Построение системы защиты персональных данных. Что такое система защиты персональных данных? мероприятия по обеспечению безопасности и инструкция по разработке сзпд. Что означает термин «персональные данные»

Федеральный закон № 152-ФЗ и подзаконные акты (Приказ ФСТЭК № 21 от 18.02.2013, Постановление Правительства РФ №1119 от 01.11.2012), устанавливают ряд обязательных требований, в том числе технического характера, которые должны выполняться организациями, осуществляющими обработку персональных данных (операторами персональных данных) с использованием информационных систем, включая меры защиты персональных данных от случайного или неправомерного доступа к ним, изменения, копирования, блокирования, уничтожения, распространения и других неправомерных действий.

Мероприятия по защите персональных данных

АМТЕЛ-СЕРВИС предоставляет услуги защиты персональных данных для организаций различных отраслей, в т.ч. хранящих и обрабатывающих данные в корпоративном или публичном облаке, осуществляющих трансграничную передачу персональных данных россиян. Наша компания работает с проектами в области защиты ПДн среднего и крупного масштаба, стоимостью от 250 тыс. рублей. Всю документацию мы разрабатываем индивидуально и учитываем всю специфику процессов вашей компании, а не просто адаптируем универсальные шаблоны, как это делают многие ИТ-поставщики в целях экономии.

АМТЕЛ-СЕРВИС реализует весь комплекс организационных и технических мероприятий для обеспечения защиты персональных данных (ИСПДн):

• Аудит на соответствие требованиям 152-ФЗ, 242-ФЗ, разработку детального отчета
• Разработку модели угроз, классифицирование информационных систем персональных данных (ИСПДн)
• Разработку комплекта организационно-распорядительной документации
• Разработку технического задания на создание системы защиты
• Проектирование системы защиты ИСПДн
• Внедрение системы безопасности ИСПДн, включая поставку, монтаж, настройку оборудования и ПО, проведение пуско-наладочных работ, разработку эксплуатационной документации, опытную эксплуатацию системы, проведение приемочных испытаний
• Аттестационные испытания
• Консультационную поддержку и сопровождение, включая консультации при проведении проверок Регуляторами (Роскомнадзор, ФСТЭК России, ФСБ России).

Альтернативой построению ИСПДн для небольших компаний может стать облачный сервис «Облако ФЗ-152». Это позволит сэкономить на обслуживании и гарантировать обеспечение защиты персональных данных за разумные деньги.

Преимущества сотрудничества с нами

Защита ПДн, включая аттестацию, аудит защиты персональных данных, а также внедрение системы защиты, — одна из самых востребованных услуг АМТЕЛ-СЕРВИС в сфере ИБ. Заказывая услуги по обеспечению защиты ИСПДн предприятия из Москвы и регионов получают:

• Полный комплекс мероприятий - от проверки на соответствие требованиям 152-ФЗ до проектирования и внедрения системы ЗПДн и прохождения аттестационные испытаний
• Доступ к глубокой экспертизе в области информационной безопасности для полной и всесторонней оценки эффективности работы системы ИБ - в АМТЕЛ-СЕРВИС работают квалифицированные специалисты с многолетним опытом работы
• Решение, реализованное на передовых технологиях и средствах защиты информации, обеспечивающее комплексную и надежную защиту ИТ-систем при оптимальном бюджете.

Качество услуг АМТЕЛ-СЕРВИС подтверждено международными сертификатами, большим опытом работы и многочисленными клиентами. Мы входим в ТОП-30 ведущих компаний в сфере защиты информации. У нас в наличии есть все необходимые для проведения работ лицензии ФСТЭК и ФСБ России. Позаботьтесь о защите ПДн: обращайтесь в нашу компанию.

Всем организациям в Российской Федерации приходится работать с тем или иным количеством персональных данных, и зачастую руководители даже не имеют понятия о том, сколь много информации о сотрудниках предприятия или компании обрабатывается с нарушением норм действующего законодательства.

