Персональные данные подлежащие защите

Информационная поддержка по вопросу: "Персональные данные подлежащие защите" описанное с профессиональной точки зрения. Мы постарались полностью осветить тематику. Если возникли дополнительные вопросы, то обращайтесь к дежурному специалисту.

Документы по персональным данным: какие бумаги должны быть в организации, чтобы успешно пройти проверку РКН?

Согласно Федеральному закону «О персональных данных» от 27 июля 2006 г. № 152-ФЗ уполномоченным органом по вопросам персональных данных является Роскомнадзор. Этот же нормативно-правовой акт регламентирует перечень документов, которые подаются туда операторами ПД, которые занимаются обработкой идентификационных данных граждан.

Любая организация или ресурс, которая имеет дело с информацией о клиентах или пользователях, должны подать ряд документов в РКН. Данная обязанность может лечь на любого владельца бизнеса или держателя сайта, ведь стоит только сделать форму регистрации или обратной связи – и он автоматически становится тем самым ОПД.

Дорогие читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Если вы хотите узнать, как решить именно Вашу проблему — обращайтесь в форму онлайн-консультанта справа или звоните по телефону +7 (800) 350-22-67 . Это быстро и бесплатно !

Какой комплект бумаг должен быть в организации?

Для того, чтобы успешно проходить все проверки Роскомнадзора, согласно требованиям Федерального закона №152-ФЗ могут понадобиться следующие документы по персональным данным:

  1. Перечень обрабатываемых ПД.
  2. Приказ о назначении комиссии по защите.
  3. План мероприятий по защите.
  4. Положение о комиссии по защите.
  5. Перечень должностей и третьих лиц, допущенных к ОПД (Обработке персональных данных).
  6. Согласие на ОПД.
  7. Перечень информационных систем.
  8. Обязательство о неразглашении.
  9. Соглашение о соблюдении безопасности.
  10. Перечень средств защиты информации.
  11. Техпаспорт информационных систем.
  12. Перечень помещений.
  13. Приказ о назначении ответственных лиц.
  14. Положение об ОПД.
  15. Положение по защите.
  16. Политика в отношении ОПД.
  17. Инструкция ответственного лица.
  18. Инструкция администратора безопасности.
  19. Регламент определения уровней защищенности.
  20. Техзадание на систему защиты.
  21. Модель угроз безопасности.
  22. Акт определения уровней защищенности.
  23. Протокол определения ущерба субъекту ПД.
  24. Уведомление об ОПД.
  25. Инструкция пользователя информационных систем.
  26. Регламент учета, хранения и уничтожения носителей.
  27. Регламент допуска сотрудников и других лиц.
  28. Регламент реагирования на запросы субъектов ПД.
  29. Регламент резервного копирования.
  30. Регламент проведения контрольных мероприятий.
  31. Регламент по трансграничной передаче данных.

И некоторые другие документы в зависимости от специфики деятельности оператора.

Образцы и бланки

Ниже приведены бланки и образцы документов по обработке персональных данных:

Что содержит пакет сопровождающей документации?

Для каждого из этих действий предусмотрены нормативные документы.

Сбор и обработка

  • Перечень должностей и других лиц, допущенных к ОПД — Основания передачи данных на обработку, списки контрагентов и сотрудников.
  • Перечень обрабатываемой информации — Содержит цели и основания обработки, условия ее прекращения, состав данных, категорию субъектов.
  • Перечень помещений для ОПД — Адреса офисов и помещений, где возможна обработка ПД.
  • Инструкция ответственного за организацию обработки — Документ, который устанавливает права, обязанности и ответственность ответственного за организацию процесса (юридической фирмы, сотрудника, системного интегратора).
  • Об обработке данных — Положение, устанавливающее правила обработки, хранения и использования информации, ответственность оператора и права субъекта.
  • Политика в отношении ОПД — Публичный документ без содержания отсылок, который располагается на видном месте офисов и на сайте оператора.
  • Уведомление об ОПД — Документ, который подается в РКН потенциальным оператором до начала работы с информацией с целью включения фирмы, индивидуального предпринимателя, физического лица или другого объекта, имеющего дело с ПД в реестр операторов ПД.

Хранение

Регламент учета, хранения и уничтожения носителей — Определяет все процедуры учета, хранения и, в предусмотренных законом случаях, возможные способы уничтожения носителей.

