Защита персональных данных. Категории персональных данных. Краткий анализ Федерального закона “О персональных данных” в вопросах информационных технологий

Главная / Налоги
Комментарий к Федеральному закону от 27 июля 2006г. N 152-ФЗ "О персональных данных" Петров Михаил Игоревич

Статья 23. Уполномоченный орган по защите прав субъектов персональных данных

Статья 23.

Уполномоченный орган по защите прав субъектов персональных данных

Комментарий к статье 23

1. Комментируемая статья определяет основные направления государственного контроля и надзора за деятельностью операторов, осуществляющих обработку персональных данных, а равно полномочия, функции и компетенцию органов, его осуществляющих. Государственный контроль (надзор) определяется действующим законодательством не иначе как проведение проверки выполнения юридическим или физическим лицом при осуществлении их деятельности обязательных требований к товарам (работам, услугам), установленных федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами (п.1 ст.2 Федерального закона от 8 августа 2001г. N 134-ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при проведении государственного контроля (надзора)").

Диспозиция настоящей статьи носит четко выраженный традиционный характер, где указывается, кто правомочен на реализацию контрольно-надзорных функций в обозначенной области деятельности, обозначаются основные полномочия последних и завершается декларируемым правом обжалования вынесенных в процессе их реализаций соответствующих решений по существу вопроса.

Целью реализации сформулированных настоящей статьей контрольных полномочий по надзору за деятельностью оператора выступает приоритет защиты прав субъектов персональных данных и необходимость соблюдения в указанных целях требований настоящего Закона.

Специфика настоящей статьи заключается в том, что положения последней отражают лишь одну из сторон государственного контроля за деятельностью оператора, осуществляемого исключительно в рамках рассматриваемого Федерального закона на предмет соблюдения его требований и четкого исполнения последними своих обязанностей, круг которых сформулирован нормами главы 4. В этой связи законодатель отмечает, что осуществление государственного контроля и надзора за деятельностью оператора возложено на специально уполномоченный орган государственной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи. В соответствии с Указом Президента РФ от 9 марта 2004г. N 314 образована Федеральная служба по надзору в сфере связи, с передачей ей функций по контролю в сфере связи упраздняемого Министерства РФ по связи и информатизации, а также функций по государственному надзору в этой сфере. Как следует из Постановления Правительства РФ от 30 июня 2004г. N 318 "Об утверждении Положения о Федеральной службе по надзору в сфере связи", Федеральная служба по надзору в сфере связи является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере информационных технологий и связи.

2. Федеральная служба по надзору в сфере связи находится в ведении Министерства информационных технологий и связи РФ. Федеральная служба по надзору в сфере связи руководствуется в своей деятельности Конституцией РФ, федеральными конституционными законами, федеральными законами, актами Президента РФ и Правительства РФ, международными договорами РФ, нормативными правовыми актами Министерства информационных технологий и связи РФ. Федеральная служба по надзору в сфере связи осуществляет свою деятельность непосредственно и через свои территориальные органы во взаимодействии с другими федеральными органами исполнительной власти, органами исполнительной власти субъектов РФ, органами местного самоуправления, общественными объединениями и иными организациями. Федеральную службу по надзору в сфере связи возглавляет руководитель, назначаемый на должность и освобождаемый от должности Правительством РФ по представлению министра информационных технологий и связи РФ.

Руководитель Федеральной службы по надзору в сфере связи несет персональную ответственность за осуществление возложенных на Федеральную службу по надзору в сфере связи полномочий. Руководитель Службы имеет заместителей, назначаемых на должность и освобождаемых от должности министром информационных технологий и связи РФ по представлению руководителя Службы. Количество заместителей руководителя Службы устанавливается Правительством РФ.

Финансирование расходов на содержание Федеральной службы по надзору в сфере связи и ее территориальных органов осуществляется за счет средств, предусмотренных в федеральном бюджете. Федеральная служба по надзору в сфере связи является юридическим лицом, имеет печать с изображением Государственного герба РФ и со своим наименованием, иные печати, штампы и бланки установленного образца, счета, открываемые в соответствии с законодательством РФ. Место нахождения Федеральной службы по надзору в сфере связи -г. Москва.

3. Условно представленные комментируемой статьей функции Федеральной службы по надзору в сфере связи в части, касающейся контроля за соответствием обработки персональных данных требованиям настоящего Закона, можно разделить по следующим направлениям:

1) организационно-распорядительные: ведение реестра операторов;

внесение в Правительство РФ предложений о совершенствовании нормативного правового регулирования защиты прав субъектов персональных данных;

организация в соответствии с требованиями настоящего Федерального закона и других федеральных законов защиты прав субъектов персональных данных;

2) собственно контрольные:

осуществление проверки сведений, содержащихся в уведомлении об обработке персональных данных, или привлечение для осуществления такой проверки иных государственных органов в пределах их полномочий;

принятие в установленном законодательством РФ порядке мер по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона;

обращение в суд с исковыми заявлениями в защиту прав субъектов персональных данных и представление интересов субъектов персональных данных в суде;

привлечение к административной ответственности лиц, виновных в нарушении настоящего Федерального закона;

3) надзорные:

запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию;

требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

принимать в установленном законодательством РФ порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных;

4) координационные:

направление заявления в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о принятии мер по приостановлению действия или аннулированию соответствующей лицензии в установленном законодательством РФ порядке, если условием лицензии на осуществление такой деятельности является запрет на передачу персональных данных третьим лицам без согласия в письменной форме субъекта персональных данных;

направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью;

информировать государственные органы, а также субъектов персональных данных по их обращениям или запросам о положении дел в области защиты прав субъектов персональных данных.

Настоящим Законом федеральному органу исполнительной власти, уполномоченному на осуществление функций по контролю и надзору за деятельностью операторов, предоставлены исключительные полномочия, реализация которых не обременена дополнительными условиями. Единственное исключение, действующее на этот счет, связано с осуществлением контрольно-ревизионных мероприятий, проведение которых, во-первых, осуществляется в строгом соответствии с разработанным ранее планом, во-вторых, предметом контроля является соответствие обработки персональных данных требованиям настоящего Закона, а в-третьих, в ходе осуществления им своей деятельности должна обеспечиваться конфиденциальность персональных данных. Тем самым определена строгая целевая направленность деятельности в процессе реализации подобного рода мероприятий.