Следует отметить, что в большинстве случаев нарушения здесь допускаются вовсе не из-за наличия желания как-то обойти закон. Причина более банальна – это элементарное незнание. Можно привести достаточно распространенный в России пример нарушения – новый сотрудник подает пакет документов согласно определенному списку. Работодатели, принимая такие документы, не берут согласия владельца на обработку его персональных данных, а это уже нарушение требований законодательства, пускай даже непреднамеренное. Впрочем, такого рода рисков можно избежать, обладая определенными знаниями. В частности, нужно знать, что к персональным данным в России относятся:

• Ф. И. О., дата рождения;
• имущественное и семейное положение;
• сведения о полученном образовании;
• информация о месте работы и профессии;
• сведения о членах семьи человека.

В документах, которые являются обязательными к предъявлению при трудоустройстве, есть значительное количество персональных данных. Перечень данных документов можно найти в статье 65 Трудового кодекса, на основании которой работодатель имеет право обрабатывать имеющиеся там персональные данные без получения согласия от их владельца. Однако в данный перечень не входят такие документы, как справка о состоянии здоровья или о составе семьи.

При этом предоставление сотрудником ИНН, запрашиваемого многими компаниями при приеме на работу, требует получения согласия на обработку содержащихся здесь данных. Ряд работодателей, скорее всего, в силу оставшейся с прежних времен привычки, требуют вклеивать в личную карточку Т2 фотографию сотрудника, причем согласия самого работника на такое действие не спрашивается. Согласно достаточно распространенному мнению, фото к персональным данным не относится. Это довольно спорное мнение, поскольку закон гласит, что персональные данные – это сведения, по которым можно идентифицировать человека, без использования его Ф. И. О. и даты рождения. Понятно, что идентифицировать человека по фотографии, конечно же, можно. Между тем работодатели, запрашивая у работника его фото, не берут у него письменного согласия на обработку персональных данных – это неправильный подход.

Работодатель, в соответствии с пунктом 7 статьи 86 ТК, должен обеспечить защиту от утраты или от неправомерного использования персональные данные своих рабочих, причем закон обязует его это делать за собственный счет. Помимо этого, законодательство предусматривает еще и соблюдение определенного порядка хранения таких данных, и их использования.

Для того чтобы соответствовать требованиям закона, руководство предприятия издает локальный нормативный акт. Данным документом осуществляется регулирование всех вопросов, связанных с хранением персональных данных, а также с их использованием. Помимо этого, он еще и обеспечивает защиту данных от утраты или от их неправомерного использования.

Такой локальный нормативный акт должен содержать в себе:

• описание доступа к данным – как внешнего, так и внутреннего;
• список сотрудников, имеющих такой доступ;
• порядок работы с данными;
• ответственность за разглашение информации;
• регламент защиты.

Как правило, таким локальным нормативным актом становиться положение о защите персональных данных. Структура такого документа состоит из нескольких разделов, в которых указываются:

• цели создания данного документа, общие моменты, сфера действия;
• используемые определения;
• перечень данных и цели их обработки – то есть, какие из сведений могут использовать операторы;
• условия, обязательные к соблюдению при обработке;
• порядок передачи персональных данных, как внутри предприятия или компании, так и государственным органам и третьим лицам;
• порядок доступа, как внутренний, так и внешний;
• ответственность в случае нарушения действующих норм;
• угрозы безопасности – модель угрозы и ее степени. Помимо этого, указываются меры, предпринимаемые для защиты информации;
• положения, касающиеся самого акта – о вступлении его в силу, периоде действий, порядке внесения изменений.

Защищаем личную информацию сотрудников

Как уже говорилось выше, обязанностью работодателя, прописанной на законодательном уровне, является создание всех условий, необходимых для защиты персональной информации сотрудников. Иными словами, должна быть создана система, способная обеспечить недоступность такой информации, ее конфиденциальность, а также ее безопасность и целостность в процессе работы предприятия или организации.

Нормами российского законодательства предусмотрена внешняя и внутренняя защита. В частности, для того чтобы обеспечить внутреннюю защиту, компания может определить состав сотрудников, функциональные обязанности которых требуют доступа к личным данным их коллег. Одновременно с этим нужно обоснованно и избирательно распределить документы с такой информацией между сотрудниками, уполномоченными на ведение работы с личными данными. Серьезного подхода здесь требуют непосредственно рабочие места – они должны быть оборудованы таким образом, чтобы полностью исключить возможность беспрепятственного несанкционированного проникновения и просмотра.

