«Конфиденциальная информация» в разговоре обычно означает «всё важное, что не стоит показывать посторонним». В законе это не так: конфиденциальная информация — правовая категория с закрытым перечнем, и для каждого вида действует свой режим защиты.
Разница практическая, а не теоретическая. Часть сведений защищается по факту их наличия, а часть — только если организация сама ввела режим. Если этого не сделать, за разглашение нельзя ни уволить, ни взыскать ущерб, каким бы очевидным ни было нарушение.
Разберём, что относится к конфиденциальной информации, чем различаются режимы и где в этой схеме место техническим средствам.
Что относится к конфиденциальной информации
Перечень утверждён Указом Президента РФ от 06.03.1997 № 188 (в редакции указов от 23.09.2005 № 1111 и от 13.07.2015 № 357). В нём семь категорий.
| Категория | Что это |
|---|---|
| Персональные данные | Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность — кроме тех, что подлежат распространению в СМИ в установленных законом случаях |
| Тайна следствия и судопроизводства | Включая сведения о защищаемых лицах и мерах государственной защиты |
| Служебная тайна | Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с ГК РФ и федеральными законами |
| Профессиональная тайна | Сведения, связанные с профессиональной деятельностью: врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений |
| Коммерческая тайна | Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с ГК РФ и федеральными законами |
| Сведения об изобретении | О сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них |
| Сведения об осуждённых и исполнительном производстве | Из личных дел осуждённых, а также о принудительном исполнении судебных актов — кроме общедоступных по 229-ФЗ |
Обратите внимание: банковской тайны в этом перечне отдельной строкой нет — она относится к профессиональной, как и врачебная, нотариальная, адвокатская.
Для коммерческой организации практическое значение имеют обычно три категории: персональные данные, коммерческая тайна и, если профиль деятельности того требует, профессиональная тайна.
Главное различие: что защищается само, а что нужно установить
Это развилка, которую чаще всего упускают.
Персональные данные защищаются в силу закона. Как только организация начала их обрабатывать — а это происходит уже при приёме первого сотрудника на работу, — возникают обязанности по 152-ФЗ. Ничего специально объявлять не нужно, режим действует автоматически.
Коммерческая тайна защищается только при введённом режиме. Сама по себе ценная информация коммерческой тайной не становится. Пока организация не выполнила установленные 98-ФЗ действия, юридически защищаемых сведений у неё нет — есть просто важные документы.
Отсюда следует вывод, неприятный для многих компаний: можно поймать сотрудника за руку, зафиксировать копирование клиентской базы на флешку, иметь на руках все технические доказательства — и проиграть. Суды отказывают работодателю, когда режим коммерческой тайны не оформлен надлежащим образом, потому что обязанность по установлению и защите такой информации лежит именно на работодателе.
Профессиональная тайна возникает из статуса. Врач, нотариус, адвокат, банк обязаны хранить тайну в силу закона о соответствующей деятельности — банковская тайна регулируется законодательством о банках и Гражданским кодексом, врачебная — законодательством об охране здоровья граждан.
Что нужно оформить
| Вид информации | Основной закон | Что требуется от организации |
|---|---|---|
| Персональные данные | 152-ФЗ | Политика обработки, согласия или иные основания обработки, назначение ответственного, уведомление Роскомнадзора, технические меры по требованиям ФСТЭК |
| Коммерческая тайна | 98-ФЗ | Введение режима: перечень сведений, порядок обращения и контроль соблюдения, учёт лиц с доступом, обязательства работников, гриф на носителях |
| Профессиональная тайна | Отраслевое законодательство | Порядок обращения по требованиям профильного закона, ограничение доступа, ответственность работников |
| Служебная тайна | ГК РФ и федеральные законы | Устанавливается органами государственной власти |
Для коммерческой тайны список действий важен целиком: невыполнение хотя бы одного пункта ставит под сомнение весь режим. Подробно этот механизм разберём в отдельном материале.
Защита конфиденциальной информации с помощью DLP
Правовой режим отвечает на вопрос «что защищено и кто за это отвечает». Он не отвечает на вопрос «а что происходит с этими сведениями на самом деле».
Технические средства закрывают три задачи, которые правовыми документами не решаются.
Обнаружение. Где фактически лежат защищаемые сведения. Регулярно выясняется, что клиентская база есть не только в CRM, но и в десятке выгрузок на рабочих столах, а копия договора — в личной папке уволившегося сотрудника.
Контроль передачи. Отправка на личную почту, копирование на съёмный носитель, загрузка в облако или мессенджер, печать, снимок экрана. Здесь работают контентный анализ, шаблоны и правила блокировки.
Фиксация. Журнал действий, который позволяет восстановить хронологию и подтвердить нарушение. Без этого правовой режим остаётся декларацией: обязанности установлены, но проверить их соблюдение нечем, а при разбирательстве предъявить нечего.
Порядок здесь важен: технические меры без правового режима не дают оснований для ответственности, а правовой режим без технических мер не даёт доказательств. Работает только связка.
Отдельно стоит помнить, что сам контроль сотрудников должен быть оформлен: локальные нормативные акты, ознакомление работников под подпись до начала контроля, запрет использования корпоративных ресурсов в личных целях.
С чего начать
- Определить, какие категории конфиденциальной информации у вас есть. У большинства компаний это персональные данные и коммерческая тайна, у некоторых добавляется профессиональная.
- Проверить, введён ли режим коммерческой тайны. Не «есть ли положение о коммерческой тайне», а выполнены ли все требования 98-ФЗ.
- Составить перечень защищаемых сведений — конкретный, а не «вся информация о деятельности компании». Размытый перечень оспаривается так же успешно, как его отсутствие.
- Выяснить, где эти сведения фактически хранятся. Инвентаризация обычно даёт неожиданный результат.
- Настроить контроль каналов и фиксацию действий — по результатам инвентаризации, а не по общему списку.
Примечания
Материал носит информационный характер и не заменяет юридическую консультацию. Состав документов и порядок введения режимов стоит согласовать с юристом — судебная практика по спорам о разглашении неоднородна, и исход дела зависит от совокупности обстоятельств.
Отраслевые требования к защите профессиональной тайны различаются, номера статей и формулировки перед использованием во внутренних документах нужно сверять с действующими редакциями законов.
