Privacy-мнение от Comply — продолжаем говорить об уничтожении ПД. Часть 2.

Что еще за журналирование такое? 🤔

В прошлый раз мы разобрались, что если все-таки возникает ситуация полного уничтожения ПД, то уничтожение должно быть оформлено.

Пункт 2 Приказа РКН № 179 гласит: если уничтожаются ПД из информационной системы, то такое уничтожение должно подтверждаться (1) соответствующим актом, а также (2) выгрузкой из журнала регистрации событий в информационной системе (в одной из первых редакций приказа именовавшейся «лог-файлом»). И если с актом еще более-менее понятно, то с логами — непонятно многое. Давайте разбираться.

Что такое лог-файл?

Выражаясь простым языком, логи —  это набор текстовой информации о всех событиях, происходящих в системе. И это несложная часть задачи, т.к. современные системы обычно и так журналируют все действия пользователей или автоматики, включая как внесение, так и удаление информации. Сложности возникают, если посмотреть на состав информации в логах, которую требует Приказ.

Что нужно логировать?

▪️ФИО или иной ID субъекта в системе, по которому его можно идентифицировать или найти
▪️перечень уничтоженных категорий ПД
▪️наименование информационной системы
▪️причину уничтожения
▪️дату уничтожения

В чем сложности?

Даже неспециалисту в информационных системах видно, что, скорее всего, логирование не будет работать так, как этого желает РКН.

Часть из этих полей вовсе сомнительна — например, откуда системе знать причину уничтожения ПД, чтобы записать это в лог? А если мы уничтожили ФИО, какой смысл переписывать их в лог? О каком уничтожении может идти речь, если мы намеренно оставляем уникальные идентификаторы субъекты для выгрузки? Какая из систем будет писать собственное название в лог операций? А по каким правилам хранить такие ПД, если они как бы уничтожены (например, ограничить доступ только для DPO?). Пока вопросов больше, чем ответов.

Единственное, к чему нет вопросов — это дата уничтожения, тут все просто 🙂

Как с этим быть? Ответ есть в Приказе. Если какую-то информацию не получается фиксировать логами, ее нужно переносить в акт. Но смысл логов, конечно, тогда теряется полностью…

❗️Не забудьте предусмотреть и в акте, и в выгрузке поле для одного и того же ID, чтобы их можно было соотнести.

Что еще?

Логи нужно хранить не менее 3 лет с даты уничтожения. И это тоже может стать проблемой — большие системы могут генерировать огромное количество логируемой информации, и если не разрабатывать отдельный логгер только на уничтожение, то получатся огромные объемы занимаемого места.

А еще в этих логах нужно ориентироваться и искать для выгрузки информации по конкретному факту уничтожения. В условиях большого объема это и само по себе непросто. А ведь нужно еще и продумать, по каким признакам будет находиться операция — особенно, если в лог не пишется ФИО субъекта…

Выходы из ситуации?

Есть несколько вариантов. В идеальном мире РКН — вы должны переработать все свои системы и обеспечить механизм логирования, отвечающий всем требованиям Приказа. Что, по указанным выше причинам, а также с т.з. экономической целесообразности — не всегда возможно.

Даже если у вас получилось заставить систему автоматически контролировать сроки хранения данных и удалять их по алгоритму — далеко не факт, что у вас получится «прикрутить» к этому корректное логирование уничтожение. В зависимости от класса систем это может быть вообще невозможно, т.к. не во всех предусмотрена такая глубина логирования.

Поэтому иной вариант, который разрабатывали для клиента и периодически встречаем на практике — не идти в историю со сложным логированием, но хотя бы зашить автоматическое создание корректного акта об уничтожении по форме Приказа, который можно будет вывести на печать, подписать и положить в папку. Это уже рабочий сценарий, хотя и здесь придется поработать, чтобы продумать как хранение, так и UX.

А еще есть способ оптимизировать регулярность уничтожения ПД и, соответственно, составления актов и журналов. Но об этом расскажем в следующем посте!

Stay tuned 🙂

#мнение

Privacy-мнение от Comply

Процедура уничтожения персональных данных. Трагедия в 3-х частях. Финальная часть

Вот уже третью неделю мы обсуждаем процедуру уничтожения ПД. Определили, в каких случаях нужно уничтожать ПД, следуя всем правилам, и что фиксировать в логах.

Пришло время обсудить регулярность уничтожения ПД и, соответственно, составления актов об уничтожении и логирования.

По общему правилу, оператор ПД обязан прекратить обработку и уничтожить ПД в течение 30 дней с даты достижения цели их обработки. Подтверждает уничтожение соответствующий акт и выгрузка из журнала. Соответственно, каждые 30 дней оператору ПД нужно готовить эти документы, что может оказаться весьма обременительным.

Однако при невозможности уничтожения ПД оператор вправе их заблокировать на срок до 6 месяцев, а затем уничтожить (ч. 6 ст. 21 152-ФЗ).

Условия «невозможности» в статье не указаны, а значит оператор ПД может рискнуть самостоятельно их определить. Причины такой «невозможности» могут быть разные. Например, специфика ИТ-инфраструктуры оператора, ограничивающая или исключающая регулярную процедуру уничтожения.

Получается, что вроде бы оператор может поделить год на два полугодия и привязать к ним процедуру уничтожения. Таким образом, все документы с ПД и ПД в ИТ-системах, подлежащие уничтожению в январе 2024 – июне 2024 года, могут быть уничтожены единовременно, например, 28 июня, и все это можно закрепить единым актом об уничтожении.

❗️Проверьте, закреплена ли в вашем регламенте уничтожения или ином ЛНА возможность заблокировать ПД, а также как сформулированы основания для блокирвоки.

