Роскомнадзор предлагает ввести лицензирование операторов персональных данных

Согласно предложению Роскомнадзора, оператор будет не просто уведомлять ведомство о начале обработки данных, но и получать от него некую «лицензию» на их обработку. Получению разрешения будет предшествовать аудит IT-инфраструктуры компании на соответствие определенным критериям. Критерии для «больших операторов» будут следующие:

• организация должна быть российским юридическим лицом;
• иметь в штате не менее пяти работников с высшим образованием в области защиты информации, ответственных за защиту баз персональных данных оператора;
• иметь финансовое обеспечение ответственности за убытки вследствие возможной утечки данных в сумме не менее чем 100 млн рублей;
• использовать для обработки персональных данных базы данных только на территории РФ.
• подтвердить, что обработка персональных данных граждан осуществляется с учетом требований по обеспечению кибербезопасности.

По мнению главного юрисконсульта практики интеллектуальной собственности юридической компании ЭБР Кирилла Ляхманова, самые критичные утечки происходят у крупнейших операторов: телекома, банков, ритейла и страховщиков. В случае принятия нормы о лицензировании, предлагаемой Роскомнадзором, ее действие скорее всего будет распространяться на всех обработчиков персональных данных, в противном случае «ее политический эффект будет стремиться к нулю», считает юрист. Также, по его словам, если речь идет о полноценном аудите it-инфраструктуры, то это сильно повысит стоимость процесса для небольших компаний.

Сложность реализации инициативы будет зависеть от подхода регулятора, считает эксперт по кибербезопасности Axenis Евгений Качуров. Главным будет то, как будет приниматься решение о выдаче лицензии на обработку данных. «Например, неясно, как быть, если Роскомнадзор посчитает избыточным состав персональных данных, необходимых для ведения бизнеса», — рассуждает Качуров. По его мнению, инициатива может привести к тупиковому сценарию, когда получить лицензию должно будет любое российское юрлицо, так как оно обрабатывает данные собственных сотрудников: «Это превратится в дополнительное бюрократическое ограничение».