Тиккун 13: что должно измениться в вашей системе
Поправка 13 к закону о защите приватности уже действует. Юристы уже много раз её разобрали. Эта страница о другом: что она означает для системы, которая хранит данные о людях, и что из этого реализуется в коде и настройках, а не в договорах.
Кратко
Главные изменения для владельца системы: расширены определения (к особо чувствительным данным теперь относятся, среди прочего, зарплата, финансовая активность и данные о местоположении), регистрация баз для частного сектора почти отменена, но появилась обязанность уведомлять о крупных базах с чувствительными данными, у части организаций появилась обязанность назначить ממונה על הגנת הפרטיות, а регулятор получил право налагать административные штрафы без суда. Теперь штраф привязан к нарушению конкретных технических требований Правил о защите информации, поэтому разговор о соответствии превращается в разговор о журналах, правах доступа и инцидентах.
Что изменилось в определениях
- Персональная информация: любые данные о человеке, которого можно идентифицировать разумными усилиями. Это понятие шире, чем просто имя и номер удостоверения личности.
- Особо чувствительная информация: здоровье, генетика, биометрия для идентификации, происхождение, судимость, политические и религиозные взгляды, оценка личности, зарплата и финансовая активность, данные о местоположении и трафике, сведения, на которые распространяется обязанность конфиденциальности.
- База данных теперь означает цифровое собрание данных. Вместо «владельца базы» появился термин בעל שליטה, то есть организация, которая определяет цели обработки, а внешний обработчик называется מחזיק.
Практический вывод: система расчёта зарплаты, CRM с историей платежей или приложение с геолокацией почти наверняка хранят особо чувствительные данные, даже если сами так себя не воспринимают.
Регистрация и уведомление
Для частного сектора регистрация баз почти отменена. Она сохранилась для государственных органов и для торговцев данными с крупными базами. Вместо этого появилась новая обязанность: в течение 30 дней уведомить регулятора о базе с особо чувствительными данными, если в ней больше ста тысяч человек. К уведомлению прилагается документ определения базы (מסמך הגדרות מאגר), тот самый, который требуют Правила о защите информации.
Для системы это означает, что нужно понимать, сколько человек в каждой базе и какие поля в ней есть. Звучит очевидно, но в системе, которая росла годами, ответ на этот вопрос обычно требует отдельной работы.
Кому нужен ממונה על הגנת הפרטיות
| Кто обязан | Почему это касается разработчиков |
|---|
| Государственные органы | Если вы подрядчик государственного органа, требования приходят к вам через договор |
| מחזיק, обрабатывающий базу государственного органа | Это напрямую относится к софтверным компаниям и хостингу, которые обслуживают государственного заказчика |
| Торговцы данными с крупной базой | Сервисы, чья бизнес-модель построена на передаче данных |
| Систематическое наблюдение в значительном объёме | Аналитика поведения, трекинг, мониторинг |
| Обработка особо чувствительных данных в значительном объёме | Банки, страховые компании, больницы и больничные кассы прямо названы в разъяснениях регулятора |
ממונה может быть внешним специалистом, но, по разъяснению регулятора, это не может быть технический директор или директор по информационным системам: здесь возникает конфликт интересов. О назначении сообщают регулятору.
Технические меры, которые проверит регулятор
Список взят из профессионального руководства регулятора по поправке и опирается на Правила о защите информации:
- Документ определения базы: какие данные в ней есть, зачем они нужны и у кого к ним доступ.
- Утверждённая и актуальная процедура защиты информации.
- Управление доступом по ролям и журнал доступа: кто и когда просматривал записи.
- Документирование инцидентов безопасности и порядок уведомления о серьёзных инцидентах.
- Разделение систем, своевременные обновления, защита сетевых соединений.
- Периодический аудит и контроль поставщиков, которые обрабатывают данные.
- Для баз с высоким уровнем защиты дополнительно требуются обзор рисков и тест на проникновение.
Неуведомление о серьёзном инциденте, отсутствие обзора рисков или теста на проникновение там, где они обязательны, а также отсутствие контроля над подрядчиками относятся к самому тяжёлому уровню штрафов. Размер штрафов растёт вместе с числом людей в базе, а общий потолок привязан к годовому обороту.
Где системы обычно не готовы
- Журнала доступа нет. Система знает, кто изменил запись, но не знает, кто её открывал. Для чувствительных данных это требование, а не пожелание.
- Роли слишком широкие. У всех сотрудников одна роль «пользователь», и каждый видит всё.
- Копии разошлись. Выгрузки в Excel, тестовая база с настоящими данными, старый сервер, который «уже не используется».
- Поставщик без договора о защите данных. Облачный сервис или подрядчик обрабатывает данные, а требований к нему не записано.
- AI-инструменты. Данные клиентов отправляются во внешнюю модель без оценки того, что именно уходит и где это хранится.
Что мы делаем
Проходим систему по списку технических мер выше: что есть, чего нет, что делается настройкой, а что требует разработки. Строим журнал доступа, разводим роли, убираем настоящие данные из тестовых сред, описываем базы. Юридическую часть, включая вопрос, нужен ли вам ממונה, решает юрист; мы готовим для него факты о системе.
Частые вопросы
Что такое Тиккун 13?
Поправка 13 к израильскому закону о защите приватности. Она расширила определения персональной и особо чувствительной информации, изменила порядок регистрации баз, ввела обязанность назначать ответственного за защиту приватности для части организаций и дала регулятору право налагать административные штрафы.
Нужно ли регистрировать базу данных?
Для большинства частных компаний регистрация отменена. Она осталась только для государственных органов и торговцев данными с крупными базами. Но базу с особо чувствительными данными, в которой больше ста тысяч человек, нужно заявить регулятору в течение 30 дней.
Кто должен назначить ממונה על הגנת הפרטיות?
Государственные органы, обработчики баз государственных органов, торговцы данными с крупными базами, а также организации, которые в значительном объёме систематически наблюдают за людьми или обрабатывают особо чувствительные данные. ממונה может быть внешним специалистом, но не техническим директором.
Какие технические меры нужны?
Документ определения базы, процедура защиты, управление доступом с журналом, документирование инцидентов, разделение систем, обновления, защита соединений, аудит и контроль поставщиков. Для высокого уровня защиты дополнительно нужны обзор рисков и тест на проникновение.
Касается ли это компании, которая только разрабатывает систему для заказчика?
Да, если она обрабатывает данные заказчика, то есть является מחזיק. Если заказчик государственный орган, обязанность назначить ממונה может лежать и на самом подрядчике.
SLAtech LTD