Приказ о безопасности материальных носителей персональных данных
Приказ, которым организация сама устанавливает перечень мер по сохранности бумажных носителей с персональными данными, порядок их принятия и лиц, отвечающих за реализацию каждой меры.
Зачем нужен документ
Правило о хранении бумажных носителей сформулировано в постановлении Правительства одной фразой: при хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Следующее предложение и делает этот приказ обязательным: перечень мер, необходимых для обеспечения таких условий, порядок их принятия и перечень лиц, ответственных за реализацию мер, устанавливаются оператором.
Такая конструкция в законодательстве о персональных данных встречается редко. Обычно норма описывает требование, а оператор проверяет себя на соответствие. Здесь наоборот: требование пустое по содержанию, и наполняет его сам оператор. Что организация напишет в приказе, то и станет для неё обязательным — не больше и не меньше. Именно поэтому документ нельзя списать из чужого комплекта: чужие меры описывают чужой офис.
Второе назначение приказа — назвать ответственных по каждой мере, а не вообще. Норма говорит о перечне лиц, ответственных за реализацию указанных мер, во множественном числе, и это не случайность: за ключи от архива отвечает один человек, за порядок выноса дел за пределы офиса — другой, за уничтожение просроченных документов — третий или комиссия. Приказ, назначающий одного «ответственного за бумажные носители», оставляет большую часть мер без исполнителя.
Есть и третье назначение, менее очевидное. Ответственность за нарушение этого требования наступает только тогда, когда несоблюдение условий повлекло неправомерный доступ, утрату или копирование данных. Пока ничего не случилось, предъявить по этому составу нечего. Значит, приказ пишется не для текущей проверки, а для дня, когда дело не найдётся на своём месте: по нему будут разбирать, какие меры действовали, кто за них отвечал и что именно было нарушено.
Чем грозит отсутствие
У бумажной безопасности отдельный состав, и устроен он не так, как остальные в этой статье. Наказывают не за отсутствие мер как таковое, а за несоблюдение условий хранения, которое повлекло неправомерный или случайный доступ, уничтожение, изменение, копирование или распространение данных. Это переворачивает обычную логику: пока папка на месте, предъявить по этому составу нечего; как только она пропала — состав появляется вместе с ней.
Сумма в сто тысяч рублей выглядит скромно, и на ней разговор обычно и заканчивается — напрасно. Пропавшая папка почти никогда не остаётся одним нарушением: в личном деле лежат данные одного человека, в коробке из архива — сотен, в реестре выданных справок — тысяч. Как только число пострадавших переваливает за тысячу, к этому составу добавляется ответственность за утечку, а там суммы начинаются от 3 миллионов рублей для организации и растут вместе с числом субъектов.
Как ещё называют этот документ
Что должно быть в документе
Структура приказа задана нормой почти дословно: перечень мер, порядок их принятия, перечень ответственных. Наполнение — целиком за оператором, и здесь важнее всего честность: мера, которую в организации не будут выполнять, ухудшает положение, а не улучшает.
Требования законодательства
Как связан с другими документами
Приказ замыкает бумажный контур: три документа описывают положение дел, а этот превращает описание в обязательные правила с исполнителями.
Когда обновлять документ
Приказ переиздают редко, но есть события, после которых записанные в нём меры перестают соответствовать тому, как организация живёт:
Что спросит проверяющий
Бумажный контур проверяется быстрее любого другого: документы читают, а потом просто смотрят по сторонам. Расхождение между приказом и кабинетом видно без экспертизы.
Разбор эксперта
Этот приказ почти всегда пишут красиво и почти всегда бесполезно, и причина одна: описывают шкаф вместо рабочего дня. Формулировка «материальные носители хранятся в запираемых шкафах, доступ к ключам имеет ответственный работник» выглядит безупречно ровно до девяти утра. Дальше кадровик открывает шкаф, потому что ему весь день нужны дела, и до восемнадцати часов документ не соответствует действительности. Бухгалтерия работает так же, договорной отдел так же. При этом никто ничего не нарушает злонамеренно — просто с бумагой работают, и работа эта не помещается в написанное правило.
