Вопрос-Ответ

Ст. 24 Федерального закона «О персональных данных» определяет ответственность за нарушение данного Федерального закона, которая выражается в виде уголовной, административной, дисциплинарной и иной предусмотренной законодательством Российской Федерации ответственности. Административная ответственность за нарушение настоящего Федерального закона наступает за:
- неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, либо несвоевременное предоставление таких документов и материалов, непредставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст. 5.39 КоАП РФ).
- нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных (ст. 13.11 КоАП РФ);
- разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность) (ст. 13.14 КоАП);
- непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде (ст.19.7. КоАП РФ).

Кроме того, за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, и неправомерный доступ к охраняемой законом компьютерной информации российским законодательством предусмотрена уголовная ответственность, предусмотренная ст. 137, 272 УК РФ.

В соответствии п. 1 ст. 22 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных.
Исключение составляют случаи, предусмотренные п. 2 комментируемой статьи, при обработке персональных данных:
1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;
2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
4) являющихся общедоступными персональными данными;
5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных. Уведомление должно быть направлено в письменной форме и подписано должностным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации.

В соответствии с п.2 ст. 1 Федерального закона – это отношения, возникающие при:
1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных (например, в генеалогических целях);
2) организации хранения, комплектования, учета и использования, содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;
3) обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с деятельностью физического лица в качестве индивидуального предпринимателя;
4) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

Уполномоченный орган - федеральный орган исполнительной власти, осуществляющий функции контроля и надзора в сфере информационных технологий и связи.
В настоящее время, в соответствии с постановлением Правительства от 16 марта 2009 г. № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций» данная функция возложена на Роскомнадзор.

Основное предназначение закона – защита прав граждан. Именно на защиту прав граждан должны быть направлены организационные, нормативные и технические меры, предпринимаемые операторами. Техническая защита персональных данных граждан – лишь один из аспектов закона.

Именно так. Можно еще сказать, что согласие является недействительным, так как не соответствует требованиям закона. Стоит отметить, что согласно ст.9 закона о персональных данных субъект дает согласие на обработку своей волей и в своем интересе, но обязанность предоставить доказательство получения согласия субъекта возлагается на оператора.

Ответственность за обеспечение безопасности обработки персональных данных возлагается на оператора-владельца ИСПДн или уполномоченное лицо, обрабатывающее персональные данные в интересах оператора. В этом случае требования обеспечения безопасности должны быть отражены в договоре между оператором и уполномоченным лицом.

В соответствии с п.2 «Порядка проведения классификации ИСПДн» Оператор может и должен сделать это самостоятельно. Сертифицированные специалисты могут только помочь советом и опытом, но акт классификации должен быть подписан руководителем юридического лица.

Содержание категории "оператор персональных данных" определяется ст.3 п. ФЗ-152: 2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных. Вопрос подлежит уточнению по ситуации.

Согласно закону №-152 персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.
А исходя из порядка классификации информационных систем персональных данных, ИСПДн, в которых обрабатываются сведения о здоровье, должны быть отнесены к классу «К1, специальная».

Сведения о сотрудниках организации содержатся в личной карточке по форме № Т-2, утвержденной Госкомстатом РФ. Эта форма, в том числе, предусматривает наличие сведений о родственниках сотрудника. Мы считаем, что обрабатываемые в кадровой системе данные о родственниках не переводит ИСПДн в класс К2.

С 15 марта 2010г в связи с вступлением в силу приказа ФСТЭК N 58 от 05.02.2010 г. «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных» аттестация более не входит в число обязательных процедур.

Прямого соответствия нет, но в целом в части защиты от НСД требования к 1Г и К1 (многопользовательской) совпадают.
Мы рекомендуем проводить оценку соответствия ИСПДн требованиям безопасности информации (аттестация или декларирование), которая подтвердит соответствие СЗПДн заявленным требованиям.

В текущих методических документах обязательность аттестации ИСПДн отсутсвует.
Мы рекомендуем проводить оценку соответствия ИСПДн требованиям безопасности информации (аттестация или декларирование), которая подтвердит соответствие СЗПДн заявленным требованиям.

Согласие работника не требуется исходя из того, что в данном случае обработка персональных данных осуществляется в целях исполнения трудового договора в соответствии с п.2 ст.6 Закона №152-ФЗ «О персональных данных» и ст.88 гл.14 ТК РФ.

Указанный минимальный перечень действующим законодательством Российской Федерации не установлен. Более того, по результатам мониторинга законодательства Российской Федерации, проведенного Роскомнадзором, было установлено, что 75 международных правовых актов, 13 кодексов РФ, более 100 федеральных законов и 250 актов Правительства Российской Федерации устанавливают различные перечни запрашиваемых персональных данных. Считаем необходимым разработать и внести предложения по изменению нормативных правовых актов в части минимизации перечня персональных данных с целью обеспечения возможности их категорирования и установления различных подходов к определению способов и методов их защиты и обработки в зависимости от установленной категории.

Достаточно договора публичной оферты, оформленного через веб-страницу.

Можем порекомендовать такой способ. Данные по уволенным сотрудникам перенести в архивное хранение, тем самым выведя их из-под действия закона о персональных данных. В таком варианте можно будет снизить класс системы до к3.

Порядок хранения должен быть регламентирован правильно и соответствовать требованиям нормативной документации в части обеспечения защиты ПДн.

Ответ очень простой – К3. Это классическая типовая система, где Хпд=3, поскольку данные только идентифицируют личность, а Хнпд=2, т.к. количество обрабатываемых записей – от 1000 до 100000.

Письменное согласие субъекта требуется только в конкретных, предусмотренных законом случаях. Допуск на территорию к ним не относится. Предоставляя свои данные, а тем более, документы, необходимые для получения разового пропуска, субъект выражает согласие на их обработку.

Четкого определения понятию «состояние здоровья» закон не дает. Поэтому можно говорить только об экспертном мнении. Оно таково: сведения об инвалидности, годности к работам и т.п. к сведениям о состоянии здоровья не относятся, поскольку не раскрывают диагноза, который и характеризует состояние здоровья. Причной инвалидности может быть состояние зрения, слуха, опорно-двигательной системы, последствия заболевания и т.д. Запись «инвалид 2-1 группы этой информации не дает. Подобные сведения являются сведениями об ограничении трудоспособности, а не состоянии здоровья.

Если на веб-сайте вводится не ник, а ФИО, то вместе с датами рождения, адресами и телефонами это будет являться персональными данными. Соответственно, владельцы таких интернет-форумов, интернет-магазинов и т.п. будут являться операторами ИСПДн. Например, «Одноклассники.Ру» уже зарегистрировались в реестре Роскомнадзора, как операторы персональных данных.

В соответствии с п.3 ст. 9 Федерального закона «О персональных данных», обязанность предоставления доказательств получения согласия субъекта персональных данных на обработку его персональных данных, а в случае обработки общедоступных персональных данных обязанность доказывания того, что обрабатываемые персональные данные являются общедоступными, возлагается на оператора. В данном случае, получить согласие работника на передачу его персональных данных для обработки другому оператору, должна администрация предприятия, на котором работает субъект персональных данных, то есть сам работник.

Персональные данные субъектов персональных данных, полученные кредитной организацией при рассмотрении заявок на получение кредита, в случае отрицательного решения кредитной организации, подлежат уничтожению в срок, не превышающий трех рабочих дней с даты принятия соответствующего решения. Обращаем Ваше внимание, что типовые формы документов, характер информации в которых предполагает или допускает включение в них персональных данных, могут храниться в формате цифровых копий при соблюдении требований к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».

1.Защита информации, представленной в виде информативных электрических сигналов и физических полей, осуществляется в случаях, когда при определении угроз безопасности персональных данных и формировании модели угроз применительно к информационной системе являются актуальными угрозы утечки информации по каналам побочных электромагнитных излучений и наводок. Приказ 58 описывает соответствующие меры и средства в п.3.2 2.Вопрос некорректен - "Четверокнижие" не является актуальным термином. 3.Материалы носят конфиденциальный характер - по решению соотв. Операторов.

Закон о персональных данных устанавливает, что получение согласия на обработку персональных данных, как правило, производится в устной форме. Случаи обязательного получения согласия на обработку персональных данных в письменной форме специально оговорены в законе. В законе устанавливается презумпция того, что доказывание получения согласия на обработку персональных данных должно осуществляться лицом, осуществляющим обработку. Доказательствами могут стать показания других граждан, аудио- и видеозаписи; анкеты, содержащие персональные данные и заполненные со слов субъекта персональных данных, с информацией об условиях обработки персональных данных; протоколы проведения заседаний собраний, в ходе которых председательствующий предупреждает о возможной обработки персональных данных лиц, присутствующих на этом собрании, заседании.

Пример 1. При проведении открытой конференции лицам, присутствовавшим на ней и желающим принять участие в ее работе, было предложено зарегистрироваться и получить пакет материалов. Выступающий предупредил, что данные об участниках будут сохранены и занесены в материалы конференции. Предоставление гражданином сведений о себе для участия в конференции будет являться подтверждением согласия на их дальнейшую обработку.

Пример 2. При совершении покупки в магазине гражданину было предложено предоставить данные о себе для получения информации о поступлении новых товаров. Заполнение информации производилось продавцом со слов покупателя. Подтверждением добровольной передачи персональных данных покупателем может быть присутствие в момент их передачи другого продавца или менеджера, наличие видеозаписи, если зал магазина под видеонаблюдением.

К биометрическим данным, согласно ФЗ-152 «О персональных данных» относятся любые сведения, характеризующие физиологические особенности человека и на основе которых можно установить его личность. К таким данным относятся фотографии, отпечатки пальцев, видеоряд с изображением, записанный распознаваемый голос субъекта персональных данных. Согласно закону, биометрические данные могут обрабатываться только при наличии письменного согласия субъекта персональных данных. В случае обработки биометрических персональных данных вне информационных систем их использование и хранение может осуществляться исключительно на таких материальных носителях информации и с применением такой технологии, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения и распространения.

Согласно Приказу №55/86/20 Об утверждении порядка проведения классификации ИСПДн, специальные информационные системы — информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий). Такое определение вполне подходит под Ваше описание информационной системы.

БД СНИЛС - История болезни, если в последней нет ФИО пациента, т.е. обезличенные ПД. Система специальная, класса К4.
БД ФИО – СНИЛС - категория 3, класс – от количества записей. Боюсь, однако, что только ФИО не хватит, будут полные тезки-однофамильцы.
Но проблема остается – рабочие станции врачей, где данные баз сводятся. У них – система специальная, класса К1.

Порядок документальной фиксации уничтожения персональных данных субъекта определяется оператором персональных данных самостоятельно. Уничтожение персональных данных субъекта осуществляется комиссией либо иным должностным лицом, созданной (уполномоченным) на основании приказа Оператора. Наиболее распространенными способами документальной фиксации уничтожения персональных данных субъекта является оформление соответствующего акта о прекращении обработки персональных данных либо регистрация факта уничтожения персональных данных в специальном журнале. Типовая форма акта и журнала утверждаются самим Оператором.

