Таблица Excel с персональными данными — это ИСПДн?

Один из самых частых вопросов малого бизнеса: «У нас всего лишь список клиентов или сотрудников в Excel — это уже ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств. или просто файл?» Корректный короткий ответ: обработка такой таблицы на компьютере обычно автоматизированная, но отдельный файл не обязательно является самостоятельной ИСПДн. Он входит в границы системы вместе с рабочим местом, программой, файловым хранилищем, почтой, резервными копиями и другими связанными компонентами. Разберём, как определить этот контур без лишнего дробления документов.

Что такое ИСПДн

По статье 3 Закона №152-ФЗ ИСПДн — совокупность персональных данных в базах данных, информационных технологий и технических средств, которые обеспечивают их обработку. Автоматизированной считается обработка с помощью средств вычислительной техники; фильтрация и формулы лишь подтверждают фактическое использование программы, но не являются обязательным условием. Поэтому Excel-файл с ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). нужно учитывать, однако уровень защищённости и меры определяют не для каждого файла отдельно, а для обоснованно выделенной ИСПДн. Подробнее — в статье «Обработка ПДн с использованием средств автоматизации».

Когда таблица — автоматизированная обработка

Постановление №687 допускает квалифицировать некоторые операции как неавтоматизированные, если использование, уточнение, распространение или уничтожение данных производится при непосредственном участии человека. Но из этого не следует универсальное правило «не включал фильтр — значит обработки с автоматизацией нет». Если таблицу сохраняют, изменяют, копируют, передают или используют на компьютере в рабочем процессе, безопасная и юридически обоснованная позиция — учитывать её в автоматизированном контуре. Исключение нужно подтверждать описанием реальной технологии обработки, а не названием программы. О бумажном режиме — в статье «Обработка ПДн без средств автоматизации».

Значит, нужно всё как для большой системы?

Нет — и это главное, чтобы не пугаться. Объём требований зависит от уровня защищённости (УЗУровень защищённости персональных данных — Один из четырёх уровней (УЗ-1…УЗ-4) для ИСПДн по постановлению Правительства №1119; определяет состав мер. 1–4), который определяется по ПП-1119 исходя из категорий и объёма данных и типа угроз. Для типичного малого бизнеса (обычные данные клиентов или сотрудников, небольшой объём, без специальных категорий) это, как правило, самый низкий уровень УЗ-4 — с компактным набором мер, который всё же определяется по модели угроз и приказу ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. от 18.02.2013 №21, а не отсутствует вовсе. Как определить свой уровень — в статье «Уровни защищённости ПДн». То есть «таблица — это ИСПДн» не означает «нужна дорогая сертифицированная система»; означает — нужно навести базовый порядок.

Где лежит файл — половина вопроса

Риск и требования сильно зависят от того, где хранится таблица:

• На рабочем компьютере или сервере в офисе — обычная ИСПДн, защищаете доступ и носитель.
• В сетевой папке с общим доступом — частый источник утечек: файл видят все, кто угодно копирует.
• В облаке — критично, где физически серверы. Данные граждан РФ при сборе должны записываться и храниться в базах на территории России (часть 5 статьи 18 152-ФЗ); зарубежное облако дополнительно требует проверки локализации и правил трансграничной передачи (статья 12). О тонкостях внешних хранилищ — в статье «Политика ПДн для сайта на внешнем хранилище».
• Пересылается по почте и в мессенджерах — копия уходит из-под контроля; так терять данные проще всего.

Чем особенно рискован Excel

Excel-таблица — слабо защищённая ИСПДн по своей природе: в ней трудно разграничить доступ (обычно её видит каждый, у кого есть файл), она легко копируется и пересылается, не ведёт журнал действий, а парольная защита файла ограничена (часто используют слабый или общий пароль). Поэтому именно таблицы чаще всего фигурируют в утечках. Как снизить риск — в статье «Как не допустить утечку ПДн».

Что делать на практике

• Признайте, что таблица с ПДн — это ИСПДн, и внесите её в перечень своих информационных систем.
• Определите уровень защищённости и примите меры под него (для большинства это УЗ-4 и базовый набор).
• Ограничьте доступ: файл — на защищённом ресурсе в России, вход по учётным записям и паролю, без общего доступа всем подряд.
• Не пересылайте таблицу с ПДн по открытой почте и в мессенджерах; делайте резервные копии.
• Оформите базовые документы и согласия — общий комплект см. в обзоре «Документы по защите информации».
• При росте числа записей и пользователей задумайтесь о переходе в нормальную систему (CRM, учётную программу) с разграничением доступа — см. «Как хранить ПДн в приложении» и «Персональные данные в 1С».

Типичные ошибки

• «Это просто файл, а не система». Автоматизированная обработка в Excel — это ИСПДн, со своими требованиями.
• Таблица в зарубежном облаке. Хранение данных россиян на зарубежных серверах конфликтует с требованием о локализации.
• Общий доступ для всех. Файл лежит в открытой сетевой папке или расшарен ссылкой без ограничений.
• Специальные категории в Excel. Сведения о здоровье и подобные данные в незащищённой таблице — повышенный риск и более строгие требования.
• Рассылка таблицы по почте. Полную базу пересылают контрагентам или между сотрудниками без защиты.

Главное

Таблица Excel с персональными данными почти всегда является ИСПДн, потому что Excel обрабатывает данные автоматизированно (поиск, сортировка, фильтры). Но это не повод пугаться: для типичного малого бизнеса достаточно низкого уровня защищённости и базовых мер — ограничить доступ, хранить файл на защищённом ресурсе в России, не пересылать его открыто и оформить документы. Главные риски Excel — общий доступ, почта и зарубежные облака.