Основные надзорные органы в сфере защиты персональных данных

Система государственного контроля за обработкой персональных данных включает несколько ведомств. Их полномочия различаются в зависимости от характера нарушения, используемых технологий и сферы деятельности организации.

Роскомнадзор — основной регулятор в сфере персональных данных

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является одним из ключевых органов контроля за соблюдением законодательства о персональных данных.

К основным направлениям её деятельности относятся:

• контроль законности сбора и обработки персональных данных;

• ведение реестра операторов персональных данных;

• проверка соблюдения прав граждан;

• контроль наличия необходимых документов, включая политику обработки персональных данных;

• рассмотрение обращений и жалоб граждан;

• принятие предусмотренных законодательством мер при выявлении нарушений.

Например, если организация собирает сведения о клиентах без надлежащего правового основания, не обеспечивает возможность реализации прав субъектов данных или допускает неправомерное распространение информации, Роскомнадзор может провести проверочные мероприятия в пределах своих полномочий.
Таким образом, Роскомнадзор прежде всего контролирует соблюдение правовых требований к обработке персональных данных.

ФСТЭК России — техническая защита информации

Федеральная служба по техническому и экспортному контролю отвечает за контроль и регулирование ряда вопросов технической защиты информации, в том числе в информационных системах персональных данных. Её деятельность связана с обеспечением безопасности информационных систем и предотвращением несанкционированного доступа к информации.

К основным направлениям технической защиты относятся:

• разграничение прав доступа сотрудников;

• применение средств защиты информации;

• использование антивирусных решений и межсетевых экранов;

• резервное копирование данных;

• регистрация и анализ действий пользователей;

• контроль целостности информации;

• соблюдение установленных требований к защищённости информационных систем.

При этом необходимо учитывать, что ФСТЭК не подменяет Роскомнадзор и не осуществляет весь надзор за обработкой персональных данных. Её участие зависит от применимых требований и особенностей информационной системы.

ФСБ России — криптографическая защита информации

Федеральная служба безопасности России участвует в регулировании вопросов, связанных с использованием средств криптографической защиты информации и выполнением установленных требований к шифрованию.

Криптографические технологии позволяют защищать информацию при хранении и передаче, затрудняя её прочтение посторонними лицами.

В соответствующих случаях контроль ФСБ России связан со следующими направлениями:

• использованием криптографической защиты информации;

• применением установленных алгоритмов и сертифицированных решений;

• защитой каналов передачи данных;

• соблюдением требований к хранению и использованию криптографических ключей;

• лицензированием отдельных видов деятельности в области криптографической защиты.

Особое значение эти меры имеют для государственных информационных систем, финансового сектора и других организаций, деятельность которых предполагает выполнение специальных требований к защите информации.

Центральный банк России — защита данных в финансовом секторе

Банки, страховые организации и другие участники финансового рынка обрабатывают значительные объёмы информации о клиентах. Поэтому защита данных в этой сфере требует соблюдения специальных требований к информационной безопасности. Банк России контролирует соблюдение обязательных требований в пределах своих полномочий, уделяя внимание устойчивости финансовой инфраструктуры и защите информации.

Для финансовых организаций важны:

• обеспечение безопасности банковских информационных систем;

• защита сведений о клиентах и финансовых операциях;

• управление рисками информационной безопасности;

• предотвращение несанкционированного доступа;

• соблюдение требований к работе с информационными системами и платёжными сервисами.

Таким образом, деятельность Центрального банка дополняет общую систему регулирования защиты данных в финансовой сфере.

Минцифры России — развитие цифровой инфраструктуры

Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации участвует в формировании и развитии цифровой инфраструктуры, включая государственные информационные системы и платформы, в рамках которых может осуществляться обработка персональных данных. Значение ведомства связано с развитием цифровых государственных сервисов, систем идентификации и инфраструктуры обмена информацией. При этом Минцифры не заменяет специализированные надзорные органы: его функции необходимо рассматривать в контексте установленных полномочий по развитию и регулированию цифровой среды.

Прокуратура — надзор за соблюдением закона

Прокуратура Российской Федерации осуществляет надзор за соблюдением законодательства и защитой прав граждан. Она может подключаться к рассмотрению ситуаций, связанных с нарушением правил обработки персональных данных.  Основаниями для вмешательства могут стать обращения граждан, сведения о нарушениях закона или необходимость проверки исполнения требований уполномоченных органов. Прокуратура вправе применять предусмотренные законодательством меры реагирования в пределах своей компетенции. При наличии соответствующих оснований материалы могут направляться в другие уполномоченные органы.
Таким образом, прокуратура обеспечивает дополнительный уровень контроля за соблюдением законности в сфере защиты персональных данных.

