Цель модуля
Научить работника опознавать персональные данные в своих задачах, понимать, что считается обработкой, и соблюдать общие обязанности при работе с такими сведениями.
Что считается персональными данными
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу. Определяемость важна не меньше самой информации: даже набор признаков без имени, позволяющий выделить конкретного человека, уже подпадает под закон.
Отдельная и наиболее чувствительная категория — специальные категории: сведения о здоровье, национальности, политических и религиозных убеждениях, судимости. Их обработка допускается только в прямо установленных законом случаях.
Что признаётся обработкой
- сбор, запись и систематизация сведений;
- хранение, уточнение и изменение;
- извлечение, использование и передача, в том числе внутри компании;
- обезличивание и блокирование;
- удаление и уничтожение.
Обязанности оператора
- Обрабатывать данные только с законного основания и в заявленных целях.
- Брать согласие в понятной форме, когда оно требуется, и позволять его отозвать.
- Обеспечивать точность сведений и не хранить данные дольше, чем нужно для цели.
- Принимать организационные и технические меры защиты.
- Сообщать о происшествиях в установленные сроки.
Типовые ошибки в продукте
- Копия рабочих данных выгружена на личный компьютер или в личное облако «для проверки».
- Полные данные передаются в тестовую среду, хотя для отладки достаточно обезличенной копии.
- Согласие оформлено приложением к договору так, что человек не понимает, на что соглашается.
- Данные хранятся бессрочно «на случай, если пригодятся».
- Файл с выгрузкой отправлен без защиты в переписку.
Основание обработки
У каждой операции с персональными данными должно быть основание: согласие человека, исполнение договора, требование закона. Если работник не может назвать основание обработки, обработку необходимо остановить и уточнить её у ответственного за организацию обработки персональных данных.
Проверочный список перед выходом на работу
- Для каждой операции с данными определено основание обработки.
- Цель обработки заявлена и не расширяется по ходу работы.
- Для отладки используются обезличенные копии, а не рабочие данные.
- Срок хранения определён и подтверждён.
- Согласие оформлено понятно и допускает отзыв.
- Обработка специальных категорий сведений согласована с ответственным.
Вопросы для самопроверки
- Что главное в определении персональных данных? Связь сведений с определённым или определяемым человеком: набор признаков без имени тоже может позволить выделить человека.
- Достаточно ли хранить данные «на случай, если пригодятся»? Нет. Основание и цель должны быть заявлены заранее; хранение без цели недопустимо.
- Что делать при сомнении, относится ли информация к персональным данным? Обратиться к ответственному за организацию обработки персональных данных до начала обработки.
Основание и что делать при сомнении
Модуль опирается на: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», постановление Правительства РФ от 01.11.2012 № 1119.
Если ситуация не описана в модуле и вы не уверены в правильном действии, не принимайте решение самостоятельно: обратитесь к руководителю и в службу информационной безопасности до того, как выполнить операцию с данными или доступами.