Для того чтобы обеспечить внешнюю защиту, руководство компании может, например, ввести для всех посетителей пропускной режим. Еще одним вариантом здесь является использование для защиты информации, хранящейся на электронных носителях, специального защитного программно-технического комплекса.

Принимая комплекс мер, направленных на защиту личной информации, следует в первую очередь исходить из уровня реальной угрозы безопасности. Естественно, чем более высоким будет этот уровень, тем большее количество мер для защиты персональных данных нужно предпринять.

Можно выделить 3 типа угроз, создающих реальную опасность незаконного доступа к личной информации. При этом работодатель самостоятельно определяет, какой из этих типов является характерным для возглавляемого им предприятия или организации. Для того чтобы обеспечить безопасность на действительно высоком уровне, есть целый ряд требований, которых следует придерживаться неукоснительно. В частности, для того чтобы обеспечить минимальный, 4-й уровень защиты, нужно предпринять следующие меры:

• обезопасить помещения с находящейся внутри них информационной системой от возможного несанкционированного проникновения;
• обеспечить безопасное хранение носителей, на которых хранится информация;
• защитить информацию, используя прошедшие через процедуру оценки соответствия средств;
• определиться с сотрудниками, имеющими доступ к персональным данным в силу своих трудовых обязанностей.

Следует также определиться и с техническими средствами защиты информации, которые препятствуют несанкционированному доступу. Такими средствами являются, например, криптографические средства, межсетевые экраны и антивирусное программное обеспечение. Следует отметить один очень важный момент: все используемые здесь средства в обязательном порядке сперва должны пройти процедуру сертификации. Ознакомиться с перечнем сертифицированных средств защиты персональных данных можно, зайдя на официальный интернет-сайт ФСТЭК. Но это еще не все. Выбрав средство защиты и установив его, необходимо еще и сделать правильные настройки, в ином случае работа может быть попросту заблокирована из-за неточностей, допущенных на данном этапе.

Как поступать с персональной информацией, содержащейся в резюме

Хотелось бы остановить внимание на еще одном, достаточно любопытном моменте – речь идет о персональных данных претендентов на получение работы и о действиях, которые можно предпринимать работодателю с такой информацией. Здесь следует напомнить, согласно законодательству, резюме соискателя работы – это общедоступная информация, поэтому письменного согласия на ее обработку от владельца можно не получать. Но если же претенденту на ту или иную должность заполнить анкету, предусматривающую указание персональных данных, или же потенциальным работодателям снимаются копии с документов претендента, таких как диплом, паспорт и так далее, то здесь письменное согласие владельца будет уже обязательным.

Для посетителей нашего сайта действует специальное предложение - вы можете совершенно бесплатно получить консультацию профессионального юриста, просто оставив свой вопрос в форме ниже.

Работа с персональными данными – это очень высокий уровень ответственности, поэтому недооценивать важность создания надежной защиты, получения согласия и пренебрегать установленными правилами явно не стоит. Также следует помнить, что трудовая инспекция в настоящее время очень строго следит за выполнением норм Трудового кодекса, стараясь не упустить ни одну из нынешних нормативных сфер. Поэтому всего лишь один документ – письменное согласие на обработку персональных данных – может в будущем защитить работодателя от многих проблем.

Создание системы защиты персональных данных (СЗПДн) — это комплекс мер технического и организационного характера, направленных на защиту сведений, отнесенных в соответствии с Федеральным Законом от 27 июля 2006 г. N 152-ФЗ к персональным данным.

Каждая компания, обрабатывающая персональные данные, заинтересована в обеспечении безопасности их обработки. Необходимость построения систем защиты признают в равной степени и коммерческие организации, и государственные структуры.

На основании уже реализованных проектов по внедрению СЗПДн, можно выделить следующие преимущества:

Во-первых, это минимизация правовых и репутационных рисков, связанных с несоблюдением существующего законодательства в области персональных данных.

