«Правовые, организационные и технические аспекты защиты

КОМПАНИЯ СТЭК
«Применение
законодательства по
защите прав субъектов
при обработке
персональных данных»
Руководитель учебноконсультационного
центра Компании СТЭК,
аудитор
Фофанова
Инна Сергеевна
Федеральный закон
Российской Федерации
от 27 июля 2006г.
№152-ФЗ
«О персональных
данных»
(в ред. от 25.07.2011 N 261-ФЗ)
Контроль и надзор за
соответствием обработки
персональных данных
осуществляет Федеральная
служба по надзору в сфере
связи, информационных
технологий и массовых
коммуникаций –
РОСКОМНАДЗОР
Уполномоченный орган
исполнительной власти по
обеспечению безопасности
– ФСБ России
Уполномоченный орган
исполнительной власти в
области противодействия
техническим разведкам и
технической защиты
информации ФСТЭК России
Субъект
персональных
данных
– физическое лицо
Персональные данные любая информация,
относящаяся к определенному
или определяемому на
основании такой информации
физическому лицу (субъекту
персональных данных),
в том числе его фамилия,
имя, отчество, год, месяц,
дата и место рождения,
адрес, семейное,
социальное, имущественное
положение, образование,
профессия, доходы, другая
информация
Оператор – государственный,
муниципальный орган,
юридическое или физическое
лицо, организующее и (или)
осуществляющее обработку
персональных данных, а также
определяющее цели и
содержание обработки
персональных данных
Ст.7 Конфендициальность ПДн
Операторы и иные лица,
получившие доступ к
персональным данным, обязаны
не раскрывать третьим лицам и не
распространять персональные
данные без согласия субъекта
персональных данных, если иное
не предусмотрено федеральным
законом
Ст.19 Меры по обеспечению
безопасности ПДн, при их
обработке
Оператор при обработке персональных
данных обязан принимать необходимые
правовые, организационные и технические
меры или обеспечивать их принятие для
защиты персональных данных от
неправомерного или случайного доступа к ним,
уничтожения, изменения, блокирования,
копирования, предоставления,
распространения персональных данных, а также
от иных неправомерных действий в отношении
персональных данных
Обработка персональных данных –
действия (операции) с
персональными данными, включая
сбор, систематизацию, накопление,
хранение, уточнение (обновление,
изменение), использование,
распространение (в том числе
передачу), обезличивание,
блокирование, уничтожение
персональных данных
Уведомление - ст .22, ч.1
Федерального закона №152-ФЗ «..
оператор до начала обработки
персональных данных обязан
уведомить уполномоченный орган по
защите прав субъектов персональных
данных о своем намерении
осуществлять обработку
персональных данных, за
исключением случаев
предусмотренных частью 2 настоящей
статьи»
Сайт Роскомнадзора
www.rsoc.ru
Портал по работе с
персональными
данными
www.pd.rsoc.ru
Планы проверок
www.pd.rsoc.ru
/plan-and-reports/
contoplan/
О действии ФЗ-152
Не распространяется на обработку ПДн для
личных и семейных нужд
обработку ПДн, подлежащих включению в
единый государственный реестр
индивидуальных предпринимателей,
сведений о физических лицах, обработку
госстайны, организацию хранения,
комплектования, учета и использования
содержащих персональные данные
документов Архивного фонда Российской
Федерации и других архивных документов в
соответствии с законодательством об
архивном деле в Российской Федерации (ФЗ-
Нормативно правовые акты по защите персональных данных
1.Конвенция о защите физических лиц при автоматизированной обработке
персональных данных (Страсбург, 28.01.1981г. с изм.от 15.06.1999г.)
2.Федеральный закон от 19 декабря 2005г. №160-ФЗ «О ратификации Конвенции
Совета Европы о защите физических лиц при автоматизированной обработке
персональных данных»
3.Трудовой кодекс РФ
4.Федеральный закон «О персональных данных» от 27 июля 2006г. № 152-ФЗ
5.Федеральный закон « О внесении изменений в Федеральный закон « О
персональных данных» по вопросам реализации международных договоров РФ о
реадмиссии» от 25.11.2009г. №266-ФЗ
6.Федеральный закон « О внесении изменений в статьи 19 и 25 Федерального
закона « о персональных данных» от 27.12.2009г. №366-ФЗ
7.Постановление Правительства РФ «Об утверждении Положения об обеспечении
безопасности персональных данных при их обработке в информационных системах
персональных данных» от 17.11.2007г. №781
8.Постановление Правительства РФ № Об утверждении Положения об особенностях
обработки персональных данных, осуществляемых без использования средств
автоматизации» от 15.09.2008г. №687
9.Совмсетный Приказ ФСЭТК России, ФСБ России, Мининформсвязи России
«Порядок проведения классификации информационных систем персональных
данных» от 13.02.2008г. №55/86/20
10. Приказ Роскомнадзора от 01.12.2009 N 630 "Об утверждении
Административного регламента проведения проверок Федеральной службой по
надзору в сфере связи, информационных технологий и массовых коммуникаций при
осуществлении федерального государственного контроля (надзора) за соответствием
обработки персональных данных требованиям законодательства Российской
Федерации в области персональных данных"
Информационная система
персональных данных (ИСПДн) –
совокупность ПДн содержащихся в базах
данных, а также информационных
технологиях и технических средств.
