ГОСТ Р ИСО/МЭК 29100—2013
обеспечение возможности внесения любых поправок, исправлений или удаления для
обработчиков ПИИ и третьих сторон, которым были раскрыты персональные данные, где они
известны;
установление процедур, позволяющих обладателям ПИИ осуществить эти права простым,
быстрым и эффективным способом, который не влечет за собой неуместное промедление или
неоправданные затраты.
Оператор ПИИ должен применять соответствующие меры и средства контроля и управления
для обеспечения уверенности в том. что обладателям ПИИ доступна строго их собственная ПИИ. а
не та. которая доступна другим обладателям ПИИ. за исключением случаев, когда физическое лицо,
осуществляющее доступ, действует в рамках полномочий от лица обладателя ПИИ. который
неспособен осуществлять свои права доступа. Применимый закон может предоставить физическому
лицу право доступа, просмотра и. в определенных случаях, отказа от обработки ПИИ. Если
физическое лицо не удовлетворено решением проблемы, то содержание неразрешенной проблемы
должно быть зарегистрировано организацией. При необходимости, о существовании неразрешенной
проблемы должны быть оповещены третьи стороны, имеющие доступ к рассматриваемой
информации.
5.10 Ответственность
Обработка ПИИ влечет за собой обязанность соблюдения осторожности и применения
конкретных и целесообразных мер для обеспечения ее защиты. Соблюдение принципа
ответственности означает:
документирование и сообщение обо всех политиках, процедурах и методах, связанных с
обеспечением приватности;
назначение в пределах организации конкретного лица (которое может, в свою очередь,
передать полномочия другим) ответственным за осуществление процедур и методов, связанных с
политикой обеспечения приватности;
при передаче ПИИ третьим сторонам обеспечение уверенности в том. что получатель
третьей стороны будет обязан обеспечивать равноценный уровень защиты приватности через
договорные или другие средства, такие как обязательные внутренние политики (соответствующий
законможетсодержатьдополнительныетребования,касающиесяпередачиданныхв
международных масштабах);
обеспечение соответствующего обучения сотрудников оператора ПИИ, которым будет
предоставляться доступ к ПИИ:
установление эффективных внутренних процедур обработки претензий и возмещения
ущерба для их применения обладателями ПИИ;
информирование обладателей ПИИ о нарушениях приватности, которые могут нанести им
существенный ущерб (если это не запрещено, например, при работе, связанной с применением
закона), а также о мерах, принятых для устранения этих нарушений;
уведомление всех лиц. заинтересованных в обеспечении приватности, о нарушениях
приватности, как это требуется в некоторых странах (например, службами защиты данных) и в
зависимости от уровня риска;
предоставление доступа пострадавшему обладателю ПИИ к соответствующим и
эффективнымсанкциями (или) механизмам,такимкак исправление,исключениеили
восстановление, если произошло нарушение приватности:
рассмотрение процедур для компенсаций в ситуациях, в которых будет трудно или
невозможно вернуть приватный статус физического лица в исходное состояние.
Меры, принимаемые для устранения нарушения безопасности, должны быть пропорциональны
рискам, связанным с нарушением, но их реализация должна быть неотложной (за исключением
ситуаций, когда это запрещено, например, в процессе расследования правонарушения).
Созданиепроцедурвозмещенияущербаявляетсяважнойчастьюустановления
ответственности. Возмещение ущерба предоставляет обладателю ПИИ возможность сохранения
ответственности оператора ПИИ за ненадлежащее использование ПИИ. Реституция - это форма
возмещения, которая предполагает компенсацию пострадавшему обладателю ПИИ. Это важно не
только в ситуации кражи идентификационной информации («кражи личности»), вреда репутации или
ненадлежащего использования ПИИ. но также и в случае ошибок в модификации или изменении
соответствующей ПИИ.
В случае наличия процессов возмещения ущерба обладатели ПИИ более уверенно идут на
соглашение, так как принятый риск для физического лица в отношении результата в этом случае
снижен. В отношении некоторых услуг возмещение легче определить (например, при финансовой
потере), чем для других (например, кража идентификационной информации, ущерб для имиджа или
репутации физического лица), в которых трудно определить размер ущерба и предоставить
16