4. Мероприятие по контролю - совокупность действий должностных лиц органов государственного контроля (надзора), связанных с проведением проверки выполнения юридическим или физическим лицом обязательных требований, осуществлением необходимых исследований (испытаний), экспертиз, оформлением результатов проверки и принятием мер по результатам проведения мероприятия по контролю. Мероприятия по контролю проводятся на основании заранее утвержденного плана и вынесенного на его основе документа (постановление, предписание и т.п.), управомочивающего на совершение определенных действий. Периодичность проведения проверок Законом не определена. Предположительно плановые проверки могут проводиться в отношении каждого бюро кредитных историй не чаще одного раза в год. Предусматривается проведение плановых проверок раз в один, два или три года.

Наряду с плановыми допустимо осуществление и внеплановых контрольных мероприятий. Внеплановые проверки проводятся:

для проверки исполнения предписаний об устранении ранее выявленных нарушений законодательства;

в случае обнаружения достаточных данных, указывающих на наличие правонарушений, или получения иных доказательств, свидетельствующих о наличии признаков нарушений законодательства.

Внеплановые мероприятия по контролю проводятся органами государственного контроля (надзора) также в случаях обращения граждан, юридических лиц и индивидуальных предпринимателей с жалобами на нарушения их прав и законных интересов действиями (бездействием) иных юридических лиц и (или) индивидуальных предпринимателей, связанные с невыполнением ими обязательных требований, а также получения иной информации, подтверждаемой документами и иными доказательствами, свидетельствующими о наличии признаков таких нарушений. Внеплановые мероприятия по контролю могут проводиться по мотивированному решению органа государственного контроля (надзора), в том числе в отношении иных юридических лиц, оказывающих соответствующие однородные услуги.

Обращения, не позволяющие установить лицо, обратившееся в орган государственного контроля (надзора), не могут служить основанием для проведения внепланового мероприятия по контролю. Мероприятия по контролю проводятся на основании распоряжений (приказов) органов государственного контроля (надзора). В распоряжении (приказе) о проведении мероприятия по контролю указываются:

номер и дата распоряжения (приказа) о проведении мероприятия по контролю;

фамилия, имя, отчество и должность лица (лиц), уполномоченного на проведение мероприятия по контролю;

наименование юридического лица, в отношении которого проводится мероприятие по контролю;

цели, задачи и предмет проводимого мероприятия по контролю;

правовые основания проведения мероприятия по контролю, в том числе нормативные правовые акты, обязательные требования которых подлежат проверке; дата начала и окончания мероприятия по контролю.

Распоряжение (приказ) о проведении мероприятия по контролю либо его заверенная печатью копия предъявляется должностным лицом, осуществляющим мероприятие по контролю, руководителю или иному должностному лицу юридического лица одновременно со служебным удостоверением.

Мероприятие по контролю может проводиться только тем должностным лицом (лицами), которое указано в распоряжении (приказе) о проведении мероприятия по контролю.

Продолжительность мероприятия по контролю не должна превышать один месяц. В исключительных случаях, связанных с необходимостью проведения специальных исследований (испытаний), экспертиз со значительным объемом мероприятий по контролю, на основании мотивированного предложения должностного лица, осуществляющего мероприятие по контролю, руководителем органа государственного контроля (надзора) или его заместителем срок проведения мероприятия по контролю может быть продлен, но не более чем на один месяц. В целях проверки выполнения юридическими или физическими лицами обязательных требований органом государственного контроля (надзора) в пределах своей компетенции проводятся плановые мероприятия по контролю.

В отношении одного юридического или физического лица каждым органом государственного контроля (надзора) плановое мероприятие по контролю может быть проведено не более чем один раз в два года. В отношении субъекта малого предпринимательства плановое мероприятие по контролю может быть проведено не ранее чем через три года с момента его государственной регистрации.

Внеплановой проверке, предметом которой является контроль исполнения предписаний об устранении выявленных нарушений, подлежит деятельность юридического или физического лица при выявлении в результате планового мероприятия по контролю нарушений обязательных требований. При проведении мероприятий по контролю должностные лица органов государственного контроля (надзора) не вправе:

проверять выполнение обязательных требований, не относящихся к компетенции органа государственного контроля (надзора), от имени которого действуют должностные лица;

осуществлять плановые проверки в случае отсутствия при проведении мероприятий по контролю должностных лиц или работников проверяемых юридических лиц либо их представителей;

требовать представления документов, информации, образцов (проб) продукции, если они не являются объектами мероприятий по контролю и не относятся к предмету проверки, а также изымать оригиналы документов, относящихся к предмету проверки;

требовать образцы (пробы) продукции для проведения их исследований (испытаний), экспертизы без оформления акта об отборе образцов (проб) продукции в установленной форме и в количестве, превышающем нормы, установленные государственными стандартами или иными нормативными документами;

распространять информацию, составляющую, охраняемую законом тайну и полученную в результате проведения мероприятий по контролю, за исключением случаев, предусмотренных законодательством РФ;

превышать установленные сроки проведения мероприятий по контролю.

По результатам мероприятия по контролю должностным лицом (лицами) органа государственного контроля (надзора), осуществляющим проверку, составляется акт установленной формы в двух экземплярах.

В акте указываются:

дата, время и место составления акта;

наименование органа государственного контроля (надзора);

дата и номер распоряжения, на основании которого проведено мероприятие по контролю;

фамилия, имя, отчество и должность лица (лиц), проводившего мероприятие по контролю;

наименование проверяемого юридического лица или фамилия, имя, отчество физического лица, фамилия, имя, отчество, должность представителя юридического лица или представителя физического лица, присутствовавших при проведении мероприятия по контролю;

дата, время и место проведения мероприятия по контролю;

сведения о результатах мероприятия по контролю, в том числе о выявленных нарушениях, об их характере, о лицах, на которых возлагается ответственность за совершение этих нарушений;

сведения об ознакомлении или об отказе в ознакомлении с актом представителя юридического или физического лица, а также лиц, присутствовавших при проведении мероприятия по контролю, их подписи или отказ от подписи;

подпись должностного лица (лиц), осуществившего мероприятие по контролю.

Один экземпляр акта с копиями приложений вручается руководителю юридического лица или его заместителю и индивидуальному предпринимателю или их представителям под расписку либо направляется посредством почтовой связи с уведомлением о вручении, которое приобщается к экземпляру акта, остающемуся в деле органа государственного контроля (надзора).

