Защита персональных данных (152-ФЗ)

В категорию тех, на кого распространяются требования Федерального закона 152-ФЗ «О персональных данных», попадают все организации, которые собирают, систематизируют и обрабатывают личные данные граждан. Как государственные, так и частные организации обязаны соблюдать требования закона и защищать обрабатываемые персональные данные.

Нарушение требований 152-ФЗ может привести к штрафам и даже к уголовной ответственности.

Персональные данные граждан (имена, адреса, номера телефонов, электронная почта, паспортные данные, финансовые сведения, медицинская информация и другие личные данные) могут быть использованы мошенниками для совершения преступлений. Нарушение прав и свобод граждан, мошенничество, шантаж, вымогательство, и даже «кража личности» - вот лишь неполный перечень возможных последствий утечки и использования персональных данных в преступных целях.

Проблема утечки персональных данных в России достаточно серьезна. Несмотря на то, что закон «О персональных данных» действует с 2006 года, многие компании и организации не соблюдают его требования и не обеспечивают достаточную защиту персональных данных своих сотрудников и клиентов.

В 2019 году компания «Тинькофф Банк» сообщила о утечке персональных данных более 5 миллионов клиентов, что привело к ущербу в размере 1,2 миллиарда рублей.

В 2020 году компания «МегаФон» сообщила о утечке персональных данных более 8 миллионов клиентов, что привело к ущербу в размере 1,9 миллиарда рублей.

Утечка персональных данных может нанести серьезный ущерб организации как в финансовом, так и в репутационном плане. Возможные последствия могут включать:

1

Штрафы и судебные издержки: организация может быть оштрафована за нарушение законодательства о персональных данных, а также может столкнуться с судебными и административными издержками.
2

Утрата доверия клиентов: клиенты могут потерять доверие к организации, если их персональные данные были украдены или утрачены. Это может привести к уменьшению объема продаж и потере доходов.
3

Потеря репутации: утечка персональных данных может привести к негативной репутации организации, что может повлиять на ее бренд и имидж.
4

Угроза безопасности: утечка персональных данных может привести к угрозе безопасности клиентов и сотрудников организации, что может привести к потере доверия.
5

Потеря конкурентных преимуществ: утечка персональных данных может привести к потере конкурентных преимуществ, так как конкуренты могут использовать украденные данные для своих целей.

В целом, утечка персональных данных может привести к серьезным последствиям для организации. Поэтому принимать меры для защиты персональных данных и предотвращения утечек так же важно, как и обеспечивать пожарную безопасность.

Грамотно выстроенная защита для обеспечения реальной безопасности персональных данных – это правильные бумаги, оптимальные продукты и регулярный контроль.

Правильные бумаги: Необходимо обследовать и составить полный список информационных систем обработки персональных данных (ИСПДн) в организации, провести категорирование объектов защиты, определить требуемые уровни защищенности, разработать правильные организационно-распорядительные документы (ОРД) с набором организационных мер защиты. Затем нужно создать актуальную модель угроз и спроектировать систему защиты информации.
Правильные бумаги: Необходимо обследовать и составить полный список информационных систем обработки персональных данных (ИСПДн) в организации, провести категорирование объектов защиты, определить требуемые уровни защищенности, разработать правильные организационно-распорядительные документы (ОРД) с набором организационных мер защиты. Затем нужно создать актуальную модель угроз и спроектировать систему защиты информации.

Оптимальные продукты: Нужно подобрать оптимальные инженерно-технические средства защиты, соответствующие уровням защищенности и выявленным категориям ваших информационных систем для нейтрализации потенциального внутреннего и внешнего нарушителя.
Оптимальные продукты: Нужно подобрать оптимальные инженерно-технические средства защиты, соответствующие уровням защищенности и выявленным категориям ваших информационных систем для нейтрализации потенциального внутреннего и внешнего нарушителя.

Регулярный контроль: По нашему опыту – это очень важный пункт для обеспечения реальной безопасности персональных данных. Про который очень часто забывают.

Созданные бумаги – это не навсегда. Изменяется законодательство и требования регуляторов, растут и развиваются информационные системы вашей организации, эволюционируют угрозы. Необходимо отслеживать изменения законодательства и требований регуляторов, проводить регулярно адаптацию документации.
Нужно следить за актуальностью используемых средств защиты: контролировать сроки действия сертификатов ФСТЭК, продлевать лицензии на ПО и техподдержку, внедрять дополнительные средства защиты с учётом вновь возникающих угроз безопасности.
Внедренную систему защиты нужно проверять: а она вообще работает? Или ее давно отключили те, кому она мешает? Необходима реальная оценка фактических уровней защищенности информационных систем.
Регулярный контроль: По нашему опыту – это очень важный пункт для обеспечения реальной безопасности персональных данных. Про который очень часто забывают.

Созданные бумаги – это не навсегда. Изменяется законодательство и требования регуляторов, растут и развиваются информационные системы вашей организации, эволюционируют угрозы. Необходимо отслеживать изменения законодательства и требований регуляторов, проводить регулярно адаптацию документации.
Нужно следить за актуальностью используемых средств защиты: контролировать сроки действия сертификатов ФСТЭК, продлевать лицензии на ПО и техподдержку, внедрять дополнительные средства защиты с учётом вновь возникающих угроз безопасности.
Внедренную систему защиты нужно проверять: а она вообще работает? Или ее давно отключили те, кому она мешает? Необходима реальная оценка фактических уровней защищенности информационных систем.

