Положение об обеспечении безопасности ПДн

Статья 19 закона 152-ФЗ обязывает оператора персональных данных принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий. Закон не описывает исчерпывающий перечень мер для каждой конкретной организации — конкретный состав зависит от уровня защищённости, который определяется исходя из категорий обрабатываемых данных и характера угроз.

Уровни защищённости персональных данных при их обработке в информационных системах установлены Постановлением Правительства РФ № 1119 от 01.11.2012. От присвоенного уровня зависит объём обязательных мер: чем выше риск для субъектов персональных данных, тем строже требования. Определение уровня защищённости — не разовая формальность, а расчёт, который стоит пересматривать при изменении состава обрабатываемых данных или архитектуры информационной системы.

Типовой состав мер, которые организация закрепляет в положении:

Конкретный набор мер для каждой организации индивидуален и зависит от того, какие персональные данные обрабатываются, в каком объёме и с использованием каких информационных систем.

Положение об обработке персональных данных, публикуемое оператором по ст. 18.1 закона 152-ФЗ, — документ, обращённый вовне: он объясняет субъектам персональных данных, какие данные собираются, с какой целью, на каком основании и кому передаются. Положение об обеспечении безопасности — документ преимущественно внутренний: он описывает, какими средствами и мерами оператор эти данные защищает.

На практике оба документа дополняют друг друга, но решают разные задачи: один отвечает на вопрос «что и зачем обрабатывается», другой — на вопрос «как это защищено». Подменять один документ другим нельзя — при проверке Роскомнадзор оценивает выполнение обоих требований отдельно и по разным основаниям закона.

Формально обязанность принимать меры по ст. 19 распространяется на любого оператора персональных данных, включая некрупные организации и индивидуальных предпринимателей. Разница в масштабе: небольшая онлайн-школа, обрабатывающая базовые данные учеников — имя, контакты, оплату — нуждается в существенно менее объёмном наборе мер, чем оператор, работающий со специальными категориями данных или большими массивами информации.

Составлять положение «для галочки», без реального соответствия применяемым мерам, рискованно: документ, который описывает меры, фактически не применяемые в организации, скорее навредит при проверке, чем поможет — расхождение между заявленным и реальным состоянием дел обычно вызывает больше вопросов, чем отсутствие документа.

Практический ориентир для малого бизнеса — начинать не с текста документа, а с реального аудита: какие персональные данные обрабатываются, где хранятся, кто имеет к ним доступ. Положение затем описывает уже сложившуюся картину и меры, которые организация действительно готова поддерживать на постоянной основе.

Положение стоит пересматривать в следующих случаях:

1. изменился состав обрабатываемых персональных данных;
2. сменились информационные системы, в которых обрабатываются данные;
3. изменился уровень защищённости персональных данных;
4. по итогам выявленного инцидента с персональными данными.

Полезная практика - вести журнал изменений мер защиты и связывать его с историей редакций положения, чтобы при проверке можно было показать, что документ отражает реальное состояние дел, а не устарел на несколько лет.

Ответственность за актуальность документа обычно возлагается на то же лицо, которое отвечает за организацию обработки персональных данных в целом, эта роль назначается отдельным приказом руководителя. Разумно устанавливать периодичность формального пересмотра, например, раз в год, даже если видимых изменений в бизнесе не произошло, чтобы не полагаться только на память отдельного ответственного сотрудника.