Защита персональных данных

Важный материал на тему: "Защита персональных данных" с профессиональной точки зрения. Если возникнут вопросы, вы всегда их можете задать дежурному юристу.

Защита персональных данных

Трудовые отношения невозможны без обмена между их сторонами различной информацией – как о работодателе, так и о работнике.

В первом случае она может касаться местонахождения предприятия, профиля его деятельности, характера выполняемой работы и оплаты за нее.

Что касается информации о работнике, то вся совокупность сведений о нем носит название персональных данных.

Это может быть любая информация — его имя, возраст, пол, профессия, семейное положение и тому подобные сведения, которая закреплена на материальном носителе (чаще всего на бумаге или в электронном варианте).

Принимая человека на работу, работодатель получает в отношении данных о нем как права – на их обработку, так и обязанности – на их защиту.

Важно знать, что именно входит в понятие защиты персональных данных и как она осуществляется на практике.

Дорогие читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Если вы хотите узнать, как решить именно Вашу проблему — обращайтесь в форму онлайн-консультанта справа или звоните по телефону +7 (499) 938-59-47 . Это быстро и бесплатно !

Защита персональных данных в трудовом праве – это процесс, целью которые является сохранение и предотвращение несанкционированного доступа к такой информации любых посторонних лиц.

Осуществляется этот процесс при помощи различных методов защиты – их конкретный перечень зависит от типа данных и степени их важности.

Чаще всего персональные данные сосредоточены в кадровом отделе предприятия (если такой имеется) или у тех работников, которые в силу своих должностных обязанностей выполняют кадровые функции.

Поэтому именно для таких служб и работников должны быть предусмотрены механизмы защиты информации.

Правовое регулирование этого вопроса

Право каждого работника на защиту его персональных данных от разглашения регламентируется трудовым законодательством. Основной законодательный акт в случае правового регулирования защиты персональных данных – это Трудовой Кодекс.

В 14 главе данного кодекса прописаны требования к обработке персональных данных, ограничения по получаемой информации и ответственность за защиту персональных данных работников.

Помимо права на защиту личных данных, каждый сотрудник также вправе:

  1. Получать сведения о том, какие именно данные есть у работодателя и как осуществляется их обработка.
  2. Получать свободный и бесплатный доступ к своим личным документам и делать их копии.
  3. Вносить изменения или требовать изъятия из базы данных тех сведений о нем, которые являются устаревшими, недостоверными или были получены с нарушением законодательства.
  4. Обжаловать незаконные действия работодателя (в виде письменной жалобы или в судебном порядке), если они связаны с нарушением правил обработки данных.

Еще один нормативный документ, который дает право работнику на защиту персональных данных – это Конституция РФ. В статье 24 о защите персональных данных определено, что собирать такие данные, обрабатывать их и хранить можно только при наличии согласия на это их владельца.

Новые требования относительно сбора и защиты данных о работниках были утверждены федеральным законом «О персональных данных». Также сведения о защите, конкретных способах, с помощью которых она осуществляется и об ответственных за это лицах могут быть установлены при помощи внутренних нормативно-правовых актов предприятия.

Например, это может быть Положение о защите персональных данных предприятия, разработанное и утвержденное в соответствии с федеральным законодательством.

Конкретная мера, а также сумма штрафа или срок ареста зависят от степени вины и от тяжести преступления. Например, к должностному лицу, которое получило персональные данные при помощи своего служебного положения, будет применена более суровая ответственность.

Особенности

Особенностью защиты персональных данных выступает множество спорных моментов возникающихт у работодателя при определении категории «персональные данные» как таковой.

Законодательство, хоть и указывает на некоторые конкретные типы таких данных, все же оставляет возможность дополнить их в соответствии с потребностями предприятия.

Поэтому перед внедрением средств защиты нужно четко определить, какие именно сведения будут ее объектом.

Защита персональных данных работников имеет множество требований и особенностей. Ведь такая необходимость связана не только с законодательными требованиями, но и с рядом других причин:

  1. Информация – ценный ресурс, и ее утечка может быть использована третьими лицами в преступных целях (конкурентами, мошенниками, обиженными сотрудниками).
  2. Развитие информационных технологий и появление множества технических средств предоставили широкое поле деятельности для мошенников – информацию теперь легче скопировать, украсть, повредить или уничтожить.
  3. Влияние человеческого фактора – данные обрабатываются сотрудниками, и это не всегда одни только представители кадровой службы. Некоторые данные получает бухгалтерия или сотрудники сектора делопроизводства. Далеко не все эти люди выполняют требования по неразглашению информации, поэтому данный фактор тоже следует учесть.