В случае выявления в результате мероприятия по контролю административного правонарушения должностным лицом органа государственного контроля (надзора) составляется протокол в порядке, установленном законодательством РФ об административных правонарушениях, и даются предписания об устранении выявленных нарушений.

Результаты мероприятия по контролю, содержащие сведения, составляющие конфиденциальную информацию (банковскую, налоговую, коммерческую или иную охраняемую законом тайну), оформляются с соблюдением требований, предусмотренных законодательством РФ о защите государственной тайны.

Операторы вправе вести журнал учета мероприятий по контролю. В журнале учета мероприятий по контролю должностным лицом органа государственного контроля (надзора) производится запись о проведенном мероприятии по контролю, содержащая сведения о наименовании органа государственного контроля (надзора), дате, времени проведения мероприятия по контролю, о правовых основаниях, целях, задачах и предмете мероприятия по контролю, о выявленных нарушениях, о составленных протоколах, об административных правонарушениях и о выданных предписаниях, а также указываются фамилия, имя, отчество, должность лица (лиц), осуществившего мероприятие по контролю, и его (их) подпись. Журнал учета мероприятий по контролю должен быть прошит, пронумерован и удостоверен печатью юридического лица или физического лица. При отсутствии журнала учета мероприятий по контролю в акте, составляемом по результатам проведенного мероприятия по контролю, делается соответствующая запись.

5. При выявлении в результате проведения мероприятия по контролю нарушений оператором требований должностные лица органов государственного контроля (надзора) в пределах полномочий, предусмотренных законодательством РФ, обязаны принять меры по контролю за устранением выявленных нарушений, их предупреждением, предотвращением возможного причинения ущерба правам, законным имущественным интересам заинтересованных лиц, а также меры по привлечению лиц, допустивших нарушения, к ответственности. Орган государственного контроля (надзора) может обращаться в суд с требованием о возмещении расходов на проведение исследований (испытаний) и экспертиз, в результате которых выявлены нарушения обязательных требований.

Должностные лица органов государственного контроля (надзора) при проведении мероприятий по контролю обязаны:

своевременно и в полной мере исполнять предоставленные в соответствии с законодательством РФ полномочия по предупреждению, выявлению и пресечению нарушений обязательных требований;

соблюдать законодательство РФ, права и законные интересы операторов;

проводить мероприятия по контролю на основании и в строгом соответствии с распоряжениями органов государственного контроля (надзора) о проведении мероприятий по контролю в порядке, установленном ст.8 Федерального закона "О защите прав юридических лиц и индивидуальных предпринимателей при проведении государственного контроля (надзора)";

посещать объекты (территории и помещения) оператора в целях проведения мероприятия по контролю только во время исполнения служебных обязанностей при предъявлении служебного удостоверения и распоряжения органов государственного контроля (надзора) о проведении мероприятия по контролю;

не препятствовать представителям оператора присутствовать при проведении мероприятия по контролю, давать разъяснения по вопросам, относящимся к предмету проверки;

предоставлять операторам либо их представителям, присутствующим при проведении мероприятия по контролю, относящуюся к предмету проверки необходимую информацию;

знакомить оператора либо его представителей с результатами мероприятий по контролю;

доказывать законность своих действий при их обжаловании оператором в порядке, установленном законодательством РФ.

Органы государственного контроля (надзора) и их должностные лица в случае ненадлежащего исполнения своих функций и служебных обязанностей при проведении мероприятий по контролю, совершения противоправных действий (бездействия) несут ответственность в соответствии с законодательством РФ. За ненадлежащее исполнение своих функций и служебных обязанностей при проведении мероприятий по контролю, а также за совершение противоправных действий (бездействия) должностные лица органов государственного контроля (надзора) могут быть привлечены к дисциплинарной, административной, уголовной и иной ответственности в соответствии с законодательством РФ.

Вред, причиненный оператору вследствие действий (бездействия) должностных лиц органов государственного контроля (надзора) при проведении государственного контроля (надзора), признанных в порядке, установленном законодательством РФ, неправомерными, подлежит возмещению в соответствии с гражданским законодательством.

О мерах, принятых в отношении должностных лиц, виновных в нарушении законодательства РФ, органы государственного контроля (надзора) обязаны ежегодно информировать Президента РФ, Правительство РФ и Федеральное Собрание РФ.

6. В соответствии с Приказом Федеральной службы по надзору в сфере связи от 30 июня 2005г. N 25 "Об информационном обеспечении деятельности Федеральной службы по надзору в сфере связи" подготовка информации о деятельности Федеральной службы по надзору в сфере связи осуществляется в соответствии с требованиями Постановлений Правительства РФ от 12 февраля 2003г. N 98 "Об обеспечении доступа к информации о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти" и от 30 июня 2004г. N 318 "Об утверждении Положения о Федеральной службе по надзору в сфере связи", Концепции использования информационных технологий в деятельности федеральных органов государственной власти до 2010г., одобренной распоряжением Правительства РФ от 24 сентября 2004г. N 1244-р.

Информирование о деятельности Федеральной службы по надзору в сфере связи (далее - Россвязьнадзор) проводится в целях:

обеспечения открытости и публичности нормативных правовых актов и обязательных требований к осуществлению деятельности в сфере информационных технологий и связи;

обеспечения прозрачности процедур проведения Россвязьнадзором и его территориальными органами мероприятий по контролю соблюдения установленных обязательных требований, лицензионных условий и принятия решений;

обеспечения открытости Россвязьнадзора через информирование широкой общественности о деятельности Россвязьнадзора и его территориальных органов;

повышения качества услуг связи и обеспечения соблюдения обязательных требований через информирование общественности о нарушениях, допущенных операторами связи, и принятых к ним мерах;

защиты прав и законных интересов пользователей услугами связи через информирование об их правах и обязанностях, о порядке подачи жалоб в случаях нарушения их прав и законных интересов;

доступа граждан и организаций к информации из реестров, ведение которых осуществляет Россвязьнадзор;

оказания информационной поддержки и методической помощи лицам, осуществляющим деятельность в области информационных технологий и связи, при оформлении ими необходимых разрешительных документов и лицензий;

повышения эффективности межведомственного взаимодействия в сфере государственного управления в области информационных технологий и связи.

