ГОСТ ISO/IEC 29100-2021. Межгосударственный стандарт. Информационные технологии. Методы и средства обеспечения безопасности. Основы защиты персональных данных

2 Термины и определения

 

В настоящем стандарте применены следующие термины с соответствующими определениями:

Примечание - В целях упрощения использования семейства стандартов ISO/IEC 27000 в специфическом контексте безопасности ПДн и интеграции понятий безопасности ПДн в контексте ISO/IEC 27000 в таблице, приведенной в приложении A, представлены понятия по ISO/IEC 27000, соответствующие понятиям, используемым в настоящем стандарте.

 

2.1 анонимность (anonymity): Свойство информации, не позволяющее прямо или косвенно определить субъекта ПДн.

2.2 обезличивание (anonymization): Действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн.

2.3 обезличенные данные (anonymized data): Данные, которые были получены в результате процесса обезличивания ПДн.

2.4 согласие (consent): Добровольное, конкретное и осознанное разрешение, данное субъектом ПДн на обработку его ПДн.

2.5 идентифицируемость (identifiability): Условие, результатом которого является прямая или косвенная идентификация субъекта ПДн на основе данного набора ПДн.

 

2.6 [Исключен] (Изменение Amd.1:2018). 2.7 [Исключен] (Изменение Amd.1:2018).

 

2.8 согласие на обработку (opt-in): Процесс или тип политики, посредством которой субъект ПДн обязан предпринять действие, чтобы выразить определенное, ясное и заблаговременное согласие на обработку его ПДн для конкретной цели.

Примечание - Другим термином, часто используемым в отношении защиты ПДн в рамках принципа "согласие и выбор", является термин "запрет на обработку". С его помощью описывается процесс или тип политики, посредством которой субъект ПДн обязан предпринять отдельное действие, чтобы отказать или отозвать согласие либо воспрепятствовать осуществлению определенного вида обработки его ПДн. Использование политики отказа от обработки предполагает, что оператор ПДн обладает правом обработки ПДн назначенным образом. Под этим правом может подразумеваться некое действие субъекта ПДн, отличающееся от согласия (например, размещение заказа в онлайн-магазине).

 

2.9 персональные данные (personally identifiable information, ПДн): (a) Любая информация, с помощью которой может быть установлена связь между этой информацией и личностью (физическим лицом) того, к кому относится эта информация; (b) информация, которая прямо или косвенно может быть отнесена к определяемому физическому лицу. Примечание - Для того чтобы определить, является ли субъект ПДн (2.11) идентифицируемым, следует учесть все средства, которые могут быть корректно использованы лицом, заинтересованным в обеспечении безопасности ПДн, владеющим данными, или любой другой стороной для идентификации этого физического лица.   (Изменение Amd.1:2018.)

 

2.10 оператор ПДн (PII controller): Государственные органы, муниципальные органы, юридические или физические лица, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, определяющие цели и состав подлежащих обработке ПДн, а также действия (операции), совершаемые с ПДн.

Примечание - Оператор ПДн может давать указания другим (например, третьей стороне) по обработке ПДн от своего лица, в то время как ответственность за обработку остается за оператором ПДн.

 

2.11 субъект ПДн (PII principal): Физическое лицо, к которому относятся ПДн.

Примечание - В зависимости от страны и конкретного закона в области защиты данных и обеспечения защиты ПДн вместо термина "субъект ПДн" может быть использован синоним "субъект данных".

 

2.12 обработчик ПДн (PII processor): Лицо, заинтересованное в обеспечении защиты ПДн, которое обрабатывает ПДн от имени и в соответствии с инструкциями оператора ПДн.

2.13 нарушение безопасности ПДн (privacy breach): Ситуация, когда ПДн обрабатываются в нарушение одного или более соответствующих требований обеспечения безопасности ПДн.

2.14 меры обеспечения безопасности ПДн (privacy controls): Меры, которые в соответствии с законодательством принимаются для защиты ПДн.

Примечания

1 Меры обеспечения безопасности ПДн включают в себя организационные, физические и технические меры, например политики, процедуры, рекомендации, законные контракты, практики менеджмента или организационные структуры.

2 Термин "меры обеспечения безопасности ПДн" также применяется как синоним защитных мер или контрмер.

 

2.15 технология, улучшающая защищенность ПДн (privacy enhancing technology, PET): Меры обеспечения безопасности ПДн, состоящие из мер, продуктов или сервисов информационной системы персональных данных, которые обеспечивают защиту ПДн путем уничтожения или сокращения объема ПДн, или предотвращения ненужной и (или) нежелательной обработки ПДн без потери функциональности информационной системы персональных данных.