Категории обрабатываемых ПДн
Категория 1
ПДн, касающиеся расовой, национальной
принадлежности, политических взглядов, религиозных
и философских убеждений, состояния здоровья,
интимной жизни
Категория 2
ПДн, позволяющие идентифицировать субъекта ПДн и
получить о нем дополнительную информацию, за
исключением ПДн, относящихся к Категории 1
Категория 3
ПДн, позволяющие идентифицировать субъекта ПДн
Категория 4
Обезличенные и (или) общедоступные ПДн
Объем обрабатываемых ПДн
1
В ИС одновременно обрабатываются ПДн более чем 100
000 субъектов ПДн в пределах субъекта РФ или РФ в
целом
2
В ИС одновременно обрабатываются ПДн от 1 000 до 100
000 субъектов ПДн, работающих в отрасли экономики РФ,
в органе гос власти, проживающих в пределах
муниципального образования
3
В ИС одновременно обрабатываются данные менее чем
1 000 субъектов ПДн в пределах конкретной
организации
ТИПОВАЯ
информационная система
Менее чем 1 000
субъектов ПДн или
ПДн субъектов в
пределах конкретной
организации
От 1 000 до
100 000
субъекто
в ПДн
Более чем
100 000
субъек
тов
ПДн
К4
К3
К4
К3
К4
К2
ПДн, позволяющие
идентифицировать
субъекта ПДн и получить
о нем дополнительную
информацию
К3
К2
К1
ПДн, касающиеся расовой,
национ. принадлежности,
политических взглядов,
религ. и философских
убеждений, состояния
здоровья и личной жизни
К1
К1
К1
Обезличенные и (или)
общедоступные данные
ПДн, позволяющие
идентифицировать
субъекта ПДн
Совместный Приказ ФСТЭК
России, ФСБ России,
Мининформсвязи России
«Порядок проведения
классификации
информационных систем
персональных данных»
№55/86/20
от 13 февраля 2008г
Постановление Правительства РФ
« Об утверждении положения об
особенностях обработки
персональных данных,
осуществляемой без
использования средств
автоматизации»
№687
от 15 сентября 2008г
Постановление Правительства РФ
« Об утверждении положения об
обеспечении безопасности
персональных данных при их
обработке в ИСПДн»
№781
от 17 ноября 2007г.
Новое в области управления
документами и информацией
 1.Организационно- распорядительные
документы, регламентирующие весь
процесс обработки ПДн
 2.Выделение и маркировка документов и
информации, содержащих Пдн
 3.Новый подход к срокам хранения
информации
Перечень организационнораспорядительных документов
 Положение о конфиденциальной информации
организации
 Положения и приказы о принятии перечня
персональных данных, их обработке и защите
 Приказ об организации и проведению работ по
обеспечению безопасности персональных данных.
 Инструкции ответственных за эксплуатацию
информационной системы персональных данных;
 Инструкции пользователей по работе с
персональными данными;
 Регламент по организации безопасности
персональных данных при их обработке в ИСПД
Защита персональных данных
 Анализ состояния фактической
защищённости информационных
систем
 Анализ на соответствие требованиям
регуляторов по безопасности
информации
 Внутренний анализ информационной
безопасности
Ответственность
 1.Административная (ст.5.39, 13.11,
13.14, 19.7 КоАП РФ; пп. «в» п.6 ст.81,
ст.238 ТК РФ)
 2.Уголовная (ст.137. 140, 272 УК РФ)
Система автоматизации
формирования
организационнораспорядительной
документации для защиты
персональных данных
«СТЭК - ЗАЩИТА»
КОМПАНИЯ СТЭК
г. Челябинск ул. Энтузиастов 12б
(351) 729-95-50
г. Челябинск ул. Энтузиастов 14/1
(351) 729-95-51
e-mail: stek@stek.alias.ru