Технологии защиты персональных данных: базовые правила

Персональные данные сегодня собирают почти все: сайты, сервисы, работодатели, подрядчики, CRM, мобильные приложения и даже обычные формы заявки. Ошибка в обращении с ними быстро превращается не только в юридический риск, но и в потерю доверия клиентов, партнёров и сотрудников.

Ниже — практический разбор базовых правил защиты персональных данных в России: что считать персональными данными, как их собирать без лишнего риска, какие документы нужны и какие действия помогают реально снизить вероятность инцидента.

Что такое персональные данные простыми словами

Персональные данные — это любая информация, по которой можно прямо или косвенно определить человека. Это не только паспорт и СНИЛС, но и телефон, e-mail, адрес, данные из анкеты, история заказов, переписка и даже связка нескольких «безобидных» полей.

Примеры персональных данных

• ФИО
• номер телефона
• адрес электронной почты
• адрес доставки
• паспортные данные
• ИНН, СНИЛС
• фото, если по нему можно идентифицировать человека
• данные о заказаах, обращениях, договоре
• сведенния о сотруднике, кандидате, клиенте, подрядчике

Важно: если данные позволяют выделить конкретного человека, их уже нужно защищать как персональные.

На чём строится защита персональных данных в России

Базовая логика законодательства проста: собирать только нужное, использовать только по заявленной цели, хранить не дольше необходимоо срока и не передавать лишним людям. В российской практике основным ориентиром выступает 152-ФЗ «О персональных данных», а также рекомендации Роскомнадзора по минимизации, раздельному хранению и назначению ответственного лица.

Ключевые принципы

• обработка должна быть законной и понятной для человека
• данные собираются под конкретную, заранее определённую цель
• объём данных должен быть достаточным, но не избыточным
• хранение ограничивается сроком, необходимым для цели обработки
• после достижения цели данные нужно уничтожить или обезличить, если нет законного основания хранить их дальше

Базовые правила защиты персональных данных

1. Собирайте только то, что действительно нужно

Это первое и самое важное правило. Если для доставки достаточно имени, телефона и адреса — не просите дату рождения, паспорт и место работы «на всякий случай». Роскомнадзор прямо рекомендует минимизировать перечень собираемых данных.

Практический принцип:

каждое поле в форме должно иметь обьяснимую деловую цель.

Плохой пример

• форма заявки требует дату рождения, паспорт, семейное положение и место работы, хотя нужен только звонок менеджера

Хороший пример

• форма заявки содержит имя, телефон и коментарий
• паспорт запрашивается только на этапе заключения договора, если это действвительно необходимо

2. Разделяйте разные категории данных

Нелзя хранить всё в одной неструктурированной базе без контроля доступа. Рекомендации Роскомнадзора советуют разделять данные клиентов, работников и соискателей, а также разносить идентификаторы и информацию о взаимодействии в разные базы.

Это снижает риск:

• случайной утечки
• внутреннего нарушения
• несанкционированного доступа
• смешения данных по разным целям обработки

3. Не храните данные «про запас»

Типичная ошибка — собирать максимум информации, чтобы «потом пригодилось». Такой подход противоречит принципу минимизации и создает лишнюю нагрузку на безопасность.

Вопрос, который стоит задавать к каждому массиву данных:
«Зачем эта информацния нужна сейчас, и что будет, если она не хранится вообще?»

Если ответа нет — данные, скорее всего, лишние.

4. Определяйте цель обработки заранее

Перед сбором данных нужно чётко понимать:

• зачем они нужны
• кто будет к ним иметь доступ
• сколко времени они хранятся
• кому могут передаваться
• когда и как уничтожаются

Без этого невозможно правилно составить политику и внутренние регламенты.

5. Назначьте ответственного

У организацнии должен быть человек, который отвечает за организацию работы с персональными данными. Роскомнадзор отделно рекомендует назначить ответственного и наделить его полномочиями.

На практике это не формалная роль «для галочки», а человек, который:

• контролирует документы
• проверяет формы сбора данных
• следит за доступами
• координирует реагирование на инциденты
• организует обучение сотрудников

6. Ограничьте доступ по принципу необходимости

Доступ к персональным данным должен быть только у тех, кому он нужен для работы. Не у «всех, кому удобно», а именно у тех, кто реально участвует в обработке.

Простой ориентир

• менеджер видит только свои заявки
• HR видит данные кандидатов и сотрудников
• бухгалтерия видит данные для расчётов
• подрядчик получает только тот объём, который нужен для выполнения задачи

7. Используйте договоры с подрядчиками

Если данные обрабатывает внешняя компания, ответственность с оператора не исчезает. Роскомнадзор прямо указывает: передача обработки третьим лицам не снимает ответственность с оператора.

Поэтому с подрядчиками нужны:

• договоры с описанием целей и объёма обработки
• условия конфиденциальности
• требования к мерам защиты
• порядок возврата или уничтожения данных
• ответственность за нарушения

8. Уничтожайте данные вовремя

Когда цель достигнута, данные нельзя хранить бесконечно. Закон требует уничтожать или обезличивать персональные данные по достижении цели обработки, если иное не предусмотрено законом.

Например:

• заявка, по которой клиент не стал заключать договор, не должна лежать годами без оснований
• документы с истекшим сроком хранения нужно удалить или архивировать по правилам
• копии паспортов, которые больше не нужны, должны быть уничтожены по регламенту

Что должно быть в документах

Для устойчивой системы защиты недостаточно одного «согласия на сайте». Нужен набор базовых документов и правил.