При защите данных стоит принимать во внимание все эти особенности и возможные пути утечки информации.

Защита информации предусматривает внедрение на предприятии определенных методов и способов, при помощи которых она реализуется.

Ее создание включает в себя:

  • проведение анализа предприятия и выявление возможных путей утечки;
  • создание системы регистрации и учета всей документации;
  • внедрение технических и организационных средств защиты.

Важное значение при этом имеют методы защиты персональных данных – это практические приемы и способы, без наличия которых доступ в систему будет доступен для многих посторонних лиц.

Проблемы защиты персональных данных в России

Вопросы и законодательные нормы, связанные с правовой защитой персональных данных работников, являются для российских граждан сравнительно новыми, с чем и связано наличие определенных проблем в этой сфере.

Имеется множество правовых и организационных пробелов, которые предстоит восполнить.

Основная трудность связана с советским наследием, которое не признавало ничего частного и не защищало личные данные работника от вторжения.

Напротив, все сведения о нем (даже те, которые никак не относились к работе), тщательно изучались множеством лиц и не были никак скрыты.

[2]

Поэтому переход к защите данных в ТК РФ осуществлялся дольше и тяжелее, чем в ряде западных стран. Некоторые формы кадровых документов до сих пор сохранили в себе устаревшие вопросы.

Читайте так же:  Начисление отпускных проводки

Еще одна проблема – недостаточность финансирования мероприятий, связанных с защитой данных. Бюджетные предприятия не получают достаточно денежных средств от государства, а частные просто не хотят тратить на все это лишние деньги. Из-за этого отсутствует возможность устанавливать надежные системы защиты информации или создавать специальную службу.

При предоставлении своих данных работодателю часто нарушается законодательство, поскольку работники не знают своих прав и положений закона.

Защита персональных данных – это важное требование, связанное не только с законодательными нормами, но и с коммерческими интересами хозяйственного субъекта.

Неправомерный доступ к таким данным или их утечка может привести ко множеству неприятных последствий – от жалоб со стороны сотрудников до потери деловой репутации предприятия.

Поэтому работодателям не стоит экономить на средствах защиты и относиться к этому вопросу серьезно – в будущем эти затраты оправдают себя.

Не нашли ответа на свой вопрос? Узнайте, как решить именно Вашу проблему — позвоните прямо сейчас:

+7 (499) 938-59-47 (Москва)
Это быстро и бесплатно !

Защита персональных данных

Прошло несколько лет с момента вступления в силу ФЗ от 27.07.2006 №152-ФЗ «О персональных данных», введение которого было инициировано законодателями из-за утечки информации, касающейся личной и семейной жизни граждан.

За это время приведены в соответствие с российским законодательством и отрегулированы многие спорные вопросы, касающиеся организации защиты персональных данных в организациях, разработаны специальные программы.

Обязанности оператора

Усиление административной и уголовной ответственности за невыполнение или ненадлежащее исполнение ФЗ – одно из основных и приоритетных направлений работы законодателей и исполнительной власти.

Для небольших предприятий, являющихся операторами персональных данных, обязанность соблюдать указанный выше закон оборачивается значительным финансовыми вложениями, ведь стоимость работы экспертов и лицензированного программного обеспечения достаточно велика.

На основании возрастающей необходимости и строится работа по предоставлению услуг по защите персональных данных, сокращённо именуемых ИСПДн (информационные системы персональных данных).

Термин «Персональные данные», применяемый к личной информации гражданина, в полной мере относится к его паспортным сведениям, семейному положению и ряду других данных.

Конфиденциальность, то есть неразглашение всего перечисленного и есть обязательное к исполнению действие для оператора или иного лица, указанного в законе. Таким образом, оператор – юридическое лицо, которое организует и проводит обработку персональных данных, попутно определяя их содержание.

Обработка может проходить неавтоматизированным методом или с использованием средств автоматизации и включает следующие ниже действия:

  • Сбор;
  • Хранение;
  • Систематизацию;
  • Обновление (уточнение);
  • Обезличивание;
  • Блокировка;
  • Уничтожение.

Он обязан принять все возможные меры, как технические, так и организационные, чтобы защитить ПД от преступного или непредумышленного доступа, могущего повлечь за собой распространение информации широкому кругу людей.

Виды защиты персональных данных

Разработка плана мероприятий, гарантирующих обеспечение защиты персональных данных, состоит, прежде всего, из понимания, какая личная информация обрабатывается, в каком объеме и для чего она впоследствии используется.