Информация о деятельности Россвязьнадзора размещается в официальном печатном органе Министерства информационных технологий и связи РФ, других средствах массовой информации и на официальном сайте Россвязьнадзора информационного портала Министерства www.minsvyaz.ru в разделе "Федеральная служба по надзору в сфере связи". Информационные материалы, публикуемые на сайте, должны быть классифицированы (иметь четкие классификационные признаки при определении уровней детализации) и персонифицированы (обеспечены специализированной адресной и аналитической информацией).

Лицами, предоставляющими официальную информацию о деятельности Россвязьнадзора, являются:

руководитель Федеральной службы по надзору в сфере связи; заместители руководителя Федеральной службы по надзору в сфере связи; руководители структурных подразделений центрального аппарата Федеральной службы по надзору в сфере связи;

руководители территориальных органов Федеральной службы по надзору в сфере связи; уполномоченное должностное лицо Россвязьнадзора.

7. Федеральная служба по надзору в сфере связи является далеко не единственным органом, уполномоченным на осуществление государственного надзора и контроля за деятельностью операторов. Последние в той же степени подвержены проверкам со стороны иных надзирающих субъектов, что и иные организации (физические лица), зарегистрированные в установленном законом порядке, независимо от видов деятельности последних.

За деятельностью бюро кредитных историй может быть установлен:

налоговый контроль;

валютный контроль;

банковский и страховой надзор, а также другие виды специального государственного контроля за деятельностью юридических лиц и индивидуальных предпринимателей на финансовом рынке;

контроль за обеспечением защиты конфиденциальной информации;

оперативно-розыскные мероприятия, дознание, предварительное следствие, прокурорский надзор и правосудие.

В сравнении с перечисленными контрольно-надзорные функции, осуществляемые Федеральной службой по надзору в сфере связи, являются специальными. Специализация последних обусловлена предметом регулирования и сферой действия настоящего Закона в той его части, в которой он затрагивает вопросы деятельности операторов (права и обязанности последних).

Из книги Правовые основы судебной медицины и судебной психиатрии в Российской Федерации: Сборник нормативных правовых актов автора Автор неизвестен

СТАТЬЯ 5. Федеральный орган исполнительной власти, специально уполномоченный в области промышленной безопасности (в ред. Федерального закона от 22.08.2004 № 122-ФЗ)1. В целях осуществления государственной политики в области промышленной безопасности Президент Российской

Из книги Трудовой кодекс Российской Федерации. Текст с изменениями и дополнениями на 1 октября 2009 г. автора Автор неизвестен

СТАТЬЯ 5. Специально уполномоченный государственный орган Российской Федерации по обеспечению карантина растений (в ред. Федерального закона от 22.08.2004 № 122-ФЗ)Федеральный орган исполнительной власти по обеспечению карантина растений в интересах Российской Федерации

Из книги Кодекс Российской Федерации об административных правонарушениях. Текст с изменениями и дополнениями на 1 ноября 2009 г. автора Автор неизвестен

Из книги Комментарий к Федеральному закону от 27 июля 2006г. N 152-ФЗ "О персональных данных" автора Петров Михаил Игоревич

Статья 23.68. Федеральный орган исполнительной власти, уполномоченный на осуществление функций по принудительному исполнению исполнительных документов 1. Федеральный орган исполнительной власти, уполномоченный на осуществление функций по принудительному исполнению

Из книги Трудовой кодекс Российской Федерации. Текст с изменениями и дополнениями на 10 сентября 2010 г. автора Коллектив авторов

Статья 9. Согласие субъекта персональных данных на обработку своих персональных данных Комментарий к статье 91. Комментируемая статья определяет порядок, условия и основания получения согласия субъекта персональных данных на их обработку. Законодатель подчеркивает, что

Из книги Шпаргалка по информационному праву автора Якубенко Нина Олеговна

Статья 15. Права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации Комментарий к статье 151. Комментируемая статья своим содержанием апеллирует к положениям ст.150 ГК

Из книги Гражданский процесс в вопросах и ответах автора Власов Анатолий Александрович

Статья 16. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных Комментарий к статье 161. Комментируемая статья определяет права субъектов персональных данных по отношению к принятию

Из книги Кодекс о Правонарушениях Республики Молдова в силе с 31.05.2009 автора Автор неизвестен

Статья 20. Обязанности оператора при обращении либо при получении запроса субъекта персональных данных или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных Комментарий к статье 201. Нормы комментируемой статьи во

Из книги автора

Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, а также по уточнению, блокированию и уничтожению персональных данных Комментарий к статье 211. Положения комментируемой статьи определяют процедуру

Из книги автора

Статья 85. Понятие персональных данных работника. Обработка персональных данных работника Персональные данные работника – информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника.Обработка персональных данных работника

Из книги автора

58. УПОЛНОМОЧЕННЫЙ ПО ПРАВАМ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ Уполномоченный по правам субъектов персональных данных реализует государственные гарантии прав субъекта на защиту прав личности в области персональных данных в соответствии с общепризнанными принципами и

Из книги автора

Каков круг субъектов по делам о защите избирательных прав и права на участие в референдуме граждан Российской Федерации? В ст. 259 ГПК определен круг субъектов, которые вправе обжаловать в суд решения или действия (бездействия) органа государственной власти, органа

Из книги автора

Статья 74-1. Обработка персональных данных с нарушением законодательства о защите персональных данных (1) Несоблюдение требований по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных влечет наложение штрафа

Из книги автора

Статья 74-2. Отказ в предоставлении информации или воспрепятствование доступу сотрудников Национального центра по защите персональных данных (1) Отказ в предоставлении сведений или документов, запрошенных Национальным центром по защите персональных данных в процессе

Из книги автора

Статья 74-3. Невыполнение решений Национального центра по защите персональных данных Невыполнение в установленный срок решения Национального центра по защите персональных данных о восстановлении прав субъекта персональных данных, в том числе о приостановлении или

Из книги автора

Статья 423-4. Национальный центр по защите персональных данных (1) Правонарушения, предусмотренные статьями 741–743, устанавливаются Национальным центром по защите персональных данных. (2) Констатировать правонарушения и составлять протоколы вправе директор,

Р ешения для защиты персональных данных в российских компаниях и учреждениях формируются на базе мер организационно-технического характера. Они должны соответствовать нормам правовых актов: Конституции Российской Федерации (статья 24), Федерального закона №152-ФЗ «О персональных данных» и специальным требованиям регуляторов. Функции регуляторов выполняют:

Роскомнадзор следит за исполнением законодательства, касающегося персональных данных в целом, ФСТЭК и ФСБ формируют требования к методологическим, техническим и организационным условиям защищенности информационных систем обработки персональных данных.

