Оценка вреда субъектам персональных данных — это не абстрактная бумажка. Это одна из конкретных организационных мер, которую требует статья 18.1 152-ФЗ наряду с политикой, локальными актами и назначением ответственного. Её цель — понять, что может пойти не так и какие последствия это повлечёт для людей, чьи данные вы обрабатываете.
Что это за мера
Статья 18.1 перечисляет обязательные организационные меры для любого оператора. Среди них — оценка вреда, который может быть причинён субъектам при нарушении требований закона. Это не разовое действие, а часть системы защиты. Вы не можете просто назначить ответственного и принять политику — нужно ещё оценить риски и показать, что вы их осознаёте и принимаете меры.
Что оценивают
Оценка вреда — это анализ возможного негативного воздействия на субъекта в случае нарушения. Например:
- что произойдёт, если данные клиента попадут в чужие руки;
- какой ущерб это может нанести репутации или финансам человека;
- как соотносятся эти риски с теми мерами, которые вы уже принимаете.
Результат оценки не обязан быть в цифрах — закон не требует конкретной методики расчёта. Но вы должны документально зафиксировать, что оценили возможный вред и выбрали меры, адекватные этим рискам. Это может быть внутренний акт, приложение к политике или отдельный документ.
Кому нужно
Оценка вреда — обязательная мера для всех операторов, независимо от масштаба бизнеса. Она входит в тот же пакет, что и назначение ответственного за организацию обработки. Как ввести эту должность и что именно входит в её обязанности, описано в статье ответственный за обработку.
Без оценки вреда пакет организационных мер считается неполным. Если проверяющие увидят, что оценка не проводилась или проведена формально, это может быть расценено как нарушение ст. 18.1. При этом сам акт оценки не нужно никуда подавать — он остаётся внутренним документом, но должен быть в наличии.
Связь с защитой
Оценка вреда напрямую влияет на выбор технических и организационных мер защиты (ст. 18.1 и ст. 19). Чем выше возможный вред для субъекта, тем серьёзнее должны быть меры: шифрование, разграничение доступа, контроль инцидентов, обучение персонала.
| Уровень возможного вреда | Пример мер (из ст. 18.1 и 19) |
|---|---|
| Низкий (контактные данные) | Ограничение доступа, парольная защита |
| Средний (финансовые данные) | Шифрование, двухфакторная аутентификация |
| Высокий (специальные категории) | Отдельные политики, усиленный контроль, регулярные аудиты |
Оценка вреда не должна быть формальностью. Она помогает вам обоснованно выбрать меры защиты и доказать проверяющим, что вы подошли к вопросу системно. Полный перечень всех организационных мер, которые закон требует от оператора, собран в чек-листе чек-лист для организации.
Практическое правило: оценку вреда можно провести быстро. Соберите три списка — какие данные обрабатываете, какие риски с ними связаны, какие меры уже есть. Если риски выше мер — усильте защиту. И зафиксируйте всё в одном документе.
Оценка вреда — это не просто пункт из списка, а инструмент управления рисками. Она показывает, что вы не просто формально выполняете требования, а действительно думаете о безопасности данных, которые вам доверили.
Вопросы про оценку вреда
Что такое оценка вреда субъектам ПДн и зачем её проводить?
Это анализ возможного негативного воздействия на человека при нарушении защиты его данных. Она обязательна как организационная мера по ст. 18.1 и помогает выбрать адекватные меры защиты из ст. 19.
Нужно ли подавать оценку вреда в Роскомнадзор?
Нет, это внутренний документ. Его не нужно никуда направлять, но он должен быть в наличии у оператора как часть системы организационных мер.
Что делать с результатами оценки вреда?
Использовать их для выбора и обоснования мер защиты. Если оценка показала высокие риски — усилить шифрование, контроль доступа или обучение сотрудников. Результаты должны быть зафиксированы во внутренних документах.
Обязательна ли оценка вреда для ИП с одним сотрудником?
Да. Статья 18.1 не делает исключений по масштабу. Оценка вреда — обязательный элемент организационных мер для любого оператора, даже если у вас всего несколько клиентов и один работник. Но объём оценки соразмерен масштабу обработки.
Похожие материалы
Источники
- 152-ФЗ, ст. 18.1 и 19 (организационные и технические меры) — consultant.ru
Отнесение оценки вреда к организационным мерам ст. 18.1 сверено с текстом; методика намеренно не приводится, так как закон её не задаёт.