Методические рекомендации по обработке персональных данных

Статья на тему: "Методические рекомендации по обработке персональных данных" с полным описанием тематики и ответами на интересующие вопросы. За консультацией можно обратиться к дежурному консультанту.

Рекомендации от 24 декабря 2009 г.

Рекомендации, Минздрав России, 24 декабря 2009

Категории: Департамент информационных технологий и связи; информатизация здравоохранения; Минздрав России; рекомендации.

DOC, 4.6 МБ

DOC, 4.1 МБ

ZIP, 806.6 КБ

Опубликован 29 декабря 2009, 21:00

Обновлён 29 декабря 2009, 21:00

Комментарии: 0

© 2019 Министерство здравоохранения Российской Федерации

Все материалы, находящиеся на сайте охраняются в соответствии с законодательством Российской Федерации, в том числе об авторском праве и смежных правах.

Источник: http://www.rosminzdrav.ru/documents/7570-recomendatsii

Методические рекомендации по обработке персональных данных

УТВЕРЖДАЮ
Директор Департамента
информатизации Министерства
здравоохранения и социального
развития Российской Федерации
_____________О.В.Симаков
23 декабря 2009 года

Обозначения и сокращения

АВС — антивирусные средства

АРМ — автоматизированное рабочее место

ВТСС — вспомогательные технические средства и системы

ИСПДн — информационная система персональных данных

КЗ — контролируемая зона

ЛВС — локальная вычислительная сеть

МЭ — межсетевой экран

НСД — несанкционированный доступ

ОС — операционная система

ПДн — персональные данные

ПМВ — программно-математическое воздействие

ПО — программное обеспечение

ПЭМИН — побочные электромагнитные излучения и наводки

САЗ — система анализа защищенности

СЗИ — средства защиты информации

СЗПДн — система (подсистема) защиты персональных данных

СОВ — система обнаружения вторжений

ТКУИ — технические каналы утечки информации

УБПДн — угрозы безопасности персональных данных

ФСТЭК России — Федеральная служба по техническому и экспортному контролю

Определения

Введение

1. Основные обязанности учреждений здравоохранения, эксплуатирующих ИСПДн

Все учреждения и организации системы здравоохранения, социальной сферы, труда и занятости (далее — Учреждения) обязаны обеспечивать защиту персональных данных во внедряемых информационных системах с момента их ввода в эксплуатацию.

В отношении действующих информационных систем, обрабатывающих персональные данные, Учреждения обязаны осуществить ряд мероприятий:

— провести их классификацию с оформлением соответствующего акта;

— до 01.01.2010 реализовать комплекс мер по защите персональных данных в соответствии с перечисленными правовыми актами и методическими документами;

— провести оценку соответствия ИСПДн требованиям безопасности в форме сертификации (аттестации) или декларирования соответствия.

2. Основные мероприятия по приведению ИСПДн Учреждений в соответствие с ФЗ-152 «О персональных данных»

Каждое Учреждение, эксплуатирующее ИСПДн, должно выполнить до 1 января 2010 года следующие действия:

1) Разработать и утвердить внутри учреждения приказ о защите персональных данных (см. Приложение 1*).

2) Разработать и утвердить внутри учреждения приказ о подразделении по защите персональных данных (см. Приложение 2*).

3) Разработать и утвердить внутри учреждения приказ о назначении ответственных лиц за обработку персональных данных (см. Приложение 3*).

4) Разработать и утвердить внутри учреждения Концепцию информационной безопасности и Политику информационной безопасности.

5) Разработать и утвердить внутри учреждения приказ о проведении внутренней проверки (см. Приложение 7*). Результат оформить в виде отчета (см. Приложение 8*).

6) Определить состав и категории обрабатываемых персональных данных (см. раздел 3 на стр.20 настоящих рекомендаций). Результат оформить в виде перечня ПДн (см. Приложение).

7) Осуществить классификацию действующих информационных систем, обрабатывающих персональные данные (см. раздел 4 настоящих рекомендаций). Результат оформить в виде акта классификации (см. Приложение 9*).

8) Разработать и утвердить внутри учреждения положение о разграничении прав доступа к обрабатываемым персональным данным (см. Приложение 10*).

9) Адаптировать модель угроз к конкретной ИСПДн учреждения (см. Методику составления частной модели угроз). Результат оформить в виде Модели угроз (см. Приложение 11*).

10) Разработать и утвердить план мероприятий по защите ПДн (см. Приложение 12*). Необходимо учесть, что план мероприятий может быть пересмотрен через 6 месяцев ввиду опубликования новых пояснений по ФЗ-152 со стороны регуляторов.

