Правовая защита конфиденциальной информации кратко

Обновлено: 05.07.2024

Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных" (Закон о ПДн) защищает личную информацию от неправомерного разглашения.

Персональные данные — любая информация, которая позволяет опознать конкретную личность: данные паспорта, имя, номер телефона, результат измерения температуры тепловизором, фотография и даже свидетельство о смерти.

Перечень таких данных — открытый. Это означает, что любые сведения, позволяющие идентифицировать человека, можно отнести к ПДн.

Обеспечить неприкосновенность персональных данных должен каждый оператор: госструктуры, организации всех форм собственности и физлица (статья 19 Федерального закона о персональных данных N 152-ФЗ).

Операторы — государственные и муниципальные органы, любые компании, физические лица, которые собирают личную информацию и осуществляют иные операции по их обработке.

На практике требования Закона о ПДн касается каждой компании, в которой трудятся наёмные работники или используется работа call-центров, ведётся любая деятельность с использованием личной информации.

За работой операторов надзирает несколько ведомств:

Роскомнадзор.
Федеральная служба по техническому и экспортному контролю (ФСТЭК).
ФСБ России.
Прокуратура Российской Федерации.

Категории персональных данных

Персональные данные делятся на категории:

общая;
специальная;
биометрические данные;
обезличенные.

Общая категория. Информация, на основе которой можно опознать определённую личность: фамилия, дата и место рождения, пол, образование, материальное положение и др.

Этот перечень открытый.

Специальная категория. Некоторые данные обрабатывать запрещено: о расе, национальности, религии, состоянии здоровья.

Обработка специальных сведений возможна в исключительных ситуациях (для защиты жизненно важных интересов субъекта персональных данных и других лиц) с письменного согласия.

Биометрия. Позволяет идентифицировать человека по физическим особенностям организма, когда оператор использует их для аутентификации:

отпечатки пальцев;
ДНК;
сканирование сетчатки;
распознавание радужки.

Биометрию можно использовать только при наличии письменного согласия кроме некоторых случаев (для исполнения международных договоров, в интересах правосудия и т. п.).

Обезличенные. Информация обезличивается при обработке, в результате которой становится невозможно соотнести данные с определённым человеком.

Как обрабатывать ПДн

Единственный способ избежать претензий Роскомнадзора и внушительных штрафов, которые могут достигать 18 млн р. — правильно организовать защиту и обработку личной информации.

Обработка персональных данных — любые действия с информацией о личности, выполняемые как с применением средств автоматизации, так и без них: сбор, систематизация, обезличивание, иные операции.

Чтобы не нарушить законодательство, компании следует придерживаться ряда правил.

Уведомить Роскомнадзор перед тем, как приступить к обработке. Уведомлять не надо при операциях с конфиденциальными данными:
- сотрудников фирмы;
- при заключении договоров;
- в ряде других случаев (ч. 2 ст. 22 ФЗ N 152-ФЗ).
Разработать политику компании по обработке данных и разместить её в открытом доступе: на сайте или на видном месте в офисе (если сайта нет).
Определить цели работы с личными данными и работать с ними строго с заявленными целями.
Обрабатывать данные с применением баз данных, которые расположены на территории РФ.
Принять локальные акты, которые определяют правила проведения операции с личными данными. Законодательство не содержит перечень документов, которые обязана иметь компания.

Руководитель должен самостоятельно решить, какие локальные акты необходимо принять для данной компании, чтобы избежать претензий со стороны контролирующих органов.

регламент обработки данных;
правила компании по подбору персонала;
введение пропускного режима;
перечень мест хранения данных;
регламент уточнения, уничтожения ПДн.

Организация защиты персональных данных

Для защиты персональных данных применяют различные возможности:

Чтобы защитить ПО, требуется привлечь IT-специалистов, смоделировать угрозы, определить степень защищённости ПДн и обеспечить безопасность.

Чем грозит невыполнение требований по обработке персональных данных

За нарушение законодательства предусмотрен полный спектр юридической ответственности:

дисциплинарная — за неправомерную обработку данных работником компании;
гражданско-правовая — в виде возмещения убытков, компенсации морального вреда;
административная — когда это предусмотрено Кодексом об административных правонарушениях;
уголовная — за причинение вреда наиболее охраняемым общественным интересам.

Наиболее частое наказание — назначение административного штрафа.

Статья 13.11 КоАП РФ устанавливает девять составов правонарушений, в числе которых ответственность за обработку данных, когда это не предусмотрено законом; с отступлением от заявленных компанией целей и другие неправомерные действия.

