Персональные Данные. Этапы Данная категория в российском законодательстве появилась еще в 1995 г. в Федеральном законе "Об информации, информатизации. - презентация

1 Персональные Данные

2 Этапы Данная категория в российском законодательстве появилась еще в 1995 г. в Федеральном законе "Об информации, информатизации и защите информации" Данная категория в российском законодательстве появилась еще в 1995 г. в Федеральном законе "Об информации, информатизации и защите информации" Указ Президента РФ от 6 марта 1997 г. N 188 «Об утверждении Перечня сведений конфиденциального характера» Указ Президента РФ от 6 марта 1997 г. N 188 «Об утверждении Перечня сведений конфиденциального характера» Федеральный закон от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" Федеральный закон от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" ФЕДЕРАЛЬНЫЙ ЗАКОН от 27 ИЮЛЯ 2006 Г. N 152-ФЗ "О ПЕРСОНАЛЬНЫХ ДАННЫХ" ФЕДЕРАЛЬНЫЙ ЗАКОН от 27 ИЮЛЯ 2006 Г. N 152-ФЗ "О ПЕРСОНАЛЬНЫХ ДАННЫХ"

3 ФЕДЕРАЛЬНЫЙ ЗАКОН ОТ 27 ИЮЛЯ 2006 Г. N 152-ФЗ "О ПЕРСОНАЛЬНЫХ ДАННЫХ" Закон является базовым актом Закон является базовым актом 1. Устанавливает критерии законности действий, связанных с обработкой персональных данных, 2. Пределы ограничения прав субъектов персональных данных в связи с обеспечением общественных интересов, безопасности личности, общества и государства. Конвенция Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» от 28 января 1981 ратифицирована РФ Конвенция Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» от 28 января 1981 ратифицирована РФ

4 Группы правоотношений 1 – удовлетворение личных потребностей обладателя персональных данных. (Обработка персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных ) 2 – общественная и государственная значимость

5 Закон о персональных данных содержит определение «конфиденциальности персональных данных» - определяется через режим их нераспространения Закон о персональных данных содержит определение «конфиденциальности персональных данных» - определяется через режим их нераспространения Режим нераспространения – это недопущение действий, направленных на передачу и ознакомление с персональными данными третьими лицами, их опубликование, размещение в открытом доступе Соблюдение конфиденциальности не требуется: 1.в случае обработки общедоступных персональных данных и 2. в случае их обезличивания, т.е. утраты всякой связи с субъектом. На персональные данные, составляющие государственную тайну, накладывается режим государственной тайны. Установлен запрет на доступ к информации о частной жизни лица, его личной и семейной тайне, о чем можно судить на основании (п. 3 ст. 25 Федерального закона "Об архивном деле в РФ" + ст. 23, 24 Конституции РФ)

6 Определение персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе: персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе: его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация (ФЗ «О персональных данных» 2006 г.) Т.о. перечень открыт и отсутствуют критерии, по которым те или иные сведения о человеке относятся к персональным данным. Т.о. перечень открыт и отсутствуют критерии, по которым те или иные сведения о человеке относятся к персональным данным.

7 Понятие Персональные данные Федеральный закон «О персональных данных» 2006 г., не характеризует персональные данные в целом как конфиденциальную информацию, Федеральный закон «О персональных данных» 2006 г., не характеризует персональные данные в целом как конфиденциальную информацию, ПД к разряду конфиденциальной информации, отнесены Указом Президента 1997 г. ПД к разряду конфиденциальной информации, отнесены Указом Президента 1997 г. ПД Обладают особым порядком доступа к ним. ПД Обладают особым порядком доступа к ним. ФЗ содержит определение общедоступных персональных данных ФЗ содержит определение общедоступных персональных данных общедоступные персональные данные, доступ к которым неограниченного круга лиц предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. общедоступные персональные данные, доступ к которым неограниченного круга лиц предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. (Например: фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии субъекта персональных данных )

