ГОСТ Р ИСО/МЭК 29100—2013
информирование обладателя ПИИ о цели (целях) в период, предшествующий сбору
информации или ее использованию впервые для реализации новой цели;
использование для описания цели таких формулировок, которые четко и соответствующим
образом адаптированы к специфике реализации цели;
разъяснениенеобходимостиобработкичувствительнойПИИ,еслисуществует
потребность в таком разъяснении.
В отношении чувствительной ПИИ могут применяться более строгие правила, касающиеся цели
обработки. Для соблюдения законности цели может потребоваться правовое основание или
специальное разрешение службы защиты данных или правительственных структур. Обработка не
должна осуществляться, если цели обработки ПИИ не соответствуют применимому закону.
5.4 Ограничение на сбор
Соблюдение принципа ограничения на сбор означает;
ограничение сбора ПИИ до такой степени, которая определяется рамками применяемого
закона и строго необходимой целью (целями).
Организации не должны собирать личную информацию хаотично. Количество и тип собранной
информации должны быть ограничены до такой степени, которая является необходимой для
осуществления (в рамках закона) реализации цели (целей), точно определенных оператором ПИИ.
Организации, прежде чем приступить к сбору ПИИ, должны тщательно рассмотреть ту ПИИ, которая
может быть затребована для осуществления особой цели. Организации должны документировать
типы накопленной ПИИ, а также ее правомерность для выполнения деятельности, являющейся
частью их политик и практик по обработке информации.
Оператор ПИИ может выразить желание собрать дополнительную ПИИ с иной целью, чем
предоставление специфической услуги, требуемой обладателю ПИИ (например, в целях прямого
маркетинга). В зависимости от полномочий такая дополнительная информация может быть собрана
только при согласии обладателя ПИИ. Возможно также, что сбор определенной информации будет
разрешен с помощью соответствующего закона. Когда это допустимо, обладателю ПИИ должна быть
дана возможность выбора; предоставлять или не предоставлять такую информацию. Обладатель
ПИИ также должен быть четко осведомлен о том обстоятельстве, что его ответные действия на такие
запросы о дополнительной информации не являются обязательными.
5.5 Минимизация данных
Минимизация данных тесно связана с принципом «ограничение на сбор*, но является более
широким понятием. В то время как «ограничение на сбор» связано со сбором ограниченных данных по
отношению к указанной цели, «минимизация данных» строго минимизирует обработку ПИИ.
Соблюдение принципа минимизации данных означает разработку и реализацию процедур по
обработке данных и систем ИКТ такими способами как;
сведение к минимуму обрабатываемой ПИИ и числа лиц, заинтересованных в
обеспечении приватности, а также лиц. которые осведомлены о ПИИ или имеют к ней доступ;
обеспечение принятия принципа «необходимого знания», т.е. некоему лицу доступ должен
предоставляться только к ПИИ. необходимой для выполнения его обязанностей в рамках законной
цели обработки ПИИ;
использование или предложение использования (в качестве опции по умолчанию, по
возможности) взаимодействий и транзакций, не использующих идентификацию обладателей ПИИ. и
приводящих к снижению наблюдаемости их поведения, и ограничению взаимосвязанности
собираемой ПИИ;
удаление и ликвидация ПИИ всякий раз. когда истекает срок действия цели обработки
ПИИ. отсутствуют какие-либо правовые требования, касающиеся хранения ПИИ или когда это
целесообразно сделать.
5.6 Ограничения в отношении использования, хранения и раскрытия
Соблюдение принципа ограничения в отношении использования, хранения и раскрытия
означает:
ограничение использования, хранения и раскрытия (включая передачу) ПИИ, которая
необходима, чтобы выполнять специфические, определенные и законные цели;
ограничение использования ПИИ для целей, определенных оператором ПИИ до сбора
информации, за исключением особой цели, прямо определенной законом.
хранение ПИИ в течение такого промежутка времени, который необходим для выполнения
заявленных целей, и последующее безопасное уничтожение или обезличивание ПИИ;
блокирование (т. е. архивирование, обеспечение безопасности и исключение дальнейшей
обработки) любой ПИИ. когда заявленные цели достигнуты, но применимый закон требует
обеспечения хранения.
14