За виновные действия предусмотрено наказание, минимальный и максимальный размер которого приведён в таблице.

Размер штрафа	Граждане	Должностные лица	Юрлица и индивидуальные предприниматели
Минимальный	Предупреждение или Штраф 1 – 3 тыс. р.	Штраф 5 – 10 тыс. р.	Штраф 30 – 50 тыс. р.
Максимальный	Штраф 30 – 50 тыс.р.	Штраф 100 – 200 тыс. р.	Штраф 1 – 6 млн р.
За повторное нарушение	Штраф 50 – 100 тыс. р.	Штраф 500 – 800 тыс. р.	Штраф 6 – 18 млн р.

Основные нормативные документы, касающиеся обработки персональных данных

Основная трудность, с которой сталкиваются компании при организации защиты персональной информации, заключается в том, что требования к обработке ПДн установлены не только федеральными законами, но и во множестве ведомственных подзаконных нормативных актов.

Принципы защиты персональной информации, требования к операторам и правила обработки установлены в:

Конвенция устанавливает основные принципы и обязанности каждого государства – участника Конвенции, обеспечить соблюдение основных прав и свобод человека и неприкосновенность частной жизни.

от 27 апреля 2016 г. о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных, а также об отмене Директивы 95/46 / EC.

Больше известен как GDPR – General Data Protection Regulation. Актуален для компаний, которые ведут деятельность с участием европейских партнёров.

ФЗ даёт определение понятий, устанавливает принципы и условия обработки ПДн, права субъектов, личные данные которых обрабатываются, обязанности операторов, определяет уполномоченный орган и устанавливает ответственность за нарушения.

Указ перечисляет общие критерии, по которым информацию можно отнести к персональным данным.

Постановление определяет уровни защищённости информации и раскрывает содержание мер, которые обеспечивают безопасную обработку конфиденциальных данных.

Приказ устанавливает правила обезличивания информации.

Приказом утверждён перечень организационных и технических мер по обеспечению безопасности ПДн.

Кроме того, положения о защите конфиденциальной информации установлены в других федеральных законах; регламентах, приказах, инструкциях министерств и ведомств.

Назначение ответственных за организацию защиты данных

Оператор должен назначить ответственного за операции с конфиденциальными данными.

Ответственное лицо обязано:

контролировать соблюдение законодательства в сфере защиты ПДн оператором и работниками;
информировать работников о правилах обработки конфиденциальных данных;
вести приём и обработку обращений субъектов ПДн.

В российских организациях, которые ведут деятельность в странах ЕС, должен быть назначен ответственный по защите данных — DPO.

Ответственным лицом может быть назначен сотрудник — руководитель компании, юротдела, других подразделений, либо стороннее лицо — независимый эксперт или фирма.

Порядок оформления доступа к персональным данным лица, осуществляющего обработку персональных данных

Во время проверок контролирующие органы уделяют внимание документам, которые регулируют политику компании по обработке ПДн, достаточности мер защиты от неправомерного использования информации, правилам доступа к конфиденциальной информации.

Поэтому компания должна правильно оформить лицо, ответственное за обработку данных:

Издать приказ о назначении ответственного лица и ознакомить с приказом сотрудника под подпись.
Внести соответствующие дополнения в должностную инструкцию и (или) трудовой договор.
Если до назначения сотрудника за безопасность ПДн отвечали другие работники, издать приказ и снять с них ответственность за организацию обработки информации. При этом обязанность работников не разглашать данные необходимо сохранить.
Составить перечень работников, которые допущены к обработке данных и утвердить перечень приказом.
Со всеми приказами работники должны быть ознакомлены под подпись.

Вывод

С каждым годом контроль по стороны Роскомнадзора становится всё жёстче, а ответственность операторов — выше:

Период	Выписано протоколов	Сумма штрафов
2018 г.	156	437 тыс. рублей.
2019 г.	215	1 млн 99 тыс. рублей

Из таблицы видно, что в 2019 году привлечение к административной ответственности выросло на 22 % по сравнению с предыдущим годом.

В 2020 году ситуация обострилась: ответственность за некорректную обработку персональных данных ужесточилась. Более того, индивидуальных предпринимателей по объёму ответственности приравняли к юридическим лицам.

Только строгое следование требованиям закона при обработке конфиденциальной информации позволит избежать нарушений и привлечения к ответственности.