Защита

  • Приказ о назначении комиссии — Приказ, определяющий состав комиссии, которая, руководствуясь специальным Положением, будет следить за соответствием обеспечиваемых мер защиты действующему законодательству (В данном случае 152-ФЗ).
  • О комиссии по защите — Положение, которое определяет права, обязанности и ответственность членов Комиссии.
  • Перечень средств защиты — Содержит список специализированных средств, применяемых в конкретной компании.
  • Приказ о назначении лиц, ответственных за обработку и защиту.
  • Положение по защите — Информация о системе защиты, требования к ней и порядок ее реализации.
  • Регламент определения уровней защищенности — Определяет и описывает уровни защищенности, видов угроз и ущерба.
  • ТЗ на систему защиты данных — Описание необходимых защитных подсистем, которые должны обеспечить корректную безопасную работу операторов.

Передача

  • Регламент по трансграничной передаче информации — Определяет порядок передачи данных через границу РФ.
  • Заявление физического лица о согласии на передачу оператором данных третьим лицам — Образец заявления, которое свидетельствует о добровольном согласии субъекта.
  • Согласие на передачу данных работника третьим лицам — Документ, который в случае необходимости пишется наемным сотрудником в пользу работодателя, который в данном случае является оператором.

Разглашение

Роскомнадзор — это структура с широким спектром полномочий и обязанностей, а персональные данные — довольно сложная тема, вызывающая много споров. Для успешного взаимодействия с исполнительными органами и законом нужно изучить большое количество тонкостей.

К счастью, в современных реалиях, в век широкой доступности информации, в сети можно найти любой интересующий оператора или субъекта документ и изучить его, что сильно облегчает задачу. В этой сфере нет мелочей и нужно быть крайне внимательным, ведь то, что может показаться сотруднику незначительным, может оказаться нарушением законодательства.

Читайте так же:  Отзыв доверенности коммерсант

Не нашли ответа на свой вопрос? Узнайте, как решить именно Вашу проблему — позвоните прямо сейчас:

+7 (800) 350-22-67 Это быстро и бесплатно !

Источник: http://101million.com/personal/priem-na-rabotu/konfidentsialnaya-informatsiya/personalnye-dannye/dokumenty-po-pd.html

Защита персональных данных в облаке

Защита персональных данных
с помощью DLP-системы

В опрос, насколько допустимо хранение персональных данных (ПД), переданных компаниям-операторам в облаке, не всегда имеет однозначный ответ. Необходимо убедиться в том, насколько серверы облачных провайдеров отвечают требованиям, предъявляемым к защите персональных данных, и определиться с правовыми основаниями, по которым информация будет передаваться на хранение в облаке.

Основные вопросы, связанные с возможностями размещения ПД в облаке

Необходимость передачи персональных данных на хранение в облако возникает, например, при работе с бухгалтерскими программами или CRM-системами, в которых основные информационные массивы размещаются на сервере поставщика услуг. Таким образом, в облаке оказывается персональная информация, хранящаяся:

  • в бухгалтерии;
  • в кадровом подразделении;
  • в отделе по работе с клиентами.

В связи с этим у руководителей юридического лица возникают следующие системные вопросы:

  1. Допустимо ли по нормам Федерального закона № 152-ФЗ, Постановления правительства № 1119 и приказов ФСТЭК размещение информационных систем персональных данных на облачных серверах?
  2. Как должно быть создано облако, чтобы оно обеспечивало надлежащую защиту персональных данных?
  3. Какие требования предъявляются к оператору, решившему хранить защищаемую законом и конфиденциальную информацию в облаке, какие нюансы он должен учесть?
  4. Каким образом система персональных данных, размещенная в облаке, может быть аттестована?
  5. За что именно, относящееся к сфере защиты персональных данных, несет ответственность «облачный» провайдер?
  6. Какой класс защищенности систем из четырех возможных можно создать в облаке?
  7. Каким образом в модели угроз учесть действия конкурента, если у него возникнет намерение атаковать базы данных, хранящиеся в облаке?

В большинстве случаев, если компания обрабатывает только персональные данные своих сотрудников и не является оператором, таких вопросов у нее не возникнет. Но если речь идет о медицинской организации или интернет-магазине, риск проверки ФСТЭК РФ или Роскомнадзора заставит искать правильные ответы на эти вопросы.

Организациям, готовым переложить защиту персональных данных на облачного провайдера, необходимо самостоятельно выполнять требуемые приказами организационные меры, проверяя при этом, насколько облачный провайдер подготовлен к решению технических задач. Большинство крупных компаний уже привели свои системы защиты персональных данных в соответствие с требованиями.

Как облачные провайдеры решают задачи соответствия требованиям ФСТЭК

Компании, оказывающие услуги, предусматривающие размещение персональных данных в облаке, не желая потерять клиентов, привели свои системы в соответствие с предъявляемыми требованиями. База распределенной системы выглядит следующим образом:

  • автоматизированные рабочие места (АРМ), на которых происходит непосредственная обработка данных, находятся в офисе заказчика;
  • база, содержащая персональные данные, размещена на сервере, находящемся на территории поставщика услуг;
  • сервер, исходя из требований АОНа, размещен на территории Российской Федерации.

