Особенности обработки данных платёжных карт по 152-ФЗ. Правовые основания, меры защиты.
Документация оператора
Обязательные документы: Политика конфиденциальности, Положение об обработке, формы согласия, приказ о назначении DPO, модель угроз, журнал учёта обращений субъектов.
- настройте мониторинг утечек;
- подготовьте модель угроз;
- проверьте наличие согласий во всех формах;
Правовые основания
Статья 6 152-ФЗ определяет исчерпывающий перечень оснований: согласие субъекта, исполнение договора, обязанность по закону, законный интерес оператора. Каждое основание имеет свои условия применения и ограничения.
Обезличивание данных
Обезличивание выводит данные из-под 152-ФЗ. Методы: замена, перестановка, декомпозиция, агрегация. Важно: процесс должен быть необратимым без дополнительной информации.
- убедитесь в наличии SSL;
- настройте cookie-баннер;
- назначьте ответственного за ПДн;
- настройте мониторинг утечек;
- подайте уведомление в Роскомнадзор;
Оценка воздействия (DPIA)
Проведите оценку воздействия на права субъектов перед запуском новых процессов обработки. Это рекомендуется Роскомнадзором и обязательно по GDPR при высоких рисках.
Инциденты безопасности
План реагирования на инциденты должен включать: обнаружение, локализацию, уведомление РКН (72 часа), уведомление субъектов, расследование, устранение, документирование.
Трансграничная передача
При передаче ПДн за рубеж необходимо убедиться в адекватном уровне защиты в стране-получателе. Список утверждается Роскомнадзором. Для стран не из списка - дополнительные гарантии.
Проверьте свой сайт
Воспользуйтесь бесплатным аудитом help152.ru, чтобы проверить ваш сайт на соответствие 152-ФЗ. Проверка занимает менее 2 минут.