11) Зарегистрироваться в качестве оператора персональных данных — подготовить и направить уведомление в территориальный орган Россвязькомнадзора — уполномоченный орган по защите прав субъектов персональных данных (см. Приложение 25*).

12) Назначить ответственных за обеспечение безопасности персональных данных и подготовить должностные инструкции сотрудников, обрабатывающих ПДн, в составе:

— Инструкция администратора ИСПДн;

— Инструкция администратора безопасности;

— Инструкция пользователя при работе с ИСПДн;

— Инструкция пользователя по обеспечению безопасности обработки персональных данных, при возникновении внештатных ситуаций.

13) Разработать и утвердить порядок резервирования и восстановления работоспособности ТС и ПО, баз данных и СЗИ (см. Приложение 13*).

14) Разработать и утвердить план внутренних проверок состояния защиты ПДн (см. Приложение 14*).

15) Разработать и утвердить журнал учета обращений субъектов ПДн о выполнении их законных прав (см. Приложение 16*).

16) Разработать и утвердить перечень по учету применяемых средств защиты информации, эксплуатационной и технической документации к ним (см. Приложение 21*).

17) Разработать и утвердить электронный журнал обращений пользователей информационной системы к ПДн (см. Приложение 24*)

__________________
* Текст приложений на сайте не приводится. — Примечание изготовителя базы данных.

18) Провести необходимые технические мероприятия для обеспечения защиты ПДн при их обработке в ИСПДн (см. раздел 6 на стр.70). В их состав входят:

а) Обязательные технические мероприятия.

б) Технические мероприятия, выполняемые, при выделении дополнительного финансирования.

19) Декларировать соответствие или провести аттестационные (сертификационные) испытания ИСПДн (см. раздел 8 на стр.86).

В следующих главах настоящих методических рекомендаций будут даны конкретные рекомендации по выполнению каждого пункта.

Читайте так же:  Выгнать ребенка из дома в качестве наказания

3. Рекомендации по инвентаризации и категорированию персональных данных, обрабатываемых в ИСПДн Учреждений

1) Сегментация. Физическая или логическая сегментация ИСПДн по классам обрабатываемой информации, выделение сегментов сети, в которых происходит автоматизированная обработка персональных данных. Данные работы можно провести с помощью соответствующей настройки существующих в учреждении сертифицированных межсетевых экранов (МСЭ).

2) Обезличивание. Введение в процесс обработки персональных данных процедуры обезличивания существенно упростит задачи по защите персональных данных. Обезличивание можно провести путем нормализации баз данных. После выполнения обезличивания защите будет подлежать (по требованиям регулирующих документов) лишь справочник, позволяющий выполнить обратное преобразование.

3) Разделение ПД на части. В этом случае возможно уменьшение количества субъектов ПДн, обрабатываемых в системе. Это может быть достигнуто, например, за счет использования таблиц перекрестных ссылок в базах данных.

4) Абстрагирование ПДн. Зачастую на некоторых участках обработки или сегментах сети персональные данные можно сделать менее точными, например, путем группирования общих характеристик. При грамотном использовании такой прием позволит без ущерба для основной деятельности снизить класс ИСПДн.

5) Постановка требований поставщикам и разработчикам типовых систем обработки персональных данных, используемых в учреждениях. Включение требований наличия в составе закупаемых информационных систем средств, обеспечивающих защиту персональных данных в соответствии с Законом, позволит снизить затраты на приобретение дополнительных средств защиты.

Для реализации этих методов необходимо обратиться к поставщикам и разработчикам вашей информационной системы и ее элементов. Особое внимание следует уделить специальному ПО и штатному ПО, дорабатываемому под ваши нужды штатными программистами-разработчиками или сторонними организациями. Правильно спроектированное программное обеспечение и базы данных могут существенно помочь в обеспечении безопасности персональных данных.

4. Рекомендации по классификации ИСПДн Учреждений, выбору модели угроз и нарушителя

Классификация ИСПДн Учреждений должна осуществляться непосредственно самими Учреждениями в соответствии с Приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13.02.2008 N 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных» в зависимости от категории и количества обрабатываемых данных.

Классификация ИСПДн производится на основании Отчета о результатах проведения внутренней проверки и оформляется соответствующим Актом классификации информационной системы персональных данных.

