Работа с персональными данными — кому и когда требуется получать специальную лицензию?
Информационная безопасность становится все более актуальной темой, однако разобраться в ее тонкостях по-прежнему непросто. В предыдущей статье, ознакомиться с которой можно на странице www.kommersant.ru/doc/2961443, мы рассказали о том, почему виртуальные сервера позволяют обеспечить наиболее полную защиту данных.
Но остался нераскрытым вопрос, кто именно считается оператором персональных данных и с какого момента необходимо получать лицензию на обработку такой информации?
С какими данными не разрешается работать без лицензии?
Персональные данные клиентов, так или иначе, запрашиваются практически во всех сферах — например, даже для записи в парикмахерскую клиенту необходимо предоставить свой номер телефона. Однако если такая простейшая личная информация передается компании лишь на хранение, то получать какие-либо лицензии здесь необязательно.
Но вот если речь идет об обработке более важной информации — к примеру, паспортных данных клиента в компании мобильной связи — то компании уже необходимо признать себя оператором персональных данных. Для этого достаточно уведомить Роскомнадзор об этом аспекте своей деятельности.
Особенно нужно подчеркнуть два момента. Во-первых, клиент всегда должен быть осведомлен о том, что предоставляет личную информацию, поскольку за ним всегда остается право потребовать удаления всех сведений о себе из любой базы данных. А во-вторых, если компания, работающая с личной информацией, осуществляет ее хранение и обработку через некое третье юридическое лицо (например, использует сторонний виртуальный сервер), то это лицо также должно обладать необходимыми лицензиями.
В любом случае, ответственность за сохранность личных данных всегда остается на той организации, которой клиент непосредственно их предоставил.
Конфиденциальные данные — особый уровень защиты
Существует особая категория персональных данных — конфиденциальные. Любая компания, работающая с такой информацией, должна обеспечить ее всестороннюю защиту, а также получить дополнительные лицензии от ФСТЭК и в некоторых случаях от ФСБ.
Крупные компании хранят данные преимущественно на vds- и vps-серверах. Однако им необходимо помнить, что сертифицированная защита должна быть установлена не только на физическом оборудовании, но и отдельно на виртуальных машинах, используемых для непосредственной работы с данными.