Политика безопасности

 

Обеспечение конфиденциальности и сохранности информации, полученной в ходе проведения независимой оценки, является основополагающим принципом работы квалифицированных оценщиков. Отсутствие четко выстроенной политики безопасности при взаимодействии с заказчиком и в процессе обработки данных может привести к серьезным юридическим последствиям и репутационным рискам. Данный материал призван осветить ключевые аспекты политики безопасности с позиции практикующего эксперта, обладающего опытом в оценочной деятельности и судебных разбирательствах.

Сущность оценки и правовая природа защиты информации

Независимая оценка, по своей сути, представляет собой процесс формирования мнения о стоимости объекта оценки, основанного на специальных знаниях, методиках и законодательных нормах. Информация, предоставляемая заказчиком, зачастую носит конфиденциальный характер, включая сведения о финансовом состоянии, коммерческой тайне, личных данных собственников. Сохранение целостности и конфиденциальности этих данных – не просто этическая норма, а требование, вытекающее из действующего законодательства.

Квалифицированный оценщик выступает в роли доверенного лица, несущего ответственность за корректное использование и хранение полученных сведений. В случае нарушения принципов безопасности, помимо гражданско-правовой ответственности, возможны и административные санкции, предусмотренные законодательством Российской Федерации о защите информации.

Нормативное регулирование политики безопасности в оценочной деятельности

Основополагающим документом, регулирующим деятельность оценщиков, является Федеральный закон № 135-ФЗ «Об оценочной деятельности в Российской Федерации». Закон прямо указывает на обязанность оценщика соблюдать конфиденциальность информации, полученной в процессе проведения оценки. Эта норма распространяется не только на сам отчет об оценке, но и на все сопутствующие документы и сведения.

Дополнительные требования к порядку обращения с конфиденциальной информацией содержатся в Федеральных стандартах оценки (ФСО). Они конкретизируют процедуры, связанные со сбором, обработкой, хранением и передачей данных. Важно понимать, что игнорирование этих требований влечет за собой не только дисциплинарную, но и юридическую ответственность оценщика, вплоть до лишения квалификационного аттестата.

Практический порядок формирования политики безопасности

Эффективная политика безопасности начинается с момента первого контакта с заказчиком. Заключение договора об оказании оценочных услуг должно включать раздел, четко регламентирующий порядок обращения с конфиденциальной информацией. В нем должны быть прописаны:

• Виды информации, подлежащей защите (финансовая, коммерческая, личная).
• Обязанности оценщика по обеспечению конфиденциальности.
• Срок хранения информации после завершения оценки.
• Порядок передачи информации третьим лицам (только с согласия заказчика или по решению суда).
• Ответственность за нарушение конфиденциальности.

В процессе проведения оценки необходимо применять технические и организационные меры для защиты данных. Это может включать использование защищенных облачных хранилищ, шифрование передаваемых файлов, контроль доступа сотрудников к служебной информации, а также проведение инструктажей для персонала по вопросам информационной безопасности.

Типичные ошибки и риски при пренебрежении политикой безопасности

Частой ошибкой является передача конфиденциальных документов заказчика по незащищенным каналам связи, например, по электронной почте без шифрования. Это может привести к перехвату данных злоумышленниками. Другой распространенный риск – несанкционированный доступ третьих лиц к файлам оценщика из-за отсутствия парольной защиты на компьютерах или облачных сервисах.

Неправильное хранение отчетов об оценке и сопутствующих документов также создает угрозу. Например, оставление документов на видном месте в офисе или их утилизация без надлежащего уничтожения (шредер) может привести к утечке информации. Кроме того, случаи, когда оценщик передает сведения о предыдущих клиентах или их объектах новым заказчикам, являются грубым нарушением политики конфиденциальности.

Важные нюансы и исключения в политике безопасности

Следует учитывать, что законодательство предусматривает случаи, когда раскрытие информации, полученной в ходе оценки, является обязательным. К таким ситуациям относятся:

• Исполнение запросов правоохранительных органов и органов государственной власти, действующими в рамках своих полномочий.
• Предоставление информации по решению суда.
• Раскрытие сведений, необходимых для урегулирования претензий или судебных споров, связанных с проведенной оценкой.

В этих случаях оценщик обязан действовать строго в соответствии с требованиями нормативных актов, уведомив заказчика (если это не противоречит процессуальному законодательству) о необходимости раскрытия информации.

Политика безопасности в независимой оценке – это комплекс мер, направленных на защиту информации и обеспечение доверительных отношений с клиентом. Соблюдение законодательных требований и внутренних процедур является залогом успешной и законной деятельности оценщика, минимизируя риски и сохраняя профессиональную репутацию.

Часто задаваемые вопросы

В течение какого срока оценщик обязан хранить информацию после завершения оценки?

Срок хранения информации определяется договором об оказании оценочных услуг, а также требованиями законодательства о защите информации и архивном деле. Как правило, он составляет не менее трех лет с момента составления отчета об оценке.

