Акт оценки вреда субъектам ПДн

Часть 1 статьи 18.1 закона 152-ФЗ обязывает оператора принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных этим законом, и одной из таких мер называет оценку вреда, который может быть причинён субъектам персональных данных в случае нарушения закона.

Смысл требования не сводится к формальности. Оценка вреда меняет саму логику построения защиты: вместо абстрактного «защитим всё одинаково» оператор понимает, какие данные и какие сценарии их утраты создают наибольший риск для конкретных людей, и выстраивает приоритеты защиты исходя из этого.

Например, утечка телефона и имени клиента интернет-магазина и утечка данных о состоянии здоровья пациента медицинской клиники создают принципиально разный уровень вреда для субъекта, даже если формально оба случая — «утечка персональных данных».

При оценке вреда учитывается совокупность факторов, связанных как с самими данными, так и с последствиями их возможной компрометации.

Итог оценки — не абстрактная шкала «низкий / средний / высокий», а обоснованный вывод применительно к конкретным категориям данных, которые обрабатывает оператор, и к конкретным субъектам этих данных.

Единой обязательной формы акта оценки вреда закон не устанавливает, но на практике документ включает несколько обязательных разделов.

Акт оценки вреда логически связан с моделью угроз и с уровнем защищённости информационной системы: там, где вред субъекту оценён как высокий, обычно требуются и более строгие меры технической и организационной защиты. Эти документы стоит рассматривать как единый комплект, а не как независимые друг от друга бумаги.

Оценку вреда проводит сам оператор персональных данных — как правило, силами ответственного за организацию обработки персональных данных, назначенного в соответствии со статьёй 22.1 закона 152-ФЗ, при необходимости с привлечением специалистов по информационной безопасности и юристов.

Разумно проводить оценку на этапе запуска новой обработки персональных данных — до того, как система начала собирать данные, — чтобы меры защиты закладывались с учётом реального уровня риска, а не достраивались задним числом. Повторная оценка требуется при расширении категорий обрабатываемых данных, изменении целей обработки или после инцидента, который показал, что прежняя оценка вреда не соответствовала действительности.

Оценка вреда субъектам — не изолированное требование, а часть общей системы обязанностей оператора по обеспечению безопасности персональных данных, закреплённых в статьях 18.1, 19 и 21 закона 152-ФЗ. Результаты оценки влияют на несколько последующих решений: какие организационные и технические меры защиты выбрать, как выстроить порядок реагирования на инциденты, какой приоритет придать разным категориям данных при уничтожении по истечении сроков хранения.

При проверке Роскомнадзор оценивает не только формальное наличие документов, но и то, насколько логично они связаны между собой: соответствует ли выбранный набор мер защиты той оценке вреда, которую оператор сам же зафиксировал. Расхождение между «мы оценили вред как высокий» и «применили минимальный набор мер» — типичное основание для замечаний. Внутренне непротиворечивый пакет документов, где каждый следующий документ логично вытекает из предыдущего, проверяющий читает быстрее и с меньшим числом вопросов, чем набор бумаг, собранных по отдельности и никак друг с другом не увязанных.