Пересылка персональных данных по электронной почте

Технологии позволяют мгновенно обмениваться огромным объемом информации по электронной почте, включая и персональные данные. Как обеспечить надежную защиту персональных данных, которые передаются через веб-интерфейсы почтовых онлайн-сервисов?

Безопасность при передаче ПД в электронной форме

В соответствии с нормами 152-ФЗ персональными данными считается информация, которая позволяет идентифицировать человека. Но закон не содержит конкретного списка данных, поэтому нужно максимально полно и точно определить, какие данные могут являться персональными.

Например, в случае передачи с использованием электронных средств логин не будет относиться к ПД, так как нельзя установить, кому конкретно он принадлежит. А вот ФИО и номер мобильного телефона в комплексе с электронной почтой уже позволяют определить физическое лицо. Это значит, что сбор информации в таком сочетании, вероятнее всего, будет расцениваться как процесс сбора и хранения ПД.

Очевидно, что оператором персональных данных является организация, которая любым способом получает данные, включая ФИО, домашний адрес и адрес электронной почты, телефонный номер, семейное положение, размер доходов и другие сведения. Статус оператора означает, что нужно соблюдать нормы закона «О персональных данных».

Собственники сайтов с личными кабинетами, механизмами обратной связи, регистрационными формами, анкетами и другими полями, в которых пользователи могут оставлять свои ПД, также подпадают под определение «оператор персональных данных».

Если на сайте есть кнопка, которой посетитель может воспользоваться, к примеру, для консультации, отправив свое имя и телефонный номер, данный ресурс также может быть квалифицирован как площадка для обработки ПД.

Данные, хранящиеся в собственных электронных архивах для личных целей или нужд семьи, не подпадают под закон о персональных данных. Но в случае, если владелец архива передаст информацию лицам или компаниям, которые в соответствии с законом считаются операторами ПД, или опубликует данные в открытом доступе, это будет расценено как нарушение.

Как не нарушить закон?

Чтобы при обработке персональных данных не нарушить требования закона, необходимо соблюдать ряд условий:

• Разместить на своих ресурсах для всеобщего ознакомления сведения о принципах работы с ПД клиентов компании и/или посетителей сайта.
• Просить предоставлять только такие персональные данные, которые необходимы для определенной цели. К примеру, не требовать данные паспорта или адрес проживания для рассылок с помощью электронной почты.
• Прежде чем получить ПД, которые планируется публиковать в общедоступных источниках характера, нужно взять письменное согласие на обработку, распространение и хранение у каждого пользователя, клиента, подписчика. Если информация не будет публиковаться, а необходима только для работы непосредственно внутри предприятия, нужно создать явное ограничение для возможности передачи ПД без получения согласия на обработку.
• Применять персональную информацию исключительно для целей, о которых уведомлены субъекты данных. Использовать допускается только те сведения, которые были указаны в публично представленных документах, имеющих отношение к обработке ПД.
• Предоставлять субъекту персональных данных сведения, если он подал запрос, о том, какие данные о нем есть у предприятия в электронном и/или печатном виде, каким образом и для каких целей информация обрабатывается, кому передается.
• Незамедлительно выполнить требование субъекта ПД об удалении сведений из базы данных.
• Хранить электронные базы в надежном, защищенном от постороннего доступа месте, создавать эффективную систему защиты от взлома или утечки.

• Определить приказом (распоряжением) лицо, ответственное за создание безопасных условий хранения, обработки и других действий с ПД, в соответствии с требованиями ФЗ-152.
• Обучать работников компании правилам работы с ПД.
• Зарегистрироваться в Роскомнадзоре в качестве оператора персональных данных.

Средства криптографической защиты информации

Передавать или готовить к передаче ПД сотрудников с использованием электронной почты необходимо по каналам связи с выходом за границы контролируемых зон по следующим ТСР-портам:

• HTTPS-443;
• HTTP-80;
• IMAP-143;
• IMAP-993;
• SMTP-25, 587, 465;
• POP3-110, 995.

Во время передачи ПД по электронной почте должны соблюдаться меры безопасности, которые обеспечат эффективной антивирусную защиту; предотвратят попытки раскрытия ПД, модификации, ввода заведомо ложных данных; позволят вовремя обнаружить и должным образом отреагировать на попадание в информационные системы ПД незапрашиваемых писем, спама и других сообщений, которые не относятся к персональной информации.

Передача или подготовка к выполнению действий с ПД с помощью электронной почты без применения средств криптографической защиты информации (СКЗИ) считается разглашением персональных данных. Это нарушает требования к защите, установленные законом. К операторам ПД, которые не используют СКЗИ, могут применить один из видов ответственности: дисциплинарной, гражданско-правовой, административной и даже уголовной.