Что такое защита персональных данных?

Защита персональных данных - это меры, которыми компания не даёт посторонним получить доступ к данным клиентов, изменить их или уничтожить без разрешения: разграничение доступа, шифрование каналов передачи, резервные копии, журнал действий с базой. Требование закреплено в статье 19 закона №152-ФЗ и существует отдельно от согласия на обработку - оно про то, как данные хранятся, а не про право их собирать.

Закон делит требования по уровням защищённости. Постановление правительства №1119 от 1 ноября 2012 года делит информационные системы на четыре уровня в зависимости от того, какие данные обрабатываются и сколько человек в базе. Для сайта с формой заявки, где хранятся только имя и телефон, это обычно низший уровень - он не требует специального оборудования, достаточно базовых организационных мер. Для баз со сведениями о здоровье или биометрией уровень выше, и туда уже входят конкретные технические меры из приказа ФСТЭК №21: антивирус, средства обнаружения вторжений, шифрование каналов.

На практике для обычного сайта защита - это разграничение доступа (у каждого сотрудника свой логин в CRM, а не общий пароль на всех), HTTPS вместо HTTP при передаче данных из формы, регулярные обновления CMS и плагинов - базы чаще утекают именно через дыру в устаревшей версии сайта, а не через целенаправленный взлом, - и резервные копии на случай сбоя или атаки шифровальщика.

Ответственность за защиту несёт оператор - компания, которая собирает данные, а не разработчик сайта, хотя часть технических мер обычно берёт на себя студия при разработке. Если бизнес работает с чувствительными категориями данных - здоровьем, биометрией, большими объёмами баз, - стоит привлечь специалиста по защите информации отдельно; для сайта-визитки или интернет-магазина типовых мер, которые делает разработчик, как правило достаточно.