Может ли оценщик использовать информацию о предыдущих клиентах для других оценок?

Нет, использование информации о предыдущих клиентах и их объектах оценки для любых других целей, кроме тех, для которых она была предоставлена, является грубым нарушением политики конфиденциальности и законодательства.

Что делать, если заказчик требует раскрыть конфиденциальную информацию о другом клиенте?

Оценщик не имеет права раскрывать конфиденциальную информацию о одном клиенте другому, за исключением случаев, прямо предусмотренных законодательством (например, по решению суда).

Какие технические средства защиты информации наиболее актуальны для оценщика?

Актуальны использование лицензионного антивирусного ПО, шифрование данных при передаче и хранении, двухфакторная аутентификация для доступа к облачным сервисам, а также регулярное резервное копирование.

Может ли оценка быть признана недействительной из-за нарушения политики безопасности?

Да, в случае доказанного нарушения политики конфиденциальности, которое могло повлиять на объективность и достоверность результатов оценки, отчет может быть оспорен в судебном порядке.

Как разработать политику безопасности, соответствующую требованиям GDPR и локальным законам

Разработка политики безопасности, отвечающей международным и национальным регуляторным нормам, требует структурированного подхода. Первоочередной задачей является идентификация всех типов персональных данных, которые обрабатывает организация. Это включает не только данные клиентов и сотрудников, но и информацию о поставщиках, партнерах и посетителях веб-сайта. Необходимо зафиксировать источники получения данных, цели их обработки, сроки хранения и меры по обеспечению их конфиденциальности и целостности. GDPR требует детального описания этих процессов, включая обоснование законности обработки каждого типа данных.

Далее, политика безопасности должна явно отражать принципы минимизации данных и ограничения их использования. Это означает сбор только тех данных, которые необходимы для конкретной цели, и их обработку исключительно в рамках этой цели. Сроки хранения данных должны быть строго регламентированы и соответствовать законодательным требованиям, а также целесообразности бизнеса. Важным аспектом является определение ответственных лиц за соблюдение политики безопасности на каждом этапе обработки данных, а также разработка процедур реагирования на инциденты, связанные с утечкой или несанкционированным доступом к данным.

Локальное законодательство, например, Федеральный закон № 152-ФЗ «О персональных данных» в России, накладывает дополнительные требования. Политика безопасности должна учитывать эти нормы, касающиеся получения согласия субъектов данных, трансграничной передачи информации, а также обязанностей оператора по защите персональных данных. Необходимо провести анализ всех применимых законов и стандартов, чтобы политика безопасности не только соответствовала GDPR, но и полностью покрывала требования российского законодательства.

Идентификация персональных данных и цели их обработки

Первым шагом в разработке политики безопасности является глубокая инвентаризация всех персональных данных, с которыми работает организация. Этот процесс должен быть систематическим и охватывать все подразделения и информационные системы. Следует провести аудит, чтобы выявить, какие категории персональных данных собираются (например, ФИО, контактная информация, платежные реквизиты, сведения о здоровье, биометрические данные), каким образом они поступают (например, через онлайн-формы, договоры, устные обращения) и для каких конкретных целей они используются (например, выполнение договорных обязательств, маркетинговые исследования, управление персоналом). GDPR требует, чтобы цели обработки были четко определены, явными и законными.

На основе полученной информации формируется реестр данных, который будет служить основой для дальнейшей разработки политики. Этот реестр должен включать подробное описание каждого типа данных, категории субъектов, для которых эти данные обрабатываются, а также юридическое основание для их обработки в соответствии с GDPR (например, согласие субъекта, выполнение договора, законная обязанность). Для каждого случая необходимо определить, соответствует ли обработка данных принципам GDPR, таким как законность, справедливость и прозрачность. Недостаточная детализация этого этапа может привести к несоответствию законодательным требованиям и возникновению юридических рисков.

Правовые основания для обработки данных и получение согласия

GDPR устанавливает шесть законных оснований для обработки персональных данных. Важно, чтобы политика безопасности четко определяла, какое именно основание применяется к каждой категории данных и каждой цели обработки. Наиболее распространенные основания включают: согласие субъекта персональных данных, необходимость исполнения договора, которому стороной является субъект, юридическая обязанность, защита жизненно важных интересов субъекта, выполнение задачи в общественных интересах или осуществление официальных полномочий, а также законные интересы оператора или третьей стороны (при условии, что интересы субъекта не имеют преобладающей силы). Каждое из этих оснований требует отдельного внимания и документирования.

Особое внимание следует уделить получению и управлению согласием. Согласно GDPR, согласие должно быть свободно данным, конкретным, информированным и недвусмысленным. Это означает, что субъект должен активно подтвердить свое согласие, а не молчаливо его предоставить. Политика безопасности должна содержать четкие процедуры для получения такого согласия, например, путем использования отметок в чек-боксах, которые не установлены по умолчанию. Также необходимо обеспечить, чтобы субъекты данных имели возможность отозвать свое согласие в любое время, и эта процедура должна быть столь же простой, как и процедура его предоставления. Локальное законодательство также имеет свои требования к получению согласия, которые должны быть учтены.

