Какие меры защиты персональных данных относятся к организационным
Защита данных в компании начинается с распределения обязанностей и понятных правил для работников. Организационные меры определяют, кто отвечает за обработку, как сотрудники получают доступ к сведениям и как проверяется соблюдение правил.
Коротко
Это назначение ответственного, принятие внутренних правил обработки и доступа, ознакомление и обучение работников, внутренний контроль, оценка возможного вреда и учет носителей данных. Такие меры защиты персональных данных относятся к организационным, поскольку упорядочивают работу с информацией. Их состав компания определяет с учетом обязанностей по ст. 18.1 и 19 Закона № 152-ФЗ.
Ответ подробно: организация защиты данных в компании
Организационными являются меры, которые задают порядок работы с персональными данными: распределяют обязанности, устанавливают правила для сотрудников и обеспечивают контроль. Компанию, организующую обработку сведений о людях, закон называет оператором персональных данных. Если оператором выступает юридическое лицо, оно назначает ответственного за организацию обработки. Для компании это конкретный способ закрепить ответственность за эту работу — п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Внутренние правила нужно связать с целями обработки. По каждой цели компания определяет, какие сведения и о каких людях обрабатывает, какими способами, сколько хранит и когда уничтожает. Это закрепляют в политике и локальных актах — внутренних документах компании. В них также устанавливают процедуры предупреждения нарушений, их выявления и устранения последствий. При этом правила компании должны сохранять права людей, чьи данные обрабатываются, — п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Работники, непосредственно обрабатывающие сведения, должны знать требования закона, политику компании и внутренние правила. Организационная мера здесь — ознакомление сотрудников с этими требованиями и документами и (или) обучение. Например, при определении порядка работы сотрудника с данными нужно учитывать правила их обработки и защиты, с которыми его знакомят, — п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Для доступа к сведениям в информационной системе устанавливают правила, а действия с ними регистрируют и учитывают. Учет машинных носителей также входит в обеспечение безопасности. Организационная сторона этих мер — установленный порядок доступа и учета; регистрация действий может обеспечиваться техническими средствами. Обе стороны должны работать совместно, чтобы защищать сведения от неправомерного и случайного доступа, — ч. 1, п. 5 и 8 ч. 2 ст. 19 Закона № 152-ФЗ.
Проверять нужно и соблюдение правил обработки, и работу мер безопасности. Внутренний контроль или аудит сопоставляет обработку с законом, требованиями защиты, политикой и внутренними актами компании. Отдельно контролируют меры безопасности и уровень защищенности информационных систем. Оценку эффективности защиты проводят до ввода системы в эксплуатацию — п. 4 ч. 1 ст. 18.1, п. 4 и 9 ч. 2 ст. 19 Закона № 152-ФЗ.
Выбирая перечень мер, оператор оценивает возможный вред людям при нарушениях и соотносит его с принимаемыми мерами. Состав мер он определяет самостоятельно с учетом обязательных требований, а принятие мер должен подтвердить по запросу уполномоченного органа по защите прав субъектов персональных данных. Политика обработки и сведения о реализуемых требованиях защиты должны быть общедоступны. Это связывает внутреннюю организацию работы с обязанностью объяснить принятые правила и подтвердить их выполнение — ч. 1, 2 и 4 ст. 18.1 Закона № 152-ФЗ.
Что говорит закон: доступность политики обработки
Статья в редакции Федерального закона от 14.07.2022 № 266-ФЗ. Текст — из базы законов «ВРУЦКИЙ ПРАВО».
Документы: закрепление организационных мер
Для подтверждения принятых мер соберите документы о правилах обработки и их выполнении по ст. 18.1 Закона № 152-ФЗ.
| Документ |
|---|
| Документ о назначении ответственного за организацию обработки персональных данных в юридическом лице |
| Документ, закрепляющий политику компании при обработке персональных данных |
| Локальные акты о целях, составе данных, способах и сроках обработки, хранении и уничтожении |
| Правила доступа к персональным данным в информационной системе |
| Документы, подтверждающие ознакомление или обучение работников и проведение внутреннего контроля |
Частые вопросы: правила и контроль обработки
Практические вопросы о распределении обязанностей и применении мер защиты.
Нужно ли компании назначать ответственного за обработку данных?
Да, для оператора, который является юридическим лицом, назначение ответственного за организацию обработки персональных данных предусмотрено п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ. Эта мера закрепляет, кому поручена организация обработки в компании.
Обучение работников входит в организационные меры?
Да, работа с сотрудниками относится к организации обработки. Работников, непосредственно обрабатывающих данные, знакомят с законодательством, требованиями защиты, политикой и локальными актами и (или) обучают. Такое правило закреплено в п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Чем организационные меры отличаются от технических?
Организационные меры задают обязанности и порядок работы: кто получает доступ, какие правила соблюдает и как проходит контроль. Техническая сторона связана с применением средств защиты информации. Закон предусматривает совместное применение организационных и технических мер для безопасности информационных систем — ч. 2 ст. 19 Закона № 152-ФЗ.
Услуги и темы рядом
Материалы о защите сведений и организации их обработки в компании.
Не откладывайте защиту