Чтобы правильно классифицировать ИС, Учреждения должны следующие действия:

1) Провести сбор и анализ исходных данных по ИС, а именно:

— выделить категорию обрабатываемых в информационной системе персональных данных — Хпд;

— определить объем обрабатываемых персональных данных (количество субъектов персональных данных, чьи персональные данные обрабатываются в информационной системе) — Хнпд;

— выявить характеристики безопасности персональных данных, обрабатываемых в информационной системе;

— определить структуру информационной системы;

— выявить наличие подключений информационной системы к сетям связи общего пользования и / или сетям международного информационного обмена;

— определить режим обработки персональных данных;

— определить режим разграничения прав доступа пользователей информационной системы;

— определить местонахождение технических средств информационной системы.

Далее, на основе исходных данных необходимо вычислить следующие категории (Хпд):


Источник: http://docs.cntd.ru/document/902301906

Методические рекомендации по обработке персональных данных

УТВЕРЖДЕНЫ
руководством 8 Центра ФСБ России
от 31 марта 2015 года N 149/7/2/6-432

Введение

Настоящие методические рекомендации предназначены для федеральных органов исполнительной власти, осуществляющих функции по выработке государственной политики и нормативно-правовому регулированию в установленной сфере деятельности, органов государственной власти субъектов Российской Федерации, органов государственных внебюджетных фондов, иных государственных органов (далее — органы власти) которые, в соответствии с частью 5 статьи 19 Федерального закона от 27 июля 2006 года N 152-ФЗ «О персональных данных» (далее — Закон), в пределах своих полномочий принимают нормативные правовые акты, в которых определяют угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных (далее — ИСПДн), эксплуатируемых при осуществлении соответствующих видов деятельности, с учетом содержания персональных данных, характера и способов их обработки (далее — НПА).

В методических рекомендациях отражены только необходимые для включения в проекты НПА положения, находящиеся в компетенции ФСБ России.

Настоящими методическими рекомендациями целесообразно также руководствоваться при разработке частных моделей угроз операторам информационных систем персональных данных, принявшим решение об использовании средств криптографической защиты информации (далее — СКЗИ) для обеспечения безопасности персональных данных.

1. Общее описание информационных систем персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности

В проекте НПА целесообразно, в первую очередь, привести перечень и общее описание информационных систем персональных данных, которые могут эксплуатироваться операторами при осуществлении соответствующих видов деятельности и (по возможности) определить уровни защищенности для таких информационных систем в соответствии с постановлением Правительства Российской Федерации от 1 ноября 2012 года N 1119.

Возможны три случая:

1. ИСПДн имеют сходную структуру, однотипны. В дальнейшем такие системы будут именоваться «однотипными системами». Примером может служить описание федеральным органом исполнительной власти угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах территориальных подразделений этого органа.

В указанном случае целесообразно в проекте НПА указывать наиболее полную информацию об ИСПДн и среде их функционирования.

Следует отметить, что в зависимости от вида деятельности, для которого разрабатывается НПА, в проекте НПА может выделяться несколько категорий однотипных систем.

2. ИСПДн разноплановы, имеют различную структуру и могут содержать различные категории персональных данных. В дальнейшем такие системы будут именоваться «разноплановыми системами».

В этом случае целесообразно перечислить имеющиеся системы и указать общую информацию о возможной среде их функционирования, если такая информация имеется.

2. Определение актуальности использования СКЗИ для обеспечения безопасности персональных данных

3. Определение актуальных угроз

3.1 К объектам защиты, кроме персональных данных, относятся:

Читайте так же:  Срок принятия судьей искового заявления

— СКЗИ;

— среда функционирования СКЗИ (далее — СФ);

— информация, относящаяся к криптографической защите персональных данных, включая ключевую, парольную и аутентифицирующую информацию СКЗИ;

— документы, дела, журналы, картотеки, издания, технические документы, видео-, кино- и фотоматериалы, рабочие материалы и т.п., в которых отражена защищаемая информация, относящаяся к информационным системам персональных данных и их криптографической защите, включая документацию на СКЗИ и на технические и программные компоненты СФ;

— носители защищаемой информации, используемые в информационной системе в процессе криптографической защиты персональных данных, носители ключевой, парольной и аутентифицирующей информации СКЗИ и порядок доступа к ним;

— используемые информационной системой каналы (линии) связи, включая кабельные системы;

— помещения, в которых находятся ресурсы информационной системы, имеющие отношение к криптографической защите персональных данных.

Описание объектов защиты должно отражать специфику информационной системы.

3.2 При описании источников атак определяются категории физических лиц, имеющих право постоянного или разового доступа в контролируемую зону информационной системы.

