Как организовать защиту персональных данных: полный гайд

Обязанность по обеспечению защиты персональных данных возложена на оператора (ст. 19 ФЗ № 152-ФЗ). Оператором может быть государственный или муниципальный орган, юридическое или физическое лицо, которое организует и (или) осуществляет обработку данных, а также определяет цели такой обработки — самостоятельно или совместно с другими лицами. Простыми словами, если вы собираете данные клиентов, сотрудников или других физлиц, вы — оператор.

Важно понимать, что ответственность за инцидент не снимается, даже если вы передали обработку сторонней организации (подрядчику). Как указано в постановлении Верховного Суда от 21.01.2026 № 5-АД 25-119-К2, именно оператор обязан контролировать обеспечение защиты у подрядчика. В противном случае отвечать за утечку, произошедшую по вине подрядной организации, придется именно вам.

Многие собственники бизнеса до сих пор воспринимают защиту персональных данных как издержки на «бумажки» и антивирусы. На самом деле, это инвестиция в устойчивость бизнеса. Рассмотрим ключевые аспекты:

• Соответствие законодательству и избежание санкций. Это базовая необходимость. Штрафы за утечки стали сопоставимы с годовыми бюджетами небольших компаний, а для крупного бизнеса угроза оборотных штрафов (до 500 млн рублей) означает реальный риск банкротства.

• Защита от мошенничества и финансовых потерь. Утечка паспортных данных и платежной информации ведет к прямым кражам со счетов клиентов и попыткам оформить на них кредиты. Это, в свою очередь, бьет по репутации компании и доверию к бренду.

• Сохранение коммерческой тайны и конкурентоспособности. Часто базы данных клиентов и информация о зарплатах сотрудников являются прямым активом компании. Ее утечка к конкурентам может разрушить бизнес.

• Предотвращение кибератак. Информационные системы, где обработка и защита персональных данных настроена правильно, гораздо сложнее взломать. Злоумышленники ищут легкие пути, и отсутствие защиты делает вас идеальной мишенью.

Защита персональных данных в организации

Проверим документы на предмет соответствия 152-ФЗ, подготовим к проверкам Роскомнадзора и защитим от штрафов

Заказать анализ

Организационные меры — это фундамент. Без них любые технические средства будут работать неэффективно. К ним относятся:

1. Назначение ответственного за организацию обработки персональных данных. Это может быть сотрудник отдела кадров, юрист или сторонняя компания. 

2. Разработка локальных нормативных актов. Необходимо утвердить Политику обработки персональных данных, Положение о защите персональных данных работников и других субъектов, а также инструкции для сотрудников, имеющих доступ к информации. Политика публикуется на сайте или размещается на информационном стенде, остальные документы нужны для внутреннего использования.

3. Регламентация доступа. Четкое определение круга лиц, которым необходим доступ к данным для выполнения их должностных обязанностей.

4. Обучение персонала. Человеческий фактор остается одной из главных угроз. Сотрудники должны знать правила работы с данными, понимать ответственность за их разглашение и уметь распознавать фишинговые атаки.

5. Инвентаризация. Регулярный аудит того, какие данные, где и зачем хранятся. Это позволяет соблюдать принцип минимизации (не хранить лишнего).

Такие меры реализуются с помощью средств защиты информации. Ключевые элементы:

• Использование сертифицированных средств защиты информации (СЗИ). Все средства (антивирусы, межсетевые экраны, системы обнаружения вторжений) должны иметь действующие сертификаты ФСТЭК или ФСБ. Использование несертифицированного софта для защиты персональных данных недопустимо.

• Системы управления доступом (IAM). Внедрение строгой аутентификации, включая двухфакторную, для доступа к базам данных. Каждое действие пользователя должно быть уникально идентифицировано.

• Защита каналов передачи данных и шифрование. Вся передача ПДн по открытым каналам связи (в том числе при удаленной работе) должна шифроваться. Важно контролировать, чтобы при сборе данные сразу попадали в базы, расположенные на территории РФ, а не в зарубежные облачные сервисы.

• Регистрация событий и мониторинг. Обязательное ведение журналов действий пользователей и внедрение систем для мониторинга, анализа и управления событиями безопасности в корпоративной IT-инфраструктуре (SIEM). Это позволяет вовремя заметить аномальную активность: например, скачивание всей базы менеджером по продажам.

• Резервное копирование. Обеспечение сохранности данных при сбоях и атаках программ-вымогателей. Копии должны храниться в защищенном виде и отдельно от основной инфраструктуры.

• Защита конечных точек. Компьютеры и ноутбуки сотрудников должны быть оснащены средствами шифрования дисков и системами предотвращения утечек (DLP-системы), которые контролируют перемещение файлов и печать документов.

Эти меры регламентируются не только ФЗ №152-ФЗ, но и постановлением Правительства № 1119, а также ведомственными приказами ФСТЭК.

Важно! Мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!

• Выгружайте отчеты.

• Добавляйте списки контрагентов.

• Проявляйте должную осмотрительность.

• Эти и другие возможности Мобиз доступны бесплатно!

Попробовать бесплатно

Чтобы системно подойти к вопросу, предлагаем пошаговый план действий для оператора.

• Шаг 1. Назначение ответственного за организацию обработки ПДн. Если речь идет об ИП, то ответственным автоматически считается сам предприниматель. В организации назначается отдельный сотрудник или руководитель. 

• Шаг 2. Аудит текущего состояния и классификация. Проведите инвентаризацию всех информационных систем, где хранятся и обрабатываются данные. Определите категории обрабатываемых данных (общие, специальные, биометрические, иные категории) и их объем. От этого зависит уровень защищенности информационных систем (УЗ), который вам необходимо обеспечить согласно требованиям регуляторов.

• Шаг 3. Разработка организационно-распорядительной документации. Разработайте и утвердите пакет документов. Может понадобиться модель угроз, акт классификации информационной системы. Обязательно должна быть Политика обработки и Положение о защите персональных данных работников, клиентов и других субъектов. Точный перечень документов зависит от объема и категорий обрабатываемых ПДн. 

• Шаг 4. Внедрение технических мер защиты. На основе модели угроз выберите и внедрите сертифицированные средства защиты информации. Настройте их в соответствии с требованиями эксплуатационной документации.

• Шаг 5. Уведомление Роскомнадзора. До начала обработки направьте уведомление в Роскомнадзор. Исключения есть только для некоторых случаев, например, если данные обрабатываются без использования средств автоматизации (на бумаге) — тогда уведомлять не нужно. Но сейчас такой способ обработки — большая редкость.

• Шаг 6. Поддержание режима и реагирование на инциденты. Обработка и защита персональных данных — это непрерывный процесс. Обучайте сотрудников, обновляйте ПО, проводите регулярные аудиты и пентесты. Разработайте регламент реагирования на инциденты: в случае утечки вы обязаны уведомить Роскомнадзор в течение 24 часов, а в течение 72 часов предоставить результаты расследования.

Защита персональных данных в организации

Проверим документы на предмет соответствия 152-ФЗ, подготовим к проверкам Роскомнадзора и защитим от штрафов

Заказать анализ

Игнорирование требований законодательства напрямую влияет на кошелек и репутацию компании. С 30 мая 2025 года действуют обновленные нормы КоАП (ст. 13.11), которые устанавливают следующие штрафы для юрлиц и ИП:

Реклама: АО «Консалтинг онлайн», ИНН: 2310203967, erid: 2W5zFGNWckZ