Конфиденциальность персональных данных

Определение по закону. Статья 7 152-ФЗ: операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Это самостоятельная обязанность. Она действует независимо от того, оформлены ли у оператора остальные документы, и сохраняется после того, как отношения с человеком закончились.

На кого распространяется

Не только на компанию как оператора, но и на каждого, кто получил доступ:

• сотрудников, работающих с базой;
• подрядчиков, которым поручена обработка, — облачные сервисы, колл-центры, курьерские службы, бухгалтерский аутсорсинг;
• бывших сотрудников — обязанность не исчезает вместе с увольнением.

Отсюда практический вывод: конфиденциальность обеспечивается не декларацией в политике, а режимом — разграничением доступа, обязательствами в договорах и трудовых документах, контролем выгрузок.

Как это выглядит в документах

Уровень	Что оформляют
Компания	положение об обработке ПДн, режим доступа, перечень ИСПДн
Сотрудники	обязательство о неразглашении, ознакомление под подпись, разграничение прав
Подрядчики	договор поручения обработки с условиями о конфиденциальности и защите
Инфраструктура	журналирование доступа, контроль выгрузок, отзыв доступов при увольнении

Нарушение конфиденциальности

Самые частые сценарии — не хакерская атака, а внутренние:

• выгрузка базы менеджером перед уходом к конкуренту;
• пересылка списка клиентов в мессенджере «чтобы удобнее работать»;
• общий доступ к таблице с контактами по ссылке;
• сохранённые доступы у бывшего подрядчика.

Последствия зависят от масштаба: от административной ответственности оператора до уголовной для конкретного человека. Порядок действий при инциденте — что делать при утечке: 24 и 72 часа, размеры взысканий — таблица штрафов за утечку, практика судов — утечка персональных данных: судебная практика.

Хаб по теме: Утечки персональных данных.