Многие юридические лица при взаимодействии с клиентами, партнерами, подрядчиками и сотрудниками стремятся защитить конфиденциальную информацию, представляющую ценность для бизнеса. Для этого в подавляющем большинстве случаев используется соглашение о неразглашении информации (Non-disclosure agreement, NDA).

В Россию данное соглашение пришло из практики зарубежных технологических компаний. Как правило, в соглашении NDA стороны определяют общие положения о сохранении конфиденциальности, а также устанавливают ответственность в виде штрафа и (или) компенсации убытков, возникших в результате распространения (утечки) конфиденциальных сведений.

Однако насколько такой инструмент применим на практике с учетом норм российского законодательства? Позволяет ли он в достаточной мере защитить права и интересы передающей информацию стороны? Попробуем разобраться.

Само по себе соглашение о конфиденциальности в России, в отличие от стран англо-саксонского права, находится исключительно в рамках гражданско-правовых отношений и носит преимущественно декларативный характер. Это означает, что на практике передающая информацию сторона может рассчитывать разве что на добросовестность получающей стороны, нежели реально защитить свои законные интересы в случае нарушения договоренностей.

Во-вторых, как следствие указанных причин, отсутствует сложившаяся положительная правоприменительная и судебная практика по данному способу защиты права. В большинстве споров, если сторона ссылается на заключенное соглашение о конфиденциальности, суды считают нарушение соглашения недоказанным – как раз вследствие размытости определений и отсутствия конкретных условий соблюдения специального режима.

Указом Президента РФ от 6 марта 1997 г. № 188 утвержден Перечень сведений конфиденциального характера, содержащий отдельные правовые режимы защиты информации, – в частности, адвокатскую тайну, тайну следствия и другие спецрежимы. Фактически данным документом определен закрытый перечень случаев, когда доступ к информации признается ограниченным в силу законодательства.

Коммерческая тайна – особый правовой режим, который охраняется на уровне федерального законодательства и может предусматривать не только гражданско-правовую, но и административную или уголовную ответственность за его нарушение.

К информации, составляющей коммерческую тайну, относятся сведения любого характера (производственные, технические, экономические, организационные и др.), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также о способах осуществления профессиональной деятельности, имеющие действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у последних нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны. Объекты коммерческой тайны должны соответствовать определенному перечню критериев, ключевыми из которых являются:

индивидуальная определенность – возможность разграничить, отделить конфиденциальную информацию от общеизвестной (находящейся в открытом или публичном доступе). Если нельзя определить, какая конкретно информация является конфиденциальной, режим коммерческой тайны не применим;
определенность круга лиц, имеющих доступ к коммерческой тайне, – возможность определить ограниченный перечень лиц, знакомых с такой информацией. Если информация известна неограниченному или неопределенному кругу лиц, она не может быть отнесена к коммерческой тайне;
наличие мер по охране информации – должны быть введены конкретные и определенные меры защиты информации с ограниченным доступом. Если информация никак не охраняется, она не может быть защищена.

Особо стоит отметить, что законодательством предусмотрена ответственность для нарушителей коммерческой тайны:

Поскольку коммерческая тайна – прямо урегулированный законом инструмент защиты, то с целью соответствия требованиям законодательства разработан перечень документов для введения режима коммерческой тайны на предприятии. В него входят:

соглашение о коммерческой тайне – устанавливает основные права и обязанности сторон, порядок обращения с информацией, составляющей коммерческую тайну и ответственность за его нарушение. Содержит форму Журнала учета лиц, получивших доступ к информации, составляющей коммерческую тайну. Соглашение должно быть универсально применимым – составленным таким образом, что его не требуется адаптировать под каждый отдельный проект;
положение о коммерческой тайне – локальный нормативный акт, устанавливающий режим коммерческой тайны в организации, порядок его применения и контроля, а также ответственность за нарушение такого режима;
форма соглашения о коммерческой тайне с работниками организаций – дополнительное соглашение к трудовому договору для работников, имеющих доступ к информации, составляющей коммерческую тайну, а также форма расписки о получении доступа к ней;
форма соглашения о коммерческой тайне с третьими лицами, допущенными к коммерческой тайне, – соглашение, содержащие порядок обращения с информацией, составляющей коммерческую тайну, а также форма расписки о получении доступа к ней.

Таким образом, для реальной защиты конфиденциальных сведений целесообразно, на мой взгляд, использовать именно институт коммерческой тайны. К сожалению, соглашение о конфиденциальности (NDA) эффективным способом защиты информации с ограниченным доступом не является.

