М.Ю.Емельянников Заместитель коммерческого директора НИП «ИНФОРМЗАЩИТА» Закон о персональных данных: проблемы реализации 4-й ЕВРАЗИЙСКИЙ ФОРУМ ИНФОФОРУМ-Евразия. - презентация

1 М.Ю.Емельянников Заместитель коммерческого директора НИП «ИНФОРМЗАЩИТА» Закон о персональных данных: проблемы реализации 4-й ЕВРАЗИЙСКИЙ ФОРУМ ИНФОФОРУМ-Евразия "МЕЖДУНАРОДНЫЕ АСПЕКТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ" Москва, 4-5 июня 2008 г.

2 ПРОБЛЕМА ТЕРМИНОЛОГИИ Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация

3 ФЗ «О персональных данных» Статья 9. Письменное согласие субъекта перс данных на обработку своих персональных данных должно включать в себя …перечень персональных данных, на обработку которых дается согласие субъекта Статья 14. Субъект перс данных имеет право на получение … информации, касающейся обработки его перс данных, в том числе содержащей … перечень обрабатываемых перс данных и источник их получения ПЕРЕЧЕНЬ ПЕРСОНАЛЬНЫХ ДАННЫХ

4 Личная карточка работника УФ Т-2 Утверждена Постановлением Госкомстата России от Фамилия, имя, отчество Дата и место рождения Гражданство ИНН Номер свидетельства государственного пенсионного страхования Пол Знание иностранного языка Образование Профессия Состояние в браке Состав семьи Номер паспорта, дата и место его выдачи Место жительства и дата регистрации Сведения о воинском учете Дополнительные сведения

5 Содержание кредитной истории 2. В титульной части кредитной истории физического лица содержится следующая информация о субъекте кредитной истории: 1) фамилия, имя, отчество (если последнее имеется), дата и место рождения; 2) данные паспорта или иного документа, удостоверяющего личность (номер, дата и место выдачи, наименование выдавшего его органа); 3) ИНН (если лицо его указало); 4) страховой номер индивидуального лицевого счета (если лицо его указало) 3. В основной части кредитной истории физического лица содержатся следующие сведения (если таковые имеются): 1) в отношении субъекта кредитной истории: а) указание места регистрации и фактического места жительства; б) сведения о государственной регистрации физического лица в качестве индивидуального предпринимателя; ФЗ «О КРЕДИТНЫХ ИСТОРИЯХ»

6 В целях осуществления мер по обеспечению транспортной безопасности: 1) фамилия, имя, отчество; 2) дата и место рождения; 3) вид и номер документа, удостоверяющего личность, по которому приобретается проездной документ (билет); 4) пункт отправления, пункт назначения, вид маршрута следования (беспересадочный, транзитный); 5) дата поездки ФЗ «О ТРАНСПОРТНОЙ БЕЗОПАСНОСТИ»

7 Системы кадрового учета персонала и бухгалтерского учета Базы данных клиентов Базы данных контактов юридических лиц- контрагентов (CRM, OSS/BSS и т.п.) Контактные списки почтовой системы и работников (глобальные и личные) ПРОБЛЕМА ВЫЯВЛЕНИЯ

8 Конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания Передача перс данных взаимодействующим контрагентам (выставление счетов, прием платежей, аутсорсинг колл- центров, доставка и курьерская служба и т.п.) Передача перс данных в правоохранительные органы (ОРД, предварительное следствие и т.п.) On-line регистрация перс данных клиентов ПРОБЛЕМЫ ЗАКОННОСТИ ОБРАБОТКИ

9 Конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания Добровольное медицинское и пенсионное страхование работников Приобретение билетов для командировок и бронирование гостиниц ПРОБЛЕМЫ ЗАКОННОСТИ ОБРАБОТКИ

10 Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных, а в случае обработки общедоступных персональных данных обязанность доказывания того, что обрабатываемые персональные данные являются общедоступными, возлагается на оператора ПРОБЛЕМЫ ЗАКОННОСТИ ОБРАБОТКИ

11 Содержание согласия субъекта на обработку перс данных 1)фамилию, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2)наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта; 3)цель обработки перс данных; 4)перечень перс данных, на обработку которых дается согласие субъекта; 5)перечень действий с переданными, на совершение которых дается согласие, общее описание используемых оператором способов обработки перс данных; 6)срок, в течение которого действует согласие, а также порядок его отзыва. Защита персональных данных ПРОБЛЕМА ПОЛУЧЕНИЯ СОГЛАСИЯ

12

13 Статья 86. Общие требования при обработке персональных данных работника и гарантии их защиты 8) работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области ПРОБЛЕМЫ РЕГЛАМЕНТАЦИИ ОБРАБОТКИ

14 ПРОБЛЕМА КЛАССИФИКАЦИИ ИСПДн Приказ ФСТЭК/ФСБ/Мининформсвязи от /86/20 «Об утверждении порядка проведения классификации ИСПДн» Типовые ИСПДн: категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни Специальные ИСПДн: информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных Специальные ИСПДн: информационные системы, в которых … требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).

15 Положение об обеспечении безопасности персональных данных при их обработке в ИСПДн 11. При обработке персональных данных в информационной системе должно быть обеспечено: г) возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним; ПРОБЛЕМА КЛАССИФИКАЦИИ ИСПДн

16 ПРОБЛЕМА ДОСТУПНОСТИ ТРЕБОВАНИЙ г. Заместителем директора ФСТЭК России утверждены: Рекомендации по обеспечению безопасности ПД при их обработке в ИСПД Основные мероприятия по организации и техническому обеспечению безопасности ПД, обрабатываемых в ИСПД Базовая модель угроз безопасности ПД при их обработке в ИСПД Методика определения актуальных угроз безопасности ПД при их обработке в ИСПД Все документы имеют гриф «Для служебного пользования»

17 Основные мероприятия по организации и техническому обеспечению безопасности ПД, обрабатываемых в ИСПД Операторы ИСПДн при проведении мероприятий по обеспечению безопасности ПДн (конфиденциальная информация) при их обработке в ИСПДн 1 и 2 классов и распределенных ИС 3 класса должны получить лицензию на осуществление деятельности по технической защите конфиденциальной информации ПРОБЛЕМА ЛИЦЕНЗИРОВАНИЯ ДЕЯТЕЛЬНОСТИ

18 Основные мероприятия по организации и техническому обеспечению безопасности ПД, обрабатываемых в ИСПД Оценка соответствия ИСПДн по требованиям безопасности ПДн производится: Для ИСПДн 1 и 2 классов – обязательная сертификация (аттестация) по требованиям безопасности информации ПРОБЛЕМА ПОДТВЕРЖДЕНИЯ СООТВЕТСТВИЯ

19 (495) ВОПРОСЫ? М.Ю.Емельянников 4-й ЕВРАЗИЙСКИЙ ФОРУМ ИНФОФОРУМ-Евразия "МЕЖДУНАРОДНЫЕ АСПЕКТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ" Москва, 4-5 июня 2008 г.