Примечания

1 Примерами использования PET являются средства обезличивания и применения псевдонимов, которые устраняют, уменьшают, маскируют или обезличивают ПДн либо предотвращают ненужную, несанкционированную и (или) нежелательную обработку ПДн, но не ограничиваются ими.

2 Маскирование является процессом, в результате которого происходит затруднение понимания ПДн.

 

2.16 политика обеспечения защиты ПДн (privacy policy): Общее намерение и направление деятельности, правила и обязательства, формально выраженные оператором ПДн, касающиеся обработки ПДн в определенной области.

2.17 предпочтительные способы обеспечения защиты ПДн (privacy preferences): Конкретный выбор, сделанный субъектом ПДн в отношении того, как должны быть обработаны для определенной цели его ПДн.

2.18 принципы обеспечения защиты ПДн (privacy principles): Совокупность утверждений, направленных на управление обеспечением защиты ПДн при их обработке в информационных системах персональных данных.

2.19 риск нарушения безопасности ПДн (privacy risk): Вероятность нарушения безопасности ПДн.

Примечания

1 В ISO Guide 73 и ISO 31000 риск определяется как "влияние неопределенности на цели".

2 Неопределенность - это состояние, даже частичное, отсутствия информации, касающейся понимания или знания о событии, его последствиях или вероятности.

 

2.20 оценка негативных последствий (оценка риска) нарушения безопасности ПДн (privacy impact assessment, PIA, privacy risk assessment): Общий процесс идентификации, анализа и оценки риска и возможных негативных последствий нарушения безопасности ПДн, включая необходимые элементы консультирования, обсуждения и планирования соответствующих мер противодействия, согласованных с общей политикой менеджмента рисков организации. [ISO/IEC 29134:2019, статья 3.7 с изменениями - добавлен термин "оценка риска нарушения безопасности ПДн"] (Изменение Amd.1:2018).

 

2.21 требования к мерам обеспечения безопасности ПДн (privacy safeguarding requirements): Набор требований, которые организация должна учитывать при обработке ПДн в части обеспечения безопасности ПДн.

2.22 лицо, заинтересованное в обеспечении безопасности ПДн (privacy stakeholder): Физическое или юридическое лицо, орган государственной власти, агентство или какая-либо другая организация, которые могут влиять, подвергаться влиянию или испытывать на себе влияние решения или деятельности, связанной с обработкой ПДн.

2.23 обработка ПДн (processing of PII): Любая операция или совокупность операций, выполняемых в отношении ПДн.

Примечание - Примерами операций являются (но не ограничиваются этим): любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение ПДн.

 

2.24 применение псевдонима (pseudonymization): Процесс, относящийся к ПДн, который заменяет идентификационную информацию псевдонимом.

Примечания

1 Замена идентификационной информации субъекта псевдонимом может выполняться либо самими субъектами ПДн, либо операторами ПДн. Такая замена может быть использована субъектами ПДн для последовательного применения ресурса или сервиса без раскрытия своей идентификационной информации в отношении данного ресурса или сервиса (или между сервисами), при этом они несут ответственность за это использование.

2 Замена идентификационной информации субъекта псевдонимом не исключает возможность существования ограниченного числа лиц, заинтересованных в обеспечении защиты ПДн, не являющихся операторами ПДн псевдонимных данных, но способных определять идентификационную информацию о субъектах ПДн, основываясь на псевдонимах и связанных с ними данных.

 

2.25 вторичное использование (secondary use): Обработка ПДн в условиях, отличающихся от начальных условий.

Примечание - Условия, отличающиеся от начальных условий, могут включать в себя, например, новую цель обработки ПДн, нового получателя ПДн и т.п.

 

2.26 специальные категории ПДн (sensitive PII): Категория ПДн, которая либо является по своей природе чувствительной информацией, например затрагивает наиболее личную сферу субъекта ПДн, либо может оказывать нежелательное воздействие на персональные данные субъекта ПДн.

Примечание - В некоторых странах или при определенных обстоятельствах специальные категории ПДн определяются относительно типа ПДн и могут состоять из ПДн, раскрывающих расовую принадлежность, политические убеждения или религиозные верования, персональные данные о здоровье, сексуальной жизни или преступлениях, и других ПДн, которые могут быть определены как чувствительная к разглашению информация.

 

2.27 третья сторона (third party): Лицо, заинтересованное в обеспечении защиты ПДн, не являющееся субъектом ПДн, оператором ПДн или обработчиком ПДн, а также физические лица, уполномоченные обрабатывать данные под непосредственным руководством оператора ПДн или обработчика ПДн.