Внедрите двухфакторную аутентификацию для всех учетных записей, имеющих доступ к клиентским сведениям, уменьшив риск несанкционированного доступа на 70%.
Регулярно, не реже раза в квартал, проводите аудит прав доступа к базе данных с информацией об ушедших и их родственниках. Проверьте, кто имеет право просматривать, изменять и удалять сведения.
Внедрите сквозное шифрование для сообщений электронной почты, содержащих детали заказов, чтобы избежать утечек конфиденциальной информации при перехвате.
Разработайте и внедрите политику хранения клиентской информации. Удаляйте записи, которые больше не требуются для юридических или операционных нужд.
Проводите обязательное обучение сотрудников вопросам кибербезопасности и правил работы с клиентской информацией, включая распознавание фишинговых атак.
Используйте специализированное программное обеспечение для похоронных бюро, которое соответствует требованиям законодательства о неприкосновенности частной жизни и обеспечивает автоматическое резервное копирование.
Как ритуальному агентству соответствовать 152-ФЗ?
Чтобы соответствовать требованиям Федерального закона №152-ФЗ, агентству, предоставляющему погребальные услуги, необходимо начать с проведения аудита обрабатываемых сведений об усопших и их родственниках. Определите, какие именно сведения собираются, где хранятся и как используются.
Разработайте политику обработки информации. В ней должны быть четко прописаны цели сбора, категории субъектов, перечень действий с информацией, меры по обеспечению ее безопасности и сроки хранения. Ознакомьте с политикой всех сотрудников, работающих с клиентской информацией.
Получите согласие на обработку сведений от родственников усопшего. Согласие должно быть конкретным, информированным и сознательным. Предоставьте возможность отозвать согласие в любой момент.
Внедрите технические и организационные меры безопасности. К техническим мерам относится использование шифрования при передаче сведений, установка антивирусного программного обеспечения, настройка брандмауэра. К организационным – ограничение доступа к клиентской информации, обучение сотрудников правилам обработки сведений, проведение регулярных проверок.
Обеспечение конфиденциальности
Регулярно проводите анализ рисков, связанных с обработкой клиентской информации. Выявляйте потенциальные угрозы и уязвимости, разрабатывайте меры по их устранению. Обновляйте программное обеспечение и оборудование, чтобы минимизировать риски утечки сведений. Не забывайте про Традиционные методы погребения⁚ взгляд в прошлое.
Обучение персонала
Проводите обучение персонала правилам обработки конфиденциальных сведений. Объясните сотрудникам, какие сведения считаются конфиденциальными, как их следует обрабатывать и какие последствия могут быть в случае нарушения правил.
Какие данные клиентов нельзя собирать похоронному бюро?
Похоронным организациям следует избегать сбора избыточной информации, не связанной напрямую с организацией погребения. Не запрашивайте сведения о расовой или этнической принадлежности усопшего или его близких, религиозных убеждениях, политических взглядах, членстве в профсоюзах, состоянии здоровья (за исключением информации, необходимой для подготовки тела к погребению и не противоречащей законодательству), а также интимной жизни. Сбор генетических или биометрических сведений, если они не требуются для идентификации (и только при наличии согласия), также недопустим. Запрос финансовой информации, не относящейся к оплате услуг, также считается избыточным.
Ограничения на сбор сведений о детях
Сознательный сбор сведений о несовершеннолетних без согласия родителей или законных опекунов строго запрещен. Избегайте запроса любой информации, идентифицирующей ребенка, если это не абсолютно необходимо для оказания услуг, и всегда получайте явное согласие.
Чувствительные сведения об умершем
Информацию о причинах гибели, за исключением случаев, когда она необходима для выполнения процедур подготовки тела к прощанию или для соответствия требованиям законодательства, не следует собирать или хранить без явного согласия родственников. Следует проявлять особую осторожность при обращении с любыми сведениями, которые могут дискриминировать усопшего или его семью.
Чек-лист: Аудит защиты данных в ритуальной службе.
Убедитесь, что все согласия на обработку сведений об усопших и их родственниках оформлены в письменном виде и содержат четкое описание цели обработки.
