Информационная безопасность персональных данных по 152-ФЗ

Информационная безопасность по 152-ФЗ - ключевой аспект работы с персональными данными, который обязывает операторов внедрять комплекс защитных мер. Информационная безопасность по 152-ФЗ помогает компаниям выстроить прозрачную и законную работу с персональными данными.

Что такое информационная безопасность персональных данных и кто такой оператор ПДн

Информационная безопасность персональных данных - это комплекс правовых, организационных и технических мер по защите персональных информации граждан от неправомерных действий, включая защиту от несанкционированного доступа, и её обеспечение безопасности является прямой обязанностью оператора персональных данных (или оператора персональных) по 152-ФЗ.

Оператором признаётся госорган, юрлицо или физлицо, самостоятельно или совместно организующее обработку данных и определяющее её цели и состав, и он несёт полную ответственность за нарушение их сохранности. К персональным данным относится любая информация, которая позволяет определить конкретное физическое лицо: общедоступные (ФИО, адрес, телефон, электронной почты (e-mail)), специальные категории о расе, политике, религии, здоровье и интимной жизни (требуют письменного согласия на обработку), биометрические для идентификации (отпечатки, фото, голос, радужка, генетика), а также иные сведения вроде паспортных данных, ИНН, СНИЛС, доходов и должности, которые тоже подлежат защите.

Требования 152-ФЗ к защите данных

Информационная безопасность 152-ФЗ регламентирует требования к защите данных и определяет ответственность за нарушение. Федеральный закон №152-ФЗ устанавливает для операторов обязательные требования:

• получение конкретного, информированного и однозначного согласия на обработку персональных (с 1 сентября 2025 г. рекомендуется оформлять отдельным документом для однозначности, но это не является жёстким требованием);

• разработка и публикация политики конфиденциальности с указанием целей, сроков и правовых оснований;

• определение законных целей (цели должны быть законными и определёнными) и сроков хранения персональных данных с обязательным уничтожением или обезличиванием по их достижении;

• уведомление Роскомнадзора о начале обработки персональных данных (с 30 мая 2025 г. обязательно для ИП, юрлиц и самозанятых, штраф за неподачу для юрлиц до 300 тыс. руб.);

• обеспечение безопасности хранения и передачи с применением сертифицированных средств защиты и контролем доступа;

• ведение документации по учёту обращений и согласий субъектов.

Соблюдение этих требований является обязательным для всех операторов в соответствии с законом о персональных данных.

Уровни защищённости информационных систем персональных данных (ИСПДн)

Информационная безопасность данных по 152-ФЗ требует учитывать категорию сведений и актуальный уровень угроз при выборе средств защиты. Уровень защищенности ИСПДн (от УЗ-1 максимального до УЗ-4 минимального) определяется по Постановлению №1119 на основе категории данных (общедоступные, специальные, биометрические, иные), объёма (более 100 тыс. субъектов – выше требования), характера обработки (гос. системы, автоматизация, трансграничка), модели угроз, а также того, чьи это данные — данные сотрудников оператора или внешних субъектов (для специальных данных сотрудников требования могут быть мягче, чем для данных клиентов).

• УЗ-1 – для спец/био с угрозами 1-го типа;

• УЗ-2 – для спец/био с масштабом 10–100 тыс. или угрозами 2-го типа;

• УЗ-3 – для иных данных с угрозами 1-го типа либо спец/био с угрозами 2-го и малым масштабом;

• УЗ-4 – для иных данных с угрозами 2-го и малым масштабом или при отсутствии более высоких требований.

Требования к защите на каждом уровне устанавливают ФСТЭК (приказ №21) и Правительство; с 1 марта 2026 года вступил в силу приказ ФСТЭК №117, заменивший приказ №21 и вводящий более гибкий подход - требования строятся на основе анализа конкретных рисков и угроз для каждой системы, а не по жёсткому шаблону.

Технические и организационные меры защиты

Информационная безопасность данных по 152-ФЗ подразумевает не только технические, но и организационные меры защиты для предотвращения утечек. Для обеспечения безопасности оператор обязан реализовать комплекс мер согласно установленному уровню:

• разработать отдельную модель угроз по методике ФСТЭК с описанием источников, уязвимостей и ущерба;

• применять сертифицированные ФСТЭК/ФСБ средства защиты (включая антивирус, межсетевые экраны, СОВ, криптосредства), причём антивирус обязателен на всех этапах;

• внедрить ролевое разграничение доступа с идентификацией и аутентификацией;

• для удаленного доступа и облаков использовать защищённые VPN с криптографией и двухфакторную аутентификацию. Эти меры рекомендованы, но не являются универсальным требованием для всех уровней, их применение зависит от модели угроз;

• вести мониторинг уязвимостей, оперативно реагировать на инциденты;

• уведомить Роскомнадзор о факте утечки;

• проводить регулярный аудит безопасности силами своих или внешних специалистов для проверки эффективности и соответствия.

Дополнительно необходимо обеспечить защиту баз данных от несанкционированного доступа и использовать современные средства защиты информации.