Как показывает судебная практика, при наличии введенного режима коммерческой тайны и применении соответствующего комплекса мер по защите конфиденциальной информации есть реальная возможность привлечь нарушителя к ответственности. Например, в деле № А71-23503/2018 суд признал, что истцом принимались разумные и достаточные меры для защиты ноу-хау, а сама информация имела коммерческую ценность в силу неизвестности третьим лицам, и взыскал с ответчика убытки в размере свыше 5,5 млн руб.

По делу № А45-47738/2018 с ответчика – индивидуального предпринимателя был взыскан штраф по агентскому договору. Суд установил, что на предприятии (являющемся принципалом по договору) был введен режим коммерческой тайны. Соглашением сторон был прямо предусмотрен штраф в 200 тыс. руб. за нарушение условий соглашения. Также суд получил подтверждение, что режим конфиденциальности был нарушен ответчиком, предоставившим информацию о заказчике истца и сути его запроса конкуренту компании. В то же время суд снизил сумму штрафа до 100 тыс. руб., сославшись на ст. 333 ГК РФ, аргументируя единичным характером нарушения и отсутствием убытков у ответчика.

Решением Кировского районного суда г. Уфы Республики Башкортостан от 20 августа 2020 г. по делу № 2-5196/2020 с бывшего директора компании были взысканы убытки в 3 млн руб., причиненные незаконным использованием коммерческой тайны.

В России действуют законы, где описано, как правильно работать с информацией: кто отвечает за ее сохранность, как ее собирать, обрабатывать, хранить и распространять. Стоит знать их, чтобы случайно что-нибудь не нарушить.

Мы собрали для вас пять основных ФЗ о защите информации и информационной безопасности и кратко рассказали их ключевые моменты.

В 149-ФЗ сказано, какая информация считается конфиденциальной, а какая — общедоступной, когда и как можно ограничивать доступ к информации, как происходит обмен данными. Также именно здесь прописаны основные требования к защите информации и ответственность за нарушения при работе с ней.

Ключевые моменты закона об информационной безопасности:

Нельзя собирать и распространять информацию о жизни человека без его согласия.
Все информационные технологии равнозначны — нельзя обязать компанию использовать какие-то конкретные технологии для создания информационной системы.
Есть информация, к которой нельзя ограничивать доступ, например сведения о состоянии окружающей среды.
Некоторую информацию распространять запрещено, например ту, которая пропагандирует насилие или нетерпимость.
Тот, кто хранит информацию, обязан ее защищать, например, предотвращать доступ к ней третьих лиц.
У государства есть реестр запрещенных сайтов. Роскомнадзор может вносить туда сайты, на которых хранится информация, запрещенная к распространению на территории РФ.
Владелец заблокированного сайта может удалить незаконную информацию и сообщить об этом в Роскомнадзор — тогда его сайт разблокируют.

Ключевые моменты закона:

Перед сбором и обработкой персональных данных нужно спрашивать согласие их владельца.
Для защиты информации закон обязывает собирать персональные данные только с конкретной целью.
Если вы собираете персональные данные, то обязаны держать их в секрете и защищать от посторонних.
Если владелец персональных данных потребует их удалить, вы обязаны сразу же это сделать.
Если вы работаете с персональными данными, то обязаны хранить и обрабатывать их в базах на территории Российской Федерации. При этом данные можно передавать за границу при соблюдении определенных условий, прописанных в законе — жесткого запрета на трансграничную передачу данных нет.

Серверы облачной платформы VK Cloud Solutions (бывш. MCS) находятся на территории РФ и соответствуют всем требованиям 152-ФЗ. В публичном облаке VKможно хранить персональные данные в соответствии с УЗ-2, 3 и 4. Для хранения данных с УЗ-2 и УЗ-1 также есть возможность сертификации, как в формате частного облака, так и на изолированном выделенном гипервизоре в ЦОДе VK.

При построении гибридной инфраструктуры для хранения персональных данных на платформе VK Cloud Solutions (бывш. MCS) вы получаете облачную инфраструктуру, уже соответствующую всем требованиям законодательства. При этом частный контур нужно аттестовать, в этом могут помочь специалисты VK, что позволит быстрее пройти необходимые процедуры.

Этот закон определяет, что такое коммерческая тайна, как ее охранять и что будет, если передать ее посторонним. В нем сказано, что коммерческой тайной считается информация, которая помогает компании увеличить доходы, избежать расходов или получить любую коммерческую выгоду.

