Вопросы обработки и защиты персональных данных перестали быть узкой темой IT-специалистов: сегодня с ними ежедневно сталкивается практически каждый человек. Именно этой проблематике был посвящен практический семинар для специалистов кадровых и юридических служб организаций и предприятий «Практические реализации требований законодательства персональных данных в профессиональной деятельности специалистов по кадрам и бухгалтеров». Докладчиком выступила специалист по безопасности данных, магистр юридических наук Юлия Клюева, которая на конкретных примерах разобрала, как нормы законодательства работают в реальной жизни организации.
От анкеты в торговом центре — к пониманию ценности данных
Свой доклад Юлия Сергеевна начала с личного примера. Обратившись в один из торговых центров, она получила анкету для участия в программе лояльности, объем вопросов которой, по ее словам, превышал то, что собирают иные правоохранительные органы: количество детей, наличие животных и автомобиля, место проживания, даты рождения не только участника, но и его детей. Ответ на вопрос «зачем вам это нужно?» был прост: «Не хотите — не отвечайте, но мы вас не сможем зарегистрировать в программе лояльности». Этот случай — наглядная иллюстрация того, как данные собирались до вступления закона в силу.
Докладчик отметила, что сама по первому образованию бухгалтер — и честно признала, что информация о работниках собиралась, порой избыточная, по принципу «так делали, и я так делаю». Именно с развитием цифровизации использование наших данных всё чаще стало оборачиваться во вред: мошенничество приобрело массовый характер.
Законодательная база: что изменилось
По словам Ю. С. Клюевой, законодатель осознал необходимость наведения порядка: в 2021 году вступил в силу закон о защите персональных данных, урегулировавший эти вопросы. При этом отдельные нормы существовали и раньше: закон о защите информации, информатизации и защите информации, действующий с 2008 года, предусматривал, что обработка персональных данных осуществляется с согласия лица. Однако на практике норма не применялась — отсутствовал сам порядок: что такое согласие, как оно отбирается, в каких случаях требуется.
Разбор кейса и две роли каждого из нас
Докладчик подчеркнула: каждый из нас играет две роли. Первая — носитель персональных данных (субъект): мы рождаемся с этими данными, и даже после смерти гражданина его персональные данные продолжают храниться. Вторая — штатная единица в коллективе (работник, руководитель), обрабатывающий информацию. Если субъект сам определяет, кому и в каком объеме предоставлять сведения, то специалисты, получая эти сведения, несут ответственность за их защиту.
Кадры и бухгалтерия — «группа риска»
Отдельный блок семинара был посвящен подразделениям, где аккумулируются персональные данные. Отдельно данные нигде не хранятся — они включены в документы: личные дела, трудовые книжки, документы по учету кадров. Именно кадры и бухгалтерию докладчик называет «группой риска» и при проведении мониторинга обращает на них внимание в первую очередь. Причины риска утечек — концентрация колоссального объема сведений в одном месте — и об этом знают не только специалисты, но и те, кто хочет этими данными завладеть; человеческий фактор — по данным Национального центра защиты персональных данных, большинство нарушений происходит именно из-за него; порядок доступа — если в организации не определено, кто какой информацией имеет доступ, информация не защищена; цифровая среда — компьютеры объединены в единую систему, а если она подключена к открытой сети интернет, риски многократно возрастают.
Особый акцент — на угрозах, связанных с копией паспорта, пересылаемой через мессенджеры: документ оседает на серверах, в том числе в странах с ненадлежащим уровнем безопасности. Реальные схемы: оформление лизинга на мотоблок по фото паспорта знакомой; оформление обязательств при наличии копии паспорта и перехваченной SMS; рассылка сообщений от имени владельца взломанного телефона с подтверждением личности копией документа; редактирование фотографии под паспортной связью; регистрация на онлайн-платформах.
Соблюдение требований законодательства о персональных данных — это не формальность, а ежедневная практика кадровика и бухгалтера. Главный вывод, прозвучавший в докладе: потеря контроля над персональными данными — трагедия, а ответственность за защиту сведений, доверенных организации, лежит на каждом специалисте, который их обрабатывает.
