Сегодня многие компании обрабатывают персональные данные автоматически — с помощью программ и систем. Далее расскажем, как устроена такая обработка и какие правила нужно учитывать.
Что такое обработка персональных данных с использованием средств автоматизации
Обработка персональных данных с использованием средств автоматизации — это работа с личной информацией с помощью компьютеров и программ: данные собирают, хранят, меняют, передают или удаляют автоматически либо почти без участия человека.
Почему автоматизация обработки ПДн важна
Автоматизация обработки персональных данных позволяет быстрее и точнее работать с информацией, снижая количество ошибок при ее обработке. Информационные системы помогают централизованно хранить данные, контролировать доступ к ним и фиксировать все действия пользователей.
Законодательная основа
Обработка персональных данных с использованием средств автоматизации регулируется Федеральным законом №152-ФЗ «О персональных данных» и подзаконными актами.
Основные требования 152-ФЗ:
- Обработка данных должна быть законной и справедливой.
- Собирать и использовать данные можно только для заранее обозначенных законных целей — нельзя применять их для чего‑то другого.
- Нельзя объединять базы данных, если они созданы для разных целей.
- Нужно собирать только те данные, которые действительно необходимы.
- Данные должны быть точными, полными и актуальными (если это важно для цели обработки).
- Хранить данные можно лишь столько, сколько нужно для выполнения задачи, — и так, чтобы можно было понять, кому они принадлежат.
- Как только цель достигнута или данные больше не нужны, их надо удалить либо обезличить.
Также действуют другие постановления Правительства РФ, указы Президента РФ и международные договоры, ратифицированные Россией.
Что считается средствами автоматизации
К средствам автоматизации относятся технические и программные средства, с помощью которых осуществляется обработка персональных данных без непосредственного ручного выполнения всех операций:
- компьютеры, серверы и другие вычислительные устройства;
- базы данных и системы управления базами данных;
- информационные системы организаций;
- CRM-системы и корпоративные программы учета;
- веб-сайты, интернет-порталы и онлайн-сервисы;
- мобильные приложения;
- специализированное программное обеспечение для обработки и хранения данных.
Классификация способов обработки
Обработка ПДн может осуществляться тремя способами:
- Автоматизированная обработка — с использованием информационных систем, ПО и компьютерной техники.
- Неавтоматизированная обработка — ручная работа с бумажными документами и другими физическими носителями.
- Смешанная обработка — часть операций выполняется автоматически в информационных системах, а часть — вручную.
Обеспечение безопасности при автоматизации
При автоматизированной обработке персональных данных нужно соблюдать требования 152‑ФЗ. Конкретные меры защиты определяет приказ ФСТЭК России № 21, и они зависят от уровня защищенности информационной системы персональных данных (ИСПДн).
Этот уровень не выбирают произвольно: он определяется на основе того, какие и в каком объеме данные обрабатываются (например, данные сотрудников или клиентов), а всего таких уровней защищенности существует четыре.
Что сделать, чтобы защитить ПДн при автоматизации:
- Разграничьте права доступа. Доступ к данным должны получать только те сотрудники, которым он действительно нужен для работы.
- Используйте надежные средства защиты. Установите проверенные антивирусы и другие защитные программы.
- Внедрите проверку пользователей. Обеспечьте вход в систему по логину и паролю, а при необходимости — с дополнительной проверкой (код из СМС, отпечаток пальца и т. д.).
- Ведите журнал действий. Фиксируйте все события в системе: кто и когда заходил, какие данные просматривал и изменял.
- Защитите передачу данных. Шифруйте информацию при ее отправке, чтобы исключить перехват и чтение посторонними.
- Делайте резервные копии данных. Регулярно сохраняйте копии информации, чтобы можно было восстановить ее после сбоя, атаки или случайной потери.
- Обновляйте ПО. Своевременно устанавливайте обновления программ и системы — это закрывает уязвимости и снижает риски взлома.
- Введите организационные правила. Назначьте ответственных за защиту данных, разработайте четкие инструкции для сотрудников и регулярно проверяйте их соблюдение.
При запуске автоматизации сначала определите уровень защищенности ИСПДн, а потом подбирайте меры безопасности. Так вы не сэкономите на нужной защите и не потратите лишнего на ненужной.
Кроме того, вы можете воспользоваться помощью Рег.облака. Мы предлагаем Облако 152‑ФЗ, которое полностью соответствует требованиям ФЗ‑152 до первого уровня защищенности данных. Обрабатывайте и храните персональные данные в рамках закона: инфраструктура уже аттестована, не нужно закупать серверы и средства защиты — платите только за используемые ресурсы и запускайте сервисы в пару кликов.
Риски и угрозы
При автоматизированной обработке персональных данных есть разные риски для безопасности информации. Основные угрозы:
- несанкционированный доступ к данным;
- утечка данных;
- вирусы и кибератаки;
- ошибки сотрудников;
- сбои техники или программ, из‑за которых можно потерять важные данные.