8 Персональные данные как институт охраны права на частную жизнь. Использование не должно нарушать общих фундаментальных прав индивида, таких как право на частную жизнь, личную и семейную тайну. Использование не должно нарушать общих фундаментальных прав индивида, таких как право на частную жизнь, личную и семейную тайну. Это, в свою очередь, требует от их обладателя принятия безусловных мер по охране их конфиденциальности, поскольку охраняются в данном случае не его права и интересы, а права и интересы других лиц, в частности фундаментальные права и свободы человека. Это, в свою очередь, требует от их обладателя принятия безусловных мер по охране их конфиденциальности, поскольку охраняются в данном случае не его права и интересы, а права и интересы других лиц, в частности фундаментальные права и свободы человека.

9 Режим ограничения доступа к ПД 1) определение перечня персональных данных, переданных оператору для обработки и включенных в число сведений конфиденциального характера. 2) ограничение доступа к персональным данным путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка; 3) учет лиц, получивших доступ к обрабатываемым персональным данным, и (или) лиц, которым такая информация была предоставлена или передана; 4) регулирование отношений по использованию персональных данных работниками оператора на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров.

10 Субъекты, участвующие в отношениях оборота персональных данных: операторы персональных данных; операторы персональных данных; субъекты персональных данных; субъекты персональных данных; орган по защите прав субъектов персональных данных; орган по защите прав субъектов персональных данных; третьи лица. третьи лица.

11 Волеизъявление - важный элемент согласия на обработку персональных данных, с которым, связываются юридические последствия: прямой (непосредственный) - совершается в устной или письменной форме; прямой (непосредственный) - совершается в устной или письменной форме; косвенный, который имеет место в случаях, когда субъект, намеревающийся передать персональные данные, совершает требующиеся от него действия без предварительного уведомления оператора о своем решении косвенный, который имеет место в случаях, когда субъект, намеревающийся передать персональные данные, совершает требующиеся от него действия без предварительного уведомления оператора о своем решении Субъект персональных данных имеет право Отказаться от ранее принятого решения на их обработку

12 ограничени е сферы регулирования Закона: 1. обработка персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов этих данных; 2. организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда РФ и других архивных документов в соответствии с законодательством об архивном деле в РФ; 3. обработка подлежащих включению в Единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством РФ в связи с деятельностью физического лица в качестве индивидуального предпринимателя; 4. обработка персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

13 Оператор ПД оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных

14 Оператор персональных данных обладает неограниченной свободой действий в части, касающейся сбора, накопления, хранения конфиденциальной информации, Имеет возможность 1. самостоятельно определять объем и характер обрабатываемых данных, 2. выбирать способы работы с ними.

15 Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры ( в том числе использовать шифровальные (криптографические) средства), для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

16 Распространение персональных данных действия, направленные на: действия, направленные на: 1. передачу персональных данных неопределенному кругу лиц (передача персональных данных) ; 2. ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в СМИ, размещение в информационно- телекоммуникационных сетях ; 3. предоставление доступа к персональным данным каким-либо иным способом.

17 Использование персональных данных действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц; по распространению, использованию, блокированию, уничтожению, обезличиванию персональных данных осуществляются в рамках созданной им информационной системы при соблюдении необходимых технических и иных мер защиты последних от неправомерного или случайного доступа к ним, а также от незаконного уничтожения, копирования, распространения и иных неправомерных действий.

18 Условия, наличие которых освобождает оператора от обязанности истребования согласия субъекта персональных данных на их обработку. получение сведений при заключении трудового договора, получение сведений при заключении трудового договора, в процессе прохождения государственной службы (вопросы, связанные с назначением на должность, аттестацией государственных служащих и т.п.), в процессе прохождения государственной службы (вопросы, связанные с назначением на должность, аттестацией государственных служащих и т.п.), при постановке граждан на воинский учет, при постановке граждан на воинский учет, в ходе осуществления деятельности по пенсионному страхованию в ходе осуществления деятельности по пенсионному страхованию Наличие договорных отношений с субъектом персональных данных Наличие договорных отношений с субъектом персональных данных Обработка персональных данных для статистических, научных и иных аналогичных целей Обработка персональных данных для статистических, научных и иных аналогичных целей Защита жизни, здоровья или иных жизненно важных интересов гражданина Защита жизни, здоровья или иных жизненно важных интересов гражданина Обработка персональных данных в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных Обработка персональных данных в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных

19 Действующие в отношении ПД ограничения снимаются при наличии согласия обладателя персональных данных. Действующие в отношении ПД ограничения снимаются при наличии согласия обладателя персональных данных. К этому относится: К этому относится: выполнение ряда возложенных на субъекта обязанностей - например при оформлении паспорта, регистрации актов гражданского состояния и т.п. выполнение ряда возложенных на субъекта обязанностей - например при оформлении паспорта, регистрации актов гражданского состояния и т.п.

20 состав персональных данных, используемых исключительно в области научной, литературной или иной творческой деятельности сведения, которые идентифицируют произведение или объект смежных прав, автора, обладателя смежных прав или иного обладателя исключительных прав; сведения, которые идентифицируют произведение или объект смежных прав, автора, обладателя смежных прав или иного обладателя исключительных прав; информация об условиях использования произведения или объекта смежных прав; информация об условиях использования произведения или объекта смежных прав; любые цифры и коды, в которых содержится такая информация; любые цифры и коды, в которых содержится такая информация; сведения, позволяющие идентифицировать личность гражданина, описание которого приводится в произведении. сведения, позволяющие идентифицировать личность гражданина, описание которого приводится в произведении.

21 Состав персональных данных, подлежащие обработке в случаях доставки почтовых отправлений организациями почтовой связи, осуществления расчетов операторами электросвязи, расчетов с пользователями услуг связи за оказанные услуги связи, а также рассмотрения претензий пользователей услугами связи : фамилия, имя, отчество или псевдоним абонента; фамилия, имя, отчество или псевдоним абонента; почтовый адрес абонента; почтовый адрес абонента; адрес установки оконечного оборудования; адрес установки оконечного оборудования; абонентские номера и другие данные, позволяющие идентифицировать абонента или его оконечное оборудование; абонентские номера и другие данные, позволяющие идентифицировать абонента или его оконечное оборудование; сведения баз данных систем расчета за оказанные услуги связи, в том числе о соединениях, трафике и платежах абонента; сведения баз данных систем расчета за оказанные услуги связи, в том числе о соединениях, трафике и платежах абонента; сведения о передаваемых по сетям электросвязи и сетям почтовой связи сообщениях; сведения о передаваемых по сетям электросвязи и сетям почтовой связи сообщениях; используемый абонентом радиочастотный спектр. используемый абонентом радиочастотный спектр. Обработка иных сведений в указанных случаях без согласия субъекта персональных данных является недопустимой.

22 Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев

23 Обработка персональных данных специальных категорий допускается: 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; 2) персональные данные являются общедоступными; 2) персональные данные являются общедоступными; 3) персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно; 3) персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно; 4) обработка персональных данных осуществляется в медико- профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством РФ сохранять врачебную тайну; 4) обработка персональных данных осуществляется в медико- профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством РФ сохранять врачебную тайну;

24 5) обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством РФ, для достижения законных целей, предусмотренных их учредительными документами, при условии что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных; 5) обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством РФ, для достижения законных целей, предусмотренных их учредительными документами, при условии что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных; 6) обработка персональных данных необходима в связи с осуществлением правосудия; 6) обработка персональных данных необходима в связи с осуществлением правосудия; 7) обработка персональных данных осуществляется в соответствии с законодательством РФ о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством РФ. 7) обработка персональных данных осуществляется в соответствии с законодательством РФ о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством РФ.