Ключевые моменты закона о защите информации компании:

Обладатель информации сам решает, является она коммерческой тайной или нет. Для этого он составляет документ — перечень информации, составляющей коммерческую тайну.
Некоторые сведения нельзя причислять к коммерческой тайне, например, информацию об учредителе фирмы или численности работников.
Государство может затребовать у компании коммерческую тайну по веской причине, например, если есть подозрение, что компания нарушает закон. Компания обязана предоставить эту информацию.
Компания обязана защищать свою коммерческую тайну и вести учет лиц, которым доступна эта информация.
Если кто-то разглашает коммерческую тайну, его можно уволить, назначить штраф или привлечь к уголовной ответственности.

Этот закон касается электронной подписи — цифрового аналога физической подписи, который помогает подтвердить подлинность информации и избежать ее искажения и подделки. Закон определяет, что такое электронная подпись, какую юридическую силу она имеет и в каких сферах ее можно использовать.

Ключевые моменты закона:

Для создания электронной подписи можно использовать любые программы и технические средства, которые обеспечивают надежность подписи. Вы не обязаны использовать для этого какое-то конкретное государственное ПО.
Подписи бывают простые, усиленные неквалифицированные и усиленные квалифицированные. У них разные технические особенности, разные сферы применения и разный юридический вес. Самые надежные — усиленные квалифицированные подписи, они полностью аналогичны физической подписи на документе.
Те, кто работает с квалифицированной подписью, обязаны держать в тайне ключ подписи.
Выдавать электронные подписи и сертификаты, подтверждающие их действительность, может только специальный удостоверяющий центр.

Этот закон касается компаний, которые работают в сферах, критически важных для жизни государства — таких, что сбой в их работе отразится на здоровье, безопасности и комфорте граждан России.

К таким сферам относится здравоохранение, наука, транспорт, связь, энергетика, банки, топливная промышленность, атомная энергетика, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность и химическая промышленность. Также сюда относят компании, которые обеспечивают работу предприятий из этих сфер, например, предоставляют оборудование в аренду или разрабатывают для них ПО.

Если на предприятии из этой сферы будет простой, это негативно отразится на жизни всего государства. Поэтому к IT-инфраструктуре и безопасности информационных систем на этих предприятиях предъявляют особые требования.

Ключевые моменты закона об информационной безопасности критически важных структур:

В век высоких технологий и молниеносного обмена информацией крайне сложно что-то утаить. Особенно информацию организации, в которой большое количество работников. Даже если доступ к таким данным имеет только один работник, конфиденциальность сохраняется лишь до поры до времени – обмен информацией заложен в человеческой природе. Поэтому так важно сохранить ее конфиденциальность.

СВЕДЕНИЯ КОНФИДЕНЦИАЛЬНОГО ХАРАКТЕРА

Перечень сведений конфиденциального характера утвержден Указом Президента Российской Федерации от 06.03.1997 № 188. Согласно этому документу к конфиденциальной информации относятся сведения:

ТАЙНЫ БЫВАЮТ РАЗНЫЕ…

Тайна в широком смысле этого слова – конфиденциальная информация, распространение которой возможно лишь в определенных ситуациях.

Иными словами, информация – это не только документы или файлы с какими-то данными. Информация – это все, что нас окружает: услышанное на переговорах и совещаниях, увиденное в документах на различных носителях – как материальных, так и электронных, написанное собственноручно или напечатанное с помощью технических средств, нарисованное или начерченное в любом виде и пр.

То есть то, что мы видим, слышим, созерцаем, и есть информация, представленная в самых разнообразных формах. Федеральный закон № 149-ФЗ также дает определение конфиденциальности информации, понимая под этим обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя (п. 7 ст. 2).

Поскольку нас интересует соблюдение тайны работниками организации, перечислим виды тайн (с указанием НПА, их регулирующих), которые чаще всего встречаются в организациях:

• информация о содержании корпоративного договора, заключенного участниками непубличного общества (ст. 67.2 Ч. 1 ГК РФ);

• информация о новых решениях и технических знаниях, если она получена сторонами по договору подряда (ст. 727 Ч. 2 Гражданского кодекса РФ);

• сведения, касающиеся предмета договоров на выполнение научно-исследовательских работ, опытно-конструкторских и технологических работ, хода их исполнения и полученных результатов, если иное не предусмотрено договорами (ст. 771 Ч. 2 ГК РФ);

Читайте также: