В условиях стремительной цифровизации бизнес-процессов и государственного управления вопросы защиты информации выходят на первый план. Особую актуальность приобретает конфиденциальность персональных данных (ПДн) при проведении различных видов проверок и инспекций контролирующими органами. С одной стороны, государство обязано осуществлять надзор за соблюдением законодательства, с другой — инспекции неизбежно сопряжены с доступом проверяющих к огромным массивам чувствительной информации граждан и сотрудников компаний.

Правовая база: основные регуляторы и законы

Общественные отношения в сфере обеспечения конфиденциальности информации и ее безопасности регулируются комплексом отраслевых норм: конституционного, гражданского и административного права. Фундаментом правового регулирования в России выступает Федеральный закон № 152-ФЗ «О персональных данных», главной целью которого является обеспечение защиты прав и свобод человека при обработке его данных.

Ключевыми ведомствами, осуществляющими надзор и инспекции в данной сфере, выступают:

• Роскомнадзор — основной регулятор. Проводит плановые и внеплановые проверки наличия документов, правильности обработки ПДн, а также работы сайтов операторов.
• ФСТЭК России — контролирует выполнение требований по обеспечению безопасности информации в государственных информационных системах и значимых объектах критической информационной инфраструктуры.
• ФСБ России — регулирует применение криптографии, использование сертифицированных средств защиты информации и шифровальных (криптографических) средств.

На международном уровне базовым актом, регулирующим принципы обработки и защиты ПДн при их автоматизированной обработке, остается Конвенция о защите физических лиц при автоматизированной обработке данных. Российское законодательство в области конфиденциальности и безопасности персональных данных приведено в соответствие с положениями данной Конвенции.

Специфика конфиденциальности при проведении проверок

Конфиденциальность в широком правовом смысле включает в себя обязанность не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта. В ходе инспекций этот принцип трансформируется в строгие правила поведения для проверяющих органов.

Обязанности проверяющих органов

В соответствии с законодательством, уполномоченный орган по защите прав субъектов персональных данных (и иные контролирующие инстанции), получивший доступ к ПДн в ходе осуществления своей деятельности, принимает меры по обеспечению их безопасности. Проверяющие лица обязаны:

1. Обеспечивать конфиденциальность персональных данных, ставших им известными в ходе проверки.
2. Не использовать полученную информацию в корыстных целях или для нанесения вреда субъектам ПДн.
3. Соблюдать режим секретности и ограниченного доступа к базам данных проверяемой организации.

Обязанности проверяемых организаций (операторов ПДн)

Для организаций инспекция Роскомнадзора или иных органов, это проверка того, как реализуется политика конфиденциальности. Оператор обязан:

• Иметь публично доступную Политику конфиденциальности, в которой раскрываются принципы и условия обработки ПДн.
• Разрешать доступ к персональным данным работников только специально уполномоченным лицам. Указанные лица должны получать только те ПДн, которые необходимы для выполнения конкретных трудовых функций.
• Обеспечивать хранение и обработку данных сотрудников исключительно на серверах, расположенных на территории РФ (согласно актуальным требованиям законодательства).
• Своевременно обновлять внутренние нормативные акты при изменении требований законодательства РФ к порядку обработки и обеспечению безопасности ПДн, в т.ч. по результатам предыдущих проверок органа по защите прав субъектов.

Исключения из правил: когда конфиденциальность не требуется

Важным правовым аспектом является то, что обеспечение конфиденциальности персональных данных не требуется в отношении общедоступных персональных данных. К ним относятся данные, полученные из общедоступных источников (например, открытые реестры, справочники), доступ к которым не ограничен законодательством. Однако даже при работе с общедоступными данными в ходе инспекции проверяющие не вправе объединять их с иной закрытой информацией без законных оснований.

Угрозы и санкции: последствия нарушений

Анализ нормативно-правовой базы показывает, что действующее законодательство нацелено на жесткий контроль за обработкой данных. Авторы правовых исследований выделяют основные угрозы целостности информации в ходе инспекций: утечки данных по вине сотрудников регуляторов, неправомерный доступ к базам данных, а также утрату материальных носителей.

Характерным для действующей нормативно-правовой базы РФ в сфере информационной безопасности является предоставление права компаниям и предпринимателям самостоятельно определять организационные и технические меры защиты, но в строгих рамках установленных требований. Несоблюдение правил конфиденциальности в ходе обработки (в т.ч. выявленное в ходе проверки) влечет за собой:

• Административные штрафы для юридических и должностных лиц по ст. 13.11 КоАП РФ.
• Предписания об устранении нарушений и блокировку обработки данных.
• В исключительных случаях — уголовную ответственность за неправомерный доступ к компьютерной информации или нарушение неприкосновенности частной жизни.

Конфиденциальность данных в ходе инспекций — это двусторонний процесс. С одной стороны, операторы персональных данных должны неукоснительно соблюдать требования 152-ФЗ, обеспечивать безопасность серверов, локализацию баз данных и четкое разграничение доступа внутри компании. С другой стороны, сами проверяющие органы выступают субъектами, несущими строгую ответственность за неразглашение информации, полученной в ходе надзорных мероприятий. Баланс этих интересов позволяет гарантировать конституционное право граждан на неприкосновенность частной жизни даже в условиях тотального государственного контроля за цифровыми процессами.