Поможет ли «специальный оператор» защите персональной информации

ИТ-комитет Госдумы, Роскомнадзор и Минцифры прорабатывают вопрос создания «спецоператора обработки персональных данных», сообщил глава комитета Александр Хинштейн на ПМЭФ-2024. Появление «спецоператоров» потенциально интересно компаниям малого и среднего бизнеса, у которых недостаточно ресурсов на безопасную обработку и хранение персданных, однако не решит проблему утечек, считают эксперты. О новой законодательной инициативе – в материале RSpectr.

СТОЯНКА ДЛЯ ДАННЫХ

Депутат объяснил, что «спецоператор персональных данных» будет работать по принципу «условно банковского хранилища или автостоянки».

Александр Хинштейн, Госдума:

– Отдаешь персональные данные, и дальше ты спокоен за то, что их обрабатывает тот, кто в состоянии их защищать. Какие данные тебе требуются по защищенному каналу – они тебе предоставляются.

По его словам, сейчас «в России более 5 млн юридических лиц, включая ИП, каждое из них является оператором персданных».

Депутат уверен, что значительная часть из них не может качественно защищать личную информацию клиентов.

Мнения опрошенных RSpectr экспертов и участников рынка разделились.

Введение категории «спецоператор обработки персданных» позволит бизнесу сосредоточиться на своей основной деятельности, будучи уверенным в том, что данные хранятся в защищенном месте, прокомментировал член Комитета Совета Федерации по конституционному законодательству и государственному строительству Артем Шейкин.

Действительно, сейчас обсуждается вопрос создания отдельной категории доверенных операторов персональных данных (ПД), которые в обязательном порядке проходили бы специальную аккредитацию и получали право на работу с данными только при соответствии определенным критериям, отметил член ИТ-комитета Госдумы Антон Немкин.

Депутат подчеркнул, что спецоператоры должны иметь надежную инфраструктуру для хранения и обработки информации, квалифицированных сотрудников и не быть замеченными в киберинцидентах.

Антон Немкин, Госдума:

– Бизнесу такие спецоператоры, безусловно, нужны. Сейчас по схожей схеме, например, работает Единая биометрическая система (ЕБС), в которой хранятся все биометрические данные наших граждан, а компании работают только с их векторами.

Кроме того, продолжает обсуждаться вопрос о необходимости иметь доверенным операторам своего рода «страховку» на случай утечки, продолжил депутат. В частности, у них должна быть возможность выплатить назначенные административные штрафы. Это нужно для того, чтобы избежать ситуации, когда «компании назначен штраф до 15 млн рублей, а она ничего кроме банкротства и ликвидации не может предложить».

Этим, к слову, обеспокоены сегодня почти 70% компаний из сегмента малого и среднего бизнеса.

Бизнесу не нужны спецоператоры обработки ПД, полагает основатель Privacy Advocates Алексей Мунтян. По его мнению, пример ЕБС и ее спецоператора – Центр биометрических технологий – сложно назвать удачным.

Алексей Мунтян, Privacy Advocates:

– Представители бизнеса часто жалуются на задержки с предоставлением данных из ЕБС, а также на производительность этой системы. И такая же ситуация может получиться и со спецоператором по обработке ПД, если он будет в единственном числе.

Сегодня возможно перераспределить работу по обработке, хранению и защите ПД сторонним операторам, продолжил эксперт. Например, такую роль выполняет портал «Госуслуги», органы исполнительной власти, подчеркнул бизнес-консультант по информационной безопасности Positive Technologies Алексей Лукацкий.

Алексей Лукацкий, Positive Technologies:

– Однако передача функций не снимает ответственности с оператора персональных данных. Он по-прежнему несет ответственность за защиту информации, даже если утечка произошла у стороннего лица, осуществляющего ее обработку или хранение. Оператор ПД обязан убедиться, что все задействованные в обработке и хранении данных юридические лица выполняли требования безопасности.

Таким образом, полагает эксперт, «введение категории «спецоператор обработки персональных данных», скорее всего, не решит проблемы безопасности ПД и не оптимизирует действующую систему ответственности».

«Не могу себе представить, зачем может быть нужен такой “спецоператор”», – посетовал управляющий партнер «Емельянников, Попова и партнеры» Михаил Емельянников. Субъект передает ПД банку для оказания банковских услуг, страховой компании – для заключения и исполнения договора страхования, поликлинике – для получения медицинских услуг и т.д.

Михаил Емельянников, «Емельянников, Попова и партнеры»:

– Разве может «спецоператор» обрабатывать эти данные вместо банка, страховой компании или медицинского учреждения? Конечно, нет. Зачем же тогда нужно создавать еще одно хранилище данных, которое сразу же станет лакомой целью для хакеров, потому что в одном месте будет сконцентрировано огромное количество самых разнообразных данных?

Конкретным операторам такой спецоператор не нужен, не нужен он и субъектам, полагает эксперт.

Бизнес сам способен решить, есть ли необходимость в таких «спецоператорах», уверен управляющий партнер Comply Артем Дмитриев.

Артем Дмитриев, Comply:

– Я ни разу не слышал от бизнеса и ассоциаций таких мыслей. Хотя, допускаю, что малый бизнес и, возможно, B2B средний бизнес будут не против снять с себя часть рисков, лишившись при этом своего «экономического титула» на данные.

Но пока вопросов больше, чем ответов, считает эксперт. Например, по каким правилам будет осуществляться взаимодействие между бизнесом и «спецоператором»?