Категория В1 — допуск к работе с персональными данными¶
Категория В1 — категория допуска к работе с персональными данными (ПДн), введённая в России в 2022 году в связи с переходом на систему оценки защищённости персональных данных. Категория определяет уровень требований к защите ПДн и к организации обработки, а также устанавливает обязательства оператора по обеспечению безопасности персональных данных. Категория В1 относится к числу наиболее строгих и применяется к операторам, обрабатывающим значительные объёмы персональных данных, включая биометрические и специальные категории ПДн.
¶Правовая основа
Категории допуска к обработке персональных данных закреплены в Федеральном законе от 27 июля 2006 года № 152-ФЗ «О персональных данных» (в редакции, действующей с 1 сентября 2022 года). Законодательные изменения были внесены Федеральным законом от 14 июля 2022 года № 300-ФЗ, который установил систему оценки защищённости ПДн и ввёл категории допуска.
До 2022 года в России действовала система аттестации информационных систем персональных данных (ИСПДн) по Постановлению Правительства РФ от 1 ноября 2012 года № 1119. Новая система заменила аттестацию на оценку защищённости, проводимую оператором самостоятельно или с привлечением независимых организаций.
¶Категории допуска
Законодательством установлены четыре категории допуска к обработке персональных данных:
| Категория | Уровень защищённости | Характеристика |
|---|---|---|
| В0 | Наивысший | Обработка ПДн, включая биометрические и специальные категории, в значительных объёмах |
| В1 | Высокий | Обработка значительных объёмов ПДн, включая отдельные специальные категории |
| В2 | Повышенный | Обработка ПДн в объёмах, требующих усиленных мер защиты |
| В3 | Базовый | Обработка ограниченного объёма ПДн |
Категория В1 занимает второе место по строгости требований после категории В0.
¶Требования к категории В1
К операторам, работающим в категории В1, предъявляется ряд обязательных требований:
- Организационные меры — назначение ответственного за организацию обработки ПДн, разработка и утверждение локальных нормативных актов по защите ПДн, проведение инструктажей и обучение персонала.
- Технические меры — применение средств защиты информации, прошедших сертификацию или декларирование соответствия, разграничение доступа к ПДн, журналирование действий пользователей, резервное копирование.
- Физические меры — ограничение доступа к помещениям, где обрабатываются ПДн, защита технических средств от несанкционированного доступа.
- Оценка защищённости — проведение оценки защищённости ПДн с привлечением аккредитованных организаций, подача уведомления в Роскомнадзор.
¶Кому применяется
Категория В1, как правило, применяется к следующим категориям операторов:
- Банкам и кредитным организациям, обрабатывающим ПДн клиентов в значительных объёмах.
- Организациям здравоохранения, обрабатывающим медицинские данные пациентов.
- Организациям, осуществляющим обработку ПДн в рамках трудовых отношений при значительной численности работников.
- Операторам, обрабатывающим ПДн несовершеннолетних.
- Организациям, использующим системы видеонаблюдения с распознаванием лиц.
¶Порядок определения категории
Категория допуска определяется оператором самостоятельно на основании:
- Объёма обрабатываемых персональных данных.
- Наличия специальных категорий ПДн (сведения о здоровье, религиозных убеждениях, политических взглядах и др.).
- Наличия биометрических персональных данных.
- Категорий субъектов ПДн (несовершеннолетние, государственные служащие и др.).
- Целей обработки и возможных последствий утечки ПДн.
При определении категории оператор обязан учитывать совокупность факторов и документально зафиксировать принятое решение.
¶Ответственность
За нарушение требований к защите персональных данных оператор несёт ответственность в соответствии с Кодексом Российской Федерации об административных правонарушениях (глава 13) и Уголовным кодексом Российской Федерации (статья 137). Штрафы за нарушение требований к защите ПДн были существенно увеличены в 2022 году и составляют для юридических лиц до 15 миллионов рублей за отдельные виды нарушений.
¶Практическое значение
Введение категорий допуска упростило для операторов процесс определения необходимого уровня защиты ПДн и сделало требования более прозрачными. Категория В1 требует от организаций серьёзной работы по построению системы защиты информации, но при этом не предполагает таких строгих ограничений, как категория В0. Многие крупные российские компании, банки и государственные организации перешли на работу в категории В1 после вступления в силу новой редакции закона.
Источники:
- Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных»
- Федеральный закон от 14 июля 2022 года № 300-ФЗ
- Постановление Правительства РФ от 1 ноября 2012 года № 1119
- Кодекс РФ об административных правонарушениях, глава 13