К отдельной категории относятся привилегированные пользователи информационной системы (члены группы администраторов), которые назначаются из числа доверенных лиц и осуществляют техническое обслуживание технических и программных средств СКЗИ и СФ, включая их настройку, конфигурирование и распределение ключевой документации между непривилегированными пользователями.

Определяется возможность или невозможность доступа лиц каждой категории к объектам защиты.

Кроме того, определяется и обосновывается перечень категорий лиц, которые не рассматриваются в качестве потенциальных источников атак, перечень категорий лиц, которые рассматриваются в качестве потенциальных источников атак, а также констатируется наличие внешних источников атак (без их характеристики) и возможность или невозможность доступа внешних источников атак к объектам защиты.

На основании исходных данных об информационных системах, объектах защиты и источниках атак заполняется Таблица N 1 об обобщенных возможностях источников атак.

Таблица N 1. Обобщенные возможности источников атак

Обобщенные возможности источников атак

Видео удалено.
Видео (кликните для воспроизведения).

Источник: http://docs.cntd.ru/document/420336137

10 ошибок при работе с персональными данными: к чему придерется Роскомнадзор

Роскомнадзор проверяет, как работодатели соблюдают правила обработки персональных данных. Расскажем о 10 нарушениях, которые выявляют чаще всего. Пока не выписали штраф или предписание, проверьте, все ли требования вы соблюдаете.

Ошибка № 1. Не разработали и не опубликовали политику обработки персональных данных

Что нужно сделать. Не только разработать политику обработки данных, но и опубликовать ее на сайте или другим способом обеспечить неограниченный доступ к документу (ч. 2 ст. 18.1 ФЗ от 27.07.2006 № 152-ФЗ). Разработайте политику или актуализируйте ту, что у вас есть, по Рекомендациям Роскомнадзора от 27.07.2017. Важно: не копируйте готовые формулировки, а отобразите в документе особенности именно вашей компании. За нарушение грозит штраф до 30 000 руб. (ч. 3 ст. 13.11 КоАП РФ).

Ошибка № 2. Не назначили ответственного за обработку персональных данных

Что нужно сделать. Назначить одного сотрудника, который будет отвечать за обработку персональных данных. Ответственный должен подчиняться непосредственно генеральному директору и у него должны быть полномочия давать указания руководителям подразделений (ч.2 ст. 22.1 ФЗ от 27.07.2006 № 152-ФЗ).

Ошибка № 3. Не утвердили перечень лиц, которые имеют доступ к персональным данным

Что нужно сделать. С помощью приказа утвердите перечень сотрудников, которым может понадобиться доступ к персональным данным в связи с их должностными обязанностями. Получать они должны только те данные, которые им нужны в работе (ст. 88 ТК РФ). В приказе можно указать ФИО, должности конкретных сотрудников, структурное подразделение или перечень должностей и структурное подразделение.

Ошибка № 4. Собираете и храните лишние документы

Что нужно сделать. Проверьте личные дела сотрудников – в них не должно быть лишних документов (ч. 5 ст. 5 ФЗ от 27.07.2006 № 152-ФЗ). Для этого воспользуйтесь чек-листом.

Как только вы оформили кадровые документы, предоставили сотруднику гарантии и компенсации и выполнили другие необходимые действия и процедуры, персональные данные больше не нужны. Копии документов верните сотруднику или уничтожьте. Если в личном деле сотрудника, других документах и папках будете хранить данные, которые уже обработали и которые больше не нужны, компанию могут оштрафовать до 50 тыс. руб. (ч. 1 ст. 13.11 КоАП РФ).

Ошибка № 5. Не проводите внутренний аудит работы с персональными данными

Что нужно сделать. Разработайте процедуру внутреннего контроля или аудита и периодически его проводите (п. 4 ч. 1 ст. 18.1 ФЗ от 27.07.2006 № 152-ФЗ). Для этого создайте комиссию, которая будет анализировать документы, изучать процессы обработки персональных данных и давать рекомендации по их защите.

Ошибка № 6. Не знакомите работников под подпись с законом о персональных данных

Что нужно сделать. Оформите лист ознакомления работников с положениями законодательства о персональных данных и внутренними документами по вопросам обработки персональных данных (п. 6 ч. 1 ст. 18.1 ФЗ от 27.07.2006 № 152-ФЗ). Другой вариант — включите положения в трудовой договор с работником.

Ошибка № 7. Не уведомили Роскомнадзор или неправильно заполнили уведомление об обработке персональных данных

Что нужно сделать. Ваша задача – уведомить территориальный орган Роскомнадзора о том, что будете обрабатывать персональные данные. Для этого используйте Методические рекомендации Роскомнадзора, утв. приказом от 30.05.2017 № 94. Роскомнадзор предупреждает: не берите готовые шаблоны из интернета, они могут быть ошибочными.