Минимальный набор

Что обычно забывают включить

• порядок исправления неточных данных
• порядок удаления по запросу
• правила ответа на обращения субъекта
• порядок уничтожения данных
• алгоритм действий при инциденте

Технические меры, которые реально работают

Юридические документы без техники — слабая защита. Минимальный набор технических мер должен закрывать самые частые риски: утечку, несанкционированный доступ, ошибочную отправку и внутренние нарушения.

Практический минимум

• сложные пароли и двухфакторная аутентификация
• разграничение прав доступа
• журналирование действий пользователей
• резервное копирование
• шифрование каналов передачи
• антивирусная защита и актуальные обновления
• отдельные учетные записи для сотрудников
• защита рабочих станций и серверов
• контроль внешних носителей
• физическая защита помещений и носителей

Что особенно важно для малого бизнеса

У многих компаний нет большого ИБ-отдела, но даже небольшой набор дисциплинированных действий сильно снижает риск:

• не хранить данные в открытых таблицах без доступа
• не пересылать файлы с персональными данными через личные мессенджеры
• не использовать один общий пароль на всех
• не оставлять доступы бывшим сотрудникам
• не держать старые выгрузки «на десктопе»

Типовые ошибки, из-за которых возникают проблемы

Ошибка 1. Сбор лишних данных

Компания просит всё подряд, хотя использует только часть информации.

Ошибка 2. Политика есть, но она «мертвая»

Документ опубликован на сайте, но не отражает реальные процессы.

Ошибка 3. Общие доступы

Несколько сотрудников работают под одной учётной записью. Потом невозможно понять, кто именно открыл или выгрузил данные.

Ошибка 4. Нет сроков хранения

Данные копятся годами, хотя цель уже давно достигнута.

Ошибка 5. Подрядчик подключён без контроля

CRM, колл-центр, облачный сервис или бухгалтерия получают доступ без договора и проверки мер безопасности.

Ошибка 6. Нет реакции на инциденты

При утечке никто не понимает, кто отвечает, что блокировать и какие действия делать первыми.

Пошаговый план: как выстроить базовую защиту

Шаг 1. Проведите инвентаризацию

Соберите список:

• какие данные вы обрабатываете
• где они хранятся
• кто имеет доступ
• кому передаются
• как долго хранятся

Шаг 2. Определите цели обработки

Для каждой категории данных пропишите конкретную цель. Если цели нет — данные не нужны.

Шаг 3. Уберите лишнее

Сократите формы, анкеты, таблицы и выгрузки до минимално необходимоо набора.

Шаг 4. Оформите документы

Подготовьте политику, локальные регламенты, согласия и договоры с подрядчиками.

Шаг 5. Настройте доступы

Ограничьте права по ролям, включите индивидуальные учётные записи, пересмотрите доступы у бывших сотрудников.

Шаг 6. Внедрите контроль

Настройте логи, резервное копирование, обновления и регулярную проверку доступа.

Шаг 7. Обучите сотрудников

Смысл прост: самый дорогой инцидент часто начинается с одной ошибки человека. Сотрудники должны понимать:

• что нельзя отправлять
• кому нельзя передавать
• как распознать подозрительный запрос
• куда сообщать об ошибке

Шаг 8. Подготовьте план на случай инцидента

Нужно заранее знать:

• кто принимает решение о блокировке
• кто проверяет масштаб проблемы
• кто общается с юристами и ИБ
• кто работает с уведомлениями и восстановлением

Чек-лист базовой проверки

• [ ] У каждой категории данных есть понятная цель
• [ ] Собирается только необходимый минимум
• [ ] Доступы разграничены по ролям
• [ ] Сотрудники работают под индивидуальными учётными записями
• [ ] Есть политика обработки персональных данных
• [ ] Есть сроки хранения и порядок уничтожения
• [ ] Подрядчики оформлены договорно
• [ ] Настроены резервные копии
• [ ] Ведётся журнал действий и доступов
• [ ] Назначен ответственный за персональные данные

Когда нужно особенно внимательно проверить процессы

Повышенный риск обычно возникает в ситуациях:

• запуск нового сайта или формы заявки
• переход на облачную CRM
• подключение колл-центра или аутсорсинга
• найм и увольнение большого числа сотрудников
• передача данных подрядчику
• перенос базы в новую систему
• реорганизация внутренних процессов

Именно в такие моменты чаще всего появляются «дырки»: старые доступы, неактуальные политики, лишние выгрузки и неучтённые копии данных.

Вывод

Базовая защита персональных данных — это не сложная теория, а дисциплина: собирать меньше, хранить аккуратно, ограничивать доступ, фиксировать правила и вовремя удалять лишнее. В российских реалиях выигрывает не тот, у кого «самая громкая политика на сайте», а тот, у кого процессы реально совпадают с документами и техникой.

FAQ

Нужно ли собирать согласие на обработку персональных данных всегда?

Нет, не всегда. Важнее понять, на каком законном основании обрабатываются данные и действительно ли согласие требуется для конкретной ситуации.

Можно ли хранить персональные данные «на всякий случай»?

Нет. Такой подход противоречит принципу минимизации и увеличивает риски.

Обязан ли подрядчик соблюдать правила защиты данных?

Да, но ответственность оператора при этом не исчезает. Поэтому подрядчика нужно выбирать и оформлять отдельно.

Что важнее: документы или техническая защита?

Нужны оба слоя. Документы задают правила, а техника снижает риск утечки и нарушения этих правил.

С чего начать малому бизнесу?

С инвентаризации данных, сокращения лишнего сбора, разграничения доступов и подготовки базовой политики обработки персональных данных.