Статья 7 закона о персональных данных возлагает на оператора (лицо, ведущее обработку персональных данных) обязанность по соблюдению конфиденциальности персональных данных, находящихся в его распоряжении. Исключения составляют два случая, когда эта обязанность может не соблюдаться:
1) в случае обезличивания персональных данных;
2) в отношении общедоступных персональных данных. Соответственно, требование органов власти о предоставлении информации может быть выполнено организацией только в указанных случаях. Иная ситуация возникает, когда требование о предоставлении (раскрытии) информации исходит от уполномоченного органа. То есть право соответствующего органа власти получать информацию, содержащую персональные данные, должно быть установлено законом. В законе должны быть также определены условия, при которых органами власти предъявляются требования о предоставлении такой информации. Кроме того, законом на уполномоченный орган должен налагаться запрет на разглашение конфиденциальной информации, полученной им при исполнении своих полномочий (тайна предварительного следствия, возложение на антимонопольный орган обязанности по соблюдению охраняемой законы тайны, иное). При таких условиях передача конфиденциальной информации уполномоченному органу не будет считаться ее разглашением. Ниже приведены выдержки из отдельных нормативных актов, которые содержат нормы, регламентирующие деятельность уполномоченных органов при получении ими конфиденциальной информации.
Федеральный закон от 17.01.1992 N 2202-1 «О прокуратуре Российской Федерации» (извлечение) Статья 22. Полномочия прокурора
1. Прокурор при осуществлении возложенных на него функций вправе:
• по предъявлении служебного удостоверения беспрепятственно входить на территории и в помещения органов, указанных в пункте 1 статьи 21 настоящего Федерального закона, иметь доступ к их документам и материалам, проверять исполнение законов в связи с поступившей в органы прокуратуры информацией о фактах нарушения закона;
• требовать от руководителей и других должностных лиц указанных органов представления необходимых документов, материалов, статистических и иных сведений; выделения специалистов для выяснения возникших вопросов; проведения проверок по поступившим в органы прокуратуры материалам и обращениям, ревизий деятельности подконтрольных или подведомственных им организаций;
Уголовно-процессуальный кодекс РФ (извлечение) Статья 182. Основания и порядок производства обыска
1. Основанием производства обыска является наличие достаточных данных полагать, что в каком-либо месте или у какого-либо лица могут находиться орудия преступления, предметы, документы и ценности, которые могут иметь значение для уголовного дела.
2. Обыск производится на основании постановления следователя.
3. Обыск в жилище производится на основании судебного решения, принимаемого в порядке, установленном статьей 165 настоящего Кодекса.
7. Следователь принимает меры к тому, чтобы не были оглашены выявленные в ходе обыска обстоятельства частной жизни лица, в помещении которого был произведен обыск, его личная и (или) семейная тайна, а также обстоятельства частной жизни других лиц.
Статья 183. Основания и порядок производства выемки При необходимости изъятия определенных предметов и документов, имеющих значение для уголовного дела, и если точно известно, где и у кого они находятся, производится их выемка.
Выемка предметов и документов, содержащих государственную или иную охраняемую федеральным законом тайну, предметов и документов, содержащих информацию о вкладах и счетах граждан в банках и иных кредитных организациях, а также вещей, заложенных или сданных на хранение в ломбард, производится на основании судебного решения, принимаемого в порядке, установленном статьей 165 настоящего Кодекса.

В компании может применяться любая, в том числе уже сложившася, организация трансграничной передачи информации. Важно, чтобы при этом соблюдался режим защиты ПДн, предусмотренный законодательством. Для более точного ответа нужно изучить Вашу специфику передачи ПДн за границу: какие категории ПДн передаются; каналы передачи; используемые средства защиты и т.д.

1. Определить обработчика ПДн с заключением соответствующих договоров
2. Описать систему принятых мер по защите каналов связи и информационных ресурсов. Разработать регламент взаимодействия.

На сегодняшний день, квалификационные требования, предъявляемые к сотрудникам, на которых возложены полномочия по обработке и защите персональных данных, законодательством Российской Федерации не установлены.

Методы и средства применяются в соответствии с классом ИСПДн; необходимые методы и средства определены Приказом ФСТЭК от 5 февраля 2010 г. N 58.

Самым простым решением будет включение в договор об оказании услуг специального пункта, описывающего процедуру обработки персданных с выражение согласия клиента на такую обработку. К сожалению, способов получения согласия клиентов на обработку персданных при заключении договоров публичной оферты закон не предусматривает. Как в этом случае оператор может подтвердить наличие согласия, пока неизвестно.

Передача персональных данных работников регламентируется федеральным законом о персональных данных и Трудовым кодексом РФ. Так, по статье 88 главы 14 ТК РФ при передаче персональных данных работника работодатель должен не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами.

Если система охранного видеонаблюдения ведет исключительно запись изображения на объекте, никак не идентифицируя людей на этих записях и не привязана к какой-либо информационной системе, в которой хранятся данные о людях на записи, то к персональным данным такие записи не относятся. И, соответственно, ПО системы видеонаблюдения не обязано отвечать требованиям ФСТЭК к средствам защиты информации в ИСПДн.
Если есть привязка к спискам посетителей и возможность идентификации, то тогда это будет относиться к персональным данным и система видеонаблюдения должна быть сертифицирована на отсутствие НДВ в случае отнесения ИСПДн к классу к1.