Ошибка № 8. Не сообщили в Роскомнадзор об изменении сведений, которые указали в уведомлении об обработке персональных данных

Что нужно сделать. Если изменили сведения, которые указывали в уведомлении, направьте в 10-дневный срок в Роскомнадзор информационное письмо. Форма информационного письма есть в Приложении № 2 к Рекомендациям № 94. Заполните те поля, в которых меняются сведения.

Читайте так же:  Некоммерческое товарищество и партнерство

Ошибка № 9. Не утвердили перечень мест хранения персональных данных

Что нужно сделать. Издайте приказ, которым утвердите перечень мест хранения материальных носителей персональных данных – журналов, личных дел и т.д. (п. 13 Положения, утв. постановлением Правительства РФ от 15.09.2008 № 687). Во всех кабинетах, где обрабатываете персональные данные на бумаге, определите места хранения — например, сейфы. Местом хранения может быть и само помещение, к примеру, архив организации.

Ошибка № 10. Используете неверный бланк согласия на обработку персональных данных

Что нужно сделать. Согласие на обработку персональных данных должно включать все обязательные реквизиты, которые предусматривает закон (ч. 4 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ). За некорректную форму согласия предусмотрен штраф до 75 000 руб. (ч. 2 ст. 13.11 КоАП РФ).

Согласие на обработку персональных данных должно содержать:

1. ФИО, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе.

2. ФИО, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных).

3. Наименование или ФИО и адрес оператора, получающего согласие субъекта персональных данных.

4. Цель обработки персональных данных.

5. Перечень персональных данных, на обработку которых дается согласие субъекта персональных данных.

6. Наименование или фамилию, имя, отчество и адрес лица, обрабатывающего персональные данные по поручению оператора, если обработка будет поручена такому лицу.

7. Перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых способов обработки персональных данных.

8. Срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом.

9. Подпись субъекта персональных данных.

Образцы необходимых документов и более подробные разъяснения смотрите в презентации Роскомнадзора.

Материал опубликован пользователем.
Нажмите кнопку «Написать», чтобы поделиться мнением или рассказать о своём проекте.

Источник: http://vc.ru/legal/81210-10-oshibok-pri-rabote-s-personalnymi-dannymi-k-chemu-prideretsya-roskomnadzor

Методические рекомендации по обработке персональных данных

Справочно-информационный центр
Портал персональных данных
Горячая линия для СМИ

Рекомендации по составлению политики обработки персональных данных (DOCX, 33.94 Kb)

Оцените содержание раздела:

Низкое Ниже среднего Среднее Выше среднего Высокое Оценить

Время публикации: 27.07.2017 17:14
Последнее изменение: 01.08.2017 13:05

© 2009-2020, Версия 2.15.18

Официальный сайт Федеральной службы по надзору в сфере связи,

информационных технологий и массовых коммуникаций

Источник: http://rkn.gov.ru/personal-data/p908/

Обработка персональных данных: пошаговая инструкция для компаний

Маршрут, который поможет самостоятельно выполнить требования по защите и обработке персональных данных.

Меня зовут Андрей Северюхин. Я CEO Sum&Substance. Уже почти три года мы занимаемся онлайн-идентификацией для каршерингов, логистики и финтех-проектов, работа с персональными данными — одна из наших сильных сторон.

Вместе с Павлом Кирилловым, CEO компании Элефус и нашим партнером по работе с персданными, расскажем о том, как обрабатывать такую информацию, не нарушая закон.

Обычно компания задумывается о защите/обработке персональных данных, когда продвинутый клиент спрашивает: «А почему у меня не взяли согласие на обработку? Где на сайте можно посмотреть политику? А вы есть в Реестре операторов?».

Дальше компания начинает быстро собирать информацию, находит ФЗ-152. Но оказывается, что помимо самого закона есть еще куча подзаконных актов, и так, шаг за шагом происходит погружение в кроличью нору. Окончательно потеряв надежду и увязнув в паутине этой достаточно запутанной темы, компания скачивает из интернета какое-то согласие, вешает на сайт политику по обработке персональных данных и, затаив дыхание, ждет, что им за это будет.

Мы предлагаем маршрут, который поможет выполнить все требования регуляторов и позволит выбраться из кроличьей норы. Следуйте за белым кроликом.

Разберемся с терминами

Персональные данные — любая информация, относящаяся (прямо или косвенно) к определенному или определяемому физическому лицу.