Как мы работаем:

Цель работ:

Определение текущей степени соответствия процессов обработки и защиты персональных данных действующим требованиям законодательства Российской Федерации в области персональных данных.
Состав работ:
- Анализ организационно-штатной структуры.
- Выявление и описание процессов обработки персональных данных.
- Определение состава обрабатываемых персональных данных.
- Выявление и описание информационных ресурсов, содержащих персональные данные.
- Описание технологий обработки персональных данных.
- Описание существующих организационных мер и технических средств, направленных на обеспечение защиты персональных данных.
- Описание имеющихся мер и средств защиты информации в информационных системах персональных данных.
- Определение перечня мероприятий необходимых для приведения процессов обработки и защиты персональных данных действующим требованиям законодательства Российской Федерации в области персональных данных.
- Анализ существующих мер защиты персональных данных.
Результат:

Отчет об обследовании процессов обработки персональных данных.

Цель работ:

Подготовка (актуализация) организационно-распорядительной документации.
Состав работ:

Подготовка (актуализация) проектов организационно- распорядительной документации, регламентирующей порядок и правила обработки персональных данных, а также обеспечение безопасности персональных данных. Заполнение и подача уведомления / информационного письма об обработке персональных данных в Роскомнадзор.
Результат:

Пакет проектов организационно-распорядительной документации.

Цель работ:

Подготовка Модели угроз.
Состав работ:

Определение угроз безопасности персональных данных при их обработке, формирование на их основе Модели угроз, определение требуемого уровня защищенности персональных данных, обрабатываемых в информационной системе персональных данных.
Результат:

Модель угроз безопасности персональных данных, обрабатываемых в информационной системе персональных данных.

Цель работ:

Создание программно-технической системы защиты информации.
Состав работ:

Подбор, поставка и внедрение программных и технических средств защиты информации.
Результат:

Работающая система защиты информации, полностью соответствующая текущим требованиям законодательства РФ.

Статья	Нарушение	Мера наказания
137 УК РФ	Нарушение неприкосновенности частной жизни	Штраф 300 000 рублей Лишение права занимать определённые должности или заниматься определённой деятельностью на срок от 2 до 5 лет Арест на срок до 6 месяцев Лишение свободы на срок до 4 лет с лишением права занимать определённые должности или заниматься определённой деятельностью на срок до 5 лет
140 УК РФ	Отказ в предоставлении гражданину информации о его персональных данных	Штраф 200 000 рублей Лишение права занимать определённые должности или заниматься определённой деятельностью на срок от 2 до 5 лет
272 УК РФ	Неправомерный доступ к охраняемой законом компьютерной информации	Штраф 300 000 рублей либо принудительные работы на срок до 4 лет, либо лишение свободы на тот же срок Штраф 700 000 рублей либо принудительные работы на срок до 5 лет, либо лишение свободы на тот же срок Штраф 1 000 000 рублей либо принудительные работы на срок до 5 лет со штрафом до 1 000 000 рублей, либо лишение свободы на тот же срок Лишение свободы на срок до 8 лет со штрафом до 2 000 000 рублей Лишение свободы на срок до 10 лет со штрафом до 3 000 000 рублей

Статья	Нарушение	Мера наказания
5.27 КоАП РФ	Нарушение законодательства о труде и об охране труда	Штраф 50 000 руб. или приостановление деятельности на срок до 90 суток
13.11 КоАП РФ	Нарушение порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)	Максимальный размер штрафа 75 000 руб. (в соответствии с ФЗ от 07.02.2017 № 13-ФЗ) Ранее существовал только один общий состав правонарушения. Сейчас в данной статье семь составов.
13.12 КоАП РФ	Нарушение правил защиты информации	Штраф 20 000 руб. с конфискацией средств защиты информации
19.5 КоАП РФ	Невыполнение в срок требований надзорного органа или ФСТЭК РФ (при повторной проверке)	Штраф 500 000 руб. и дисквалификация должностного лица до 3 лет
20.25 КоАП РФ	Неуплата административного штрафа	Штраф в двукратном размере суммы неуплаченного штрафа либо арест на срок до 15 суток

Статья	Нарушение	Мера наказания
23 ч.3 п.3 152-ФЗ	Нарушение законодательства о труде и об охране труда	Штраф 50 000 руб. или приостановление деятельности на срок до 90 суток
23 ч.3 п.6 152-ФЗ	Передача персональных данных третьим лицам без согласия субъекта	Отзыв лицензии на осуществление определённого вида деятельности

Статья	Нарушение	Мера наказания
90 ТК РФ	Нарушение норм, регулирующих обработку и защиту персональных данных работника	Штраф 300 000 рублей Лишение права занимать определённые должности или заниматься определённой деятельностью на срок от 2 до 5 лет Арест на срок до 6 месяцев Лишение свободы на срок до 4 лет с лишением права занимать определённые должности или заниматься определённой деятельностью на срок до 5 лет (ст. 137 УК РФ)

Нужна консультация по защите персональных данных?

Мы свяжемся с вами в ближайшее время, чтобы как можно скорее ответить на интересующие вопросы.

Спасибо! Мы свяжемся с вами в ближайшее время

Ответственность за нарушение
законодательства о персональных данных

Нужна ли вашей организации подготовка документов по 152-ФЗ?

Блок 1. Обрабатываете ли вы персональные данные?

Блок 2. Объём и характер обработки

Блок 3. Согласия субъектов

Блок 4. Уведомление Роскомнадзора

Блок 5. Что уже сделано?

Документы, скорее всего, не нужны

Документы нужны, но минимальный объём

Подготовка документов нужна в ближайшее время

Подготовка документов критически необходима прямо сейчас

Заполните форму и получите подробный отчёт

Спасибо! Заявка отправлена

Нужна консультация по защите персональных данных?

О компании

Услуги и обучение

Программы