Защищаться от внешних угроз в этой ситуации должны три ключевых элемента системы:

  • АРМ пользователей, находящихся в офисе клиента. Перенос конфиденциальной информации и персональных данных на материальные носители или иной ее вывод за пределы защищаемого периметра должен обеспечиваться именно компанией-клиентом облачного провайдера;
  • канал связи, по которому по телекоммуникационным сетям информация передается от АРМ до сервера провайдера;
  • находящиеся в облаке виртуальные машины, на которых размещены персональные данные.

Необходимые технические меры

Чтобы обеспечить безопасность тех элементов распределенной системы, которые находятся в зоне их ответственности, провайдерам приходится решать определенные технические задачи. Но ряд задач возлагается и на самих операторов. Среди них:

  • обеспечение применения для защиты каждого из элементов системы только сертифицированных технических мер;
  • при разработке конфигурации системы защиты персональных данных, расположенных на площадке клиента, создание актуальной модели угроз, учитывающей как риски, связанные с нелегитимной активностью пользователей-сотрудников оператора персональных данных, так и внешние, исходящие от неопределенных внешних агрессоров, которые могут оказаться и конкурентами, и хакерами.

За эти два риска полностью отвечает компания-оператор. На долю облачного провайдера остаются следующие задачи, реализуемые при помощи технических и организационных средств:

Можно подытожить: если поставщик облачных услуг соблюдает требования ФЗ «О персональных данных» регулирующих органов и использует сертифицированное программное обеспечение и технические средства защиты, соответствующие требованиям контролирующих органов, размещение баз, содержащих персональные данные, на облаке допустимо. Поскольку на облака распространяются требования, связанные с виртуальными объектами, необходимым становится также использование сертифицированных гипервизоров. Все это в конечном счете поднимает стоимость «облачных» услуг, связанных с обработкой персональных данных, при этом самостоятельная аттестация системы невозможна, она предусмотрена законодательством только для информационных систем операторов.

При принятии решения о перенесении части массивов информации, содержащих доверенные персональные данные, на облачные серверы, необходимо тщательно проверить техническую подготовку провайдера и заключить с ним соглашения о пользовании услугами соответствующего типа.

Источник: http://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/realizaciya-zashchity-personalnyh-dannyh/perechen-personalnyh-dannyh-podlezhashchih-zashchite/zaschita-personalnykh-dannykh-v-oblake/

Практическое руководство по выполнению требований 152-ФЗ

Каждая организация, обрабатывающая персональные данные (далее — Оператор), сталкивается с вопросом приведения своих информационных систем в соответствие с требованиями законодательства. Рассмотрим плюсы и минусы распространенных сценариев поведения Операторов и предложим альтернативный подход.

Отношение Операторов персональных данных к требованиям законодательства разнообразно. Кто-то предпочитает ничего не делать, не подавать уведомление об обработке ПДн в Роскомнадзор и надеяться, что вопросы контроля обработки ПДн его не коснутся. Кто-то отдает вопросы защиты информации полностью на откуп сторонним организациям. Кто-то находит шаблонные комплекты организационно-распорядительных документов в общедоступных источниках, корректирует их, распечатывает и на этом останавливается. Каждый из этих подходов имеет свои недостатки.

Читайте так же:  Срок исковой давности по кредиту в украине

Бездействие Оператора не спасает его от плановых или внеплановых (например, организованных по жалобе субъекта ПДн) проверок контролирующих органов. На фоне новостей о постоянно растущих штрафах за нарушения требований обработки ПДн такой подход выглядит малопривлекательным.

При полной передаче вопросов защиты информации на аутсорсинг появляется риск значительно переплатить. Это часто выливается в покупку дорогостоящих средств защиты информации с избыточной и не всегда востребованной функциональностью. Кроме того, созданная и внедренная система защиты без поддержки пользователей и администраторов Оператора в какой-то момент перестает быть актуальной. Ведь система защиты — это не только реализация технических мер и средств, а еще и организационные мероприятия, направленные на выработку сотрудниками Оператора норм и правил корректного отношения к защищаемой информации.

Шаблонные комплекты из сети позволяют создать лишь видимость защиты информации, при этом информационные системы фактически остаются уязвимы и подвержены угрозам.

Мы предлагаем синтетическую концепцию, когда уполномоченное лицо Оператора самостоятельно проходит определенные шаги построения системы защиты. А на этапе технической реализации системы защиты возможно привлечение специализированных организаций.

Такой подход позволяет уполномоченным лицам Оператора лучше понять существующие процессы обработки информации, включить в работу всех заинтересованных лиц и в результате получить эффективную систему защиты информации. Рассмотрим подход подробнее.