Что входит в понятие «персональные данные»?

Определение персональных данных (ПДн) содержится в законе 152-ФЗ .

Ключевой особенностью трактовки является словосочетание «любая информация», то есть закон позволяет буквально все организации записать в «операторы персональных данных». Логика понятна. Устраиваясь, например, на работу человек передает работодателю всю информацию о себе, а заключая, скажем, договор с физическим лицом - получает и обрабатывает ПДн. Госструктуры, банки, интернет-магазины, социальные сети - это всего лишь несколько примеров из обширного списка операторов ПДн.

Санкции за нарушение норм закона в области обработки и защиты персональных данных варьируются от штрафов (с 1 июля 2017 года ) до административной ответственности, не исключено и уголовное преследование.

Нарушение процедуры обращения с персональными данными угрожает также потерей деловой репутации. Выявление подобных фактов в компания нередко становится поводом для оттока клиентов. Значит, исполнять требования 152-ФЗ и соблюдать предписания регулирующих и контролирующих сферу ПДн структур - жизненная необходимость для каждой компании, которая прямо или опосредованно оперирует персональными данными.

Универсального подхода к исполнению требований всеми организациями, которые подпадают под контроль регуляторов, нет. Согласно законодательству, персональные данные разбиты на четыре категории. Компании формируют систему защиты ПДн в зависимости от категории, соответственно, различаются и требования к оператору.

Наиболее сложный и затратный процесс - внедрение полноценного комплекса обеспечения защищенности информационной системы персональных данных (ИСПДн) , в которой обрабатываются сведения о расе и нации субъекта, вере, здоровье, интимной жизни, политических и философских взглядах. Все перечисленные данные входят в группу специальных ПДн . Защищу сведений из этой категории закон требует обеспечивать особенно тщательно.

Высоки требования закона к обеспечению защищенности и биометрических ПДн : биологических и физиологических характеристик, которые позволяют идентифицировать субъекта данных.

Компания, которая получила письменное согласие клиента на обработку ФИО, даты и места рождения, домашнего адреса, данных о профессии, контактных сведений, становится оператором общедоступных ПДн . Подобные сведения используют, например, для составления телефонных справочников. К защите общедоступных персональных данных законодательство предъявляет минимальные в сравнении с другими категориями требования.

К четвертой категории - иных ПДн - причисляют все сведения, которые нельзя отнести к специальным, биометрическими или специальным, но по которым возможно идентифицировать субъекта данных. Защищать иные ПДн проще, чем биометрические или специальные. Однако требования к безопасности выше, чем в случае систем обработки данных из общедоступной категории.

Согласно постановлению правительства от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», операторы при создании механизмов защиты должны учитывать численность субъектов ПДн. Законодательство делит ИСПДн на такие, в которых обрабатывают данные менее 100 тыс. и более 100 тыс. субъектов.

Обеспечение сохранности персональных данных, обрабатываемых в системе, начинается с определения наиболее вероятных угроз. Независимо от категории, целей обработки и численности субъектов ПДн, система должна гарантировать защиту от неправомерных операций , включая:

В инфраструктуре комплексной защиты ИСПДн необходимо учитывать возможность присутствия внутреннего нарушителя. Ущерб персональным данным способен причинить любой сотрудник, намеренно или по неосторожности.

Меры, которые помогают предотвратить несанкционированный доступ, усилить надежность и отказоустойчивость ИСПДн, сохранить целостность и доступность информации внутри системы, перечислены в 152-ФЗ. Закон предписывает:

1. Определить масштаб информационной системы и категорию ПДн, смоделировать угрозы безопасности.

2. Внедрить организационно-технические механизмы безопасности в соответствии с четырьмя уровнями защищенности. Определение уровней содержится в постановлении правительства №1119 .

3. Использовать средства информационной защиты, возможности которых подтверждены сертификатами соответствия ФСТЭК и/или ФСБ.

4. Провести до начала обработки ПДн комплексный аудит безопасности, включая аудит информационной системы, компонентов защиты, исполнения требований внутренних организационных и методических распоряжений.

5. Внедрить систему учета всех видов носителей информации ограниченного использования, в том числе ПДн.

6. Заложить в информационной системе функции резервирования и восстановления ПДн в случае несанкционированных изменений или уничтожения.

7. Установить регламент доступа сотрудников оператора к персональным данным в ИС. Уровни доступа должны сегментироваться в зависимости от должностных обязанностей.

8. Внедрить инструменты аудита и журналирования действий сотрудников с персональными данными.

9. Контролировать исполнение правил безопасности эксплуатации персональных данных и непрерывность работы защитных аппаратно-программных сервисов ИСПДн.

Федеральный закон обозначает общее «защитное поле» персональных данных. Конкретные нормы содержатся в приказе ФСТЭК от 18.02.2013 № 21 . Например:

1. В системе обработки ПДн должна применяться идентификация и аутентификация пользователей, компонентов системы и персональной информации - объектов доступа, защиту которых нужно обеспечивать. Реализация требования предполагает сопоставление уникальных идентификаторов, которые присваиваются объектам и субъектам в ИСПДн. Это значит, необходимо задействовать механизмы авторизации и разграничения прав.

2. Программная среда должна быть ограниченной, что подразумевает наличие фиксированного перечня системного и прикладного ПО. У пользователя должны быть заблокированы полномочия изменять набор системных компонентов и разрешенного ПО. Пользователь вправе запускать и использовать ПО в рамках своей роли. Это обеспечит защиту от случайных действий сотрудников, способных нанести ущерб ИСПДн.

3. Хранение и обработка ПДн на съемных носителях возможна только при отлаженном учете устройстве.

4. Оператор должен обеспечить непрерывный мониторинг безопасности: вести журнал аудита событий, чтобы отследить, что произошло и какие меры были предприняты. Одновременно следует надежно защитить сам журнал аудита от модификации и удаления.

5. Система защиты ПДн должна включать антивирусные программные комплексы. Вредоносное ПО нередко становится причиной утечек конфиденциальной информации и частичного (реже - полного) выхода из строя информационной инфраструктуры.

