Роскомнадзор: важно предусмотреть ответственность операторов персданных, выполняющих требования по защите информации

В рассматриваемых Госдумой законопроектах, повышающих ответственность операторов при утечках персональных данных (ПД) важно предусмотреть ответственность тех компаний, которые выполняли мероприятия по защите информации, проводили аудит безопасности, предоставляли технические средства по защите информации и согласовывали модели угроз и нарушителей.

Об этом на прошедшем 14 февраля в Совете Федерации круглом столе «Противодействие утечкам персональных данных граждан» заявил заместитель руководителя Роскомнадзора Милош Вагнер.

«Мы поддерживаем повышение административной ответственности за утечки персональных данных. Сегодня размер административного наказания для юридических лиц составляет до 100 тыс. рублей – по сути не понуждает к соблюдениям мер безопасности», – сказал он. В 2023 году было зафиксировано 168 утечек личной информации, напомнил представитель Роскомнадзора.

Право на обработку персональных данных должны иметь те операторы, которые прошли у уполномоченных органов процедуру подтверждения соответствия всем требованиям безопасности, отметил Милош Вагнер.

«Такими требованиями могло бы быть, например, наличие в организации офицеров по безопасности [ПД], имеющих образование в области защиты информации. В организации должно быть финансовое обеспечение на покрытие всех возможных рисков, в том числе административной ответственности, [ответственности] перед гражданами и моральной компенсации. Также организация обязана использовать базы [данных] расположенные на территории РФ», – сказал он.

Но самое главное – подтвердить у компетентных организаций, в том числе у уполномоченных органов, что защита данных осуществляется с учетом данных по безопасности, а модели угроз составлены адекватно бизнес-процессам, подчеркнул представитель Роскомнадзора.

🌐Международной организацией по стандартизации (International Organization for Standardization) был опубликован стандарт 29100:2024 «Информационная технология. Методы и средства обеспечения безопасности. Концепция защиты персональных данных» (Information technology - Security techniques - Privacy framework). В стандарте сформулированы принципы и меры по защите неприкосновенности частной жизни.
🔸В России адаптирована как ГОСТ Р ИСО/МЭК 29100-2021 «Информационная технология. Методы и средства обеспечения безопасности. Основы обеспечения приватности» предыдущая версия этого стандарта от 2018г.