Нормативная база

Каждый оператор, приступая к работе, задается вопросом — с чего начать? Определимся с нормативной базой, на которую будем опираться.

Мы рекомендуем начинать с идентификации систем, в которых осуществляется обработка ПДн, и их детального изучения. Дальнейшие действия будут зависеть от того, какая перед нами система.

Разберем порядок действий на отдельно взятой информационной системе.

ГИС или не ГИС

Сначала необходимо понять, относится ли рассматриваемая система к государственным информационным системам (ГИС) или нет. От этого будет зависеть подход к защите. Как определить, ГИС перед нами или нет, описано в отдельной статье.

Рекомендации для систем обработки ПДн далее по тексту будем называть «для ИСПДн», рекомендации для государственных систем — «для ГИС».

Актуальные угрозы ИБ

Необходимо определить, какие угрозы ИБ актуальны для рассматриваемой информационной системы. Определение актуальных угроз производится в соответствии с «Методикой определения актуальных угроз безопасности персональных данных». В общем случае алгоритм выглядит так:

  1. По совокупности ответов на ряд первичных вопросов делается вывод об исходной защищенности информационной системы.
  2. Формируется перечень рассматриваемых угроз на основании «Базовой модели угроз безопасности персональных данных» и Банка данных угроз безопасности информации (см. выше). Для каждой угрозы экспертным путем определяется вероятность реализации.
  3. На основании вероятности реализации и уровня исходной защищенности определяется коэффициент реализуемости для каждой угрозы.
  4. Для каждой угрозы экспертным путем определяется показатель опасности для ИС и Оператора.
  5. На основании показателей реализуемости и опасности делается вывод об актуальности для каждой угрозы. Формируется перечень актуальных угроз.

Уровень защищенности ИСПДн

Необходимо определить, к какому типу относятся актуальные угрозы. Существуют три типа угроз:

  • связанные с наличием недекларированных возможностей в системном программном обеспечении;
  • связанные с наличием недекларированных возможностей в прикладном программном обеспечении;
  • не связанные с наличием недекларированных возможностей в системном и прикладном программном обеспечении.

Рассматриваем каждую угрозу в отдельности. Определяем, к какому максимальному типу они относятся.

Следующим шагом необходимо определить категорию обрабатываемых данных. Существуют следующие категории персональных данных:

В одной ИС могут обрабатываться несколько категорий персональных данных. Подробное определение категорий дано в № 152-ФЗ.

Необходимо определить объем обрабатываемых ПДн. Здесь возможны 3 вариации:

  • до 100 тысяч;
  • более 100 тысяч;
  • ПДн сотрудников Оператора (без привязки по объему).

На основании типа угроз, категории ПДн и объема ПДн делается вывод об уровне защищенности системы в соответствии с постановлением Правительства № 1119.

Для Определения УЗ можно воспользоваться специальной таблицей:

Класс ГИС

Если рассматриваемая система относится к ГИС, необходимо определить ее класс в соответствии с приказом ФСТЭК № 17 от 11.02.2013.

Для этого определяются дополнительные к предыдущему разделу показатели:

  1. Масштаб ГИС. Может быть федеральным, региональным и объектовым. Критерии определения зафиксированы в приказе ФСТЭК №17.
  2. Уровень значимости информации — определяется степенью возможного ущерба Оператора от нарушения конфиденциальности, целостности или доступности информации. Имеет три значения по убыванию значимости — УЗ1, УЗ2, УЗ3. Определяется экспертным путем. Критерии определения зафиксированы в приказе ФСТЭК № 17.

На основании уровня значимости и масштаба ИС делается вывод о классе ГИС.

Базовый набор мер

После определения уровня защищенности и класса (для ГИС) нужно перейти к формированию общего перечня требований и мер, которые необходимо обеспечить в ИС.

Для ИСПДн требования формируются в соответствии с определенным уровнем защищенности на основании № 152-ФЗ, постановления Правительства № 1119, приказа ФСБ РФ № 378 и приказа ФСТЭК № 21.

Для ГИС, помимо требований, необходимых для ИСПДн, дополнительно добавляются требования приказа ФСТЭК № 17.

В результате должен быть сформирован общий перечень требований и мер, которые необходимо обеспечить в ИС. Назовем его базовый набор мер.

Адаптированный набор мер

Следующим шагом является анализ полученного базового набора мер и его актуализация. То есть удаление из него всех мер, несвойственных рассматриваемой информационной системе. Например, удаляем меру «Защита беспроводных сетей», если беспроводные технологии в ИС не применяются. В итоге получаем адаптированный базовый набор мер.