Настоящий приказ выглядит иначе. Он описывает состояния, в которых бумага бывает в течение дня: лежит в шкафу, находится у работника на столе, выдана другому подразделению, вынесена за пределы офиса, ждёт уничтожения. Для каждого состояния — своё правило. На столе — только те дела, с которыми работают сейчас, и лицевой стороной вниз при посетителях. Выходя из кабинета, документы убирают в ящик, а не оставляют на виду. Выдача другому подразделению — под запись. Вынос — с разрешения. Такой приказ длиннее на полстраницы и отличается от предыдущего тем, что его можно выполнять, не мешая людям работать.
И главное, ради чего этот документ существует. Ответственность за бумагу наступает только тогда, когда несоблюдение условий привело к последствию: дело пропало, копию унесли, посторонний прочитал. До этого момента у проверяющего по этому составу нет предмета разговора. Значит, приказ — документ отложенного действия: его по-настоящему прочтут один раз, когда носитель не найдётся, и прочтут внимательно. От того, что в нём написано, зависит, будет ли у организации версия событий: какие меры действовали, кто отвечал за конкретный шкаф, когда дело выдавалось и кому. Организация без такого приказа в этот день может сказать только одно: мы не знаем, где документ и кто его брал. Этого достаточно и для штрафа, и для гораздо более дорогого разбирательства об утечке.
Напишите приказ по рабочему дню, а не по инвентарю: где документы находятся во время работы, что происходит при выходе из кабинета, как выдаются в другое подразделение, как выносятся наружу и как уничтожаются. Назначьте ответственных по мерам, а не одного на всё, — норма говорит именно о перечне лиц. Обязательно включите пункт о действиях при утрате с указанием, кому сообщается о пропаже немедленно: сроки уведомления регулятора идут с момента выявления инцидента, а не с момента, когда о нём доложили руководителю. И проверьте текст простым способом: пройдите по кабинетам в три часа дня и посмотрите, соответствует ли написанное тому, что вы видите.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Перечень отвечает на вопрос «где лежит» — это опись шкафов, сейфов и помещений. Приказ отвечает на вопрос «что мы делаем для сохранности и кто за это отвечает». Норма постановления № 687 требует именно второго: перечня мер, порядка их принятия и перечня ответственных лиц.
Нет. Постановление № 687 регулирует обработку без использования средств автоматизации, то есть работу с бумагой: делами, папками, журналами, картотеками. Флешки, диски и ноутбуки — машинные носители, для них в комплекте есть отдельная инструкция, журнал учёта и правила его ведения.
Формально да, практически это почти всегда ошибка. Норма говорит о перечне лиц, ответственных за реализацию мер, и в организации эти меры естественным образом распределены: архив, текущее делопроизводство и уничтожение ведут разные люди. Один ответственный на всё означает, что за большую часть мер не отвечает никто.
По составу о хранении бумажных носителей — ничего: ответственность наступает только тогда, когда несоблюдение условий повлекло доступ к данным, их утрату или копирование. Но отсутствие документа остаётся невыполнением требований постановления, и проверяющий фиксирует его в общем ряду непринятых мер.
Да, и это не формальность: меры исполняют именно они. Ознакомление удобнее встраивать в приём на работу вместе с остальными документами по защите данных, иначе подписи собирают один раз при внедрении и больше не собирают никогда.
Передача носителей подрядчику описывается в приказе отдельно: по описи, по договору, с обязательством о конфиденциальности. Ответственность перед субъектами при этом остаётся на операторе, поэтому право проверить условия хранения стоит закрепить в договоре.
Зафиксировать факт и сразу сообщить ответственному: утрата носителя рассматривается как инцидент, а сроки уведомления регулятора — сутки и трое — считаются с момента выявления. Дальше определяется, чьи данные и в каком объёме были на носителе: от этого зависит и оценка последствий, и содержание сообщения регулятору.
Способ законом не установлен, установлено требование: данные должны быть уничтожены, а факт уничтожения подтверждён в форме, определённой регулятором. Шредер, специализированная служба или комиссионное уничтожение — выбор оператора, и этот выбор записывается в приказ.