Можно ли отправлять зашифрованные персональные данные по электронной почте

Передача файла с персональными данными по электронной почте может быть допустима, если его надлежащим образом зашифровали сертифицированным средством и соблюли остальные требования защиты.

Civius, юридическая компания Дарина Алексеева, юрист; правовая позиция на 2025-02-06

Короткий ответ

Но наличие программы «КриптоПро» само по себе не подтверждает безопасность всей передачи. Нужно проверить конкретную версию, сертификат, настройки, ключи и принадлежность адреса получателю.

Что требует закон

Статья 19 закона № 152-ФЗ обязывает защищать данные от неправомерного и случайного доступа, изменения, уничтожения и других действий.

Общего запрета пользоваться электронной почтой эта норма не устанавливает. Однако допустимый канал нужно оценивать вместе с мерами защиты, а не только по удобству обмена.

Для информационной системы персональных данных учитывают постановление № 1119, актуальные угрозы и применимые организационные и технические меры. Разовая отправка не освобождает от защиты данных.

Когда важно именно сертифицированное шифрование

Приказ ФСТЭК № 21 предусматривает защиту передаваемой информации, в том числе при выходе за пределы контролируемой зоны. При использовании криптографических средств применим также приказ ФСБ № 378.

СКЗИ необходимо, когда данные подлежат криптографической защите по закону или соответствующие угрозы нельзя нейтрализовать иначе. В рассматриваемом обмене через открытый почтовый канал шифрование предназначено для защиты от перехвата и раскрытия.

Обычный пароль на архиве не доказывает соответствие этим требованиям. Проверяйте выбранное средство, его сертификацию и условия использования.

У КриптоПро есть сертифицированные исполнения. Их версии, классы и сроки указаны в реестре сертификатов производителя. Название продукта без этих сведений недостаточно.

Как подготовить отправку

Получатель должен иметь возможность расшифровать файл своим соответствующим закрытым ключом. Перед обменом проверьте принадлежность сертификата и адреса, а также совместимость выбранного способа.

Не пересылайте получателю или отправителю чужой закрытый ключ ради удобства. Для шифрования используют сертификат адресата; секретный ключ должен оставаться под контролем его владельца.

Проверьте, не уходят ли незашифрованные сведения в теме, теле письма, названии файла или другом вложении. Шифрование одного документа не защищает данные, которые продублировали рядом обычным текстом.

Нужно ли отдельное соглашение между компаниями

Закон не требует специального предварительного соглашения только из-за выбранного способа отправки зашифрованного файла. Но у самой передачи должно быть законное основание, а правила доступа и обмена – соответствовать обязанностям организаций.

Зафиксируйте порядок в применимых внутренних документах: кто отправляет, кому, что проверяет и как подтверждается получение. Контроль адресов важен даже при шифровании: ошибочная отправка остаётся отдельным инцидентом.

Вывод относится к описанному обмену при соблюдении требований, а не гарантирует отсутствие претензий к любой конфигурации. Для государственных и иных специальных систем применимые правила проверяют отдельно.

Общий набор правовых документов разобрали в статье о персональных данных для бизнеса.

Если нужно применить ответ к Вашей ситуации или документам, Заказать подготовку комплекта документов: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.