Меры по обеспечению конфиденциальности, целостности и доступности данных

Для соответствия требованиям GDPR и локальным законам, политика безопасности должна предусматривать комплекс мер по защите персональных данных. Это включает как технические, так и организационные меры. Технические меры могут включать шифрование данных при передаче и хранении, использование межсетевых экранов, системы обнаружения вторжений, регулярное резервное копирование данных и контроль доступа к информационным системам с использованием ролевой модели. Важно, чтобы эти меры соответствовали уровню риска, связанного с обработкой данных.

Организационные меры не менее важны. Они охватывают обучение персонала по вопросам защиты персональных данных, разработку внутренних регламентов и инструкций, проведение регулярных аудитов безопасности, а также управление инцидентами. Политика безопасности должна определять порядок проведения оценки воздействия на защиту данных (DPIA) для операций, которые могут представлять высокий риск для прав и свобод субъектов данных. Кроме того, необходимо установить четкие процедуры реагирования на утечки данных, включая уведомление соответствующих надзорных органов и субъектов данных в установленные сроки.

Права субъектов данных и процедуры их реализации

GDPR предоставляет субъектам персональных данных широкий набор прав, которые должны быть отражены в политике безопасности. К ним относятся право на доступ к своим данным, право на их исправление, право на удаление («право на забвение»), право на ограничение обработки, право на переносимость данных, право на возражение против обработки, а также право не подвергаться решениям, основанным исключительно на автоматизированной обработке. Политика безопасности должна подробно описывать, как организация обеспечивает реализацию этих прав.

Для каждого права должны быть разработаны четкие и доступные процедуры. Например, для реализации права на доступ, организация должна предоставить возможность субъекту получить копию своих персональных данных в машиночитаемом формате. Право на удаление должно осуществляться без неоправданной задержки, за исключением случаев, когда обработка данных необходима для выполнения юридической обязанности или осуществления публичных интересов. Политика безопасности должна содержать контактную информацию лица или отдела, ответственного за обработку запросов субъектов данных, а также устанавливать разумные сроки для ответа на такие запросы, соблюдая требования законодательства.

Часто задаваемые вопросы

Вопрос: Моя компания не обрабатывает данные в ЕС, но мы используем облачные сервисы, серверы которых расположены в ЕС. Относится ли к нам GDPR?

Ответ: Да, GDPR применяется к обработке персональных данных субъектов, находящихся в ЕС, независимо от места расположения оператора или процессора данных. Использование облачных сервисов с серверами в ЕС для обработки персональных данных граждан ЕС подпадает под действие GDPR.

Вопрос: Мы хотим использовать данные клиентов для маркетинговых рассылок. Какое правовое основание является наиболее подходящим?

Ответ: Для маркетинговых рассылок наиболее надежным правовым основанием является информированное и недвусмысленное согласие субъекта персональных данных. Необходимо предоставить клиентам возможность легко отозвать согласие на получение рассылок.

Вопрос: Как часто нужно проводить оценку воздействия на защиту данных (DPIA)?

Ответ: DPIA проводится при наличии риска, который может представлять высокий риск для прав и свобод физических лиц. Это может включать использование новых технологий, обработку больших объемов чувствительных данных или систематический мониторинг общедоступных мест. Конкретные триггеры для проведения DPIA указаны в GDPR.

Вопрос: Что делать, если произошла утечка персональных данных?

Ответ: В случае утечки персональных данных необходимо без неоправданной задержки, где это возможно, уведомить соответствующий надзорный орган в течение 72 часов после того, как стало известно о нарушении. Если утечка представляет высокий риск для прав и свобод физических лиц, необходимо уведомить и самих субъектов данных.

Вопрос: Могут ли штрафы за нарушение GDPR быть настолько высокими, как говорят?

Ответ: Да, GDPR предусматривает значительные штрафы. Для нарушений, касающихся прав субъектов данных, или незаконной обработки, штрафы могут достигать 20 миллионов евро или 4% от годового мирового оборота компании за предыдущий финансовый год, в зависимости от того, какая сумма больше. Для других нарушений штрафы могут достигать 10 миллионов евро или 2% от годового мирового оборота.

Вопрос: Как определить, какие данные считаются «чувствительными» по GDPR?

Ответ: GDPR относит к специальным категориям персональных данных (чувствительным) сведения, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзах, а также генетические и биометрические данные для целей идентификации, данные о состоянии здоровья, данные о сексуальной жизни или сексуальной ориентации. Их обработка требует более строгих условий.

Вопрос: Какова роль сотрудника по защите данных (DPO)?

Ответ: Сотрудник по защите данных (DPO) отвечает за консультирование организации по вопросам соблюдения GDPR, мониторинг соблюдения политики защиты данных, координацию с надзорными органами и обучение персонала. Его роль является консультативной и контрольной, он не несет прямой ответственности за нарушения.