Звучит не очень понятно, попробуем разобраться, что относится к персональным данным, а что — нет. Далее представлена практика, полученная из комментариев Роскомнадзора и общения с регулятором.

Как в этом разобраться? Роскомнадзор предлагает следующий подход — если по совокупности данных можно идентифицировать человека, то мы имеем дело с персональными данными, даже если документов и других точных идентификаторов нет. Если же для идентификации нужна дополнительная информация, такие данные не считаются персональными.

Идентификаторы. Однозначные идентификаторы, по Роскомнадзору, это номер и серия паспорта, СНИЛС, ИНН, биометрические данные, банковский счет, номер банковской карты. Чтобы определить человека было невозможно, данные можно обезличить по методологическим рекомендациям Роскомнадзора.

Не могут рассматриваются как персданные (по крайней мере, по отдельности друг от друга): фамилия, имя, отчество, адрес проживания, email, номер телефона, дата рождения.

При этом, если у вас небольшая компания, и вы не уверены, обрабатываете ли персональные данные. Ответ «да» — всегда =)

  1. Вы нанимаете себе сотрудников или подрядчиков, заключаете договор, заполняете формы Т-2.
  2. Вы собираете данные клиентов для заключения договоров/выполнения заказов.
  3. На вашем сайте есть форма обратной связи с полями: ФИО, телефон, email.

Итак, любая компания автоматически является оператором персональных данных (то есть юридическим лицом, осуществляющим обработку). Давайте поговорим о том, как данные правильно обрабатывать и защищать, и что будет, если этого не делать.

Читайте так же:  Передать право подписи

Как обрабатывать ПДн, чтобы клиенты были спокойны, а Роскомнадзор не беспокоил

Шаг 1. Инвентаризация

Во-первых, нужно выяснить, какие информационные системы есть в компании и какие специалисты задействованы в их функционировании. Инициатива должна исходить от руководства и ИТ, которые лучше других знают, какие системы используются. К процессу также привлекаются кадровые специалисты, юристы, продавцы.

Чаще всего компании обрабатывают персональные данные сотрудников (соискателей), клиентов, контрагентов.

Главное, что нужно сделать на этом этапе — понять, какие персональные данные обрабатываются, откуда они приходят и куда передаются. То есть нарисовать информационные потоки, связанные с обработкой персональных данных, причем как с автоматизированной, так и с ручной.

Шаг 2. Модель угроз и классификация информационных систем

Классификация. Здесь нам необходимо будет классифицировать наши информационные системы, обрабатывающие персональные данные, и определить актуальные для них угрозы. По результатам классификации мы определяем уровень защищенности информации.

Уровень защищенности персональных данных — это показатель, отражающий требования для обеспечения базовой защиты информации.

Модель угроз. Параллельно с классификацией мы определяем актуальные угрозы для наших систем, которые отражаем в модели угроз.

Модель угроз — это документ, в котором отражены актуальные угрозы, потенциально влияющие на работу конкретной информационной системы.

Требования к защите персональных данных при их обработке в информационных системах содержатся в Приказе ФСТЭК России № 21.

За основу разработки модели угроз можно взять Базовую модель угроз ФСТЭК России.

Результат этапа. Это полный перечень требований по защите персональных данных (уровень защищенности, базовые требования, модель угроз, требования, учитывающие специфику конкретной информационной системы, обрабатывающей персональные данные).

Шаг 3. Меры защиты персональных данных

После того, как мы определили требования, необходимо эти требования реализовать. Защита персональных данных делится на технические и организационные меры. Рассмотрим их подробнее.

  1. Антивирусная защита
  2. Модули разграничения доступа на уровне прикладных систем или сети.
  1. Назначаем ответственного за защиту персональных данных
  2. Утверждаем перечень обрабатываемых и защищаемых данных.
  3. Составляем регламент для сотрудников и знакомим с ним всех под роспись. Например, предупреждаем, что нельзя отправлять по почте сканы паспортов или заявляем о необходимости регулярно обновлять антивирус на рабочем месте.

На данном этапе мы должны разработать Согласие на обработку персональных данных и Политику по обработке персональных данных. Про них поговорим подробнее.

Согласие на обработку.

  1. Письменная форма согласия. Требования к пунктам согласия отражены здесь. Обратите внимание, данные требования предъявляются только к письменной форме, при этом письменная форма требуется далеко не во всех случаях. Например, при обработке биометрических данных, специальных категорий персональных данных (подробнее о том, что это такое — здесь), при трансграничной передаче.
  2. Когда согласие не нужно. Если вы заключаете договор с клиентом, в рамках которого вы берете с него персональные данные, то согласие брать не требуется. Подробнее о таких случаях — тут.
  3. Электронное согласие. В остальных случаях, достаточно электронного согласия.