В законе это называется классификацией и позволяет решить, актуальна ли проблема для отдельно взятого предприятия и организации.

Порядок классификации регламентируется приказами Мининформсвязи России № 55, ФСТЭК РФ и ФСБ:

  • Приказом оформляется формирование комиссии, в которую входит не менее 3х человек.
  • Проводится анализ исследуемых ПД по категории, типу, структуре, режиму и другим параметрам, на основании которых присваивается один из четырех существующих классов информационной системы.

Информация так же делится на две группы: типовая и специальная. Первая требует только сохранения секретности ПД, а вторая независимо от необходимости конфиденциальности, требует обеспечения одной или нескольких параметров безопасности.

Метод расчета норм расхода топлива продуман достаточно грамотно, и используется не только для контроля предприятий налоговыми органами, но также, позволяет и самим руководителям фирм планировать свои затраты на эксплуатационные материалы.

Путевой лист автомобиля заполняется уполномоченным лицом и выдается водителю под расписку только тогда, когда он сдал имеющийся предыдущий лист. О том, что такое путевой лист читайте здесь.

Практика применения ФЗ-152 показывает, что основная часть организаций принадлежит к специальной информационной системе ввиду того, что вынуждена обеспечивать доступность и полноту данных.

Итак, результатом работы комиссии является акт классификации и указанный в нем тип. После этого можно точно установить, какие методы защиты потребуются для исполнения требований российского законодательства, а именно приказа № 55/86/20.

Аудит и внедрение защиты персональных данных

Компании, оказывающие услуги по защите персональных данных, как правило, предлагают комплекс действий, направленный на создание специализированного продукта и его внедрение.

Но изначально отсчет идет с инвентаризации систем информации, если они есть и формирования списков потенциальных нарушителей и угроз.

Далее проводится аудит (добровольная проверка) уже существующих защитных мер, по результатам которой проходят:

  • Стадия предпроекта и разработка технического задания;
  • Проектирование;
  • Реализация разработанной системы;
  • Ввод ее в эксплуатацию (после этапа опытной работы);
  • Испытания сдачи-приемки;
  • Оценка работы.
  • Обучение сотрудников, которые назначены распоряжением по предприятию быть ответственными за обеспечение защиты персональных данных в организации;
  • Периодические проверки уровня знаний указанных выше сотрудников, донесение до них изменений законодательства, связанные с ИСПДн.

Сотрудникам организации, в которой проведен комплекс мер по обеспечению безопасности ПД необходимо поддерживать высокий уровень информированности и неукоснительно соблюдать разработанные положения и инструкции.

Сложность состоит в имеющихся противоречиях, до сих пор не устраненных, между операторами и скорриноговыми, информационными, скриннинговыми и почтовыми системами.

Требования к защите персональных данных при проверках

Несмотря на то, что корректно выполнить меры, предусмотренные действующим законодательством довольно сложно, в настоящее время начинаются массовые проверки операторов и юридических лиц, не заявленных в реестре.

Внедрение ФЗ-152 оборачивается для них штрафами и предупреждениями, и вероятно, многие решения надзорных органов будут оспорены в судах, создавая прецеденты для выравнивания несовершенства закона и подзаконных актов.

Читайте так же:  Код по месту нахождения

Роскомнадзор, исполняя статью 23 рассматриваемого ФЗ, проводит плановые мероприятия, контролирующие соответствие обработки ПД крупными операторами банковской системы, операторами мобильной связи, предприятиями-монополистами и организациями, работающими в сфере ЖКХ.

При проверке представители Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций требуют предоставить документы, дающие представление об организации обработки ПД, в которых должны быть прописаны моменты их хранения, приема-передачи и последующее уничтожение.

Уведомление о переходе на УСН № 26.2-1 является стандартом и для вновь зарегистрированных предпринимателей и подается сроком не позднее 30 дней после проведения регистрации как предпринимателя.

Бухгалтерская и налоговая отчетность при УСН требует соблюдения сроков подачи документов. Подробнее о видах и сроках налоговой отчетности при УСН читайте тут.

Кроме этого, проверяется соблюдение процедурных вопросов – согласия субъектов на обработку ПД, их информированности о своих правах и возможной передаче личных данных третьим лицам.

[1]

Отсюда – лишь поверхностное исполнение благих намерений. Организации, предоставляющие услуги по защите персональных данных, остаются промежуточным звеном, решая по мере возможности проблемы исполнителей закона.

