Зачем участники рынка создают стандарты работы с персональными данными

Ассоциация компаний по защите и хранению персональных данных заявила о создании единого межотраслевого стандарта защиты и хранения личной информации. К стандарту защиты данных, разработанному в Ассоциации больших данных (АБД), уже присоединился крупный бизнес. Как эти нормы коррелируют с инициативами Роскомнадзора в сфере хранения и защиты персональных данных – в материале RSpectr.

ПРИНЦИП МИНИМИЗАЦИИ

О необходимости разработки отраслевых стандартов работы с персональными данными в октябре этого года заявил заместитель руководителя Роскомнадзора Милош Вагнер. «Разрабатываться они должны по итогам тщательного исследования каждой отрасли, изучения обоснованных потребностей субъектов правоотношений в тех или иных персональных данных», – подчеркнул он.

Сегодня одно из самых распространенных правовых оснований для сбора персональных данных – согласие человека. При этом, обратили внимание RSpectr в пресс-службе Роскомнадзора, фактически человек лишен возможности выбора, а значит, согласие недобровольное. Это приводит к непропорциональному сбору данных в интересах организаций.

Пресс-служба, Роскомнадзор:

– Нередко организация накапливают данные о гражданах «на всякий случай», без четкой цели их дальнейшего использования. При этом Закон «О персональных данных» говорит о том, что должны соблюдаться принципы работы с данными: целеполагание и удаление после достижения цели.

Поэтому, подчеркнули в ведомстве, необходимо составить стандартизированные шаблоны для сбора персональных данных по отраслям. Так, профильным ведомствам целесообразно сформулировать и контролировать, какой конкретно набор данных действительно минимально необходим для достижения тех или иных целей, каковы особенности работы в каждом конкретном случае. Это снизит количество накапливаемой избыточной информации и, соответственно, ущерб для человека в случае ее компрометации.

«На данном этапе Роскомнадзор предложил профильным министерствам составить стандартизированные шаблоны для сбора персональных данных по отраслям и провести общую ревизию правовых оснований для сбора этой информации», – сообщили в ведомстве.

Утечка данных – это финальная стадия неосмотрительности при работе с персональными данными. Меры безопасности надо принимать еще до сбора данных. Одна из таких мер – это передача обработки и защиты персданных на аутсорсинг.

«У государства должны быть крупные доверенные партнеры в информационном пространстве, которые брали бы на себя защиту персональных данных, следили за соблюдением принципов работы с личной информацией. На данном этапе депутаты обсуждают с уполномоченными органами власти варианты такого регулирования», – отметили в ведомстве.

При этом предлагаемые Роскомнадзором отраслевые стандарты и инициативы АБД имеют разный предмет регулирования и не зависят друг от друга, подчеркнули в пресс-службе.

ОТВЕТСТВЕННОЕ ОТНОШЕНИЕ

Подписание стандарта – важный шаг, демонстрирующий высокий уровень ответственности компании по отношению к информационной безопасности обрабатываемых данных и построению процесса по ее обеспечению, отметили в пресс-службе АБД.

Пресс-служба, Ассоциация больших данных:

– Практическое применение стандарта большим количеством компаний позволит оптимизировать и усовершенствовать данный инструмент, а также сформировать паттерны информационной безопасности в рамках культуры ведения и построения бизнеса.

«С учетом большого числа утечек, а также ужесточений в законодательстве для многих компаний остро встает вопрос наличия единого достоверного источника, рассказывающего обо всех необходимых мерах по защите данных», – прокомментировал RSpectr председатель Аcсоциации компаний по защите и хранению персональных данных Александр Сильченко.

Александр Сильченко, Ассоциация компаний по защите и хранению персональных данных:

– Именно поэтому мы хотим разработать единый межотраслевой стандарт защиты данных для широкого круга компаний, включая как малые и средние предприятия, так и большие корпорации, а также стандарты для профессиональных участников рынка работы с данными – MarTech, AdTech, EdTech и подобного типа.

При этом стандарт должен быть простой, понятный, актуальный и позволяющий убрать до 80% угроз утечек при его правильном исполнении, уточнил эксперт.

По его словам, с коллегами из АБД стандарт будет синхронизирован, чтобы они как минимум не противоречили, а в идеале – дополняли и помогали друг другу.

«С институтом спецоператоров персональных данных для нас многое непонятно, в частности, окончательные критерии (оборот, персонал, специализированный софт) для таких спецоператоров и процесс взаимодействия их с «обычными» компаниями», – сообщил Александр Сильченко.

ДОСТУП К ЛУЧШИМ ПРАКТИКАМ

Профильные ассоциации создают свои стандарты по защите персданных для того, чтобы дать участникам возможность подтвердить свою добросовестность, отметил в беседе с RSpectr основатель Privacy Advocates Алексей Мунтян.

По его мнению, стандарты могут использоваться как в маркетинговых активностях, так и в судах, если произошла утечка персональной информации. Компания в этом случае может ссылаться на то, что не просто выполняла требования законодательства, но и учитывала различные отраслевые требования и рекомендации, существующие на рынке. Необязательно суд примет эти обстоятельства во внимание, однако как дополнительное независимое свидетельство это можно использовать.

Алексей Мунтян, Privacy Advocates:

– Еще один важный мотив связан с тем, что субъекты персональных данных стали уделять повышенное внимание их защите. Поэтому компании, имеющие такого рода подтверждения, могут демонстрировать свою надежность для граждан.

Наконец, обращает внимание юрист, многие из крупных компаний, которые входят в отраслевые ассоциации, сами являются сервис-провайдерами и конкурируют за корпоративных клиентов, которые также обеспокоены вопросами защищенности данных. По его мнению, компании также демонстрируют добросовестность в области защиты корпоративных персданных.

Стандарты, которые разрабатывают профильные ассоциации, действительно нужны рынку, уверен основатель «Б-152» Максим Лагутин.

Максим Лагутин, «Б-152»:

– К сожалению, не так много разъяснений от регуляторов и лучших практик на российском рынке, и компании вынуждены ориентироваться на законодательные акты других стран. Появление стандартов в России позволяет бизнесу получить доступ к лучшим мировым практикам в области защиты персональных данных.

При этом важно, чтобы стандарты были именно отраслевыми ориентирами для специалистов, резюмировал юрист.