Часть 20936 – это один из ключевых разделов нормативно‑правового акта, регулирующего обращение с персональными данными в сфере информационных технологий. Данная статья раскрывает смысл, цели, основные положения и практические аспекты применения этой части, а также рассматривает типичные ошибки и рекомендации по их устранению.

Общие сведения о Части 20936

Часть 20936 была принята в 2021 году в рамках Федерального закона № 152‑ФЗ «О персональных данных». Она направлена на совершенствование механизмов защиты данных, повышая уровень ответственности операторов и субъектов данных.

Цели и задачи

• Обеспечение конфиденциальности и целостности персональных данных.
• Установление чётких требований к процессу согласия субъектов данных.
• Снижение риска утечек и несанкционированного доступа.

Ключевые понятия

1. Оператор – юридическое или физическое лицо, определяющее цели и способы обработки персональных данных.
2. Субъект данных – физическое лицо, чьи персональные данные обрабатываются.
3. Согласие – добровольное, информированное и конкретное согласие субъекта на обработку его данных.
4. Аудит безопасности – проверка соответствия процессов обработки данных установленным требованиям.

Область применения

Часть 20936 распространяется на:

• Все организации, осуществляющие сбор, хранение, передачу и обработку персональных данных в России.
• Иностранные компании, предоставляющие услуги физическим лицам, находящимся на территории РФ.
• Обработку данных, осуществляемую в облачных сервисах, включая гибридные решения.

Исключения составляют:

• Обработка анонимизированных данных, не позволяющих идентифицировать субъектов.
• Деятельность, регулируемая отдельными отраслевыми законами (например, банковская тайна).

Основные положения Части 20936

Требования к получению согласия

Согласие должно быть получено в письменной или электронной форме, при этом необходимо обеспечить:

1. Ясность формулировок – отсутствие юридического жаргона.
2. Указание целей обработки (не более трех основных целей).
3. Информирование о сроках хранения данных.
4. Возможность отзыва согласия в любой момент без ущерба для прав субъекта.

Обязанности оператора

• Назначить Ответственного за защиту персональных данных (ОЗПД) и обеспечить его полномочия.
• Разработать и внедрить Политику безопасности персональных данных в соответствии с международными стандартами (ISO/IEC 27001).
• Проводить регулярные аудиты (не реже одного раза в полугодие) и фиксировать результаты в журнале аудита.
• Обеспечить шифрование данных при передаче и хранении, используя алгоритмы не ниже AES‑256.
• Своевременно уведомлять Роскомнадзор о любых инцидентах, связанных с утечкой данных, в течение 72 часов.

Права субъектов данных

Субъекты имеют право:

1. Получить доступ к своим персональным данным и копию их обработки.
2. Требовать исправления неточных или неполных данных.
3. Требовать удаления данных, если цель их обработки более не актуальна.
4. Оспорить законность обработки и потребовать прекращения обработки.

Ответственность за нарушение

За несоблюдение требований Части 20936 предусмотрены:

• Штрафы для юридических лиц – от 200 000 до 5 000 000 рублей.
• Штрафы для должностных лиц – от 100 000 до 1 000 000 рублей.
• Возможность приостановления деятельности организации до устранения нарушений.

Практическое внедрение

Шаги по подготовке к соответствию

1. Аудит текущих процессов – составьте карту всех точек сбора и обработки данных.
2. Идентификация рисков – используйте методику ISO 31000 для оценки вероятности и воздействия.
3. Разработка политики – включите в документ процедуры получения согласия, хранение, передачу и удаление данных.
4. Обучение персонала – проведите минимум два обучающих семинара в год.
5. Тестирование и проверка – проведите внутренний аудит и, при необходимости, привлеките внешних экспертов.

Инструменты и технологии

Пример реализации

Компания «ТехноСервис» внедрила Часть 20936 следующим образом:

• Назначила ОЗПД – директора ИТ‑отдела.
• Внедрила систему OneTrust для управления согласиями пользователей веб‑сервиса.
• Все базы данных зашифровала с помощью AES‑256 и настроила автоматическое удаление записей через 30 дней после отзыва согласия.
• Провела два внутренних аудита в 2023 году, после чего получила сертификат соответствия ISO 27001.

Часто задаваемые вопросы (FAQ)

Вопрос: Нужно ли получать отдельное согласие на каждый тип обработки?

Да. По Части 20936 согласие должно быть конкретным и ограниченным целями обработки. Если цель меняется, требуется новое согласие.

Вопрос: Как быстро нужно уведомлять Роскомнадзор о нарушении?

В течение 72 часов с момента обнаружения инцидента, включая детали утечки и меры по её устранению.

Вопрос: Можно ли использовать анонимизированные данные без согласия?

Да, если данные полностью анонимизированы и их невозможно восстановить до идентифицируемой формы.

Вопрос: Какие штрафы могут быть наложены за отсутствие ОЗПД?

Для юридических лиц – от 500 000 до 2 000 000 рублей; для должностных лиц – от 200 000 до 500 000 рублей.

Часть 20936 представляет собой фундаментальный элемент современной правовой инфраструктуры России в сфере защиты персональных данных. Ее соблюдение не только помогает избежать финансовых санкций, но и повышает доверие клиентов, укрепляя репутацию компании.

Ключевые рекомендации:

1. Сформируйте чёткую Политику безопасности и регулярно её обновляйте.
2. Обеспечьте прозрачность получения согласий и их отзыва.
3. Внедрите автоматизированные инструменты для мониторинга и аудита.
4. Проводите обучение персонала минимум два раза в год.
5. Готовьте план реагирования на инциденты и тестируйте его.

Только системный подход и постоянное внимание к деталям позволяют успешно соответствовать требованиям Части 20936 и создавать надёжную основу для дальнейшего развития бизнеса в цифровой экономике.