1. Сбор и хранение сведений.
Проверьте, ведется ли реестр всех баз с информацией об умерших и их близких. Оцените, как долго хранятся данные – удаляются ли они по истечении срока, необходимого для оказания услуг и соблюдения законодательства? Удостоверьтесь, что каждое поле в базе имеет четкое обоснование необходимости его сбора.
2. Доступ к информации.
Проведите анализ ролей и прав доступа. Сотрудники должны иметь доступ только к той информации, которая необходима им для выполнения их обязанностей. Внедрите систему двухфакторной аутентификации для доступа к конфиденциальным архивам. Проверьте, как фиксируются и мониторятся попытки несанкционированного доступа.
3. Передача информации третьим лицам.
Убедитесь, что все контракты с третьими сторонами (например, с подрядчиками, оказывающими услуги кремации или транспортировки тел) содержат положения об обеспечении конфиденциальности полученной информации. Проведите аудит каналов передачи – используются ли зашифрованные соединения для передачи конфиденциальных файлов?
Протестируйте систему резервного копирования и восстановления данных. Регулярно проводите обучение сотрудников по вопросам безопасного обращения с конфиденциальной информацией. Разработайте план действий в случае утечки сведений, включая процедуры уведомления заинтересованных сторон.
Как составить политику конфиденциальности для похоронного сайта?
Чётко опишите, какие именно сведения собираются: имена, даты рождения, адреса электронной почты, телефонные номера, генеалогическая информация, фотографии усопших и посетителей, а также IP-адреса. Укажите, для чего используется каждая категория сведений. Например, для публикации некрологов, организации онлайн-трансляций церемоний прощания, обработки заказов на венки и памятники, отправки уведомлений об обновлениях на сайте или ответа на запросы пользователей.
Укажите методы обеспечения безопасности собираемой информации: шифрование соединений (HTTPS), контроль доступа к серверам и базам сведений, регулярное обновление программного обеспечения и проведение аудитов безопасности. Объясните, как долго сведения будут храниться и критерии для их удаления (например, после истечения срока оказания услуг или по запросу пользователя).
Детально изложите, как посетители могут получить доступ к своим сведениям, исправить их или запросить удаление. Предоставьте ясные инструкции о том, как связаться с ответственным за вопросы конфиденциальности (но без указания конкретных контактных сведений).
Разъясните, передаются ли сведения третьим лицам (например, поставщикам услуг хостинга, платежным системам, организациям, проводящим генеалогические исследования) и на каких условиях. Укажите, соблюдаются ли требования международных нормативных актов, если обрабатываются сведения граждан других стран.
Уведомление об изменениях
Предусмотрите механизм уведомления пользователей об изменениях в политике конфиденциальности. Это может быть публикация уведомления на главной странице сайта или отправка электронного письма зарегистрированным пользователям.
Согласие на обработку информации
Чётко обозначьте, что использование сайта подразумевает согласие пользователя с политикой конфиденциальности. В случае сбора особо чувствительной информации (например, о религиозных убеждениях) может потребоваться явное согласие пользователя.
Что делать при утечке личной информации в похоронном агентстве?
Незамедлительно приостановите доступ к скомпрометированным учётным записям и системам. Определите масштаб инцидента: какие сведения оказались под угрозой (ФИО, контактные данные, сведения о смерти, информация о захоронении), и сколько субъектов это затронуло.
Уведомите Роскомнадзор о произошедшем в течение 72 часов с момента обнаружения инцидента, предоставив всю известную информацию о характере утечки. Подготовьтесь к взаимодействию с правоохранительными органами и предоставьте им необходимую поддержку в расследовании.
Оповестите пострадавших граждан о факте несанкционированного доступа к их конфиденциальным сведениям. Предложите меры по минимизации негативных последствий, например, рекомендации по усилению безопасности их аккаунтов в других сервисах, информирование о риске мошеннических действий. При необходимости предложите компенсацию морального ущерба или оплату услуг по мониторингу кредитной истории.