Организационные обязанности бизнеса по 152-ФЗ

Обеспечение информационной безопасности по 152-ФЗ требует от компании системного подхода - от назначения ответственного до регулярного аудита защиты данных. Информационная безопасность ФЗ 152 - это основа для формирования внутренней политики оператора по защите данных. Оператор по 152-ФЗ обязан реализовать комплекс организационных мер:

• назначить ответственного за обработку данных (ст. 22.1), который контролирует соблюдение закона, согласия и связь с Роскомнадзором;

• регулярно обучать сотрудников, работающих с данными, фиксируя факт ознакомления;

• заключать с подрядчиками договоры с указанием целей, перечня данных, мер безопасности и ответственности;

• разрабатывать и поддерживать актуальные внутренние регламенты (политику обработки, перечень мер защиты, порядок доступа и уничтожения, инструкции, приказы);

• вести учёт всех случаев обработки, согласий, передач третьим лицам, уничтожения, а также обращений субъектов и ответов на них; и получать согласия на обработку персональных до начала обработки (кроме законных исключений), при этом с 1 сентября 2025 года согласие оформляется отдельным унифицированным документом.

Все эти меры должны быть интегрированы в бизнес-процессы компании.

Ответственность за нарушения 152-ФЗ

За нарушения Федерального закона № 152-ФЗ предусмотрена административная (статья 13.11 КоАП РФ), уголовная ответственность (статьи 137 и 272 УК РФ) и дисциплинарная ответственность за нарушение его требований. С 30 мая 2025 года вступили в силу серьёзные ужесточения штрафов.

Административная ответственность теперь выглядит так:

• за обработку персональных данных без письменного согласия субъекта (когда оно обязательно) - штраф для юрлиц от 150 до 300 тысяч рублей;

• за неисполнение обязанности уведомить Роскомнадзор об утечке - штраф для юрлиц от 3 до 5 миллионов рублей;

• за саму утечку данных: при первичной утечке, если затронуто от 1 до 10 тысяч субъектов, штраф для юрлиц - от 3 до 5 миллионов рублей; если больше 10 тысяч - до 15 миллионов. При повторной утечке назначаются оборотные штрафы - до 3% годовой выручки компании, но не менее 20–25 миллионов рублей;

• за иные нарушения требований 152-ФЗ - штрафы для должностных лиц от 50 до 100 тысяч рублей, для юрлиц - от 150 до 300 тысяч.

Уголовная ответственность наступает за серьёзные нарушения с тяжкими последствиями или при корыстном умысле. Наказание - штраф до 500 тысяч рублей, исправительные работы или лишение свободы до 5 лет.

Дисциплинарная - вплоть до увольнения сотрудников, разгласивших данные, ставшие известными по работе.

При инциденте оператор обязан: немедленно уведомить Роскомнадзор, принять меры по устранению последствий, провести внутреннее расследование и проинформировать пострадавших субъектов персональных данных.

Практические рекомендации

Для создания эффективной и соответствующей требованиям законодательства системы информационной безопасности персональных данных рекомендуется следовать следующему алгоритму:

1. Проведите аудит текущих процессов обработки персональных данных. Определите, какие категории данных обрабатываются, в каких информационных системах, с какими целями и на каких правовых основаниях. Оцените текущий уровень защищенности и выявите существующие пробелы.

2. Разработайте политику безопасности и внутренние регламенты. На основе результатов аудита создайте пакет документов, включающий политику обработки персональных данных, перечень мер защиты, регламенты доступа, инструкции для сотрудников и приказы о назначении ответственных лиц.

3. Постройте модель угроз безопасности персональных данных для каждой информационной системы в соответствии с методикой ФСТЭК России. Определите актуальные угрозы и необходимый уровень защищенности.

4. Внедрите сертифицированные технические средства защиты информации в соответствии с установленным уровнем защищенности. Это включает антивирусное программное обеспечение, межсетевые экраны, системы обнаружения вторжений, средства криптографической защиты и другие.

5. Организуйте систему управления доступом и регистрации событий. Внедрите идентификацию и аутентификацию пользователей, разграничение прав доступа, а также систему логирования всех операций с персональными данными.

6. Проведите обучение персонала правилам работы с персональными данными и мерам ответственности за нарушение. Обучение должно проводиться на регулярной основе, с обязательной фиксацией факта ознакомления.

7. Настройте мониторинг уязвимостей и управление инцидентами. Организуйте регулярную проверку защищённости систем, анализ журналов событий и оперативное реагирование на инциденты.

8. Подайте уведомление в Роскомнадзор о начале обработки персональных данных, если это требуется по закону.

9. Привлекайте сертифицированных специалистов для консультаций, аудита и помощи в построении системы защиты, особенно если в штате нет квалифицированных сотрудников в области информационной безопасности. Также обеспечьте техническую поддержку всех процессов.

10. Проводите периодический мониторинг и обновление системы защиты в соответствии с изменяющимися угрозами и требованиями законодательства. В ближайшее время после каждого изменения законодательства актуализируйте меры защиты.

Важно помнить, что обеспечение информационной безопасности персональных данных - это непрерывный процесс, требующий постоянного внимания и своевременного обновления защитных мер. Законодательство в этой сфере активно развивается: только в 2025 году вступили в силу многочисленные поправки, ужесточающие требования к операторам и увеличивающие ответственность за нарушение. Поэтому регулярный мониторинг изменений в законе о персональных данных (и законе о персональных) и своевременная адаптация системы защиты являются обязательным условием соблюдения 152-ФЗ.

При возникновении вопросов или сложностей рекомендуется обращаться к специалистам по защите ПДн для получения профессиональной консультации и помощи в построении комплексной системы защиты, соответствующей всем требованиям действующего законодательства. Звоните в НПЦФМ по телефону 8 (800) 511-48-82 или заполните форму обратной связи на сайте. Наша команда настроена на результат.