6. Наряду с антивирусом рекомендуется применять системы обнаружения и предотвращения вторжений. Это позволяет анализировать и выявлять факты неавторизованного доступа на уровне сети или компьютерной системы, попытки превышения полномочий или внедрения вредоносного ПО и предпринимать меры по устранению угроз: информирование офицера безопасности, сброс соединения, блокирование трафика и т.д.

7. Несанкционированное изменение, повреждение информационной системы и ПДн фиксируют также системы обеспечения целостности, которые при использовании в ИСПДн должны иметь функции восстановления поврежденных компонентов и информации.

8. Уровень защищенности ИСПДн подлежит регулярному контролю. Развернутые программные компоненты, аппаратный инструментарий и установленные настройки должны обеспечивать непрерывную и полную защиту процедур обработки и хранения информации, исходя из экспертного класса информационной системы.

Перечень мер, устанавливаемых ФСТЭК для реализации системы безопасности ИСПДн, не исчерпывается несколькими пунктами. В приказе № 21 приводятся требования к инструментам виртуализации, каналам связи, конфигурации ИСПДн, классы средств вычислительной техники, антивирусных систем и другие параметры защиты. Кроме приказа ФСТЭК, при внедрении комплекса защиты ПДн организация - обработчик данных должна руководствоваться приказом ФСБ России от 10.07.2014 № 378.

Разработать и внедрить полный комплекс мероприятий по защите ПДн невозможно без освоения нормативной базы, навыков настройки технических средств и знаний принципов ПО, обеспечивающего информационную безопасность. Это значит, защищать персональные данным силами одного сотрудника, по меньшей мере недальновидно. Единственная ошибка на любом уровне рискует обернуться штрафами от регуляторов и потерей лояльности клиентов.

Сотруднику без ИБ-компетенций под силу разобраться в законодательстве и определить категорию ПДн. Пошаговые инструкции, доступные в Сети, помогут разработать регламент информирования субъектов ПДн о сборе информации и составить уведомление в Роскомнадзор о деятельности компании в качестве оператора ПДн - это стандартные документы. Определить роли, разграничить доступ и зафиксировать, какие сотрудники имеют доступ и какие операции вправе совершать с ПДн - несложная задача для специализированного ПО.

Без привлечения специалиста с профильными знаниями не обойтись на этапе при составлении политики безопасности и определении актуальных угроз. Цикл внедрения программно-технических комплексов от подбора до «боевого» использования ПО и оборудования требует понимания документации ФСТЭК и ФСБ. Специалист должен не только ориентироваться в классах СВТ, антивирусах и межсетевых экранах, но и знать, как гарантировать конфиденциальность и обеспечить безотказность связи для сегментов ИСПДн.

Проблема заключается в том, что даже обладающий нужной квалификацией ИТ- или ИБ-специалист не сможет внедрить и поддерживать в ИСПДн подсистему информационной безопасности без соблюдения ряда условий. Работа со средствами технической защиты - деятельность, лицензируемая ФСТЭК. Значит, перед оператором ПДн встанет задача получить лицензию регулятора.

Крупным организациям целесообразно нанять штат специалистов по информационной безопасности, выполнить условия, чтобы получить лицензию ФСТЭК, а затем самостоятельно создать и поддерживать систему обеспечения защиты персональных данных.

Небольшим организациям - обработчикам ПДн содержать ИБ-штат экономически невыгодно. Менее затратным, более разумным и быстрым будет вариант привлечь лицензиатов ФСТЭК. Это организации, которые профессионально занимаются защитой информации. Специалисты лицензиатов уже обладают всеми знаниями нормативной и технической базы, имеют опыт создания комплексных систем безопасности, в том числе информационной.

Аннотация: Лекция позволяет изучить основные термины и базовые законы Российской Федерации в области защиты персональных данных.

Регуляторами называются органы государственной власти, уполномоченные осуществлять мероприятия по контролю и надзору в отношении соблюдения требований федерального закона. В ФЗ "О персональных данных" установлены три регулятора:

  • Роскомнадзор (защита прав субъектов персональных данных)
  • ФСБ (требования в области криптографии)
  • ФСТЭК России (требования по защите информации от несанкционированного доступа и утечки по техническим каналам).

Так как ФЗ "О персональных данных" является лишь основой правового обеспечения защиты ПД, его требования в дальнейшем были конкретизированы в актах Правительства РФ и Министерства связи, нормативно-методических документах регуляторов.

2.2. Категории персональных данных

ФЗ "О персональных данных" выделяет следующие категории персональных данных.

Общедоступные ПД - данные, доступ к которым предоставлен неограниченному кругу лиц с согласия субъекта ПД или на которые в соответствии с федеральными законами не распространяются требования соблюдения конфиденциальности. Общедоступные источники персональных данных создаются в целях информационного обеспечения (например, справочники и адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес , абонентский номер, сведения о профессии и иные персональные данные , предоставленные субъектом персональных данных.

Важно отметить, что сведения о субъекте ПД могут быть в любое время исключены из общедоступных источников по требованию субъекта либо по решению суда или уполномоченных государственных органов.

Специальные категории ПД - персональные данные , касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. Их обработка допускается только в следующих случаях:

  • субъект ПД дал согласие в письменной форме на обработку своих персональных данных;
  • персональные данные являются общедоступными;
  • персональные данные относятся к состоянию здоровья субъекта ПД и получение его согласия невозможно, либо обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
  • обработка персональных данных членов (участников) общественного объединения или религиозной организации при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов ПД;
  • обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством Российской Федерации или необходима в связи с осуществлением правосудия .

Совместный приказ ФСТЭК, ФСБ и Министерства информационных технологий и связи РФ от 13 февраля 2008 года N 55/86/20 "Об утверждении Порядка проведения классификации информационных систем персональных данных" определяет следующие категории персональных данных , которые обрабатываются в ИСПД:

Определение биометрических данных в российском законодательстве предоставляет оператору персональных данных возможность принятия самостоятельного решения об отнесении тех или иных данных к биометрическим. Это породило немало споров. Рассмотрим пример с фотографией. С одной стороны, она характеризует физиологические особенности человека. Но человек с течением времени может сильно измениться или злоумышленник может подделать внешние признаки под законного субъекта. Так ли однозначно в данном случае установление личности? В настоящее время представители регуляторов подтверждают, что фотография и видеоизображения относятся к биометрическим данным.