Примеры автоматизированных решений
Организации обрабатывают персональные данные с помощью разных информационных систем и программ. Например:
- CRM‑системы — хранят и помогают управлять данными клиентов;
- HR‑системы (кадровые системы) — учитывают информацию о сотрудниках;
- системы электронного документооборота — обеспечивают создание, передачу и хранение документов с персональными данными в цифровом виде;
- сайты и онлайн‑сервисы с регистрацией — собирают и обрабатывают данные пользователей при создании аккаунтов;
- системы аналитики и отчетности — анализируют пользовательские данные и формируют отчеты на их основе.
Мониторинг и контроль
Мониторинг и контроль автоматизированной обработки персональных данных нужны, чтобы обеспечить их безопасность и соблюдать требования закона. Организация должна следить за работой информационных систем и операциями с данными.
Контроль включает проверку прав доступа пользователей, анализ журналов действий в системах, выявление попыток несанкционированного доступа и регулярную оценку эффективности применяемых мер защиты данных.
Практические рекомендации
При автоматизированной обработке персональных данных организациям нужно заранее продумать, как работать с информацией, и поставить надежную защиту. Главное — давать доступ к данным только тем сотрудникам, кому он действительно нужен по работе.
Кроме того, стоит:
- использовать антивирусы, межсетевые экраны и средства защиты от атак;
- шифровать данные при передаче;
- настраивать вход в систему (логин/пароль) и разграничивать доступ к данным;
- регулярно делать резервные копии и проверять их восстановление;
- своевременно обновлять ПО и средства защиты;
- прописать правила работы с данными и назначить ответственных;
- обучать сотрудников правилам безопасности;
- периодически проверять эффективность защиты.
Доверьте аудит информационной безопасности Рег.облаку: мы комплексно проверим ваши ИТ‑системы и инфраструктуру на защищенность, выявим следы активности злоумышленников и скрытые уязвимости и дадим рекомендации по усилению защиты. С нами вы обеспечите надежную работу с персональными данными и снизите риски нарушений и штрафов.
Заключение
Подводя итоги, отметим: автоматизация обработки персональных данных — необходимость для эффективного бизнеса. Чтобы использовать ее, компаниям важно:
- изучить нормы законодательства;
- внедрить технические меры защиты;
- регулярно обучать сотрудников;
- проводить аудит процессов.
Инвестиции в безопасность данных окупаются доверием клиентов и отсутствием штрафов.
Блок FAQ
Что такое автоматизированная обработка ПДн?
Автоматизированная обработка ПДн — это работа с данными с помощью компьютеров и программ. Сбор, хранение, изменение и передача данных происходят в информационных системах автоматически или почти без участия человека.
Чем отличается автоматизированная обработка от ручной?
Если данные обрабатывают с помощью компьютера и программ — это автоматизированная обработка. Если без техники, просто на бумаге, — ручная.
Что делать при утечке данных?
Важно действовать по порядку: зафиксировать инцидент, ограничить доступ к затронутым данным, проверить, что пошло не так, исправить проблему и сделать так, чтобы подобное больше не повторилось.
Важно! При утечке персональных данных оператор обязан уведомить Роскомнадзор — предварительно в течение 24 часов с момента выявления инцидента, а затем в течение 72 часов направить результаты внутреннего расследования.
Нужно ли аттестовать автоматизированную систему?
Не обязательно именно аттестовать: для ИСПДн нужна обязательная оценка соответствия, а пройти её можно через аттестацию или самооценку.
Какие риски возникают при автоматизации?
Основные риски связаны с несанкционированным доступом к данным, утечками информации, вредоносным ПО, ошибками сотрудников и сбоями информационных систем.
Как организовать управление доступом?
Доступ к персональным данным управляется через систему разграничения прав: каждый сотрудник получает доступ только к той информации, которая нужна ему для работы.
Как проводить аудит автоматизированных систем?
Во время аудита проверяют, правильно ли настроены средства защиты, анализируют записи о действиях пользователей, оценивают меры безопасности и выявляют слабые места в информационной системе.
Как выбрать решения под обработку ПДн?
Выбирая решение, нужно учитывать: какие и сколько персональных данных будут обрабатываться, как устроена информационная система, есть ли доступ в интернет, кто и как будет получать доступ к данным, какой уровень защиты нужен. Также важно, чтобы система обеспечивала безопасность и соответствовала закону о защите персональных данных.
Какие стандарты применимы?
В первую очередь — обязательные российские требования: 152-ФЗ, а также нормативные документы ФСТЭК и ФСБ России.
Международные стандарты по ИБ, например ISO/IEC 27001 и 27002, можно использовать дополнительно, но они носят рекомендательный характер и не заменяют обязательные требования.
Можно ли использовать облачные платформы?
Да, можно, но не любое облако и не на любых условиях.
Важно проверить, соответствует ли облачная инфраструктура требованиям по защите ПДн, есть ли у нее аттестат соответствия, а также какие меры безопасности провайдер обеспечивает со своей стороны: разграничение доступа, защиту от НСД, сетевую защиту, резервирование, журналирование и другие меры.
Даже при использовании облака ответственность за соблюдение требований к обработке ПДн с оператора не снимается.
Как подготовить персонал к обработке ПДн?
Сотрудники должны пройти обучение по работе с персональными данными и изучить внутренние регламенты и требования безопасности. Важно также регулярно контролировать, выполняют ли они установленные правила.
