Почта и персональные данные: что требует закон и как выбрать провайдера

В почтовом ящике незаметно накапливаются персональные данные: имена, адреса, детали заказов, резюме, иногда медицинские сведения, пересланные «всего один раз». С точки зрения закона такая переписка — обработка персональных данных со всеми вытекающими обязанностями, как и любая база данных.

Что требует закон

Сертификата «соответствия закону» для почтового провайдера не существует, и тот, кто им хвастается, обещает больше, чем может. Российский 152-ФЗ требует правового основания обработки, хранения не дольше необходимого, организационных и технических мер защиты и обеспечения прав субъекта. Отдельно стоит требование локализации: базы, содержащие персональные данные граждан России, должны находиться на территории страны, и это ограничение нужно оценивать вместе с юристом до выбора зарубежного сервиса. Если вы работаете с клиентами из ЕС, к этому добавляется GDPR.

Применительно к почте это выливается в несколько понятных вещей:

• Шифрование канала (TLS) между серверами и клиентами.
• Контроль доступа: надёжные пароли, двухфакторная аутентификация, правила для общих ящиков.
• Сроки хранения. Переписка, которая больше не нужна, не должна лежать в архиве вечно.
• Договор с обработчиком — какие действия провайдер вправе совершать с данными.
• Готовность к инцидентам. Об утечке уведомляют Роскомнадзор в сжатые сроки, установленные законом.

Вопросы провайдеру

• Где расположены серверы и где хранятся резервные копии?
• Анализируются ли письма для показа рекламы? (Если да — для рабочей почты не подходит.)
• Предлагается ли договор об обработке данных по умолчанию?
• Перечислены ли субобработчики и сообщают ли об их смене?
• Какие сроки удаления действуют при закрытии аккаунта?
• Поддерживаются ли SPF, DKIM и DMARC, чтобы письма от вашего имени можно было проверить?

Привычки решают больше техники

• Не рассылайте персональные данные шире, чем нужно: проверяйте строку копии перед отправкой.
• Для чувствительных документов используйте ссылку с ограниченным сроком, а не вложение.
• Заводите алиасы и ролевые адреса, чтобы входящие данные попадали к ответственной команде.
• Удаляйте или архивируйте старую переписку по правилу, а не случайно.
• Учите сотрудников распознавать фишинг: большинство инцидентов начинается с украденного пароля, а не со взломанного шифра. Хорошая отправная точка — как распознать фишинг.

Шифрование: канал или содержимое

TLS защищает письма в пути и сегодня почти повсеместен, но не защищает их в хранилище и ничего не говорит о настройках сервера получателя. Для по-настоящему чувствительных материалов добавьте уровень содержимого: файл под паролем или ссылку с истечением срока, а пароль передайте другим каналом. Варианты описаны в статье как отправить зашифрованное письмо.

Часто задаваемые вопросы

Действует ли GDPR, если компания не в ЕС? Может действовать. Критерий — субъект данных: предложение товаров и услуг людям в ЕС или отслеживание их поведения подпадает под регламент независимо от места регистрации компании.

Годится ли бесплатный личный ящик для рабочей переписки? Обычно нет. С личным аккаунтом сотрудника нельзя заключить договор об обработке и нельзя управлять доступом.

Нужно ли шифровать каждое письмо? Нет. Шифрование канала — база; шифрование содержимого добавляется там, где этого требует материал.

Сколько хранить старые письма? Пока есть цель обработки и, где применимо, установленный срок хранения. Задайте политику и следуйте ей: «вечно» — не политика.

Конфиденциальность в imail.com.tr

imail.com.tr работает из Турции и не показывает рекламу: письма не анализируются для рекламных целей. Соединения защищены TLS, исходящая почта подписывается SPF, DKIM и DMARC. К сервису применяется турецкий закон о защите персональных данных (KVKK), построенный на тех же принципах, что и GDPR; что именно обрабатывается — в политике конфиденциальности.

> Это общая информация, а не юридическая консультация. Для оценки требований локализации и построения комплаенса обратитесь к профильному юристу.