Что такое защита персональных данных физических лиц в РФ и из каких аспектов состоит?

Персональные данные человека являются тем не многим, что находится под жесткой защитой государства.

Осуществление деятельности организации, которая ведет работу с хранением и обработкой личной информации, должно быть сопряжено с соблюдением их защиты.

Читайте далее о том, что такое персональные данные и какие меры используются против утечки информации.

Дорогие читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Если вы хотите узнать, как решить именно Вашу проблему — обращайтесь в форму онлайн-консультанта справа или звоните по телефону +7 (499) 938-47-92 . Это быстро и бесплатно !

Теоретические аспекты

    Права субъектов.

Права субъектов – это все предложенные государством возможности, которые субъект или владелец информации может реализовать в полной мере. То есть эти возможности дают полное право субъекту распоряжаться своей информацией на свое личное усмотрение.

Так, например, субъект имеет полное право на требование к обеспечению безопасности своих ПД, а так же на возмещение причиненных убытков и возмещение морального вреда.
Обработки.

Защита обработки личной информации определяется как определенного рода комплекс действий, которые оператор обязуется выполнять для защиты ПД субъекта. В любом случае защита обработки характеризуется как охрана личных данных, что регулируется государством, и нарушения в рассматриваемом аспекте наказываются в соответствии с законодательством РФ.

Законодательные сведения

ПД Основополагающим нормативным документом в осуществлении безопасности ПД человека является Конституция Российской Федерации. Самый главный документ страны прямо указывает на право человека в своей личной жизни. Так же хранение, передача, обработка информации могут совершаться только с согласия лица-владельца информации.

Не менее важным законодательным документом является Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных от 28.01.1981 EST № 108. Конвенция обязывает стороны принимать все необходимые меры для охраны ПД, накопленных в автоматизированных базах, от случайного или несанкционированного разрушения или случайной утраты, а равно от несанкционированного доступа, изменения или распространения.

Данная Конвенция была ратифицирована, что свидетельствует Федеральный закон от 19.12.2005 № 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПД». ПД, а именно их несанкционированный доступ и разглашение регламентируется законодательством РФ и, следовательно, использовать их любая организация может лишь с согласия правообладателя.

Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» регулирует основные понятия, связанные с передачей, хранением и обработкой сведений, так же регулирует право на доступ и ограничение к доступу информации. Так же данный пункт регулирует Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных«.

Согласно этому закону дается определение ПД и устанавливается ограничение в их использовании. С принятием рассматриваемого закона важно учитывать, что обработка их третьими лицами может осуществляться только лишь с согласия этого лица.

Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении Положения об обеспечении безопасности персональных данных» при их обработке в информационных системах персональных данных» характеризует актуальные угрозы ПД в соответствии с их уровнем (подробнее о составлении Положения о защите персональных данных мы рассказываем тут).

На основании четырех типов угроз устанавливается четыре типа защищенности персональной информации. Приказ Роскомнадзора от 5 сентября 2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных» характеризует принятием мер для формирования охраны данных путем их обезличивания. Так, на основании законодательства, субъект ПД имеет полное право на получение информации.

При этом он имеет право требовать от оператора предоставление ему необходимой информации. Так же субъект определяет регулирование, то есть он определяет степень ее устаревания, незаконность получения сведений, что может указать на данный факт оператору.

При этом владелец может обратиться повторно к оператору для предоставления ему сведений, однако, повторный запрос должен быть выполнен в соответствии с указанным сроком не ранее чем через тридцать дней после первого запроса. В настоящее время начальник на работе обязан не только осуществлять обеспечение охраны ПД работника, но так же и нести ответственность за разглашение.

Все отношения, которые связаны с обработкой ПД субъекта трудовых отношений, регулируются законодательством, а именно:

Рассматриваемый аспект относится к правовой системе, которая непосредственно опирается на законодательство РФ в соответствующей области. Основой разработки многочисленных правовых актов является усиление информационной безопасности в стране.

В настоящее время это является необходимостью. Развитие технических способностей обеспечивает порой несанкционированное вмешательство и использование личных сведений человека или субъекта ПД. Государство в полной мере разрабатывает законопроекты на обеспечение безопасности личных данных гражданина, а так же регулирует его соблюдение.

Читайте так же:  Первичный инструктаж при приеме на работу

В соответствии со ст. 150 Гражданского кодекса РФ неприкосновенность частной жизни, личной и семейной тайны относится к числу неотчуждаемых нематериальных прав, находящихся под контролем действующих законов. Согласно п.2 ст. 17 №152-ФЗ «О защите персональных данных» субъект имеет право на защиту своих ПД.