25 Биометрические персональные данные Сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность Сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность Могут обрабатываться : только при наличии согласия в письменной форме субъекта персональных данных. Может осуществляться без согласия субъекта ПД: 1. с осуществлением правосудия, 2. в случаях, предусмотренных законодательством РФ о безопасности, 3. законодательством РФ об оперативно-розыскной деятельности, 4. законодательством РФ о государственной службе, 4. законодательством РФ о государственной службе, 5. уголовно-исполнительным законодательством РФ, 5. уголовно-исполнительным законодательством РФ, 6. законодательством РФ о порядке выезда из РФ и въезда в РФ.

26 Передача полномочий оператора по обработке персональных данных на основании договора третьему лицу м.б. ЕСЛИ: Есть наличие согласия субъекта персональных данных; Есть наличие согласия субъекта персональных данных; уведомление субъекта о предстоящей или состоявшейся передачи с обязательным сообщением сведений о личности нового оператора и иных данных, имеющих значение в целях обеспечения адекватной защиты прав субъектов персональных данных; уведомление субъекта о предстоящей или состоявшейся передачи с обязательным сообщением сведений о личности нового оператора и иных данных, имеющих значение в целях обеспечения адекватной защиты прав субъектов персональных данных; передача прав на обработку персональных данных обусловлена силой обстоятельств для охраны интересов субъекта персональных данных; передача прав на обработку персональных данных обусловлена силой обстоятельств для охраны интересов субъекта персональных данных; обеспечение условий конфиденциальности персональных данных, подвергающихся обработке. обеспечение условий конфиденциальности персональных данных, подвергающихся обработке.

27 Проблемы Право на тайну частной жизни испытывает серьезные угрозы, связанные: со все возрастающими возможностями автоматизированных информационных систем (АИС) и их внедрением практически во все сферы человеческой деятельности, со все возрастающими возможностями автоматизированных информационных систем (АИС) и их внедрением практически во все сферы человеческой деятельности, с тенденцией, увеличения для правительств количество информации о личной жизни почти всех граждан и жителей с тенденцией, увеличения для правительств количество информации о личной жизни почти всех граждан и жителей ( Приказ Министерства информационных технологий и связи РФ от 16 января 2008 г. N 6 "Об утверждении требований к сетям электросвязи для проведения оперативно-розыскных мероприятий", заложил основу практически бесконтрольного удаленного прослушивания спецслужбами абонентов связи ).

28 Меры по охране конфиденциальности информации признаются разумно достаточными, если: 1) исключается доступ к обрабатываемым персональным данным любых лиц без согласия их обладателя; 1) исключается доступ к обрабатываемым персональным данным любых лиц без согласия их обладателя; 2) обеспечивается возможность использования обрабатываемых персональных данных работниками оператора и передачи ее контрагентам без нарушения установленного режима защиты. 2) обеспечивается возможность использования обрабатываемых персональных данных работниками оператора и передачи ее контрагентам без нарушения установленного режима защиты.

29 АИС – как риск утечки Специфика АИС обусловлена повышенной общественной опасностью нарушения конфиденциальности (утечки) персональных данных, которые хранятся и обрабатываются в них Такое деяние подпадает в сферу действия двух статей УК РФ: ст. 147 и ст Такое деяние подпадает в сферу действия двух статей УК РФ: ст. 147 и ст (ст. 147 УК РФ относит незаконное собирание или распространение сведений о частной жизни лица к преступлениям небольшой тяжести. Ст. 272 Статья 272 УК РФ. Неправомерный доступ к компьютерной информации ( Например, похищение базы персональных данных из государственной АИС) относится к преступлениям с наиболее высокой латентностью. Ни в одном случае серьезной утечки персональных данных из государственных АИС виновные не были привлечены к ответственности.

30 НПА Постановление ПРФ от 17 ноября 2008 г. N 781 "Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных", Постановление ПРФ от 17 ноября 2008 г. N 781 "Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных", Постановление ПРФ от 15 сентября 2008 г. N 687 "Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", Постановление ПРФ от 15 сентября 2008 г. N 687 "Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации", Постановление ПРФ от 6 июля 2008 г. N 512 "Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных". Постановление ПРФ от 6 июля 2008 г. N 512 "Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных".