Что такое безопасность персональных данных это

Обработка и защита персональных данных в организациях

Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» (Закон о ПДн) защищает личную информацию от неправомерного разглашения.

Персональные данные — любая информация, которая позволяет опознать конкретную личность: данные паспорта, имя, номер телефона, результат измерения температуры тепловизором, фотография и даже свидетельство о смерти.

Перечень таких данных — открытый. Это означает, что любые сведения, позволяющие идентифицировать человека, можно отнести к ПДн.

Обеспечить неприкосновенность персональных данных должен каждый оператор: госструктуры, организации всех форм собственности и физлица (статья 19 Федерального закона о персональных данных N 152-ФЗ).

Операторы — государственные и муниципальные органы, любые компании, физические лица, которые собирают личную информацию и осуществляют иные операции по их обработке.

На практике требования Закона о ПДн касается каждой компании, в которой трудятся наёмные работники или используется работа call-центров, ведётся любая деятельность с использованием личной информации.

За работой операторов надзирает несколько ведомств:

Категории персональных данных

Персональные данные делятся на категории:

Общая категория. Информация, на основе которой можно опознать определённую личность: фамилия, дата и место рождения, пол, образование, материальное положение и др.

Этот перечень открытый.

Специальная категория. Некоторые данные обрабатывать запрещено: о расе, национальности, религии, состоянии здоровья.

Обработка специальных сведений возможна в исключительных ситуациях (для защиты жизненно важных интересов субъекта персональных данных и других лиц) с письменного согласия.

Биометрия. Позволяет идентифицировать человека по физическим особенностям организма, когда оператор использует их для аутентификации:

Биометрию можно использовать только при наличии письменного согласия кроме некоторых случаев (для исполнения международных договоров, в интересах правосудия и т. п.).

Обезличенные. Информация обезличивается при обработке, в результате которой становится невозможно соотнести данные с определённым человеком.

Как обрабатывать ПДн

Единственный способ избежать претензий Роскомнадзора и внушительных штрафов, которые могут достигать 18 млн р. — правильно организовать защиту и обработку личной информации.

Обработка персональных данных — любые действия с информацией о личности, выполняемые как с применением средств автоматизации, так и без них: сбор, систематизация, обезличивание, иные операции.

Чтобы не нарушить законодательство, компании следует придерживаться ряда правил.

Руководитель должен самостоятельно решить, какие локальные акты необходимо принять для данной компании, чтобы избежать претензий со стороны контролирующих органов.

Организация защиты персональных данных

Для защиты персональных данных применяют различные возможности:

Чтобы защитить ПО, требуется привлечь IT-специалистов, смоделировать угрозы, определить степень защищённости ПДн и обеспечить безопасность.

Чем грозит невыполнение требований по обработке персональных данных

За нарушение законодательства предусмотрен полный спектр юридической ответственности:

Наиболее частое наказание — назначение административного штрафа.

Статья 13.11 КоАП РФ устанавливает девять составов правонарушений, в числе которых ответственность за обработку данных, когда это не предусмотрено законом; с отступлением от заявленных компанией целей и другие неправомерные действия.

За виновные действия предусмотрено наказание, минимальный и максимальный размер которого приведён в таблице.

Основные нормативные документы, касающиеся обработки персональных данных

Основная трудность, с которой сталкиваются компании при организации защиты персональной информации, заключается в том, что требования к обработке ПДн установлены не только федеральными законами, но и во множестве ведомственных подзаконных нормативных актов.

Принципы защиты персональной информации, требования к операторам и правила обработки установлены в:

Конвенция устанавливает основные принципы и обязанности каждого государства – участника Конвенции, обеспечить соблюдение основных прав и свобод человека и неприкосновенность частной жизни.

Больше известен как GDPR – General Data Protection Regulation. Актуален для компаний, которые ведут деятельность с участием европейских партнёров.

ФЗ даёт определение понятий, устанавливает принципы и условия обработки ПДн, права субъектов, личные данные которых обрабатываются, обязанности операторов, определяет уполномоченный орган и устанавливает ответственность за нарушения.

Указ перечисляет общие критерии, по которым информацию можно отнести к персональным данным.

Постановление определяет уровни защищённости информации и раскрывает содержание мер, которые обеспечивают безопасную обработку конфиденциальных данных.

Приказ устанавливает правила обезличивания информации.

Приказом утверждён перечень организационных и технических мер по обеспечению безопасности ПДн.

Кроме того, положения о защите конфиденциальной информации установлены в других федеральных законах; регламентах, приказах, инструкциях министерств и ведомств.

Назначение ответственных за организацию защиты данных

Оператор должен назначить ответственного за операции с конфиденциальными данными.

Ответственное лицо обязано:

В российских организациях, которые ведут деятельность в странах ЕС, должен быть назначен ответственный по защите данных — DPO.

Ответственным лицом может быть назначен сотрудник — руководитель компании, юротдела, других подразделений, либо стороннее лицо — независимый эксперт или фирма.

Порядок оформления доступа к персональным данным лица, осуществляющего обработку персональных данных

Во время проверок контролирующие органы уделяют внимание документам, которые регулируют политику компании по обработке ПДн, достаточности мер защиты от неправомерного использования информации, правилам доступа к конфиденциальной информации.

