КЛИЕНТ
Крупная фармацевтическая компания, ведущая комплексную деятельность в области разработки, производства и дистрибуции лекарственных препаратов и фармацевтической продукции. Бизнес-процессы компании предполагают обработку значительного массива персональных данных: сведений о пациентах в рамках клинических исследований, данных сотрудников, контрагентов, медицинских специалистов, а также данных потребителей. Часть бизнес-процессов организации связана с трансграничной передачей данных, что предъявляет особо высокие требования к юридической чистоте и технической защищённости информационных потоков.ОТРАСЛЬ
Фармацевтика и здравоохранение. Это одна из наиболее регулируемых отраслей экономики, где требования к работе с персональными данными пересекаются с требованиями к работе с биометрической информацией, специальными категориями ПДн (данные о состоянии здоровья) и медицинской тайной. Любое нарушение режима обработки персональных данных в фарминдустрии способно повлечь не только финансовые санкции, но и потерю лицензий, репутационные потери, а также прямой ущерб субъектам персональных данных.ЗАДАЧА
Перед нами стояла задача провести комплексный аудит информационной безопасности и аудит регламентов обработки персональных данных в сжатые сроки. Особое внимание необходимо было уделить анализу бизнес-процессов, предполагающих трансграничную передачу данных, поскольку именно этот сегмент является наиболее уязвимым с точки зрения регуляторных рисков. Заказчику требовалась не просто формальная документация «для галочки», а рабочий комплект организационно-распорядительных документов, отражающих реальные процессы обработки персональных данных в компании и способных выдержать проверку со стороны Роскомнадзора.Правильно выстроенная защита персональных данных — это не разовая задача, а непрерывный процесс, включающий актуализацию документов, обучение сотрудников и мониторинг изменений в законодательстве.
ПРОБЛЕМАТИКА
Ключевая проблематика проекта была обусловлена принципиальным изменением правового ландшафта: с 30 мая 2025 года вступали в силу поправки в Кодекс об административных правонарушениях, вводящие оборотные штрафы за утечки персональных данных. Размеры таких штрафов могут достигать сотен миллионов рублей, что для любой организации, включая крупных фармпроизводителей, является критичным финансовым риском.На момент обращения у заказчика отсутствовала актуальная и непротиворечивая регламентация процессов обработки персональных данных, не были формализованы цели обработки, не были определены актуальные модели угроз для информационных систем персональных данных (ИСПДн), отсутствовали корректно оформленные акты определения уровня защищённости и акты оценки вреда субъектам ПДн. Неурегулированными оставались и вопросы трансграничной передачи данных, что в совокупности кратно повышало риск критических санкций со стороны регулятора.
РЕШЕНИЕ
В рамках проекта мы реализовали комплексный пакет работ.- На первом этапе был проведён всесторонний анализ текущего состояния системы защиты персональных данных: инвентаризация информационных систем, обрабатывающих ПДн, анализ существующих процессов и используемых средств защиты, оценка соответствия требованиям 152-ФЗ «О персональных данных», постановления Правительства РФ № 1119, приказов ФСТЭК России и нормативных актов Роскомнадзора.
- На втором этапе для наиболее критичных ИСПДн были разработаны актуальные модели угроз безопасности информации с учётом современных тактик и техник нарушителей.
- На третьем этапе был сформирован полный комплект организационно- распорядительной документации.
- В части технических мер были реализованы основные меры защиты конфиденциальной информации: разграничение доступа к ИСПДн, шифрование передаваемых данных и регламентирование работы со съёмными носителями.
- Отдельным крупным блоком была проработана трансграничная передача данных: определены страны-получатели, сформированы уведомления и обоснования, подготовлен пакет документов для подачи в Роскомнадзор.
- Все документы были интегрированы в существующую систему менеджмента компании.
РЕЗУЛЬТАТЫ
- В результате реализации проекта риски наложения штрафных санкций со стороны регулятора были минимизированы — компания подошла к 30 мая 2025 года с полностью актуальным комплектом документов.
- Были выявлены и систематизированы все актуальные цели обработки персональных данных в масштабах всей организации, что позволило руководству получить прозрачную картину работы с ПДн на уровне предприятия в целом.
- Сформировано и направлено уведомление в Роскомнадзор, корректно урегулирован вопрос трансграничной передачи данных, полностью регламентированы процессы обработки и защиты ПДн.
- Для лиц, принимающих решения, были закрыты сразу несколько критических болевых точек: исключён риск оборотных штрафов (которые могли составить до 3% от годовой выручки фармацевтической компании), снят риск приостановки обработки данных по предписанию регулятора, обеспечена готовность к проверкам Роскомнадзора, повышена прозрачность процессов для службы внутреннего аудита и комплаенс-подразделения.