Дополненный набор мер

Исследуем адаптированный базовый набор мер и соотносим его с перечнем актуальных угроз ИБ. В случае если ни одна мера не закрывает отдельную актуальную угрозу, дополняем набор дополнительными мерами. В результате все актуальные угрозы должны быть закрыты мерами ИБ из набора мер. На выходе получаем дополненный адаптированный базовый набор мер.

Система защиты информации

В соответствии с полученным набором мер осуществляется выбор технических средств защиты или организационных мероприятий, направленных на выполнение мер. Происходит формирование проекта системы защиты информации.

Читайте так же:  Кассационная жалоба в арбитражный суд сроки

Для ИСПДн сертифицированные средства защиты информации применяются для закрытия актуальных угроз ИБ.

Для ГИС применяются только сертифицированные средства защиты информации.

Реализуется внедрение системы защиты по созданному проекту. Внедряются организационные меры и технические средства защиты. Разрабатываются политики, положения, инструкции, которые внедряются в процессы обработки информации. Устанавливаются, настраиваются и вводятся в эксплуатацию средства защиты информации. На этом этапе привлекаются специализированные организации, оказывающие соответствующие услуги. При самостоятельном внедрении ознакомьтесь с типичными ошибками при построении СЗПДН.

Видео (кликните для воспроизведения).

Контур-Безопасность: Разработка, внедрение и сопровождение систем защиты ПДн.

Аттестация

После введения системы защиты в эксплуатацию проводится оценка соответствия принятых мер требованиям законодательства.

Для ИСПДн оценка соответствия в форме аттестации не обязательна. Достаточным является проведение испытаний на соответствие требованиям безопасности с выдачей заключения. Испытания могут быть проведены оператором как самостоятельно, так и с привлечением специализированных организаций.

Для ГИС оценка соответствия в форме аттестации является обязательной процедурой. Для аттестации по требованиям безопасности информации необходимо привлечение специализированной организации, уполномоченной на данную деятельность.

Контур-Безопасность проводит аттестационные испытания и выдает аттестаты соответствия требованиям по безопасности информации.

Что в итоге

В результате данного подхода получаем систему защиты информации. Как видим, привлечение специализированных организаций происходит только на заключительных этапах. Данный подход позволяет сэкономить организациям значительные средства, так как основную часть работ они выполняют самостоятельно.

Кроме того, последовательно выполняя шаги, уполномоченные лица Операторов напрямую участвуют в работе по защите ИС, что должно положительно сказаться на эффективности полученной системы защиты информации.

А что потом?

Система защиты информации внедрена и принята в эксплуатацию. Можно ли успокоиться и забыть о ней? Конечно нет. Мир информационных систем и технологий очень изменчив. Технологии развиваются и совершенствуются, изменяются информационные системы. Возможно, через какое-то время угрозы ИБ, которые не были актуальны при проектировании системы защиты, станут актуальны. Для поддержания системы защиты информации в рабочем состоянии рекомендуем проводить аудит информационной безопасности не реже одного раза в год, привлекая для этого специалистов — либо собственными силами.

Удачи на пути создания собственной эффективной системы защиты информации.

Станислав Шиляев, руководитель проектов по информационной безопасности компании «СКБ Контур»

Источник: http://kontur.ru/articles/1763

Что гласит закон о защите персональных данных

Работу с индивидуальными сведениями сотрудников регулирует Федеральный закон «О персональных данных» и Гражданский кодекс Российской Федерации. Обладая конфиденциальной информацией о наемном работнике, предприятие обязано обеспечить их сохранность в соответствии с законодательством. Разберемся подробнее в вопросе.

Перечень персональных данных, подлежащих защите

Оформляя трудовые отношения с новым сотрудником, работодатель собирает и обрабатывает данные о нем. Под персональными подразумеваются индивидуальные сведения о конкретном человеке. В том числе:

  • личностная информация: ФИО, возраст, половая принадлежность, фотоизображение;
  • полученное образование и профессиональные навыки;
  • национальность и расовая принадлежность;
  • отношение к наркотическим, алкогольным, психотропным веществам;
  • этапы прошлой жизни (служба в рядах вооруженных сил, отбывание наказания, предыдущие места работы);
  • принадлежность к политическим и религиозным течениям;
  • материальное положение;
  • место проживания;
  • родственные связи и семейное положение;
  • оценивающая характеристика личности;
  • физическое и психическое состояние и сексуальная ориентация;
  • хобби, увлечения.