Вот такой элегантный способ свести всю бюрократию к двум актам в год. Но процедура блокирования должна все-таки по-настоящему существовать. Например, ПД должны быть перенесены во временную базу с ограничениями доступа и обработки и / или должен проставляться дополнительный признак запрета обработки, т.е. «блокировки».

А еще напомним, что блокирование – это временное прекращение обработки ПД. То есть оператор не может использовать персональные данные в течение этих 6 месяцев в своих целях.

☝️Блокирование перед уничтожением упрощает саму процедуру уничтожения ПД, и точно не является лазейкой для продления срока использования ПД оператором.

Конечно же и само по себе блокирование должно выполняться по определенным правилам. При этом оно не должно быть чрезмерно обременительным, в противном случае не понятно, зачем оно нам…но правила блокировки это уже отдельная история.

🔥Надеемся, серия постов была полезной и поможет вам обуздать рутину уничтожения ПД (смотрите пост раз и пост два).

В следующем посте ответили на самые популярные вопросы наших подписчиков в формате вопрос-ответ ⬇️

#мнение

IP-мнение от Comply ⚡️

Компании часто сталкиваются с мошенниками, которые мимикрируют под их бизнес, создавая в Сети похожие сайты. Такие злоумышленники могут собирать данные и деньги клиентов компании, что оставляет негативный след на репутации бизнеса.

Как с этим бороться? Через регуляторные или IP-механизмы. Давайте разбираться ⬇️

1. Защита товарного знака

Если бренд компании защищается в качестве товарного знака, мошенники обычно не могут его не использовать.

Это дает возможность требовать передачи по суду домена или исключения сайта из поисковой выдачи (работает не для всех поисковиков).

2. Блокировка пиратского контента

Нередко мошенники используют контент оригинального сайта, чтобы быть похожими на компанию-жертву.

Это открывает возможности к блокировке сайта: как через жалобы хостинг-провайдерам, так и через обращение в суд.

Последний способ особенно эффективен, если речь идет про копирование логотипа, текстов или видеороликов. Тогда можно добиваться в Мосгорсуде обеспечительных мер в виде блокировки.

3. Право на забвение

Если на сайте используется недостоверная информация о ключевых персонах компании, сайт может быть исключен из поисковой выдачи «по праву на забвение». Оно защищает граждан не только от неактуальной, но и от недостоверной информации.

Важно помнить, что в этом случае пожаловаться может только гражданин. Компании таким правом в РФ не наделены.

📢 Выводы:

Вариантов борьбы с сайтами злоумышленников гораздо больше, но эти — одни из самых простых.

Как видно, многие из них возможны только при предварительном оформлении прав на IP: регистрации знака, которая может занять больше года, и заключении договоров с авторами контента.

Поэтому, как всегда, важна профилактика, чтобы в нужный момент у компании была возможность защитить себя.

#мнение

Privacy-мнение Comply ⏬

Количество судебных дел, связанных с ПД, увеличилось на 70% – сообщила Moscow Digital School. И это не просто цифры, это реальный тренд. Комментарий к статье давал управляющий партнер Comply, Артем Дмитриев.

И было бы вредно думать, что privacy-накал будет спадать. Ведь даже несмотря на весну за окном, интерес к этой сфере не уменьшается. А значит, дальше – больше! А теперь разбираемся в причинах этого тренда:

▶️ Общий уровень privacy-осведомленности и требовательности потребителей растет. Каждый из нас сталкивается с передачей ПД в самых, казалось бы, безобидных и рутинных бытовых ситуациях. От принудительного сбора «добровольных» согласий до бесконечных спам-звонков и неочевидного сбора биометрии. Например, недавняя кампания одного известного банка по сбору согласий на передачу биометрии в ЕБС через банкоматы и пуш-уведомления заставила многих потребителей критично посмотреть на практики сбора своих ПД и спровоцировало рост запросов и отзывов согласий в банк.

▶️ Появляется больше «гражданских» инструментов и сервисов в сфере приватности, например, внедряется управление согласиями на Госуслугах. Кроме того, мир privacy пополнился онлайн-инструментом для проверки утечек личных данных. Можно ввести свой email или номер телефона, и сервис быстро проверит, не были ли ваши данные скомпрометированы в интернете. Если ваши данные когда-либо утекали, вы узнаете, из какого именно сервиса это произошло.

▶️ Законодатель намерен передать обществу грозную карающую бизнес дубинку, то есть создать площадку для коллективных исков по ПД. Это рискует стать для бизнеса опаснее оборотных штрафов. Не забываем и про инициативы «наращивания» резервов для выплаты компенсаций субъектам данных, чьи права были нарушены, а также privacy — ОСАГО, о котором мы уже писали.

▶️ Центр помощи субъектам ПД, созданный ФГУП «ГРЧЦ», предлагает субъектам ПД консультации по вопросам обработки ПД онлайн (устно) и письменно, что также делает более доступным мир privacy для населения.

▶️ Все еще готовится ко второму чтению пакет законопроектов, усиливающих ответственность за утечки ПД. Но и без того хватает рисков. Ведь РКН развивает свой инструментарий для дистанционного мониторинга сайтов. РКН учится автоматизировано выявлять privacy-нарушения на сайтах без предупреждений компаний, узнавать их адреса, IP-адреса, серверы электронной почты, данные владельцев и много-многое другое.

Потому несмотря на действующий мораторий на проведение проверок, бизнесу важно убедиться в первую очередь во front-end compliance и быть начеку. Кто забыл — ниже в карточках напоминаем, что это такое, и почему так важно сейчас контролировать свою privacy-виктимность ⏬

#мнение