Дата актуализации: 17:37:54 ()

Защита персональных данных (ПДн) является одной из ключевых задач современного правового регулирования. С ростом объёмов цифровой информации, широким применением искусственного интеллекта (ИИ) и глобализацией бизнеса возрастают риски несанкционированного доступа, утечки и misuse данных. В данной статье рассмотрены нормативные основы, принципы и практические аспекты обеспечения конфиденциальности персональной информации в Российской Федерации и на международном уровне.

Нормативно‑правовая база в Российской Федерации

• Федеральный закон № 152‑ФЗ «О персональных данных» (от ) – основной закон, определяющий понятия, принципы обработки, права субъектов и обязанности операторов.
• Постановление Правительства РФ № 1119 от – требования к обеспечению безопасности персональных данных при их обработке в информационных системах.
• Приказ Роскомнадзора № 211 от – порядок уведомления о начале обработки персональных данных.
• Кодекс административных правонарушений РФ (ст. 13.11‑13.14) – ответственность за нарушение законодательства о ПДн.

Международные стандарты и соглашения

1. Общий регламент по защите данных (GDPR) – Regulation (EU) -016/679, действующий в странах ЕС и оказывающий влияние на российские компании, работающие с данными граждан ЕС.
2. Конвенция № 108 Совета Европы – первая международная конвенция о защите личности при автоматической обработке персональных данных (модернизирована в 2018 году как Convention 108+).
3. APEC Privacy Framework – рекомендации по защите личной информации в странах Тихоокеанского региона.
4. ISO/IEC 27701:2019 – расширение стандарта ISO/IEC 27001, посвящённое управлению информацией о конфиденциальности.

Основные принципы обработки персональных данных

Согласно ст. 5 Закона № 152‑ФЗ и аналогичным положениям GDPR, обработка ПДн должна соответствовать следующим принципам:

• Законность, справедливость и прозрачность – обработка осуществляется на основании законного основания и в понятной для субъекта форме.
• Ограничение целей – данные собираются для конкретных, явных и законных целей и не используются иным образом.
• Минимизация данных – обрабатывается лишь тот объём информации, который необходим для достижения заявленных целей.
• Точность – персональные данные должны быть точными и, при необходимости, актуализироваться.
• Ограничение хранения – данные хранятся не дольше, чем требуется для целей обработки.
• Целостность и конфиденциальность – обеспечение защиты от несанкционированного или случайного доступа, уничтожения, изменения.

Обязанности операторов персональных данных

Оператор – лицо, осуществляющее обработку ПДн. Его основные обязанности включают:

1. Определение правового основания обработки (согласие, договор, законное интересы и т.д.).
2. Обеспечение безопасности данных: технические и организационные меры (шифрование, контроль доступа, журналы событий).
3. Проведение оценки воздействия на защиту данных (DPIA) при высоких рисках.
4. Уведомление Роскомнадзора о начале обработки (если требуется).
5. Обеспечение права субъекта на доступ, исправление, удаление («право на забвение») и перенос данных.
6. Обеспечение прозрачности: публикация политики конфиденциальности и информирование субъектов о их правах.
7. Обеспечение обучения персонала и назначение ответственного за защиту данных (DPO) при необходимости.

Права субъектов персональных данных

• Право на получение информации об обработке.
• Право на доступ к своим данным.
• Право на исправление неточных данных.
• Право на удаление данных («право на забвение») при отсутствии оснований для их хранения.
• Право на ограничение обработки.
• Право на перenos данных в другом формате.
• Право на возражение против обработки, в т.ч. для целей прямого маркетинга.
• Право не быть subject to автоматизированного индивидуального решения, производящего правовые последствия.

Ответственность за нарушение законодательства о ПДн

Нарушение требований Закона № 152‑ФЗ влечёт:

• Административную ответственность – штрафы от 30 000 до 150 000 руб. для должностных лиц и от 100 000 до 600 000 руб. для организаций (ст. 13.11 КоАП РФ). При повторных нарушениях – увеличение штрафов.
• Гражданско‑правовую ответственность – возмещение ущерба, морального вреда, а также возможные иски от субъектов данных.
• Уголовную ответственность (в случаях тяжких последствий, например, массовая утечка данных, повлекшая вред здоровью или имуществу) – ст. 272 УК РФ (неправомерный доступ к компьютерной информации).

Защита персональных данных при применении искусственного интеллекта

Согласно материалам из сети (см. фрагмент: «Защита персональных данных при применении ИИ на международном уровне…»), использование ИИ создаёт дополнительные вызовы:

• Масштаб обработки – алгоритмы обучения требуют больших наборов данных, что увеличивает риск утечки.
• Непрозрачность моделей – «чёрный ящик» усложняет проверку соблюдения принципа прозрачности.
• Автоматизированное принятие решений – необходимо обеспечить право субъекта на объяснение и оспаривание решений, основанных на ИИ.
• Переобучение и смещение – возможна дискриминация из‑за предвзятости в обучающих данных.

Для минимизации рисков рекомендуется:

1. Проводить предварительную оценку воздействия ИИ на защиту данных (AI‑DPIA).
2. Использовать техники анонимизации и псевдонимизации перед подачей данных в модели.
3. Обеспечивать логирование всех этапов обработки и доступ к моделям только authorised personnel.
4. Внедрять механизмы объяснимости (Explainable AI – XAI) для предоставления субъектам понятных оснований решений.
5. Регулярно аудитировать модели на предмет смещения и дискриминации.

Практические рекомендации для организаций

• Разработать и утвердить внутреннюю политику обработки персональных данных, соответствующую требованиям 152‑ФЗ и, при необходимости, GDPR.
• Назначить ответственного за защиту данных (DPO) или назначить лицо, выполняющее его функции.
• Провести инвентаризацию всех информационных систем, обрабатывающих ПДн, и классифицировать их по уровню риска.
• Внедрить технические средства защиты: шифрование данных в покое и в передаче, многофакторную аутентификацию, системы предотвращения утечки данных (DLP).
• Обучать сотрудников основам защиты персональных данных и правилам обработки информации минимум раз в год.
• Создать процедуру реагирования на инциденты информационной безопасности (включая уведомление субъектов и регуляторов в установленные сроки).
• Регулярно проводить внутренние и внешние аудиты соответствия, а также тесты на проникновение.

Юридические основы защиты персональных данных представляют собой сложную, но необходимую систему норм, принципов и практических мер, направленных на соблюдение прав лиц и обеспечение доверия к цифровым сервисам. В условиях быстрого развития технологий, особенно искусственного интеллекта, важно не только соблюдать существующее законодательство, но и активно внедрять лучшие международные практики, проводить оценки рисков и обеспечивать прозрачность обработки данных. Только комплексный подход, сочетающий правовое регулирование, технические меры и организационную культуру, позволит эффективно защищать персональные данные в современном информационном обществе.