Политики по обработке персданных. Рекомендации по разработке выпустил Роскомнадзор. Но это лишь рекомендации. Если они вас по каким-то причинам не удовлетворяют, можете руководствоваться другими подходами. Но, если у вас нет своих идей, возьмите предложения регулятора за основу.

Неавтоматизированная обработка персональных данных. Принимая решение, как и где хранить персональные данные на бумаге, можно ориентироваться на специальное постановление.

Шаг 4. Отправка уведомления в Роскомнадзор

Уведомление отправляется через сайте Роскомнадзора, где вводится вся та информация, которую мы собрали на предыдущих шагах. Заполнить и отправить уведомление можно здесь.

Есть случаи, когда уведомление в Роскомнадзор подавать не надо, они оговорены здесь. Обычно эти условия подходят для небольших и средних компаний. То есть не надо в любой непонятной ситуации отправлять уведомление в Роскомнадзор.

Чем грозит невыполнение требований по обработке персональных данных

Мы потратили уже прилично вашего времени, но не ответили на ключевой вопрос: а что же будет, если этого всего не сделать?

Разберем самые распространенные нарушения:

  • Обработка персданных в непредусмотренных законодательством случаях или несовместимая с целями сбора персданных.
  • Обработка персданных без письменного согласия их субъекта.
  • Не опубликованы или недоступны Политика по обработке персданных или сведения по защите персданных.
  • Не предоставлено Уведомление в Роскомнадзор.
  • Нарушение требований о защите персональных данных, установленных ФЗ-152 и подзаконными актами (за исключением информации, составляющей государственную тайну).

Нехитрый математический подсчет показывает, что если нарушить все пункты, то можно получить совокупный штраф порядка 300 тыс. рублей, о котором часто пишут в статьях. Но это в совокупности, по каждому конкретному нарушению будет меньшая сумма.

Выводы

Вот такие нехитрые шаги позволят вам спать спокойно и обрабатывать персональные данные. В первую очередь важно понимать, кто, где и зачем обрабатывает персональные данные. Это стержень на который наматывается вся остальная обертка, связанная с разработкой документов и доработкой сведений на сайте. Тот, кто познает эту истину, познает дзен.

Основные нормативные документы, касающиеся обработки персональных данных

Материал опубликован пользователем.
Нажмите кнопку «Написать», чтобы поделиться мнением или рассказать о своём проекте.

Сразу вопрос который возникнет у большинства владельцев сайтов и тп. При регистрации на сайте (не инет магазин), если человек указывает свои ФИО и телефон. Обязан ли я выполнять требования Роскомнадзора?

Да, на сайте, где есть форма обратной связи с ФИО и телефоном и (или) электронкой — надо получать согласие на обработку персональных данных и надо опубликовать политику обработки персональных данных.
Потому что через те данные, которые Вы собираете — можно однозначно идентифицировать человека, соответственно, они относятся к персональным данным.

Читайте так же:  Оплата госпошлины обращение в суд

Николай,
решение зависит от состава обрабатываемых данных. В статье мы приводим примеры, что РКН считает персданными, что нет. Но есть и неприятное решение суда в тамбовской области, где за форму обратной связи оштрафовали: http://sudact.ru/regular/doc/TRz3NsNQuVWy/ решений таких не много, но это тревожный звонок. в таком случае, к сожалению да, придется озаботиться выполнением требований фз-152 на сайте.
если все же остались вопросы, опишите пожалуйста конкретную ситуацию.

ох чую скоро придется окунуться)
пока у меня только форма обратной связи — там имя(не полное фио) и телефон — это уже попадос на всю эту историю?) а если +email?(ну тут походу да)

Телефон — нет, не попадос.
Имя + телефон — нет, не попадос.
ФИО + телефон — попадос.
ФИО + е-mail — попадос.
Имя + телефон + e-mail — попадос.

Для номера телефона есть даже разъяснение Роскомнадзора:
«Абонентский номер (номер телефона) служит для обозначения и возможности идентификации конечного оборудования абонента в сети связи при соединении с ним абонентских устройств из чего следует, что номер телефона без указания на его владельца не является информацией, на основании которой это лицо (субъекта персональных данных) можно однозначно идентифицировать и его использование не может подразумевать обработку персональных данных его владельца».