Проведите внутреннее расследование для выявления причин, приведших к утечке. Проанализируйте текущие меры безопасности и разработайте план по их усилению. Это может включать внедрение многофакторной аутентификации, шифрование чувствительной информации, обучение сотрудников основам кибербезопасности и регулярные аудиты системы защиты приватности. Усильте контроль доступа к информационным системам и ограничьте права пользователей только необходимым функционалом.
Разработайте и внедрите план реагирования на инциденты, который позволит оперативно локализовать и устранить последствия утечек в будущем. Регулярно проверяйте и обновляйте политики конфиденциальности, а также соглашения с поставщиками услуг, чтобы обеспечить соответствие требованиям законодательства о приватности. Рассмотрите возможность страхования от рисков, связанных с утечками сведений.
Шаблон согласия на обработку данных для ритуальных услуг
Для соответствия требованиям законодательства, рекомендуется включать следующие пункты в форму согласия:
- Идентификация контролера сведений: Четко укажите наименование организации, ответственной за собираемые сведения об индивидуумах.
- Цель сбора сведений: Объясните, для чего именно собираются сведения об индивидуумах. Например, для организации похорон, кремации, оформления необходимых документов. Укажите, будет ли информация использоваться для связи с родственниками усопшего.
- Перечень собираемой информации: Конкретизируйте, какие именно типы сведений будут собираться: ФИО умершего, ФИО заказчика, дата смерти, место захоронения и т.д.
- Правовые основания для обработки: Укажите статью закона, позволяющую собирать и обрабатывать эти сведения, например, исполнение договора на оказание услуг.
- Срок хранения сведений: Определите, как долго будут храниться сведения об индивидуумах, и причину определения именно этого срока. Например, до истечения срока исковой давности по договору оказания услуг.
- Права субъекта сведений: Опишите права человека относительно его информации: право на доступ, исправление, удаление, ограничение обработки, переносимость.
- Процедура отзыва согласия: Объясните, как человек может отозвать свое согласие на обработку его информации.
- Условия передачи третьим лицам: Укажите, в каких случаях сведения могут быть переданы третьим лицам (например, кладбищу, крематорию, органам ЗАГС), и на каком основании.
- Способы обеспечения секретности: Кратко опишите меры, принимаемые для обеспечения безопасности обрабатываемой информации.
Образец формулировки согласия:
Я, [ФИО], даю согласие [Наименование организации] на обработку моих сведений, а также сведений об усопшем [ФИО усопшего], для целей организации погребения/кремации, оформления необходимых документов и связи со мной по вопросам, связанным с оказанием услуг. Я ознакомлен с моими правами в соответствии с законом и порядком отзыва данного согласия.
Дополнительные рекомендации:
- Предоставляйте форму согласия в понятной и доступной форме, избегая сложной юридической терминологии.
- Получайте четкое и однозначное согласие, например, в виде подписи на бумажном носителе или подтверждения в электронном виде.
- Обеспечьте возможность ознакомления с Политикой конфиденциальности.
Как обучить сотрудников похоронного бизнеса защите данных?
Разработайте модульную программу обучения, охватывающую все аспекты обращения с конфиденциальной информацией клиентов. Первый модуль – вводный, где объясняются правовые основы обращения с личной информацией и последствия нарушений. Второй модуль – практический, с разбором конкретных ситуаций, с которыми сотрудники сталкиваются ежедневно: прием заявок, организация похорон, взаимодействие с родственниками. Третий модуль – посвящен использованию специализированного программного обеспечения и безопасным методам хранения сведений.
Включите в обучение ролевые игры, моделирующие реальные ситуации, такие как отказ в выдаче информации третьим лицам без законных оснований, действия при обнаружении утечки информации, правильное заполнение документации.
Регулярно проводите тестирование сотрудников для оценки усвоения материала и выявления пробелов в знаниях. Тесты должны быть ориентированы на практическое применение полученных знаний.
Создайте внутреннюю базу знаний с часто задаваемыми вопросами и ответами по тематике обеспечения безопасности информации, доступную всем сотрудникам.
Для визуализации информации используйте:
Организуйте ежеквартальные встречи для обсуждения изменений в законодательстве и новых угроз в сфере информационной безопасности. Приглашайте внешних экспертов для проведения семинаров и консультаций.
