Как добиться соответствия сайта требованиям 152-ФЗ

Сообщество BISA

Закон о «персональных данных» с номером 152-ФЗ жестко регламентирует, как именно должны обрабатываться данные россиян. При этом требования по защите персональных данных (ПДн) содержатся не только в самом законе, но и в подзаконных актах различных российских ведомств, поэтому разобраться в требованиях не просто. В то же время наиболее заметной информационной системой компании, на которую точно обратят внимание регуляторы, является ее веб-сайт.

Какие этапы построения защиты должна выполнить компания, которая имеет свой сайт, чтобы добиться его соответствия требованиям 152-ФЗ «О персональных данных»? На этот вопрос отвечает Ринат Катчиев, руководитель направления аудита и консалтинга компании Softline.

1. Если на сайте обрабатываются персональные данные – оператор или обработчик этой информации обязан обеспечивать безопасность обработки в соответствии с законодательством РФ и требованиями по безопасности информации.
2. На сайте должен быть опубликован документ, определяющий политику оператора в отношении обработки персональных данных.
3. Оператор должен быть зарегистрирован в реестре операторов персональных данных на сайте Роскомнадзора по адресу pd.rkn.gov.ru/operators-registry/operators-list. Исключением является выполнение трудового законодательства, обработка ПДн в целях выполнения договора, обработка общедоступных данных, обработка только ФИО и тому подобное.
4. Оператор должен обрабатывать персональные данные с соблюдением правил, установленных Федеральным законом №152-ФЗ «О персональных данных», в частности, собирать согласия субъектов персональных данных на обработку их персональных данных. При этом в ряде случаев, установленных законом «О персональных данных», это не требуется. Основные из них перечислены ниже:
   • обработка персональных данных необходима для осуществления правосудия;
   • обработка персональных данных необходима для исполнения договора, стороной или выгодоприобретателем по которому является субъект персональных данных;
   • обработка персональных данных необходима для достижения целей, предусмотренных международным договором или законом РФ;
   • обработка персональных данных необходима для защиты жизни и здоровья субъекта персональных данных, при условии, что получение согласия субъекта невозможно;
   • обработка персональных данных необходима для осуществления прав и законных интересов оператора.
5. Необходимо удостовериться, что компания, предоставляющая услуги хостинга, выполняет требования законодательства по защите персональных данных. Также необходимо юридически закрепить (например, поручением обработки или договором) обязательство компании-хостера по обеспечению безопасности обработки ПДн и выполнению требований в соответствии с законодательством РФ.
6. Для построения эффективной системы защиты персональных данных должно быть проведено всестороннее обследование информационных систем, обрабатывающих персональные данные, и подготовлен необходимый набор проектной и организационно-распорядительной документации, включающей в себя модели угроз и нарушителя, техническое задание, положения, приказы, инструкции и прочую документацию, направленную на реализацию требований нормативной базы регулирующих органов.
7. В случае необходимости должны быть проведены мероприятия по технической защите ИСПДн с внедрением средств защиты информации, прошедших процедуру оценки соответствия. СЗИ могут включать в себя антивирусы, межсетевые экраны, средства защиты от несанкционированного доступа, средства криптографической защиты и другие средства, использование которых установлено регулирующими органами.
8. В случае, если есть требования по обязательной оценке соответствия – необходимо провести аттестацию ИСПДн по требованиям безопасности информации.