Оценка вреда субъектам ПДн: порядок, акт и связь с мерами защиты
Оценка вреда — одна из мер, которые закон прямо называет обязанностью оператора: нужно понять, какой вред может быть причинён людям при нарушении закона, и сопоставить его с принимаемыми мерами. Для небольшой организации это короткий документ, но без него проверка быстро находит нарушение. Ниже порядок проведения, шкала, содержание акта и связь результата с защитой данных.
Оговорка. Статья не юридическая консультация. Норма сверена по тексту статьи 18.1 152-ФЗ (пункт 5 части 1) в редакции с изменениями закона от 14.07.2022 № 266-ФЗ; закон меняется, проверяйте действующую редакцию: текст закона. Закон требует проводить оценку в соответствии с требованиями Роскомнадзора; в методике контроля Группы Сбер (источник) они названы как приказ Роскомнадзора № 178 от 27.10.2022. Текст приказа мы не открывали: форму акта и состав оценки берите из него и согласуйте с юристом. Методика предназначена для крупных компаний, мы пересказываем её своими словами.
Что говорит закон
Среди мер, которые оператор принимает для выполнения своих обязанностей (статья 18.1, часть 1), закон называет оценку вреда, который может быть причинён субъектам в случае нарушения закона, и соотношение этого вреда с принимаемыми оператором мерами, направленными на выполнение обязанностей. Оценка проводится в соответствии с требованиями уполномоченного органа. Состав и перечень мер оператор определяет самостоятельно, если закон не предусматривает иного. Для небольшой организации смысл простой: чем серьёзнее возможные последствия для людей, тем строже должны быть меры.
Кто и когда проводит оценку
- Оценку обычно организует ответственный за организацию обработки ПДн, привлекая ИТ, ИБ и владельцев процессов: роли и полномочия.
- Практика: проводите оценку до начала обработки новых данных или нового процесса и при значимых изменениях: новые категории данных, новые системы, передача подрядчикам, трансграничная передача.
- Результат оформляется документом (актом), хранится и предъявляется по запросу проверяющих.
Как оценивать
Оценивается каждая цель или процесс обработки отдельно. Для каждого ответьте на вопросы:
| Вопрос | Что учесть |
|---|---|
| Какие данные обрабатываются и чьи | Категории и состав данных, категории субъектов, их количество, особые категории (здоровье, биометрия) |
| Какой вред возможен при нарушении | Нарушение конфиденциальности (утечка, раскрытие), целостности (искажение), доступности (потеря), неправомерное использование (мошенничество, дискриминация, рассылки), ограничение прав |
| Насколько тяжёл вред для человека | Материальный (деньги), нематериальный (репутация, моральный вред), юридический (отказ в услуге, ущемление прав), физический (риск для безопасности) |
| Как вероятно нарушение | Уязвимости систем, прошлые инциденты, число людей с доступом, подрядчики |
| Какие меры применены | Технические (шифрование, доступ, журналы), организационные (политики, обучение), правовые (договоры) |
Для итоговой степени вреда удобна трёхуровневая шкала (низкая, средняя, высокая) с критериями, записанными в акте. Какие шкалы и критерии требуются, смотрите в приказе Роскомнадзора; не придумывайте собственную шкалу, если она не совпадает с требованиями.
Пример оценки одной цели
| Параметр | Пример |
|---|---|
| Процесс | Регистрация клиентов на сайте для получения услуги |
| Данные и субъекты | Фамилия, телефон, почта клиентов; около 5000 человек; особых категорий нет |
| Возможный вред | Утечка контактов и использование для мошеннических звонков и рассылок; материальный вред от мошенничества возможен, репутационный для оператора высок |
| Вероятность | Средняя: веб-приложение публично доступно, но регулярно сканируется и обновляется |
| Принятые меры | Доступ по ролям, шифрование каналов, копии, мониторинг, договор с хостингом |
| Степень вреда | Средняя; меры соразмерны |
| Решение | Дополнительно включить MFA для администраторов и пересмотреть срок хранения неактивных учётных записей |
Содержание акта
- наименование оператора, дата, состав лиц, проводивших оценку;
- перечень процессов и целей обработки, к которым относится оценка;
- категории и перечень данных, категории и число субъектов;
- перечень возможных последствий нарушения закона для субъектов;
- результат оценки степени вреда по каждому процессу;
- перечень принятых мер и вывод об их соразмерности вреду;
- решения по усилению мер, ответственные и сроки;
- подписи ответственных лиц.
Обязательно сверьте структуру с приказом Роскомнадзора, который устанавливает требования к оценке вреда.
Связь с остальными документами и мерами
- Модель угроз и уровни защищённости. Оценка вреда помогает определить, какие угрозы считать актуальными и какие меры защиты нужны.
- Реестр рисков. Вред для субъектов — часть ущерба при оценке рисков: реестр рисков.
- Политика и согласия. Цели и данные в оценке совпадают с документами оператора: согласие на обработку ПДн.
- Реагирование на утечки. При инциденте оценка помогает быстро описать вред в первичном уведомлении: уведомление Роскомнадзора.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Акт есть, но он сделан «для проверки» и не отражает процессы | Оценка не связана с реестром процессов. Привяжите акт к перечню процессов и обновляйте при изменениях |
| Все процессы оценены как «низкий вред» | Нет критериев. Опишите последствия для людей и сопоставьте с категориями данных |
| Меры не изменились после оценки | Оценка формальна. Для процессов со средним и высоким вредом заведите задачи по усилению мер |
| Оценку не пересматривали после запуска нового сервиса | Нет триггеров. Включите вопрос об оценке вреда в процесс изменений |
Где это в моделях
Материал продолжает раздел «Регуляторика ПДн» и относится к направлениям «Безопасность данных» и «Риск-ориентированный подход» (материалы направления, самопроверка оператора ПДн, карта зрелости). Оценка вреда — отдельная область контроля в методике Группы Сбер.
Как проверить
- Оценка проведена для каждого процесса обработки и оформлена актом по требованиям Роскомнадзора.
- В акте указаны возможные последствия, степень вреда, меры и вывод об их соразмерности.
- По процессам со средним и высоким вредом есть задачи по усилению мер со сроками.
- Оценка пересматривается при изменениях и не реже раза в год.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 18.1: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
- Приказ Роскомнадзора от 27.10.2022 № 178 (требования к оценке вреда; номер и дата указаны по методике Группы Сбер): текст ищите на официальном портале правовой информации и сайте Роскомнадзора.
- Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
