Козак Владимир Федорович ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ КЛИЕНТОВ БАНКА. ТРЕБОВАНИЯ ЗАКОНОДАТЕЛЬСТВА И ПРАКТИКА
advertisement
ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ КЛИЕНТОВ БАНКА. ТРЕБОВАНИЯ ЗАКОНОДАТЕЛЬСТВА И ПРАКТИКА Козак Владимир Федорович, Заместитель Председателя Государственной службы Украины по вопросам защиты персональных данных Volodymyr.kozak@zpd.gov.ua +380 44 517 85 86 ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ КЛИЕНТОВ БАНКА. ТРЕБОВАНИЯ ЗАКОНОДАТЕЛЬСТВА И ПРАКТИКА 1. Персональные данные VS банковская тайна 2. Персональные данные в банковских приложениях: • повседневная деятельность • кредиты, и скоринг • финансовый мониторинг • работа с коллекторами • веб-сайты банков • системы видеонаблюдения 3. Уполномоченный орган по вопросам защиты персональных данных 4. Защита персональных данных и СУИБ (ИСО 27001) 1. Персональные данные VS банковская тайна БАНКОВСКАЯ ТАЙНА ПЕРСОНАЛЬНЫЕ ДАННЫЕ Разновидность коммерческой тайны. Нерушимость права частной собственности. Невмешательство в личную и семейную жизнь. Право частной собственности приобретается в порядке, определенном законом. Право на уважение его личной и семейной жизни возникает в момент рождения. Закон Украины «О банках и банковской деятельности» Закон Украины «О защите персональных данных» 1. Персональные данные VS банковская тайна БАНКОВСКАЯ ТАЙНА ПЕРСОНАЛЬНЫЕ ДАННЫЕ Информация о деятельности и финансовом положении клиента, которая стала известна банку в процессе обслуживания клиента и взаимоотношений с ним или третьим лицам при оказании услуг банка. Сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано Закон Украины «О банках и банковской деятельности» Закон Украины «О защите персональных данных» 1. Персональные данные VS банковская тайна БАНКОВСКАЯ ТАЙНА • сведения о банковских счетах клиентов, в том числе корреспондентские счета банков в Национальном банке Украины; • операции, проведенные в пользу или по поручению клиента, осуществленные им сделки; • финансово-экономическое положение клиентов; • системы охраны банка и клиентов; • информация об организационно-правовой структуре юридического лица - клиента, его руководителях, направлениях деятельности; • сведения о коммерческой деятельности клиентов или коммерческой тайне, каком-либо проекте, изобретениях, образцах продукции и другая коммерческая информация; • информация об отчетности по отдельному банку, за исключением подлежащей опубликованию; • коды, используемые банками для защиты информации. Информация о банках или клиентах, собираемая при проведении банковского надзора, составляет банковскую тайну. Закон Украины «О банках и банковской деятельности» ПЕРСОНАЛЬНЫЕ ДАННЫЕ • идентификационные сведения (имя, адрес, телефон, и др.); • паспортные сведения; • личные сведения (возраст, пол, семейное состояние и др.); • состав семьи, образование, профессия; • биометрические сведения (рост, вес, отпечатки пальцев, особые приметы и др.); • психологические сведения (особенности характера и др.); • жилищные условия; • способ жизни; • жизненные интересы и увлечения; • потребительские привычки; • финансовая информация; • электронные идентифицирующие данные (трафик, ІРадрес, адрес электронной почты); • электронные сведения о геолокации (GSM, GPS, др.); • фото и видео изображения, звукозапись; • почерк, личная подпись; • другие персональные сведения. Требуют особых условий обработки: • Расовая принадлежность; • Политические взгляды,религиозные и мировоззренческие убеждения; • Членство в политических партиях и профессиональных союзах; • Состояние здоровья и половая жизнь. 1. Персональные данные VS банковская тайна БАНКОВСКАЯ ТАЙНА ПЕРСОНАЛЬНЫЕ ДАННЫЕ ТРЕБОВАНИЯ К ОБРАБОТКЕ ТРЕБОВАНИЯ К ОБРАБОТКЕ Банки обязаны обеспечить сохранение банковской тайны . 1. 2. 3. Закон Украины «О банках и банковской деятельности» 4. 5. 6. 7. 8. законность; конкретность целей; точность и своевременное обновление; ограничение времени обработки; неизбыточность; права физического лица; защита информации; ограничение трансграничной передачи . Закон Украины «О защите персональных данных» Конвенция 108 и Закон Украины «О защите персональных данных КАЖДЫЙ ИМЕЕТ ПРАВО: ЗНАТЬ КТО И ГДЕ обрабатывает его ПД КОМУ передаются его ПД КАК получить доступ и потребовать исправления/удаления своих ПД ОБРАЩАТЬСЯ к администрации банка в уполномоченный орган по вопросам защиты своих персональных данных в суд для правовой защиты своих прав 2. ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ БАНКАМИ Персональные данные в банковских приложениях: • • • • • • повседневная деятельность кредиты, и скоринг финансовый мониторинг работа с коллекторами веб-сайты банков системы видеонаблюдения 2. ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ БАНКАМИ Повседневная деятельность: банк как хозяйственное товарищество трудовые отношения отношения с партнерами банковский учет банковские услуги 2. ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ БАНКАМИ кредиты и скоринг статистический анализ кредитной/платежной истории клиента, текущего дохода и т.п. с целью определения его кредитоспособности, оценки риска предоставления клиенту кредита. источники информации для анализа банками – в соответствии с Законом Украины «Об организации формирования и оборота кредитных историй». сбор банками персональных данных клиентов – в соответствии с требованиями законодательства о защите персональных данных. 2. ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ БАНКАМИ финансовый мониторинг Сбор банками только тех персональных данных клиентов, обработка которых предусмотрена Законами Украины «О предотвращении и противодействии легализации (отмыванию) доходов, полученных преступным путем, или финансированию терроризма», «О банках и банковской деятельности» и др. Проблема- использование механизмов закона для скоринга. 2. ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ БАНКАМИ • работа с коллекторами - клиенты не знают о возможной передаче данных коллекторам в соответствии с законодательством; - клиенты не уведомляются о смене кредитора; - договора с коллекторами не содержат положений о защите персональных данных – риск для банка; договор об уступке права требования – КОНТРОЛЛЕР -КОНТРОЛЛЕР (ВЛАДЕЛЕЦ-ВЛАДЕЛЕЦ); - договор – поручение КОНТРОЛЛЕР-ПРОЦЕССОР (ВЛАДЕЛЕЦРАСПОРЯДИТЕЛЬ). 2. ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ БАНКАМИ • веб-сайты банков какие ПД собираются и зачем; как долго они обрабатываются и как используются; как посетитель сайта может требовать соблюдения его прав. 2. ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ БАНКАМИ • системы видеонаблюдения - клиенты не знают КТО их снимает (банк? охранная фирма?); - клиенты не знают КАК потребовать защиты своих прав; - снимается больше, чем нужно. часто отсутствуют документы, которые устанавливают цель и процедуры функционирования систем видеонаблюдения. 3. УПОЛНОМОЧЕННЫЙ ОРГАН ПО ВОПРОСАМ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ: расследование и вмешательство участие в судебном рассмотрении рассмотрения заявлений физических лиц и принятие решения Конвенция о защите частных лиц в отношении автоматизированной обработки данных личного характера 3. УПОЛНОМОЧЕННЫЙ ОРГАН ПО ВОПРОСАМ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ: осуществляет в пределах своих полномочий контроль за соблюдением требований законодательства о защите персональных данных с обеспечением в соответствии с законом доступа к информации, связанной с обработкой персональных данных в базе персональных данных, и в помещения, где осуществляется их обработка; издает обязательные для исполнения законные требования (предписания) об устранении нарушений законодательства о защите персональных данных; рассматривает предложения, запросы, обращения, требования и жалобы физических и юридических лиц. Закон Украины «О защите персональных данных» 3. Типовые нарушения законодательства о защите персональных данных в банковской сфере Сбор персональных данных о потенциальных клиентах без их согласия Обработка персональных данных клиентов и заемщиков при отсуствии законодательных оснований Наличие согласия формально не подтверждено (Чехия) Доступ к кредитной информации займщиков с целью ее использования при оценке кандидата при приеме на работу Неавторизованный доступ работников банка к кредитной информации (Германия) 4. ЗАЩИТА ПЕРСОНАЛЬНЫ ДАННЫХ В КОНТЕКСТЕ СИСТЕМЫ УПРАВЛЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТЬЮ БАНКА ISMS ISO 27001 Information Security Management System СУИБ PIMS BS 10012 Система управления обработкой персональных данных Personal Information Management System IT Security Trustworthy System Assesment ISO/IEC 29100:2011 Information technology -Security techniques -Privacy framework КСЗи 18 ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ КЛИЕНТОВ БАНКА. ТРЕБОВАНИЯ ЗАКОНОДАТЕЛЬСТВА И ПРАКТИКА 1. Персональные данные VS банковская тайна 2. Персональные данные в банковских приложениях: • повседневная деятельность • кредиты, и скоринг • финансовый мониторинг • работа с коллекторами • веб-сайты банков • системы видеонаблюдения 3. Уполномоченный орган по вопросам защиты персональных данных 4. Защита персональных данных и СУИБ (ИСО 27001) СПАСИБО ЗА ВНИМАНИЕ Volodymyr.kozak@zpd.gov.ua +380 44 517 85 86 Козак Владимир Федорович, Заместитель Председателя Государственной службы Украины по вопросам защиты персональных данных
