.10
• Заметность (множитель)

2

• 2.1
• Цели и пропорциональность

• 2.2
• Основания обработки

• 2.3
• Передача ПД третьим лицам

• 2.4
• Жизненный цикл ПД

• 2.5
• Взаимодействие с субъектами

• 2.6
• Взаимодействие с органами

• 2.7
• Обучение персонала

• 2.8
• Отклонения и инциденты

• 2.9
• Безопасность обработки

• 2.10
• Руководство и учет

• 3
• Управление рисками

• 3.1
• Оценка уровня риска

• 3.2
• Выбор метода реагирования

• 3.3
• Определение мер

• 3.4
• Планирование мер

Методика и калькулятор

ШАГ 1. ТРИ УРОВНЯ ОЦЕНКИ ФАКТОРА

1.5 Категории субъектов

равноправная сторона, не зависят от оператора

более слабая сторона, зависят от оператора

недееспособные или ограниченно дееспособные

1.8 Масштаб обработки

нерегулярная и затрагивает мало субъектов

регулярная или затрагивает много субъектов

регулярная и затрагивает много субъектов

ШАГ 2. ЦЕНА САНКЦИЙ ПО ОБЛАСТЯМ КОНТРОЛЯ

• 2.4
• Жизненный цикл ПД

• 2.9
• Безопасность обработки

• 2.2
• Основания обработки

• 2.3
• Передача ПД третьим лицам

• 2.8
• Отклонения и инциденты

• 2.1
• Цели и пропорциональность

• 2.5
• Взаимодействие с субъектами

• 2.6
• Взаимодействие с органами

• 2.7
• Обучение персонала

• 2.10
• Руководство и учет

сначала опишите процесс обработки, потом оценивайте

масштаб анализа выбирайте сами, от процесса маркетинга до одного сайта

требования ищите в приказе РКН № 253, ПП № 1046, ПП № 24 и отраслевых НПА

• соблюдение проверяйте через чек-листы и закрытые вопросы
• Чек-лист контролей

• 0
• 5

5

10

10

Виктимность обработки

Критичность отклонений

до мер 6 и 5

через год 3 и 2

через два года 2 и 1

Пример одного процесса, у точек виктимность и критичность

Оценки пересматривают регулярно, риск-факторы меняются во времени

Риск-толерантность определяют вместе с владельцем процесса обработки и риска

• ЧЕТЫРЕ МЕТОДА
• МЕРЫ И ПЛАН, ТИПОВОЕ РАСПРЕДЕЛЕНИЕ

• Вид меры
• Кто делает
• Когда

• Корректировка отношений с субъектами
• владелец процесса, DPO
• быстро

• Корректировка отношений с третьими лицами
• закупки, юристы
• быстро

• Корректировка внутренней документации
• DPO
• быстро

• Минимизация процесса обработки
• владелец процесса
• долго

• Изменение ИТ-систем и инфраструктуры
• ИТ и ИБ
• долго

Три вопроса плана что делаем, кто делает, в какие сроки

Остаточный риск после мер тоже оценивают и принимают решением владельца риска

Убираем из процесса все, что не добавляет ценности результату, но добавляет риск

меньше объем и состав данных

меньше способов и сроков обработки

меньше круг лиц с доступом

результат тот же, риск меньше

ЧТО ДАЕТ КОМПАНИИ

ПОДХОДЫ РКН К НАДЛЕЖАЩЕЙ ОБРАБОТКЕ ПД

• 01
• минимизировать перечень собираемых и обрабатываемых ПД

• 02
• хранить раздельно категории ПД, несовместимые по целям

• 03
• держать ФИО и контакты отдельно от данных о взаимодействии с человеком

• 04
• не копить ПД на всякий случай и не строить профили без необходимости

• 05
• реже поручать обработку третьим лицам, поручение не снимает ответственность

ВЫЧИСЛЕНИЯ БЕЗ РАСКРЫТИЯ

ИДЕНТИФИКАЦИЯ БЕЗ ЛИШНЕГО

ГДЕ ПРИМЕНЯЮТ

• кибербезопасность
• обучение ИИ
• аналитика данных
• госсервисы

КЕЙС

Банк России одобрил MPC

В 2024 году банкам разрешили считать долговую нагрузку заемщика по поступлениям на его счета в других банках. Расчет идет на платформе счет-скоринга с совместными конфиденциальными вычислениями, без раскрытия банковской тайны

ПРАВОВОЙ СТАТУС

Закон не регулирует ТЗОД сами по себе, а ПД и тайны после их применения не меняют статус

шаг 1

Карточка процесса

цели, состав ПД, субъекты, третьи лица и сценарии

приказ № 178

Акт оценки вреда

степень вреда, обязателен для каждого оператора

шаги 2 и 3.1

Отчет об оценке риска

виктимность, критичность, отклонения и уровень риска

шаг 3.2

Решение владельца риска

метод реагирования и принятие остаточного риска

шаги 3.3 и 3.4

План мер

что делаем, кто делает, в какие сроки

срок годности

Дата пересмотра

когда и после каких изменений оценку обновят

ПЕРЕДАЕМ

процессы и ИСПД с высоким уровнем риска, с них начинают моделирование

категории и объем ПД и субъектов для уровня защищенности по ПП № 1119

третьих лиц, обработчиков и ТПД, это границы и интерфейсы системы

риск-толерантность владельца, то есть допустимый остаточный риск

ПОЛУЧАЕМ ОБРАТНО

тип актуальных угроз и модель нарушителя, они уточняют оценку области 2.9

меры защиты, они входят в план как изменение ИТ-систем

Один цикл, два взгляда. Риск-менеджмент решает, стоит ли обрабатывать, а модель угроз решает, как защитить то, что решили обрабатывать

Прайваси-риск шире угроз безопасности, поэтому цели, основания, объем и права субъекта оцениваются наравне с защитой

Регулятор уже мыслит рисками, это категории риска в надзоре, оценка вреда и штрафы по масштабу утечки

Уровень риска складывается из виктимности обработки и критичности отклонений, и его регулярно пересматривают

Самая дешевая мера снижения риска это минимизация обработки, а каждое решение о риске оставляет документ

t.me/prv_adv