Поэтому компания должна правильно оформить лицо, ответственное за обработку данных:

Вывод

С каждым годом контроль по стороны Роскомнадзора становится всё жёстче, а ответственность операторов — выше:

Из таблицы видно, что в 2019 году привлечение к административной ответственности выросло на 22 % по сравнению с предыдущим годом.

В 2020 году ситуация обострилась: ответственность за некорректную обработку персональных данных ужесточилась. Более того, индивидуальных предпринимателей по объёму ответственности приравняли к юридическим лицам.

Только строгое следование требованиям закона при обработке конфиденциальной информации позволит избежать нарушений и привлечения к ответственности.

Источник

Шило в мешке, или Как уберечь персональные данные гражданина в 2021 году

Буквально каждый день мы сталкиваемся с тем, что наши персональные данные (ПД) приходится сообщать разным людям и организациям. Покупки в интернет-магазинах, посещение банков, общение в социальных сетях, бронирование гостиниц и авиабилетов — все это предполагает рассекречивание той или иной личной информации. Безусловно, при этом мы не хотим, чтобы наши данные передавались дальше и дальше. К счастью, бороться с опасными утечками помогают государственные законы, регулирующие данную сферу. Сегодня вместе с нашим экспертом — адвокатом Дарьей Морозовой — мы рассмотрим, что подразумевают под персональными данными в России, как осуществляется их защита в 2021 году и реально ли утаить шило в мешке.

Как закон контролирует сохранность персональных данных в нашей стране

Специальный Федеральный закон №152 «О персональных данных» был принят в России в 2006 году. С тех пор в нашей стране четко регламентированы все моменты, которые касаются получения, применения, передачи и других манипуляций с персональными данными граждан. Также этот документ регулирует вопросы защиты этой информации.

«Основная задача этого федерального закона — защита прав и свобод каждого россиянина в ходе обработки его персональных данных, — разъясняет Дарья Морозова. — В широком смысле это означает защищенность личной жизни любого гражданина, его персональной и/или семейной тайны, например если речь идет об усыновленных детях, правду о рождении которых решено не открывать».

Какие сведения о гражданине относятся к категории персональных данных?

Закон определяет персональные данные человека как информацию, которая прямо либо косвенно относится к этому человеку — так называемому субъекту ПД. Наиболее распространенным примером такой информации можно назвать ФИО, адрес проживания, семейное положение, занимаемую должность, паспортные данные и так далее.

«Вместе с тем есть определенные нюансы, которые тоже рассматриваются в законодательстве. К примеру, имя или даже ФИО полностью сами по себе не рассматриваются как персональные данные. То есть если на бланке написать, например, Сидоров Петр Иванович, то на этом основании нельзя сделать вывод, что персональные данные некоего гражданина Сидорова находятся в свободном доступе и его личные права ущемлены. К категории персональных можно отнести лишь сведения, предоставленные в комбинированном виде, например ФИО в сочетании с датой рождения или местом работы», — уточняет наш эксперт.

Кто имеет право защищать ПД и где происходит обработка этих данных

Виды персональных данных

Общие. Это данные, которые содержат в себе основную информацию о гражданине. Это уже упомянутые ФИО, паспортные данные, место проживания, семейное положение, уровень дохода, дата рождения и т. д. Напомним также, что по отдельности каждый из этих пунктов не будет принадлежать к ПД.

Биометрические. К этой категории данных относятся отпечатки пальцев, радужная оболочка глаз и аналогичная информация, которая может помочь определить личность человека. Такие данные очень востребованы в визовых службах, на таможне и других современных пунктах идентификации.

Общедоступные персонифицированные. Это, как правило, информация о личной жизни и материальном положении руководителей крупных компаний, политиков, звезд шоу-бизнеса и других известных людей. Такие данные можно найти в открытых источниках, поэтому для их использования не требуется дополнительных разрешений.

Обезличенные персональные. Владея этой информацией вы не сможете определить, какому конкретному физлицу она принадлежит.

Специальные. Речь здесь об информации, которая содержится в медицинских картах, личных делах работников предприятий, закрытых реестрах и других аналогичных документах. Это, в частности, религиозные установки граждан, их расовая принадлежность, наличие хронических заболеваний и т. д.

Что подразумевают под согласием на обработку персональных данных и как происходит обработка ПД

Под согласием на обработку ПД принято понимать добровольное решение гражданина представить другому гражданину (оператору) или организации те или иные свои персональные данные, чтобы впоследствии производить их обработку для конкретных целей. Как правило, такое согласие оформляют в письменном виде, однако закон также предусматривает получение одобрения на обработку ПД и в любом другом виде, главное при этом — чтобы оператор мог подтвердить, что согласие им получено: например, в качестве этого документа может выступать «галочка», поставленная гражданином в электронной форме в процессе его регистрации на интернет-сайте.

