Информационная безопасность и персональные данные на ивент мероприятиях

Информационная безопасность и персональные данные на ивент мероприятиях

1️⃣ До начала регистрации участников

Определены цели сбора персональных данных (регистрация, билеты, рассылки, бейджи, трансляции). Исключён сбор «на всякий случай» — только необходимые данные. Назначено ответственное лицо за обработку персональных данных. Подготовлена политика обработки персональных данных. Проверено соответствие требованиям ФЗ-152 «О персональных данных».

2️⃣ Регистрация и согласия участников

В форме регистрации есть отдельное согласие на обработку персональных данных. В согласии указаны:

- цели обработки;

- срок хранения;

- перечень передаваемых третьим лицам данных (если есть);

- контакты оператора.

Согласие нельзя пропустить «по умолчанию» (активное подтверждение). Отдельно оформлено согласие на рассылки и маркетинг (если применимо).

3️⃣ Онлайн-платформы и IT-системы

Используются защищённые каналы передачи данных (HTTPS, шифрование). Ограничен доступ к административным панелям. Включена двухфакторная аутентификация. Пароли регулярно обновляются. Есть резервное копирование данных.

4️⃣ Работа с подрядчиками и сервисами

Заключены договоры с:

билетными сервисами,

IT-платформами,

трансляционными сервисами. В договорах прописано:

кто отвечает за защиту данных; меры информационной безопасности;

порядок действий при утечке; ответственность сторон. Проверено, где физически хранятся данные (РФ / за рубежом). Участники уведомлены о передаче данных третьим лицам.

5️⃣ Офлайн-мероприятие и доступ к данным

Ограничен доступ персонала к спискам участников. Бейджи и списки не содержат избыточных данных. Бумажные списки не остаются без контроля. Фото- и видеосъёмка согласована с участниками.

6️⃣ Онлайн- и гибридные форматы

Трансляции защищены от несанкционированного доступа. Чаты модерируются. Исключён свободный доступ к записям с персональными данными. Доступы подрядчиков ограничены по времени проведения мероприятия.

7️⃣ После мероприятия

Данные хранятся не дольше заявленного срока. Избыточные данные удалены. Закрыт доступ подрядчиков к базам. Участники могут запросить удаление своих данных.

8️⃣ План действий при инциденте

Есть инструкция, что делать при утечке данных. Определён ответственный за взаимодействие с Роскомнадзором. Подготовлен шаблон уведомления участников. Ведётся журнал инцидентов.

🔍 Быстрая самопроверка (если хотя бы 1 «нет» — есть риск)

- Мы точно знаем, какие данные и зачем собираем?

- У нас есть оформленное согласие, а не «галочка для галочки»?

- Мы понимаем, кто и как защищает данные технически?

- В договорах с подрядчиками прописана ответственность за ИБ?