Оценка вреда субъектам персональных данных: зачем нужна и как оформить

Что такое оценка вреда и зачем она

Оценка вреда — это внутренняя аналитическая работа оператора: определить, какой вред может быть причинён субъектам персональных данных в случае нарушения закона (утечки, неправомерного доступа, изменения или блокирования данных), и соотнести этот вред с мерами, которые оператор принимает для защиты. Обязанность закреплена в статье 18.1 152-ФЗ, а сами Требования к оценке — отдельным приказом Роскомнадзора.

Ключевая мысль, которую легко упустить: оценивается вред человеку, а не убыток компании. Штраф, простой и репутационные потери оператора — это другое. Здесь вопрос в том, что произойдёт с субъектом: от спама и навязчивой рекламы до мошенничества по украденным реквизитам, дискриминации и угрозы личной безопасности. Оценка вреда — это про людей, чьи данные вы держите.

Кто обязан и на каком основании

Проводить оценку вреда обязан любой оператор персональных данных — и организация, и ИП, независимо от размера. Это не обязанность «только для крупных»: небольшой интернет-магазин или самозанятый, обрабатывающий данные клиентов, тоже оператор и тоже должен провести оценку. Что такое персональные данные и почему обычные ФИО, телефон и почта под это подпадают — в материале о том, что относится к персональным данным.

Оценка вреда — лишь один пункт из общего перечня того, что должен делать оператор. Как она встраивается в остальные обязанности — в разборе обязанностей оператора персональных данных.

Три степени вреда: критерии

Требования выделяют три степени вреда — высокую, среднюю и низкую. Степень зависит от того, насколько тяжёлыми и необратимыми окажутся последствия для субъекта. Ниже — ориентиры, что тянет оценку вверх, а что оставляет её низкой.

На степень влияют чувствительность данных (специальные категории и биометрия всегда тянут вверх), объём и число субъектов, а также обратимость — можно ли последствия устранить. Важно: собственную шкалу «на глаз» придумывать не нужно — критерии берутся из приказа Роскомнадзора, и именно на них стоит опираться в формулировках.

Как провести и оформить: 6 шагов

Порядок работает и для ИП с парой процессов, и для компании с десятком целей обработки. Смысл — не отчёт ради отчёта, а понимание, где меры не дотягивают до реального вреда.

1. Опишите процессы обработки. Оценка вреда делается не «в целом по компании», а по процессам обработки: для каждой цели и категории субъектов (клиенты, сотрудники, подписчики, соискатели) зафиксируйте, какие данные обрабатываются, где хранятся и кому передаются. Пока нет перечня процессов, невозможно оценить, что именно и кому может навредить, — оценка повиснет в воздухе.
2. Определите возможные негативные последствия для субъекта. По каждому процессу продумайте, что реально произойдёт с человеком при нарушении: утечке, неправомерном доступе, изменении или блокировании данных. Спектр — от навязчивой рекламы и спама до мошенничества по украденным реквизитам, дискриминации, ущерба репутации и угрозы личной безопасности. Оценивается вред субъекту, а не убыток оператора, — это ключевая смена оптики.
3. Присвойте степень вреда по критериям. Соотнесите последствия с тремя степенями — высокой, средней или низкой. Ориентиры: чувствительность данных (специальные категории и биометрия тянут вверх), объём и число субъектов, обратимость последствий и возможность их устранить. Требования к оценке вреда закреплены приказом Роскомнадзора; используйте их формулировки, а не собственную шкалу «на глаз».
4. Соотнесите вред с принимаемыми мерами. Смысл оценки не в отчёте ради отчёта, а в том, чтобы меры защиты были соразмерны вреду. Там, где степень высокая, набор мер должен быть заметно строже: разграничение доступа, шифрование, минимизация, обезличивание там, где идентификация не нужна. Если вред высокий, а мер почти нет — это и есть тот разрыв, который найдёт проверка и который дорого стоит при утечке.
5. Оформите результат отдельным документом и утвердите. Итог оценки фиксируется документом (актом или разделом внутреннего регламента): перечень процессов, возможные последствия, присвоенная степень, вывод о достаточности мер. Документ утверждается и хранится — именно его запрашивают при проверке и на него ссылаются при разборе инцидента. Устная «мы всё оценили» не считается: бремя доказывания лежит на операторе.
6. Пересматривайте оценку и закрепите за ответственным. Оценка вреда — не разовый акт: её пересматривают при новых процессах, изменении состава данных, появлении новых угроз и после инцидентов. Закрепите обязанность вести и обновлять оценку за ответственным за организацию обработки ПДн — иначе документ устареет уже через год и перестанет отражать реальные риски.

Связь с утечкой и другими документами

Оценка вреда не живёт отдельно — она связывает воедино несколько документов и процессов. Присвоенная степень вреда помогает понять, насколько серьёзен инцидент и какие меры нужно было принять заранее.

Один из практичных способов снизить оценённый вред — не хранить данные в узнаваемом виде там, где идентификация не нужна: обезличенные данные при утечке наносят меньше вреда. Как это делается — в материале про  обезличивание персональных данных. А что делать, если инцидент уже произошёл, — в  плане реагирования на утечку.

Частые ошибки

• Считают, что оценка вреда — только для крупных компаний, и не делают её вовсе.
• Оценивают убыток оператора вместо вреда субъекту — подменяют оптику.
• Придумывают собственную шкалу степеней вместо критериев из приказа РКН.
• Делают оценку «в целом», а не по процессам обработки.
• Не оформляют результат документом — доказать факт оценки нечем.
• Присвоили высокую степень, но мер защиты под неё так и не добавили.
• Составили один раз и забыли — оценка устарела и не отражает реальные риски.
• Путают оценку вреда с политикой или планом реагирования — это разные документы.

Общий знаменатель — отношение к оценке как к формальной бумажке. На деле это рабочий инструмент: он показывает, где ваши меры не дотягивают до реального вреда, пока это не показала утечка.

Читайте также

• Обязанности оператора персональных данных — полный перечень, куда входит и оценка вреда.
• Политика обработки персональных данных — соседний обязательный документ, но публичный.
• Ответственный за обработку ПДн — кому логично поручить ведение оценки.
• Обезличивание персональных данных — как снизить оценённый вред на практике.
• План реагирования на утечку ПДн — что делать, когда инцидент уже случился.

Частые вопросы