«Стоит также обратить внимание на пункты, которые должны в обязательном порядке содержаться в согласии. — продолжает Дарья Морозова. — К таким пунктам относятся ФИО, адрес и паспортные данные гражданина, данные об операторе, принявшем от гражданина персональную информацию, перечень предоставленных сведений и цель обработки, срок выдачи согласия, пути его отзыва при необходимости и, безусловно, личная подпись носителя персональных данных».

Какова ответственность предусмотрена за разглашение персональных данных?

Обеспечивать защиту персональных данных граждан в России обязана организация, которая осуществляет их обработку. Это закреплено в ст. 19 уже упомянутого нами ФЗ «О персональных данных». Если нормы законодательства нарушены и произошел «слив» персональных данных, то в отношении нарушителя предусмотрена ответственность различного рода — от дисциплинарной и административной до уголовной.

К кому следует обращаться, если персональные данные изменились?

Возможно вы удивитесь, но при изменении или дополнении персональных данных гражданин вовсе не обязан сообщать об этом оператору. Не накладывает подобных обязательств и трудовое законодательство РФ. Так что принимать решение о предоставлении или сокрытии новой персональной информации вы можете сами — исходя из своих личных представлений о комфорте, удобстве и безопасности.

Источник

Что такое ИСПДн — информационные системы персональных данных, и зачем в них стоит разобраться

Если вы храните персональные данные, то обязаны их защищать. Для защиты нужно знать, насколько система, в которой они хранятся, подвержена угрозам. Чтобы это понять, надо определить, к какому виду и классу относится она и сами данные. Разберем, что такое ИСПДн и что полезно знать про такие системы, если вы работаете с персональными данными.

Что такое ИСПДн: раскладываем по полочкам

ИСПДн — это информационная система персональных данных. Она включает в себя сами персональные данные и средства, которые используют для их обработки и защиты.

Например, у вас интернет-магазин и вы собираете в базу персональные данные клиентов. В таком случае вы оператор персональных данных, а к вашей ИСПДн относят:

ИСПДн делят на виды и классы, в зависимости от разных параметров. При этом сами данные — обязательная часть системы. Поэтому когда мы говорим о видах и классах ИСПДн, мы можем говорить о видах и классах самих персональных данных.

Какие бывают виды ИСПДн

Согласно документу ФСТЭК об определении угроз, ИСПДн делят на несколько групп по разными критериям. У каждой группы есть базовая защищенность, которую нужно знать, чтобы определить общий уровень защищенности системы.

Общий уровень защищенности считается так:

Ниже расскажем, на какие группы ИСПДн делят, а также как оценить общий уровень защищенности системы с учетом базовой защищенности групп, к которым ее относят.

Группы ИСПДн по территориальному размещению:

Низкий уровень защищенности по какому-либо параметру не означает, что система всегда будет уязвима и данные в ней хранить опасно — это всего лишь накладывает на владельца системы дополнительные обязанности по защите данных.

Группы ИСПДн по наличию выхода в интернет:

Группы ИСПДн по доступным операциям с данными:

Группы ИСПДн по разграничению доступа к персональным данным:

Формально может существовать система, в которой доступ к персональным данным есть у любого постороннего человека. Но это запрещено законом — персональные данные не должны находиться в открытом доступе.

Группы ИСПДн по уровню обезличивания данных:

Группы ИСПДн по объему предоставления базы данных другим компаниям:

Предположим, у вашей компании филиалы в разных городах, доступ к интернету многоточечный, доступ к данным разрешен только некоторым сотрудникам, разрешены только чтение и поиск данных, система выдает обезличенные данные и компания хранит данные только для себя. Получается, что по одному критерию у вас низкий уровень защищенности, по двум средний, а по остальным трем — высокий. И у вашей ИСПДн будет средний общий уровень защищенности.

Но мало знать уровень защищенности ИСПДн и актуальные угрозы — конкретные технические требования к защите системы зависят еще и от уровня защищенности персональных данных.

Уровни защищенности персональных данных и классы защищенности ИСПДн

До 11 марта 2013 года все, кто работал с персональными данными, обязаны были провести классификацию своей ИСПДн. Для этого нужно было собрать специальную комиссию и тщательно проанализировать систему. Теперь приказ, который обязывал это делать, отменен. Соответственно, классификация ИСПДн по защищенности тоже больше не действует.

Зато теперь уровни защищенности появились у персональных данных. Всего их четыре — чем выше уровень, тем более серьезная защита нужна данным. Уровни защищенности описаны в 1119 постановлении Правительства, меры защиты — в 21 приказе ФСТЭК.

Как определить уровень защищенности персональных данных в зависимости от того, какие данные вы храните и какие угрозы актуальны для вашей ИСПДн

Мы подробно разбирали уровни защищенности, категории персональных данных и типы актуальных угроз в статье о защите персональных данных в облаке.

Если вам нужно хранить данные третьего уровня защищенности и выше, необходимо провести аттестацию ИСПДн во ФСТЭК. В ходе аттестации ФСТЭК проверяет вашу систему: смотрит, правильно ли вы оценили угрозы, используете ли подходящие технические средства защиты, обеспечили ли достаточную безопасность персональным данным. По итогам проверки выдается аттестат, который подтверждает, что ваша ИСПДн достаточно надежна.

Источник