«Главное изменение — владелец данных перестаёт быть просто ‘тем, кто отвечает’. Теперь это проектная роль на стыке бизнеса, технологий и закона, которая должна доказать регулятору, что вся цепочка работы с персональными данными под контролем, даже если контролировать физически невозможно.»
От администратора к архитектору
Раньше владелец данных воспринимался как технический или административный ресурс. Человек, который знает, где и как хранятся данные, может предоставить к ним доступ или заблокировать его. Его обязанности заканчивались на границе информационной системы. Нормативные требования 152-ФЗ, особенно в редакции 2021 года и с учётом практики ФСТЭК, сместили фокус.
Теперь недостаточно просто знать. Нужно проектировать. Владелец становится архитектором процессов обработки. Он должен формализовать, для каких целей, какими методами и как долго обрабатываются данные. Без этого документирования любая обработка, даже рутинная, может быть признана нелегитимной.
Обязанность картографировать потоки
Ключевая новая задача — построение и поддержание актуальной карты потоков персональных данных. Это не схема сети, а бизнес-ориентированная модель.
- Входные точки: Откуда данные поступают в организацию (формы на сайте, договоры, заявки).
- Марш руты обработки: Через какие отделы и системы проходит каждый тип данных (например, данные клиента из отдела продаж — в CRM, затем — в систему бухгалтерии для выставления счёта, затем — в службу поддержки).
- Точки хранения: Базы данных, файловые хранилища, облачные сервисы, архивы.
- Выходные точки и передачи: Кому и на каком основании данные передаются (например, в процессинговый центр для оплаты, в сервис рассылок, контрагентам).
Без такой карты невозможно ни оценить риски, ни корректно составить уведомление в Роскомнадзор, ни выполнить требование о локализации хранения и обработки.
Управление жизненным циклом данных
Концепция жизнен ного цикла данных (Data Lifecycle Management) перестала быть рекомендацией зарубежных стандартов. Теперь это прямая обязанность, вытекающая из принципа ограничения хранения.
Владелец должен определить и закрепить в политике или регламенте:
- Момент окончания обработки: Когда цель обработки достигнута? (Оплачен заказ — данные для его исполнения больше не нужны).
- Процедуру архивирования: Какие данные и на какой срок переводятся в архив, недоступный для оперативной обработки.
- Механизм уничтожения: Технически обеспеченный процесс безвозвратного удаления данных по истечении срока хранения или на основании запроса субъекта.
Проблема в том, что многие унаследованные системы не имеют встроенных механизмов автоматического удаления. Владельцу приходится либо инициировать доработку, либо организовывать ручные процедуры, что повышает риски человеческой ошибки.
Ответственность за действия операторов
Одна из самых сложных новых ролей — быть заказчиком и контролёром для операторов, обрабатывающих данные по поручению. Если компания передаёт данные стороннему сервису (например, для email-рассылок или аналитики), она остаётся ответственной перед субъектом данных и регулятором.
Обязанности владельца в этой цепочке:
- Выбрать оператора, который предоставляет достаточные гарантии соответствия требованиям 152-ФЗ.
- Заключить договор, который является письменным поручением на обработку. Этот документ должен детально регулировать цели, состав данных, меры безопасности и обязанности оператора.
- Контролировать исполнение договора. Теоретически это может потребовать проведения проверок или аудитов на стороне оператора.
- Обеспечить возможность для субъекта данных реализовать свои права (на доступ, исправление, удаление) даже когда его данные находятся у оператора.
Это превращает владельца в менеджера цепочки поставок, где поставка, это безопасная обработка данных.
Роль во взаимодействии с субъектами данных
Владелец становится публичным интерф dox-сайтом для физических лиц. Он должен обеспечить выполнение прав субъектов, которые стали более процессуально оформленными.
Речь не только о формальном ответе на запрос. Нужно иметь технические и организационные возможности для:
- Подтверждения факта обработки: Быстро определить, обрабатываются ли данные о конкретном человеке.
- Предоставления копии данных: В понятном и структурированном виде, а не в виде дампа базы данных.
- Коррекции неточных сведений: С синхронизацией исправлений во всех связанных системах, чтобы ошибка не всплыла снова из резервной копии.
- Прекращения обработки и удаления: Обеспечить реальное, а не декларативное «забывание» человека системой, включая аналитические отчёты и кэши.
Невыполнение этих запросов в установленный законом срок — прямой путь к административной ответственности.
Интеграция с системой управления безопасностью
Владелец данных — ключевое звено для службы информационной безопасности. Он предоставляет исходные данные для оценки актуальных угроз.
| Что нужно от владельца | Как это использует ИБ-служба |
|---|---|
| Состав и категории обрабатываемых данных | Для определения класса защищаемой информации и выбора мер защиты. |
| Карта потоков данных | Для выявления уязвимых мест передачи, точек атаки и построения периметра защиты. |
| Список операторов и условия передачи | Для оценки рисков сторонней обработки и включения их в периметр мониторинга инцидентов. |
| Процедуры жизненного цикла (уничтожение) | Для контроля за утечкой данных через некорректно списанные носители. |
Без активного участия владельца модель угроз становится абстрактной, а меры защиты — избыточными или, наоборот, недостаточными.
Документирование как непрерывный процесс
Раньше можно было один раз составить документ и забыть о нём. Сейчас документирование, это непрерывная операционная деятельность. Основные артефакты, за которые отвечает владелец:
- Политика обработки персональных данных: Живой документ, обновляемый при изменении целей или технологий обработки.
- Реестр обработки (учётной деятельности): Детальное описание каждой цели обработки, её законного основания, категорий данных, сроков хранения.
- Модель угроз и акт классификации: Совместно с ИБ-службой, но на основе информации от владельца.
- Поручения операторам: Договоры или допсоглашения, соответствующие шаблону, предписанному регулятором.
Эти документы — не бумажная волокита, а доказательная база на случай проверки. Их отсутствие или несоответствие фактическому положению дел трактуется как системное нарушение.
Что остаётся в итоге
Новая роль владельца данных, это гибрид бизнес-аналитика, юриста в области цифрового права и менеджера продукта, где продукт, это корректный и безопасный процесс обработки персональных данных. Его успех измеряется не отсутствием утечек, что является задачей ИБ, а способностью системы обработки адаптироваться к изменениям в законодательстве и бизнес-требованиям, оставаясь прозрачной, контролируемой и юридически безупречной. Это уже не техническая специальность, а управленческая компетенция, без которой цифровой бизнес в России становится невозможным.