21 октября Комитет РУССОФТ по искусственному интеллекту провел вебинар «Персональные данные. Защита, контроль и ответственность». Участники обсудили актуальные требования законодательства, практические меры защиты информации, ответственность компаний за утечки, взаимодействие с подрядчиками и особенности использования искусственного интеллекта при обработке персональных данных.
Модератором встречи выступила Ольга Минеева, руководитель Комитета РУССОФТ по ИИ. Экспертами стали Людмила Харитонова, управляющий партнер юридической компании ZarLaw, и Глеб Шустов, юрист по персональным данным ZarLaw.
Открывая вебинар, Ольга Минеева отметила, что в условиях цифровизации и активного внедрения искусственного интеллекта защита персональных данных перестала быть формальной обязанностью и стала одним из факторов устойчивости бизнеса. Утечки могут повлечь не только финансовые потери, но и репутационные последствия, а также осложнить отношения с партнерами.
«Утечка данных — это уже не просто технический инцидент. Это финансовые и репутационные риски, потери для бизнеса и компаний. Возникает закономерный вопрос: мы защищаем персональные данные, потому что этого требует закон, или потому, что без этого уже невозможно обеспечить устойчивость бизнеса?»
Людмила Харитонова рассказала об изменении подхода к контролю за соблюдением законодательства о персональных данных. По ее словам, ранее компании нередко ограничивались подготовкой документов, публикацией политики обработки данных и подачей уведомлений в Роскомнадзор. Однако усиление контроля и активизация прокурорских проверок повысили риски для бизнеса.
«Для того чтобы навести порядок в работе с персональными данными так, как хочет законодатель, нужно огромное количество времени и ресурсов. Когда мы заходим в компанию и начинаем разговаривать с каждым департаментом, чтобы построить карту потоков персональных данных, оказывается, что на самом деле никто не знает, как эти данные ходят внутри»
Практическую часть вебинара провел Глеб Шустов. Он разобрал основные требования Федерального закона № 152-ФЗ «О персональных данных», постановления Правительства РФ № 1119 и нормативных документов, регулирующих организационные и технические меры защиты. Эксперт объяснил, как определить уровень защищенности информационных систем с учетом категорий обрабатываемых данных, количества субъектов и актуальных угроз.
Отдельное внимание было уделено организации работы внутри компании. В качестве первых шагов Глеб Шустов рекомендовал провести инвентаризацию информационных систем, определить цели и правовые основания обработки данных, проверить локализацию информации, настроить права доступа и логирование, а также документально закрепить процессы и обучить сотрудников.
«ИТ-специалисты и юристы должны очень крепко дружить в коммерческом плане. Без информации от технических специалистов документация будет неполной, а без руководящей роли юристов ИТ-специалисты могут внедрить системы, которые усложнят процессы и не обеспечат необходимого уровня защиты»
Еще одной темой обсуждения стало использование искусственного интеллекта. Спикеры отметили, что нейросетевые сервисы могут помогать анализировать угрозы и работать с журналами событий, но при бесконтрольной загрузке документов и других материалов способны создавать дополнительные риски утечки. При использовании внешних сервисов важно оценивать условия обработки информации, контролировать доступ и заранее определять правовые основания передачи данных.
В ходе вебинара участники также рассмотрели меры реагирования на инциденты: применение DLP-систем, резервное копирование, ведение журналов событий и подготовку плана действий на случай утечки. В заключительной части встречи эксперты ответили на вопросы о передаче данных между юридическими лицами, обработке медицинских данных, использовании внешних цифровых сервисов и распределении ответственности между оператором и подрядчиком.
Главный вывод вебинара — эффективная защита персональных данных требует совместной работы юридических и технических специалистов. Компаниям важно не ограничиваться оформлением документов, а выстраивать реальные процессы контроля, учитывать риски при работе с подрядчиками и регулярно проверять, как данные обрабатываются и защищаются.
Благодарим Ольгу Минееву, Людмилу Харитонову и Глеба Шустова за выступления и практические рекомендации, а участников — за вопросы и активное обсуждение!