Получив необходимые сведения, наниматель обязан, согласно закону, обработать и сохранить их. Перечислим правила, предусмотренные нормативно-правовыми актами:

  1. Собирать и обрабатывать можно только те данные личного характера, которые влияют на эффективность сотрудничества в рамках трудовых отношений, качественное выполнение обязанностей и сохранение жизни и здоровья соискателя.
  2. База данных работника складывается из информации, полученной от него самого и сторонних лиц. Запрос сведений у третьей стороны осуществляют только с согласия человека, оформленного в письменном виде.
  3. Сведения о вероисповедании, личной жизни, принадлежности к политическим течениям, профсоюзным организациям не могут быть материалом для обработки по месту трудоустройства.
  4. Запрещается принимать решения, ущемляющие личные права наемного рабочего, на основе автоматизированных или электронных данных.
  5. Обязанность по защите персональной информации лежит на работодателе.
  6. Руководитель предприятия обязан издать соответствующий приказ. Образец документа приведен ниже.
  7. Сотрудник под роспись знакомится с порядком обработки его индивидуальных сведений.
  8. В целях охраны своих данных и на основе трудового права работник может не передавать нежелательную для него информацию.

Организация защиты персональных данных на предприятии

При обработке и использовании информации о сотрудниках у работодателя появляются обязанности:

  • не распространять полученные сведения;
  • предоставлять допуск к конфиденциальной информации только уполномоченным на то представителям;
  • передачу данных осуществлять только с письменного согласия владельца.

Р аботодатель не вправе собирать и обрабатывать информацию, не относящуюся к выполнению трудовых обязательств.

Вопроса об индивидуальных сведениях работников в Трудовом кодексе РФ регламентирует статья 89.

Согласно закону, работник имеет право:

  • знать, как обрабатывается и хранится информация о его личности;
  • иметь доступ к базе своих персональных сведений;
  • вносить изменения в информационную базу;
  • защищать свое право в судебных заседаниях в случае нарушения работодателем положений о сохранении личной информации;
  • иметь представителей по защите своих прав.
Читайте так же:  Газификация частного дома беларусь

Приказ о защите персональных данных образец

Защита персональных данных работника — трудовое право

К защите индивидуальных сведений граждан наше законодательство подошло серьезно. Нарушение права по защите личных данных, предусмотренное Конституцией РФ, карается законом. Наказывают должностных лиц, а также руководителя.

Уполномоченный сотрудник, который нарушил 152-ФЗ, воспользовавшись служебным положением, подвергается наказанию в виде:

  • денежного штрафа в размере 100 000–300 000 рублей;
  • материального взыскания на сумму дохода за 12–24 месяцев;
  • содержания под стражей до 0,5 года;
  • запрета занимать определенные должности.

Согласно статье 137 УК РФ, лица, виновные в распространении охраняемых законом сведений, несут ответственность в виде:

  • штрафа до 200 000 рублей;
  • денежного взыскания, составляющего доход за 1,5 года;
  • от 120 до 180 часов обязательных работ;
  • выполнения исправительных работ сроком до 12 месяцев;
  • заключения под стражу до 4 месяцев.

С отруднику, разгласившему охраняемую информацию, вынесут выговор либо переведут на другую должность. Возможно и увольнение.

Отстаивать права о защите своих индивидуальных сведений гражданин будет в судебном заседании. Доказав нарушения норм законодательства, работник может рассчитывать на возмещение материального и морального ущерба.

Источник: http://ktovdele.com/zaschite-personalnyih-dannyih.html

Перечень персональных данных: что к ним относится и при каких условиях?

В начале жизни каждый человек получает имя и свидетельство о рождении. Спустя годы, он получает внутренний паспорт, ИНН, страховое свидетельство и другие документы, в которых содержатся его персональные данные.

Во время получения каждого из вышеперечисленных документов мы соглашаемся на обработку наших персональных данных. И зачастую многие даже не подозревают об этом, так как не читают документы перед тем, как их подписывать.

Какие сведения являются такой информацией?

Согласно Федеральному закону №-152 ФЗ «О персональных данных» вступившего в силу 27 января 2007 года, целью которого является обеспечение защиты прав и свобод человека, персональными данными (далее ПДн) считается абсолютно любая информация, имеющая отношение к определяемому или определенному физическому лицу.

Этот закон регулирует всяческие отношения, которые возникают во время обработки и хранения персональных данных физических лиц. В законе они именуются не иначе, как субъекты. Обработкой и хранением занимаются государственные и муниципальные органы власти, а также физические и юридические лица.

Главные ПДн, с которыми мы постоянно сталкиваемся в повседневной жизни – это:

  • фамилия, имя, отчество;
  • место жительства или регистрация;
  • дата и место рождения;
  • семейное, социальное или имущественное положение;
  • сведения об образовании, доходах, профессии и пр.

Существует несколько видов ПДн, которые разделяются по степени информативности.