Статья 17 ФЗ №152. Право на обжалование действий или бездействия оператора

  1. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
  2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

При этом субъект вправе требовать от оператора, коим является как работодатель, так и другая организация, предоставления необходимых сведений о нем и отчет об их обработке. Субъект так же вправе требовать изменение существующей информации или ее удаление. В любом случае нарушение законодательства полагается уголовная ответственность.

Требования

Защита ПД имеет множество требований в рассматриваемом ключе. Информация является единицей, которая может стать основой для ее получения и использования с преступной целью.

Возникновение многочисленных технических средств, которые являются средством для получения сведений, способствует осуществлению кражи, использования и уничтожения ПД. Так же человеческий фактор может стать причиной утечки. Защита информации в организации является, а так же преследует одноименную цель.

Защита ПД включает в себя:

  1. Проведение анализа на возможный канал утечки.
  2. Формирование системы учета и регистрации всей поступающей информации.
  3. Организация технических средств безопасности. Так же сформированы меры и способы действия безопасности ПД сотрудника.

Какие используются меры?

Среди практических мер защиты информации выделяют:

  1. Ограничение доступа лиц к информационной системе.
  2. Идентификация субъекта и объекта доступа.
  3. Использование антивирусов.
  4. Использование межсетевых экранов.
  5. Осуществление контроля передвижения информации.
  6. Криптографические методы.
  7. Предотвращение вторжений. Все рассмотренные меры должны исключать полностью несанкционированное вторжение в систему.

Как реализовать?

Реализация осуществления защиты персональных данных человека осуществляется на основании действующего законодательства и определяется как комплексная система мер. Реализовать ее на предприятии необходимо путем формирования всех необходимых действий, которые будут воздействовать на несанкционированное вторжение.

Как реализовывается защита ПД в организациях и различных учреждения мы рассказываем в отдельном материале.

Существуют различного рода документы по защите персональных данных:

  • приказ по работе с персональными данными;
  • приказ о назначении ответственных;
  • приказ об организации обработки и охране информации;
  • приказ о проверке;
  • приказ о классификации ПД;
  • акт о результатах проведения проверки осуществления безопасности информации;
  • инструкции администратора;
  • инструкции пользователя;
  • журналы учета о работе с ПД;
  • положения о работе с ПД;
  • согласия субъектов;
  • модели угроз безопасности;
  • перечень используемых средств.

Узнать о том, какие документы нужны для организации защиты персональных данных, а также ознакомиться с их образцами, можно в нашей специальной статье, а ознакомиться с их полным перечнем и главными нюансами их оформления можете тут.

Информационные системы

Среди основных информационных систем защиты ПД следует указать:

  1. Физическая защита базы данных и носителя.
  2. Распознавание пользователей.
  3. Архивация данных, криптографическая защита.
  4. Разграничение доступа к системе.
  5. Регистрация всех обращений.
Видео (кликните для воспроизведения).

Так же обеспечением безопасности могут стать специальные блоки-приставки, контрольные суммы.

Гос. органы и обеспечение безопасности

Вся информация, которая может быть общедоступной о государственных органах РФ, устанавливается и регулируется Правительством РФ с учетом законодательства. ПД госслужащего могут находиться в общедоступном пользовании только в соответствии с законодательством.

Если действующими нормативными актами установлено о предоставлении сведений о заработной плате и доходах государственного служащего населению, то они относятся к общедоступной в отличие от сотрудника другой организации, где его заработная плата является его ПД.

С 1 июля 2017 года усилена административная ответственность за нарушение законодательства в области персональных данных. Основными законодательным актами, которые регулируют наказание за нарушение защиты ПД являются следующие документы:

Таким образом, осуществление безопасности личных сведений человека является аспектом, который регулируется государством. В настоящее время стремительное развитие технических средств требует создание дополнительных мер защиты от доступа, а так же созданию мер для жесткого наказания несанкционированной обработки ПД и их использования без согласия владельца.

Подробнее о том, какие уполномоченные органы по защите прав субъектов персональных данных существуют в РФ и какую роль они играют, мы рассказываем в специальном материале.

