ГОСТ Р ИСО/МЭК 29100—2013
4.5 Требования к мерам защиты приватности
Организации заинтересованы защищать ПИИ по разным причинам: чтобы защищать
приватность обладателя ПИИ. соответствовать правовым и нормативным требованиям, выполнять
обязанности корпорации, повышать доверие клиентов и т. д. Цель 4.5 - дать общее представление о
различных факторах, которые могут влиять на требования по защите приватности, являющиеся
соответствующими для отдельных организаций или лиц. обрабатывающих ПИИ и заинтересованных в
обеспечении приватности.
Требования по защите приватности могут затрагивать многие различные аспекты обработки
ПИИ. например, сбор и сохранение ПИИ. передачу ПИИ третьим сторонам, договорные
взаимоотношения между операторами ПИИ. обработчиками ПИИ. трансграничная передача ПИИ и т.
д. Требования по защите приватности могут также различаться по специфике. Они могут быть
общими по характеру, например, состоять из определенного количества высокоуровневых принципов
приватности, которые, как ожидается, организация будет принимать во внимание при обработке ПИИ.
Однако требования по защите приватности могут также включать очень специфические ограничения
на обработку определенных типов ПИИ или предписывать реализацию специфических мер и средств
контроля и управления приватностью.
Разработке какой-либо системы ИКТ. включающей обработку ПИИ. должна предшествовать
идентификация соответствующих требований по защите приватности. Последствия обеспечения
приватности, связанные с новыми или значительно модифицированными системами ИКТ,
участвующими в обработке ПИИ, должны быть приняты во внимание (разрешены) до того, как те
системы ИКТ будут реализованы. В плановом порядке организации выполняют широкий спектр
деятельностей по менеджменту риска и разрабатывают профили риска, относящиеся к их системам
ИКТ.
Менеджмент риска определяется как «скоординированные действия по руководству и
управлению организацией в отношении риска» (ИСО Руководство 73:2009). Процесс менеджмента
риска обеспечения приватности включает следующие процессы:
установления контекста путем осмысления организации (например, обработка ПИИ,
обязанности), технической среды и факторов, влияющих на менеджмент риска обеспечения
приватности (т. е. правовые и нормативные факторы, договорные факторы, факторы бизнеса и
другие факторы);
оценки риска путем идентификации, анализа и оценивания рисков для обладателей ПИИ
(риски, которые могут повлиять на них неблагоприятным образом);
обработки риска путем определения требований по защите приватности, идентификации и
реализации мер и средств контроля и управления приватностью для предотвращения или
уменьшения рисков для обладателей ПИИ;
коммуникации и консультирование путем получения информации от заинтересованных
сторон, достижения согласия по каждому процессу менеджмента риска, а также информирования
обладателей ПИИ и сообщения им о рисках и мерах и средствах контроля и управления;
мониторинга и пересмотра путем отслеживания рисков и мер и средств контроля и
управления, а также усовершенствования процесса.
Одним из результатов может быть оценка влияния обеспечения приватности, которая является
составной частью менеджмента рисков, направленного на обеспечение соблюдения законодательных
требований в части приватности и защиты данных, и оценка последствий обеспечения приватности
новых или существенно измененных программ или деятельностей. Оценки влияния обеспечения
приватности должны быть оформлены в рамках более широкой структуры менеджмента рисков
организации.
Требования к мерам защиты приватности идентифицируются как часть общего процесса
менеджмента риска обеспечения приватности, на который оказывают влияние следующие факторы
(как показано на рисунке 1 и описано далее):
правовые и нормативные факторы, направленные на защиту приватности физического
лица и защиту его ПИИ;
договорные факторы, такие как отраслевые нормы, профессиональные стандарты,
политики компании;
факторы бизнеса, предопределенные специфичными бизнес-приложениями или. в
отдельных случаях, специфичным контекстом;
другие факторы, которые могут влиять на проектирование системы ИКТ и связанные с
ними требования к мерам защиты приватности.
9