  1. К этому виду относятся специальные категории ПДн, которые включают в себя такие сведения, как: информация о расовой и национальной принадлежности субъекта; его религиозные или философские убеждения; информация о состоянии здоровья и о его интимной жизни. Эта информация может содержаться в анкете, которая заполняется сотрудниками при приёме на работу, медицинских справках и т.д.
  2. Этот вид содержит в себе информацию, которая помогает идентифицировать человека, чтобы получить о нем такие сведения, как: Ф.И.О. субъекта; адрес; сведения о доходах и пр.
  3. К этому виду относятся биометрические сведения человека: анализ ДНК, отпечаток пальцев и ладони, сетчатка глаза, особенности строения тела субъекта.
  4. К этому виду относятся все обезличенные или общедоступные ПДн. Обезличенные ПДн представляют собой информацию, из-за которой невозможно определить её принадлежность к конкретному физическому лицу. Общедоступные – это сведения, которые, согласно законодательству Российской Федерации, не могут быть сокрытыми, то есть не являются конфиденциальными.

Например: данные, доступ к которым был разрешен самим субъектом; сведения и информация о доходах представителей муниципальной и государственной власти.

У граждан

Персональными данными физических лиц считаются:

  • фамилия, имя и отчество;
  • дата рождения;
  • идентификационный номер;
  • место рождения;
  • гражданство;
  • информация о регистрации по месту жительства или месту проживания;
  • свидетельство о смерти или объявлении физического лица умершим, без вести пропавшим, недееспособным или ограничено дееспособным;
  • сведения о семейном положении (о супруге, детях и родителях);
  • информация об образовании;
  • информация о роде занятий;
  • о пенсии;
  • о ежемесячных страховых выплатах по обязательному страхованию от несчастных случаев на производстве и профессиональных заболеваниях;
  • о налоговых обязательствах;
  • об исполнении воинской обязанности.

У юридических лиц?

  • Наименование юридического лица.
  • Организационно-правовая форма.
  • Ююридический адрес.
  • Адрес местонахождения юридического лица.
  • ОГРН (основной государственный регистрационный номер).
  • ИНН (идентификационный номер).
  • КПП (код причины постановки на учет).
  • Расчетный счет.

Также в некоторых случаях учитываются ПДн руководителя юридического лица.

Что не входит в ПД?

В настоящее время грань между персональными данными и «не персональными данными» заметно истончилась. В первую очередь это связано с появлением современных технологий и различных гаджетов. С появлением интернета большинство сведений о человеке стали общедоступными, а расплывчатое объяснение в Федеральном законе №-152 «О персональных данных» не дает точного ответа на вопрос «Что такое персональные данные?».

Многие юристы и по сей день спорят о том, что из представленной информации в интернете попадает под это определение, а что можно отнести к «не персональным данным». С полной уверенностью можно сказать, что IP-адрес компьютера не считается ПДн физического лица, так как он не может напрямую идентифицировать человека.

Тоже касается и доменного имени и сетевых адресов. Также прочую техническую информацию невозможно отнести к этой категории.

Читайте так же:  Жалоба в прокуратуру на бездействие жкх образец

Дорогие читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Если вы хотите узнать, как решить именно Вашу проблему — обращайтесь в форму онлайн-консультанта справа или звоните по телефону +7 (499) 938-47-92 . Это быстро и бесплатно !

Что может быть отнесено в данную категорию при выполнении определенных условий?

  1. Номер телефона может иметь отношение к персональным данным лишь в том случае, если он закреплен за конкретным физическим лицом по договору с оператором связи или находится в открытом доступе с указанием имени владельца. В таких случаях номер мобильного относится к прямо или косвенно определенному физическому лицу.
  2. В примерно таком же положении находиться и email адрес.

Большинство людей прописывают в адресе слова и символы, которые ничего не значат. Вследствие этого, по этому электронному адресу невозможно идентифицировать человека.

Некоторые email адреса, такие как «[email protected]» или «[email protected]», также не считаются ПДн, поскольку пользоваться этими адресами могут сразу несколько человек. Если же в электронной почте указаны Ф.И.О. и дата рождения, то в таком случае электронный адрес попадает под категорию персональных данных.
Логин и пароль, в свою очередь, также не попадают под эту категорию, в независимости от того, какая информация указывается в графе логина или пароля.

Страницы в социальных сетях в этом случае имеют определенные сложности, так как многие люди, несмотря на то, что они выставляют свои фотографии, подписываются под другими, зачастую выдуманными, именами.

  • Фотографии и видеозаписи считаются персональными данными только в том случае, если по ним возможно идентифицировать человека. Исключением являются фото и видеозаписи, сделанные на массовых и публичных мероприятиях, на что указывает пункт 1 статьи 152 Гражданского Кодекса Российской Федерации.
  • Защитой, хранением и обработкой персональных данных занимается определенный круг лиц.

    Например: государственные и муниципальные службы, начальник, специалисты отдела кадра и т.д. Следует быть предельно внимательным, вручая свои персональные данные тем или иным людям и уделить достаточное время этому пункту в договорах, перед тем как поставить подпись.