Никита, Вы можете какую-то практику предоставить или это Ваше личное мнение? Просьба по возможности прикладывать ссылки или говорить, что это Ваше мнение

Павел, я рад, что Вы стараетесь изучать правовые вопросы о персональных данных детально!
Что же, поехали! Надеюсь, что некоторые законные акты Вы сможете погуглить.

Давайте определим что такое персональные данные. Персональные данные, согласно статье 3 Федерального закона «О персональных данных» от 27.07.2006 N 152-ФЗ — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
То есть, это данные, которые могут идентифицировать человека и позволить понять кто перед нами — Вася Петров или Иван Иванов.
При этом законодатель не даёт чёткого разграничения что это такое, а определяет как некую совокупность информации. Есть, конечно Указ Президента РФ от 06.03.97 № 188 (https://zakonbase.ru/content/base/20358), где была дана некая конкретизация, но она в данном случае не очень помогает.
Но мы-то с Вами сейчас найдём эту грань)

Так вот, телефон, как было сказано мной выше в комментарии по мнению Роскомнадзора не является персональными данными и это он говорит даже в лице своих территориальных подразделений в ответах на вопросы (к примеру: http://26.rkn.gov.ru/p8926/p10713/ — 5 вопрос, https://57.rkn.gov.ru/p8924/p14069/p14070/), эти позиции применяются и судами, вот, к примеру, можно посмотреть здесь: апелляционное определение СК по гражданским делам Новосибирского областного суда от 04 февраля 2016 г. по делу N 33-774/2016 или апелляционное определение Московского городского суда от 24 июля 2017 г. N 33-28957/17.
Письмо Минкомсвязи России от 07.07.2017 N П11-15054-ОГ «О разъяснении норм федерального законодательства» говорит, что: «абонентский номер или адрес электронной почты могут быть признаны персональными данными в случае, когда такая информация относится к прямо или косвенно определенному или определяемому физическому лицу (абонентский номер, принадлежащий юридическому лицу, не может рассматриваться в качестве персональных данных)».

То есть, если берём номер телефона или электронную почту — всё окей, нет никаких персональных данных.

Переходим к имени. Имя не идентифицирует субъекта персональных данных. Вообще никак. Таким образом, персональными данными не является. Или просто фамилия — тоже не подлежит защите как персональные данные (Постановление Восемнадцатого арбитражного апелляционного суда от 24 сентября 2014 г. N 18АП-10690/14; Определение СК по гражданским делам Приморского краевого суда от 09 сентября 2013 г. по делу N 33-7063 (тут суд даже сказал, что «в совокупности имя, отчество, улица и номер дома не позволяют достоверно установить, о каком именно человеке идет речь на страницах форума»); обзор обращений граждан за II квартал 2012 года Управление Роскомнадзора по Республике Карелия рассмотрело вопрос, являются ли фамилия и инициалы гражданина персональными данными).

Телефон + имя — не позволят определить Вам однозначно и безошибочно (что является критерием персональных данных) человека.
А вот, если добавить к телефону или электронке немного больше данных, к примеру, ФИО — всё, персональные данные готовы и подлежат защите.

Так что, да, это моё личное мнение, основанное на правоприменительной практике и требованиях законодательства 😉

Источник: http://vc.ru/legal/52958-obrabotka-personalnyh-dannyh-poshagovaya-instrukciya-dlya-kompaniy

Методические рекомендации по обработке персональных данных

© 2009-2020, Электронное периодическое издание «Портал персональных данных Уполномоченного органа

по защите прав субъектов персональных данных». Учредитель: Федеральная служба по надзору в

сфере связи, информационных технологий и массовых коммуникаций. Свидетельство о регистрации средства

массовой информации Эл № ФС77-41899 от 08 сентября 2010 г., выданное Федеральной службой по надзору

в сфере связи, информационных технологий и массовых коммуникаций

Источник: http://pd.rkn.gov.ru/library/p195/

Методические рекомендации по обработке персональных данных

© 2009-2020, Электронное периодическое издание «Портал персональных данных Уполномоченного органа

по защите прав субъектов персональных данных». Учредитель: Федеральная служба по надзору в

сфере связи, информационных технологий и массовых коммуникаций. Свидетельство о регистрации средства

массовой информации Эл № ФС77-41899 от 08 сентября 2010 г., выданное Федеральной службой по надзору

в сфере связи, информационных технологий и массовых коммуникаций

Видео удалено.
Видео (кликните для воспроизведения).

Источник: http://pd.rkn.gov.ru/library/p195/

Методические рекомендации по обработке персональных данных
Оценка 5 проголосовавших: 1

ОСТАВЬТЕ ОТВЕТ

Please enter your comment!
Please enter your name here