Европейский регламент GDPR вступил в силу 25 мая 2018 года, и за полгода рынок успел увидеть первые предписания регуляторов и волну переписанных пользовательских соглашений. Российские компании поглядывают на эту картину с двойственным чувством: GDPR на нас напрямую не распространяется, но цифровые сервисы редко знают границы. Если вы обрабатываете данные клиентов из ЕС или работаете на трансграничном рынке, оба режима касаются вас одновременно. А базовый ориентир внутри страны прежний – 152-ФЗ «О персональных данных».

Что 152-ФЗ требует уже сейчас

Закон действует с 2006 года, и за это время оброс конкретными обязательствами, игнорировать которые дорого. Оператор должен уведомить Роскомнадзор о начале обработки, назначить ответственного, вести политику обработки и публиковать её в открытом доступе. С сентября 2015 года работает требование локализации: первичный сбор и хранение персональных данных граждан РФ должны идти на серверах, физически расположенных в России. Это не формальность – за неисполнение в 2016 году заблокировали LinkedIn, и прецедент остаётся в силе.

Технический контур задаёт приказ ФСТЭК № 21: классификация уровней защищённости, обезличивание, контроль доступа, регистрация событий, защита каналов передачи. Для государственных информационных систем добавляется приказ № 17 и обязательная аттестация. Это значит, что защиту нельзя «прикрутить» к готовой системе – её закладывают в архитектуру с первого дня проектирования.

Где режимы пересекаются, а где расходятся

GDPR полезен как зеркало. Многое из того, что Европа сделала обязательным, у нас давно прописано: согласие на обработку, цель сбора, право на удаление. Но есть и расхождения. GDPR вводит принцип privacy by design, право на переносимость данных и обязанность уведомлять о любой утечке в течение 72 часов. В 152-ФЗ единого срока уведомления об инцидентах нет, зато штрафы у нас пока на порядок ниже европейских – максимум 75 тысяч рублей по статье 13.11 КоАП против миллионов евро в ЕС.

Практический вывод простой: если строить систему сразу по более жёсткому из применимых требований, второй режим закрывается почти автоматически. Унификация процессов согласия, журналирования и реакции на инциденты обходится дешевле, чем поддержка двух параллельных контуров.

Защита данных как часть цифровой зрелости

Соответствие 152-ФЗ – не разовый аудит, а встроенное свойство информационной системы. Мы видим это в проектах цифровой трансформации: чем глубже бизнес переводит процессы в цифру, тем больше персональных данных проходит через его контур и тем выше цена ошибки. Запущенная в этом году программа «Цифровая экономика» прямо включает информационную безопасность в число базовых направлений, так что для госсектора это становится условием участия в проектах.

Отдельный риск появляется там, где данные обрабатывают алгоритмы. Системы на основе машинного обучения – от рекомендаций до языковых моделей – обучаются на больших массивах, и в них легко попадают сведения, требующие обезличивания. Это нужно предусмотреть на этапе подготовки выборок, а не после запуска.

Вывод

GDPR не отменяет 152-ФЗ, но задаёт планку, к которой логично подтягиваться. Грамотная архитектура закрывает оба режима сразу: локализация, шифрование, разграничение доступа и журналирование событий по требованиям ФСТЭК. Поэтому защиту персональных данных мы закладываем на уровне архитектуры информационной безопасности – от классификации уровней защищённости до аттестации ГИС.