2.3. Права субъекта персональных данных

Субъект персональных данных – это физическое лицо, которое может быть однозначно идентифицировано на основе персональных данных, то есть фактически тот, чьи данные необходимо защищать. Рассмотрим основные права субъекта ПД, установленные ФЗ-№152.

  1. Право субъекта персональных данных на доступ к своим персональным данным. Это предполагает право субъекта на получение сведений об операторе персональных данных и о том, какие ПД, относящие к этому субъекту, он обрабатывает, а также непосредственный доступ к этим ПД. Субъект вправе требовать от оператора уточнения ПД, их блокирования или уничтожения, если они устаревшие, неполные или не являются необходимыми для заявленной цели обработки. Доступ к своим ПД предоставляется субъекту(или его представителю) при обращении либо на основании запроса. Полученная информация может содержать следующие сведения:
    • цель обработки ПД
    • способы обработки ПД
    • сроки обработки ПД
    • перечень допущенных к обработке ПД лиц
    • перечень обрабатываемых ПД и источник их получения
    • сведения о возможных юридических последствиях обработки ПД для субъекта ПД.

    Закон определяет случаи, когда данное право субъекта ПД ограничивается, например, если речь идет о безопасности страны, нарушении конституционных прав и свобод других лиц или оперативно-розыскной деятельности.

  2. Права субъектов ПД при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации. В данном случае обработка осуществляется только при условии предварительного согласия субъекта. При этом важно отметить, что обработка признается осуществленной без согласия субъекта, если оператор не доказал обратное. Оператор обязан немедленно прекратить обработку ПД по требованию субъекта.
  3. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных. Закон запрещает принятие решений в отношении субъекта ПД исключительно на основании автоматизированной обработки, если не получено его согласия в письменной форме или в случаях, предусмотренных федеральными законами.
  4. Право на обжалование действий или бездействия оператора. Если субъект ПД считает, что оператор обрабатывает его ПД ненадлежащим образом, то есть нарушает его права, он может обратиться в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

Необходимо отметить, что субъект ПД имеет право на возмещение убытков и компенсацию материального вреда в судебном порядке.

2.4. Обязанности оператора персональных данных

Ранее мы рассмотрели понятие оператора персональных данных и действия, являющиеся обработкой персональных данных . Исходя из определения, можно сделать вывод о том, что все без исключения организации являются операторами ПД, так как они накапливают, собирают и обрабатывают информацию о своих сотрудниках в рамках Трудового кодекса РФ. Помимо этого многие организации собирают сведения о своих клиентах, подрядчиках, поставщиках и партнерах в рамках своей основной деятельности. Главными обязанностями оператора ПД является уведомление Роскомнадзора об обработке ПД и,собственно, защита ПД.

Законом предусмотрены случаи, когда оператор не обязан уведомлять Роскомнадзор об обработке ПД:

  1. если его связывают с субъектом трудовые отношения;
  2. если между оператором и субъектом существует договор и данные необходимы для исполнения обязательств по нему;
  3. если данные относятся к членам религиозных объединений и общественных организаций и обрабатываются в соответствии с учредительными документами и с законом.
  4. если данные являются общедоступными;
  5. если включают в себя только ФИО;
  6. данные необходимы для однократного пропуска на территорию оператора или аналогичных целей;
  7. если данные включены в федеральные автоматизированные информационные системы и государственные информационные системы персональных данных;
  8. если данные обрабатываются без использования средств автоматизации в соответствии с законами РФ.

Важно отметить, что оговаривается обязанность оператора не передавать персональные данные третьим лицам.

При этом многие организации допускают ошибку в том, что если они не обязаны уведомлять уполномоченный орган об обработке ПД, то можно не выполнять обязанности, возлагаемые законом на операторов ПД. Такие действия являются противозаконными, однозначно трактуются как невыполнение требований законодательства и караются мерами, предусмотренными Законом.

Рассмотрим основные обязанности оператора персональных данных, предусмотренные ФЗ-№152:

  1. Обеспечение безопасности обработки персональных данных, что означает обязанность "принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий".
  2. Уведомительный характер обработки персональных данных. В соответствии со статьей 2 ФЗ-№152 оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов ПД (Роскомнадзор) о своем намерении осуществлять обработку персональных данных. Роскомнадзор вносит сведения об операторе в реестр операторов. Информация, содержащаяся в реестре, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, является общедоступной.
  3. При получении персональных данных (в том числе от третьих лиц) оператор ПД до начала обработки обязан получить у субъекта этих ПД письменное разрешение на их обработку (за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если они являются общедоступными). Важно отметить, что субъект имеет право отозвать данное разрешение.
  4. Оператор обязан предоставить субъекту ПД по требованию все имеющиеся сведения о нем, целях и условиях обработки, способах защиты его персональных данных.

    Оператор также должен уничтожить или блокировать соответствующие персональные данные, внести в них необходимые изменения по предоставлении субъектом ПД или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет оператор, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

    Более того, оператор ПД обязан предоставить доказательство получения согласия субъекта ПД на обработку его персональных данных, а в случае обработки общедоступных персональных данных на него возлагается обязанность доказать, что обрабатываемые ПД являются общедоступными.

  5. Подконтрольность и поднадзорность деятельности операторов персональных данных государственным органам. Это означает обязанность оператора сообщать в уполномоченный орган по защите прав субъектов ПД по его запросу информацию, необходимую для осуществления деятельности указанного органа. Функциями контроля и надзора государство наделило Роскомнадзор, ФСТЭК и ФСБ.

Законом также предусмотрены случаи, когда не требуется согласие субъекта ПД на обработку сведений о нем:

  1. обработка персональных данных осуществляется на основании других федеральных законов, например, некоторыми Федеральными законами предусматриваются случаи обязательного предоставления субъектом ПД своих персональных данных в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства;
  2. оператор и субъект ПД связаны договором на выполнение действий, которые требуют обработки персональных данных этого субъекта, например, договор, по которому туристическая фирма (оператор) имеет право использовать персональные данные субъекта для бронирования гостиницы;
  3. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПД, если получение его согласия невозможно, например, госпитализация человека при несчастном случае;
  4. обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
  5. обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта ПД;
  6. осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе ПД лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Во всех других случаях оператор должен соблюдать требования российского законодательства по обработке персональных данных. Законом предусмотрена гражданская, уголовная, административная, дисциплинарная и иная ответственность за нарушение его требований.