[3]

Видео по теме

Далее смотрим видео о защите персональных данных:

Не нашли ответа на свой вопрос? Узнайте, как решить именно Вашу проблему — позвоните прямо сейчас:

+7 (499) 938-47-92 (Москва)
+7 (812) 467-38-62 (Санкт-Петербург)

Закон «О персональных данных»

Федеральный закон от 27 июля 2006 г. N 152-ФЗ
«О персональных данных»

С изменениями и дополнениями от:

25 ноября, 27 декабря 2009 г., 28 июня, 27 июля, 29 ноября, 23 декабря 2010 г., 4 июня, 25 июля 2011 г., 5 апреля, 23 июля, 21 декабря 2013 г., 4 июня, 21 июля 2014 г., 3 июля 2016 г., 22 февраля, 1, 29 июля, 31 декабря 2017 г.

Принят Государственной Думой 8 июля 2006 года

Одобрен Советом Федерации 14 июля 2006 года

См. комментарии к настоящему Федеральному закону

Президент Российской Федерации

Закон создает правовую основу обращения с персональными данными физических лиц в целях реализации конституционных прав человека, в том числе права на неприкосновенность частной жизни, личную и семейную тайну.

Персональными данными признаются любые сведения о физическом лице, в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Читайте так же:  Отчет об изменениях капитала (форма 3)

Определены принципы и условия обработки персональных данных. Устанавливая общий запрет на обработку персональных данных без согласия субъекта персональных данных, закон предусматривает случаи, когда такое согласие не требуется. Отдельно регулируются отношения по обработке специальных категорий персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни). Обработка указанных категорий сведений не допускается без предварительного согласия субъекта персональных данных, за исключением случаев, когда персональные данные являются общедоступными, обработка данных необходима для обеспечения жизни и здоровья лица; обработка производится в связи с осуществлением правосудия, а также иных обстоятельств.

Важнейшей гарантией прав субъекта персональных данных является обязанность операторов и третьих лиц, получивших доступ к персональным данным, обеспечивать их конфиденциальность (кроме случаев их обезличивания и общедоступных персональных данных), а также право субъекта персональных данных на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Контроль и надзор за обработкой персональных данных возложен на федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи, который наделяется соответствующими правами и обязанностями. В частности, уполномоченный орган вправе осуществлять проверку информационной системы обработки персональных данных, предъявлять требования по блокированию, удалению недостоверных или полученных незаконным путем персональных данных, устанавливать постоянный или временный запрет на обработку персональных данных, проводить расследования в порядке административного производства о нарушениях закона.

Устанавливаются принципы трансграничной передачи данных, при которой должна обеспечиваться адекватная защита прав субъектов персональных данных.

Операторы, осуществляющие обработку персональных данных до вступления в силу закона, обязаны направить в уполномоченный орган по защите прав субъектов персональных данных соответствующее уведомление не позднее 1 января 2008 года.

Информационные системы персональных данных, созданные до дня вступления в силу закона, должны быть приведены в соответствие с его требованиями не позднее 1 января 2010 года.

Закон вступает в силу по истечении ста восьмидесяти дней после официального опубликования.

Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных»

Настоящий Федеральный закон вступает в силу по истечении ста восьмидесяти дней после дня его официального опубликования

Текст Федерального закона опубликован в «Российской газете» от 29 июля 2006 г. N 165, в «Парламентской газете» от 3 августа 2006 г. N 126-127, в Собрании законодательства Российской Федерации от 31 июля 2006 г. N 31 (часть I) ст. 3451

В настоящий документ внесены изменения следующими документами:

Федеральный закон от 31 декабря 2017 г. N 498-ФЗ

Изменения вступают в силу с 30 июня 2018 г.

Федеральный закон от 29 июля 2017 г. N 223-ФЗ

Изменения вступают в силу с 10 августа 2017 г.

Федеральный закон от 1 июля 2017 г. N 148-ФЗ

Изменения вступают в силу со дня официального опубликования названного Федерального закона

Федеральный закон от 22 февраля 2017 г. N 16-ФЗ

Изменения вступают в силу с 1 марта 2017 г.

Федеральный закон от 3 июля 2016 г. N 231-ФЗ

Изменения вступают в силу с 1 января 2017 г.

Федеральный закон от 21 июля 2014 г. N 242-ФЗ

Изменения вступают в силу с 1 сентября 2015 г.

Федеральный закон от 21 июля 2014 г. N 216-ФЗ

Изменения вступают в силу с 1 января 2015 г.

Федеральный закон от 4 июня 2014 г. N 142-ФЗ

Изменения вступают в силу по истечении шестидесяти дней после дня официального опубликования названного Федерального закона

Федеральный закон от 21 декабря 2013 г. N 363-ФЗ

Изменения вступают в силу с 1 июля 2014 г.

Федеральный закон от 23 июля 2013 г. N 205-ФЗ

Изменения вступают в силу по истечении 10 дней после дня официального опубликования названного Федерального закона

Федеральный закон от 5 апреля 2013 г. N 43-ФЗ

Изменения вступают в силу по истечении 10 дней после дня официального опубликования названного Федерального закона

Федеральный закон от 25 июля 2011 г. N 261-ФЗ

Изменения вступают в силу со дня официального опубликования названного Федерального закона и распространяются на правоотношения, возникшие с 1 июля 2011 г.

Федеральный закон от 4 июня 2011 г. N 123-ФЗ

Изменения вступают в силу по истечении десяти дней после дня официального опубликования названного Федерального закона

Федеральный закон от 23 декабря 2010 г. N 359-ФЗ

Изменения вступают в силу с 1 января 2011 г.

Федеральный закон от 29 ноября 2010 г. N 313-ФЗ

Изменения вступают в силу с 1 января 2011 г.

Федеральный закон от 27 июля 2010 г. N 227-ФЗ

Изменения вступают в силу с 1 января 2011 г.

Федеральный закон от 27 июля 2010 г. N 204-ФЗ

Изменения вступает в силу со дня официального опубликования названного Федерального закона

Федеральный закон от 28 июня 2010 г. N 123-ФЗ

Изменения вступают в силу с 1 июля 2010 г.

Федеральный закон от 27 декабря 2009 г. N 363-ФЗ

Изменения вступают в силу со дня официального опубликования названного Федерального закона

Федеральный закон от 25 ноября 2009 г. N 266-ФЗ

Изменения вступают в силу по истечении 10 дней после дня официального опубликования названного Федерального закона

© ООО «НПП «ГАРАНТ-СЕРВИС», 2019. Система ГАРАНТ выпускается с 1990 года. Компания «Гарант» и ее партнеры являются участниками Российской ассоциации правовой информации ГАРАНТ.

Практика. Создание системы защиты персональных данных

Достаточно ли использования сертифицированного по требованиям ФСТЭК программного обеспечения обработки ПДн для выполнения всех требований закона «О персональных данных»? Этот вопрос регулярно возникает у организаций, вынужденных обрабатывать персональные данные в бухгалтерских и кадровых программах.

Некоторые вендоры вводят пользователей в заблуждение, позиционируя сертифицированное бухгалтерское и кадровое ПО как панацею от выездных проверок Роскомнадзора.

Мы уже писали о плюсах и минусах сертифицированного программного обеспечения и его месте в комплексной защите персональных данных. В этом материале рассмотрим конкретные действия по выполнению требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» при работе с кадровой или бухгалтерской программой.

Читайте так же:  Сокращение штата или численности в чем разница

Напомним, что приведение процессов обработки и защиты ПДн в соответствие действующим требованиям законодательства РФ в общем случае выглядит следующим образом:

  1. Обследование организации на предмет соответствия процессов обработки и защиты персональных данных требованиям Федерального закона от 27.07.2006 № 152-ФЗ.
  2. Разработка комплекта внутренней организационно-распорядительной документации, регламентирующей процессы обработки и защиты персональных данных.
  3. Определение угроз безопасности и потенциальных нарушителей безопасности персональных данных, обрабатываемых в информационной системе персональных данных.
  4. Определение требуемого уровня защищенности персональных данных, обрабатываемых в информационной системе персональных данных.
  5. Разработка технического задания на создание системы защиты персональных данных.
  6. Приобретение средств защиты информации.
  7. Внедрение системы защиты персональных данных.
  8. Организация и проведение аттестации соответствия системы защиты персональных данных требованиям безопасности информации.

Аттестация не является обязательной, однако получение аттестата соответствия даст уверенность в том, что меры, реализованные в рамках системы защиты персональных данных, достаточно эффективны и удовлетворяют всем требованиям безопасности информации.

Обеспечьте защиту персональных данных в вашей компании

Сертифицированное бухгалтерское или кадровое ПО в данном контексте может рассматриваться лишь как средство защиты информации.

Итак, дано: информационная система отдела кадров небольшой организации построена по классической клиент-серверной архитектуре.

В качестве ПО обработки ПДн используется любое кадровое ПО (Контур.Персонал, «1С: зарплата и управление персоналом», сертифицированное ФСТЭК, прочее ПО).