    Не нашли ответа на свой вопрос? Узнайте, как решить именно Вашу проблему — позвоните прямо сейчас:

    +7 (499) 938-47-92 (Москва)
    Это быстро и бесплатно !

    Источник: http://101million.com/personal/priem-na-rabotu/konfidentsialnaya-informatsiya/personalnye-dannye/chto-otnositsya

    Перечень персональных данных, подлежащих защите

    Настоящий Перечень персональных данных, подлежащих защите в информационных системах персональных данных (ИСПДн) (далее – Перечень) (полное наименование оператора) (далее – (краткое наименование оператора) ), разработан ___________________________________________________________________________.

    Перечень содержит полный список категорий данных, безопасность которых должна обеспечиваться системой защиты персональных данных (СЗПДн).

    1Общие положения

    Объектами защиты являются – информация, обрабатываемая в ИСПДн, и технические средства ее обработки и защиты.

    Объекты защиты каждой ИСПДн включают:

    • персональные данные субъектов ПДн (раздел 2.1.1);
    • персональные данные сотрудников (раздел 2.1.2);

    Технологическая информация (раздел 2.2).

    Программно-технические средства обработки (раздел 2.3).

    Средства защиты ПДн (раздел 2.4).

    Каналы информационного обмена и телекоммуникации (раздел 2.5).

    Объекты и помещения, в которых размещены компоненты ИСПДн (раздел 2.6).

    2ИСПДн __________

    2.1Обрабатываемая информация

    2.1.1Перечень персональных данных субъектов ПДн

    Персональные данные субъектов ПДн включают:

    • ФИО;
    • Дата рождения;
    • Контактный телефон;
    • Адрес проживания;
    • Прочие данные.
    2.1.2 Перечень персональных данных сотрудников Учреждения

    Персональные данные сотрудников Учреждения включают:

    2.2Технологическая информация

    Технологическая информация, подлежащая защите, включает:

    • управляющую информацию (конфигурационные файлы, таблицы маршрутизации, настройки системы защиты и пр.);
    • технологическую информацию средств доступа к системам управления (аутентификационная информация, ключи и атрибуты доступа и др.);
    • информацию на съемных носителях информации (бумажные, магнитные, оптические и пр.), содержащих защищаемую технологическую информацию системы управления ресурсами или средств доступа к этим системам управления;
    • информацию о СЗПДн, их составе и структуре, принципах и технических решениях защиты;
    • информационные ресурсы (базы данных, файлы и другие), содержащие информацию о информационно-телекоммуникационных системах, о служебном, телефонном, факсимильном, диспетчерском трафике, о событиях, произошедших с управляемыми объектами, о планах обеспечения бесперебойной работы и процедурах перехода к управлению в аварийных режимах;
    • служебные данные (метаданные), появляющиеся при работе программного обеспечения, сообщений и протоколов межсетевого взаимодействия, в результате обработки Обрабатываемой информации.

    2.3Программно-технические средства обработки

    Программно-технические средства включают в себя:

    • общесистемное и специальное программное обеспечение (операционные системы, СУБД, клиент-серверные приложения и другие);
    • резервные копии общесистемного программного обеспечения;
    • инструментальные средства и утилиты систем управления ресурсами ИСПДн;
    • аппаратные средства обработки ПДн (АРМ и сервера);
    • сетевое оборудование (концентраторы, коммутаторы, маршрутизаторы и т.п.).

    2.4Средства защиты ПДн

    Средства защиты ПДн состоят из аппаратно-программных средств, включают в себя:

    • средства управления и разграничения доступа пользователей;
    • средства обеспечения регистрации и учета действий с информацией;
    • средства, обеспечивающие целостность данных;
    • средства антивирусной защиты;
    • средства межсетевого экранирования;
    • средства анализа защищенности;
    • средства обнаружения вторжений;
    • средства криптографической защиты ПДн, при их передачи по каналам связи сетей общего и (или) международного обмена.

    2.5Каналы информационного обмена и телекоммуникации

    Каналы информационного обмена и телекоммуникации являются объектами защиты, если по ним передаются обрабатываемая и технологическая информация.

    2.6Объекты и помещения, в которых размещены компоненты ИСПДн

    Объекты и помещения являются объектами защиты, если в них происходит обработка обрабатываемой и технологической информации, установлены технические средства обработки и защиты.

    Видео (кликните для воспроизведения).

    Источник: http://itsec2012.ru/perechen-personalnyh-dannyh-podlezhashchih-zashchite

    Персональные данные подлежащие защите
    Оценка 5 проголосовавших: 1

    ОСТАВЬТЕ ОТВЕТ

    Please enter your comment!
    Please enter your name here