Так, Кодекс об административных правонарушениях предусматривает максимальный штраф в 500000 рублей за невыполнение законного предписания Роскомнадзора (ст. 19.5 КоАП). Тот же Кодекс предусматривает приостановку деятельности организации на срок до 90 суток при осуществлении деятельности по защите персональных данных без лицензии (ст. 19.20 КоАП).

В уголовном кодексе говорится о штрафе в 300000 руб., обязательных работах на срок до 1_го года, аресте до 6_ти месяцев и лишении права занимать должность на срок до 5_ти лет в случае осуществления защиты персональных данных без лицензии в случаях, если это деяние причинило крупный ущерб гражданам (ст. 171 УК).

При систематических и грубых нарушениях Роскомнадзор имеет право ходатайствовать об отзыве лицензий на основной вид деятельности.

Персональные данные работника - тема сейчас особо актуальная. Чтобы не оштрафовали ГИТ и Роскомнадзор, читайте о том, как правильно обрабатывать персданные, как их хранить и как защитить. Скачайте готовые образцы всех необходимых документов

Из этой статьи вы узнаете:

Персональные данные работника: что к ним относится

Для начала нужно четко определить, что относится к персональным данным (ПДн). Они имеются в ведении каждой компании, и их можно условно разделить на два вида:

  1. Документы, которые служащий предоставил сам при трудоустройстве (ст.65 ТК РФ).
  2. Документы, образовавшиеся в процессе работы (приказы, личная карточка, бухгалтерские бумаги по оплате труда).

Все эти данные конфиденциальны и нуждаются в защите.

Законодательно установлены такие категории персональных данных:

Письмо Роскомнадзора от 14.12.2012 г. определяет еще ряд случаев, например, при обработке:

  • ПДн родных служащего, зафиксированных в его досье (при праве на алименты, на соцвыплаты и допуске к государственной тайне);
  • медицинской информации, связанной с возможностью выполнения трудовой функции;
  • ПДн, требующихся для пропуска;
  • размещении ПДн персонала в интернете.

Защита персональных данных в организации: пошаговая инструкция

Шаг 1. Разработать и утвердить Положение о защите персональных данных.

Шаг 2. Оформить лист ознакомления с Положением, в котором каждый служащий расписывается после знакомства с документом с проставлением даты.

Шаг 3. Разработать и утвердить Инструкцию для ответственного (можно оформить приложением к Положению).

Уведомлять Роскомнадзор о начале сбора ПДн сотрудников не нужно, поскольку он ведется в рамках трудовых отношений.

Шаг 4. Издать приказ об организации обработки ПДн на предприятии.

Шаг 5. Составить и утвердить Перечень персональных данных, обрабатываемых в организации.

Шаг 6. Приказом назначить ответственного за обработку ПДн .

Шаг 7. Издать приказ об установлении списка лиц, обладающих доступом к личным сведениям о персонале.

Шаг 8. Взять от каждого сотрудника его письменное согласие на обработку личной информации.

Шаг 9. Обеспечить надежное хранение бумажных документов в спецшкафах либо сейфах.

Шаг 10. При хранении сведений в базе данных предварительно следует составить акт ее классификации и определения уровня ее защищенности.

Комплект документов по защите персональных данных

Разработка пакета документов по защите персональных данных в 2018 потребуется для любого их оператора. Причем ФЗ №152 не оговаривает перечень документов и не предлагает их форм, а посему каждая компания вправе самостоятельно определить состав пакета. Все материалы по защите ПДн на предприятии можно разбить на три подвида:

1. Организационные:

2. Технологические (инструкции).

3. Методические (правила работы с ПДн).

Срок хранения персональных данных

ПДн собраны в досье служащего, а срок его хранения определен в 75 лет. Исключение составляют данные руководителей, работников, имеющих звания (премии, награды, ученые степени) – их следует хранить постоянно.

Документы по защите персональных данных работников необходимы для успешного внедрения на предприятии системы обеспечения конфиденциальности таких сведений. В нашей статье вы найдете информацию не только о том, какая документация может применяться в ходе работы с персональными данными, но также и о том, где можно скачать примеры таких документов.

Законодательство о комплекте документов по защите персональных данных в организации

Законодатель в ст. 7 ФЗ «О персональных данных» от 27.07.2006 № 152 устанавливает обязанность организаций, имеющих статус оператора персональных данных (далее — ПД), т. е. юридического лица, выполняющего сбор, обработку и хранение такой информации, по обеспечению конфиденциальности сведений. Чтобы предотвратить несанкционированный доступ к ПД, необходимо реализовать комплекс защитных мер, в перечень которых входит разработка пакета специализированных документов и их внедрение в деятельность предприятия.

При этом законодатель не определяет точного состава такого пакета и не указывает, какую форму должны иметь документы по защите персональных данных. Это означает, что руководство организации может определить перечень и вид используемой для этих целей документации самостоятельно.

Что входит в пакет документов по защите персональных данных, где можно скачать образцы?

Условно всю документацию, используемую в ходе реализации мероприятий, направленных на обеспечение защиты персональных данных на предприятии, можно разделить на 3 группы:

  1. Организационные. Такие документы определяют задачи, функционал и объем ответственности служб и сотрудников, занимающихся сбором, обработкой и хранением персональных данных работников предприятия. К этой категории относятся:
    • положение о ПД (либо о защите ПД);
    • должностные инструкции;
    • приказы (о допуске к работе с ПД, утверждении списка сотрудников, имеющих право на работу с ПД, и пр.);
    • уведомления.
  2. Технологические. В документации такого вида содержатся сведения, определяющие порядок и способы реализации процедуры защиты персональных данных. К ней могут быть отнесены инструкции по обработке и защите ПД.
  3. Методические. Эти документы детализируют процессы обработки ПД и определяют порядок работы с документами и иными носителями ПД. К данной группе относятся правила работы с ПД.

Таким образом, пакет документации по защите ПД может включать в себя должностные инструкции, приказы, уведомления, а также положения, регулирующие порядок сбора, обработки и хранения информации. Образцы всех этих документов имеются на нашем сайте.



Выбор редакции

© 2024 solidar.ru -- Юридический портал. Только полезная и актуальная информация