Как работают механизмы надзора

Контроль за обработкой персональных данных осуществляется посредством нескольких взаимосвязанных механизмов.

Первое направление — профилактика и учёт.

Организации и индивидуальные предприниматели должны определять правовые основания обработки данных, соблюдать установленные законом обязанности и принимать необходимые меры защиты. В предусмотренных законодательством случаях оператор обязан направить уведомление в Роскомнадзор. Также необходимо обеспечить доступность информации об обработке данных и соблюдать требования к получению согласия, когда оно требуется.

Второе направление — проверки.

Надзорные органы могут проверять соблюдение требований законодательства и безопасности информации в пределах своих полномочий. Проверочные мероприятия могут быть связаны с обращениями граждан, выявленными признаками нарушений и другими предусмотренными законом основаниями. Формы и порядок контроля зависят от конкретного ведомства и действующего законодательства.

Третье направление — реагирование на нарушения.

Если выявлены незаконная обработка, неправомерное распространение или недостаточная защита информации, уполномоченные органы могут применять предусмотренные законом меры. В зависимости от обстоятельств это могут быть предписания об устранении нарушений, административное производство или передача материалов в компетентные органы.

Четвёртое направление — взаимодействие ведомств.

Сложные инциденты нередко затрагивают несколько областей регулирования. Например, при утечке персональных данных могут одновременно возникнуть вопросы законности обработки, технической защищённости системы и соблюдения отраслевых требований. В подобных ситуациях несколько органов могут участвовать в проверке в пределах своей компетенции.
Порядок проведения проверок надзорными органами в сфере защиты персональных данных

Порядок проведения проверок зависит от полномочий конкретного государственного органа, характера предполагаемого нарушения и требований действующего законодательства.

Основания для проведения проверки

Проверочные мероприятия могут проводиться по различным основаниям. К наиболее распространённым относятся:

• поступление жалобы от гражданина, считающего, что его права в сфере персональных данных нарушены;

• обнаружение в открытом доступе сведений, которые могли стать результатом утечки информации;

• получение информации о возможной незаконной обработке или распространении персональных данных;

• выявление признаков несоблюдения требований законодательства в ходе мониторинга сайтов и цифровых сервисов;

• поступление материалов от прокуратуры или других уполномоченных органов.

Например, если гражданин обнаружил в интернете свои персональные данные, опубликованные без надлежащего правового основания, он может обратиться в Роскомнадзор. Полученная информация может стать основанием для рассмотрения ситуации и принятия решения о необходимых контрольных мероприятиях.
Основные виды проверок

В зависимости от целей и оснований контроля выделяют несколько форм проверочных мероприятий.

Плановые проверки. Проводятся в соответствии с установленными правилами и предусмотренными законом планами. Их задача — оценить соблюдение организацией обязательных требований. Возможность и периодичность проведения таких проверок зависят от действующего законодательства и установленных ограничений на контрольную деятельность.

Внеплановые проверки. Могут быть связаны с поступившими жалобами, сообщениями об утечках и другими обстоятельствами, указывающими на возможное нарушение закона. Их проведение допускается при наличии предусмотренных законодательством оснований и с соблюдением установленной процедуры согласования, если оно требуется.

Документарные и дистанционные мероприятия. В ходе контроля могут изучаться документы оператора, сведения из государственных реестров, содержание официального сайта, формы согласия и политика обработки персональных данных. Использование дистанционных способов контроля позволяет выявлять отдельные признаки нарушений без первоначального выезда к организации.

Выездные проверки. Предполагают непосредственное изучение деятельности организации в установленном законом порядке. В зависимости от предмета проверки могут исследоваться документы, организация доступа к информационным системам, применяемые средства защиты и порядок работы сотрудников с персональными данными.
Конкретный вид мероприятия определяется уполномоченным органом с учётом его компетенции и правовых оснований.

Этапы проведения проверки

Процесс проверки можно представить в виде последовательности нескольких этапов.

Первый этап — выявление оснований и принятие решения. Надзорный орган получает информацию о возможном нарушении, оценивает её и определяет, имеются ли законные основания для проведения контрольного мероприятия.

Второй этап — подготовка к проверке. Определяются предмет и задачи контроля, устанавливается перечень необходимых сведений и документов. В зависимости от вида мероприятия оформляются предусмотренные законом документы и выполняются необходимые процедуры уведомления или согласования.

Третий этап — сбор и анализ информации. Надзорный орган изучает документы, регулирующие обработку персональных данных, проверяет наличие правовых оснований для их использования, оценивает соблюдение требований к хранению, передаче и удалению информации. При проверке технической защиты дополнительно рассматриваются применяемые организационные и технические меры безопасности.

Четвёртый этап — фиксация результатов. По итогам контрольных действий оформляются соответствующие документы, в которых отражаются установленные обстоятельства и выявленные нарушения, если они имеются. Организация получает возможность действовать в соответствии с предусмотренной законом процедурой, включая представление объяснений и возражений в установленных случаях.

Пятый этап — принятие мер реагирования. Если нарушения подтверждены, уполномоченный орган может применить предусмотренные законодательством меры: выдать предписание об устранении нарушений, инициировать административное производство или передать материалы в другой компетентный орган. Если нарушение не установлено, дальнейшие действия определяются результатами проведённого мероприятия.

Что проверяют надзорные органы

Содержание проверки зависит от ведомства и предмета контроля.

Роскомнадзор преимущественно оценивает правомерность обработки персональных данных. В частности, проверяются наличие законного основания обработки, соответствие целей сбора заявленным целям, оформление согласий в необходимых случаях, доступность политики обработки персональных данных, соблюдение требований к хранению и удалению информации, а также выполнение обязанностей оператора.

ФСТЭК России в пределах своих полномочий рассматривает вопросы технической и организационной защиты информации в информационных системах. Внимание может уделяться разграничению доступа, регистрации действий пользователей, резервному копированию, защите от вредоносного программного обеспечения и применению соответствующих средств защиты.

ФСБ России контролирует отдельные вопросы применения средств криптографической защиты информации, включая соблюдение специальных требований к использованию таких средств в предусмотренных законодательством случаях.

Прокуратура проверяет соблюдение законодательства в пределах общего надзора и может принимать меры реагирования при выявлении нарушений прав граждан.

В финансовом секторе контроль осуществляется также с учётом специальных требований, соблюдение которых проверяет Банк России в пределах своих полномочий.

Что происходит при обнаружении утечки персональных данных

Утечка персональных данных представляет собой серьёзный инцидент, требующий оперативного реагирования. Организация должна принять меры для локализации инцидента, предотвращения дальнейшего распространения информации и выяснения обстоятельств произошедшего. Оператор при выявлении утечки должен уведомить Роскомнадзор о факте инцидента и принятых мерах в течение 24 часов, а в течение 72 часов предоставить результаты внутреннего расследования.

В ходе дальнейшего рассмотрения могут выясняться причины инцидента, объём затронутых данных, обстоятельства их распространения и достаточность принятых мер защиты. В зависимости от ситуации к рассмотрению могут подключаться несколько ведомств.

В некоторых случаях одного ведомства недостаточно для всестороннего рассмотрения нарушения. Например, при массовой утечке персональных данных требуется оценить как законность их обработки, так и состояние технической защиты информационной системы.

В такой ситуации Роскомнадзор может рассматривать вопросы соблюдения законодательства о персональных данных, ФСТЭК России — вопросы технической защиты в пределах своих полномочий, ФСБ России — соответствующие аспекты криптографической защиты, а прокуратура — соблюдение закона в целом. Если инцидент затрагивает финансовую организацию, к рассмотрению могут подключаться и другие уполномоченные структуры.

Межведомственное взаимодействие позволяет комплексно оценить обстоятельства нарушения и определить необходимые меры реагирования.

Таким образом, проверки надзорных органов направлены не только на выявление нарушений и применение санкций, но и на обеспечение соблюдения прав граждан, повышение уровня информационной безопасности и предупреждение повторных инцидентов.

Как организации подготовиться к проверке

Подготовка к проверке должна быть частью постоянной работы по обеспечению безопасности персональных данных, а не разовой мерой перед визитом контролирующего органа.

Организации рекомендуется:

1. Поддерживать в актуальном состоянии документы, определяющие цели и основания обработки персональных данных.

2. Проверять наличие необходимых уведомлений, согласий и политики обработки персональных данных.

3. Обеспечивать соблюдение правил хранения, передачи и уничтожения информации.

4. Ограничивать доступ сотрудников к персональным данным в соответствии с их должностными обязанностями.

5. Поддерживать в рабочем состоянии средства технической защиты и вести предусмотренные учётные журналы.

6. Контролировать действия работников и подрядчиков, имеющих доступ к информационным системам.

7. Назначить ответственных за взаимодействие с надзорными органами.

8. Установить порядок реагирования на утечки и другие инциденты информационной безопасности.

Защита персональных данных представляет собой комплексную систему правовых, организационных и технических мер. Её эффективность зависит не от деятельности одного ведомства, а от взаимодействия нескольких государственных органов, каждый из которых отвечает за определённую область регулирования.