ГОСТ Р ИСО/МЭК 29100—2013
реализацию организацией политик обеспечения приватности, а также на выбор мер и средств
контроля и управления приватностью, но это не должно влиять на принципы приватности, которые
приняты в организации. Например, предложение определенного сервиса может потребовать, чтобы
поставщик сервисов собирал дополнительную ПИИ или позволял большинству своих сотрудников
осуществлять доступ к определенным видам ПИИ. Однако это не означает, что оператор ПИИ,
который обязался соблюдать содержащиеся в этой структуре принципы, больше не должен
тщательно оценивать, какие виды ПИИ точно необходимы для предоставления сервиса (принцип
ограничения сбора), и не должен ограничивать доступ к ПИИ тем своим служащим, которым это
необходимо длявыполнения своих обязанностей (принцип обеспеченияинформационной
безопасности).
4.5.4 Другие факторы
Наиболее важный фактор, который должны учитывать организации при идентификации
требований к мерам защиты приватности, связан с предпочтениями обладателей ПИИ в сфере
приватности. Персональная позиция физического лица по отношению к приватности и что оно
вкладывает в понятие «риски», может зависеть от ряда факторов, включающих: понимание
физическим лицом используемой технологии, их происхождение, предоставляемую информацию,
назначение транзакций, приобретенный опыт, а также социально-психологические факторы.
Проектировщики системы ИКТ должны попытаться понять вероятные проблемы обеспечения
приватности обладателей ПИИ и типы ПИИ, которая будет обрабатываться с помощью их системы. И
они. так же как разработчик систем или приложения, или поставщик услуг изучают целевую
аудиторию клиентов, нуждающихся в обеспечении приватности, для того чтобы понять их ожидания и
предпочтения относительно обеспечения приватности. Проектировщики систем ИКТ не всегда могут
предоставить обладателю ПИИ выбор, который бы соответствовал их предпочтению по обеспечению
приватности.
Примеры предпочтений приватности могут включать предпочтение анонимности или назначения
псевдонимов, возможность ограничения доступа к конкретной ПИИ или возможность ограничения
цели обработки ПИИ. До определенной степени обладателю ПИИ предоставляется выбор
предпочтения обработки его данных, например, использовать ли ПИИ во вторичных целях, таких как
маркетинг. Способность выразить предпочтения, не влияющие неблагоприятным образом на
приватность, могут быть реализованы с помощью графического интерфейса пользователя системы
ИКТ. Это может помочь обладателю ПИИ сделать выбор, представив набор предопределенных
вариантов общих предпочтений в части приватности с использованием легко понимаемого языка.
Реализация пользовательского интерфейса может быть основана на таких элементах, как поля
выбора и выпадающее меню.
В дополнение к факторам, перечисленным в предыдущих пунктах, существуют и другие
факторы, которые могут влиять на проектирование систем ИКТ и связанные с ними требования к
мерам защиты приватности. Например, на требования к мерам защиты приватности могут влиять
системы внутреннего контроля или технические стандарты, принятые организацией (например, такой
рекомендуемый стандарт как стандарт ИСО).
4.6 Политики приватности
Высшее руководство организации, участвующее в обработке ПИИ. призвано создать политику
приватности. Политика приватности должна:
соответствовать назначению организации;
предоставлять структуру для установления целей;
включать обязательство соответствовать применимым требованиям к мерам защиты
приватности:
включать обязательство в части непрерывного совершенствования:
быть озвучена в пределах организации;
быть доступной, при необходимости, заинтересованным сторонам.
Организация должна оформлять свою политику приватности в письменной форме. Если
организация, обрабатывающая ПИИ, является обработчиком ПИИ. то эти политики могут в
значительной степени определяться оператором ПИИ. Политика приватности должна быть
дополненаболеедетализированнымиправиламииобязательствамиразличныхлиц,
заинтересованных в обеспечении приватности, участвующих в обработке ПИИ (например, процедуры
для конкретных ведомств или сотрудников). Кроме того, меры и средства контроля и управления,
которые используются для проведения в жизнь политики приватности в конкретных условиях
(например, контроль доступа, обеспечение уведомлений, аудиты и т. д.). должны документироваться
четким образом.
Термин «политика приватности» часто используется для упоминания как о внутренних, так и о
внешних политиках приватности. Внутренняя политика приватности документирует цели, правила,
11