В компании реализованы организационные (разработаны организационно-распорядительные документы по защите ПДн, сотрудники ознакомлены с требованиями законодательства и т д.) и физические (доступ в помещения обработки ПДн ограничен, внедрена охранная сигнализация и т д.) меры защиты ПДн, однако отсутствуют технические средства защиты информации.

Исходя из описанного выше порядка действий, оператор ПДн должен составить модель угроз и определить требуемый уровень защищенности ПДн, дабы в дальнейшем на основе полученных данных разработать систему защиты персональных данных.

Модель угроз безопасности ПДн: пример

Предположим, что в результате оценки исходного уровня защищенности информационной системы, внутренних и внешних нарушителей, анализа возможных уязвимостей информационной системы, возможных способов реализации и последствий реализаций угроз безопасности ПДн, модель угроз будет содержать следующие виды угроз*:

* Перечень актуальных угроз представлен в качестве примера и не может быть использован как эталон или руководство при построении модели угроз безопасности персональных данных.

Основными источниками угроз в данном случае будут выступать:

  • внешние нарушители — внешние субъекты, находящиеся вне границ контролируемой зоны организации;
  • внутренние нарушители — сотрудники, имеющие доступ в контролируемую зону организации, но не имеющие доступа к персональным данным.

Напомним, что контролируемая зона — это территория объекта, на которой исключено неконтролируемое пребывание лиц, не имеющих постоянного или разового доступа.

Определение уровня защищенности ПДн

В соответствии с постановлением Правительства Российской Федерации № 1119 от 01.11.2012 в описанной информационной системе требуется обеспечить 4-й уровень защищенности ПДн при их обработке в информационной системе.

Построение системы защиты персональных данных

В соответствии с Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» определяем состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационной системе для 4-го уровня защищенности ПДн.

Рассмотрим техническую реализацию отдельно выбранных мер по обеспечению безопасности персональных данных:

Как видно из таблицы выше, для нейтрализации актуальных угроз безопасности персональных данных используются межсетевой экран и антивирусные средства защиты информации. Кроме того, согласно приказу ФСТЭК России № 21, для обеспечения 4-го уровня защищенности персональных данных межсетевой экран и антивирусное средство должны иметь сертификаты соответствия не ниже 5-го класса по требованиям безопасности информации средств защиты информации.

ПО обработки ПДн также используется в качестве способа реализации требований приказа ФСТЭК России № 21, однако оно не используется для нейтрализации актуальных угроз безопасности ПДн, а следовательно, процедура оценки соответствия (сертификация) такого ПО не требуется.

Текущая система защиты персональных данных позволит разграничить доступ к серверу обработки персональных данных и защитит рабочие станции от актуальных угроз безопасности.

Наличие у программы сертификата соответствия ФСТЭК не решает проблемы защиты ПДн. Существует множество средств защиты информации и сценариев их использования. Для построения эффективной и адекватной системы защиты персональных данных важно понимать принципы и порядок реализации мер, направленных на обеспечение безопасности ПДн.

Важно! Защита персональных данных — это комплекс мероприятий, направленных на обеспечение безопасности персональных данных, и внедрение системы защиты является лишь одним из этапов обеспечения безопасности.

Рекомендации по защите персональных данных

Видео (кликните для воспроизведения).

Не стоит забывать о поддержании созданной системы защиты ПДн в актуальном состоянии. Периодически необходимо проверять актуальность организационно-распорядительной документации, обновлять модель угроз и контролировать обеспечение установленного уровня защищенности ПДн.

Источники


  1. Вышинский, А.Я. Марксистско-ленинское учение о суде и советская судебная система / А.Я. Вышинский. — М.: [не указано], 2015. — 177 c.

  2. Тихомиров, М. Ю. Защита жилищных прав. Комментарии, судебная практика, образцы документов / М.Ю. Тихомиров. — М.: Издание Тихомирова М. Ю., 2016. — 144 c.

  3. Головистикова, А. Проблемы теории государства и права. Учебник / А. Головистикова, Ю. Дмитриев. — М.: Эксмо, 2005. — 832 c.
  4. Редактор, Редактор Б. Пугинский И. Пугинский Правоведение / Редактор Б. Редактор И. Пугинский Пугинский. — М.: Юрайт, 2011. — 480 c.
  5. Шамин, А. Н. История биологической химии. Истоки науки / А.Н. Шамин. — М.: КомКнига, 2013. — 392 c.
Защита персональных данных
Оценка 5 проголосовавших: 1

ОСТАВЬТЕ ОТВЕТ

Please enter your comment!
Please enter your name here