Во-вторых, грамотно построенная система защиты обеспечивает сохранность при обработке персональных данных клиентов и работников, что особенно важно при работе с частными лицами и информацией для служебного пользования. К наиболее распространенным угрозам, которые нейтрализует СЗПДн, относятся воздействия вредоносных программ и воровство клиентских баз бывшими сотрудниками.

В-третьих, обеспечение конфиденциальности персональных данных в компании положительно сказывается на ее имидже, повышая доверие у клиентов и партнеров.

Многие компании при заключении партнерских отношений придают высокое значение мерам защиты информации, принятым в компаниях-контрагентах. Нередко одним из условий договора или тендера является документированное соответствие системы защиты персональных данных требованиям нормативных актов.

Система защиты персональных данных является средством поддержания непрерывности бизнеса, позволяющее компаниям продолжать свою деятельность, не опасаясь претензий со стороны клиентов, сотрудников и регулирующих органов.

Создание системы защиты персональных данных состоит из трех стадий, которые выполняются в несколько этапов:

• Подлежат ли исполнению банком обязательства должника-владельца счета по требованиям кредиторов 1-3 очереди?
• Руководитель ООО был осужден по ст. 173.1. УК РФ. Какие последствия для сделок, заключенных данным руководителем?
• Какие особенности приема на работу по совместительству иностранца, с патентом на работу по конкретной профессии?
• Необходимо ли в учреждении утверждать положение о пропускном режиме?
• Вправе ли ГБУ для оказания госуслуг закупать другие услуги, если их использование не предусмотрено техрегламентом?

Вопрос

ООО получило электронное уведомление Россертификации, в котором указано, что все организации обязаны уведомить Роскомнадзор об обработке персональных данных и разработать комплект документации по информационной безопасности. В противном случае, если ООО не зарегистрируется в реестре Роскомнадзора, в т. ч. не разработает комплект документов по охране данных, ей грозит штраф от 45000 до 300 000 руб., кроме того, при отсутствии документов и внедренной системы защиты данных сотрудников и клиентов, общество не может законно продолжать свою деятельность. Вопрос. Предусмотрена ли действующим законодательством обязанность общества с ограниченной ответственностью и/или закрытого акционерного общества (основной вид деятельности - сдача собственного недвижимого имущества в аренду) по разработке такой системы защиты и регистрации в реестре Роскомнадзора? Какая предусмотрена ответственность за отсутствие системы защиты, за невыполнение электронного предписания Россертификации?

Ответ

Все организации, обрабатывающие персональные данные, обязаны создать меры по хранению и защите персональных данных. В некоторых случаях об обработке персональных данных необходимо уведомить Роскомнадзор.

Административная ответственность за нарушение порядка обработки персональных данных установлена в виде штрафа до 10 000 р. (на юрлиц), а уголовная – до 300 000 р.

Ответственность за невыполнение предписания установлена КоАП РФ.

Подробно об этом см. материалы в обосновании.

Обоснование данной позиции приведено ниже в материалах «Системы Кадры» .

«Какие персональные данные сотрудника вправе получить организация

В организации персональные данные сотрудников содержатся в их личных карточках и личных делах (если они ведутся). Все персональные данные сотрудника можно получить только от него самого. Если персональные сведения возможно получить только от третьих лиц, то сначала уведомите об этом сотрудника и получите от него письменное согласие. При этом сообщите сотруднику о целях, предполагаемых источниках и способах получения персональных данных. Кроме того, известите его о характере подлежащих получению персональных данных и о последствиях отказа сотрудника дать согласие на их получение. Такой порядок предусмотрен в части 1 статьи 86 Трудового кодекса РФ.

Организация не вправе собирать персональные данные, которые не относятся напрямую к трудовой деятельности сотрудника, например, сведения о вероисповедании, политических пристрастиях, жилищных условиях и т. п. Эти сведения составляют личную или семейную тайну гражданина, которую он вправе никому не разглашать. Об этом сказано в части 1 статьи 86 Трудового кодекса РФ и Закона от 27 июля 2006 г. № 152-ФЗ.

Получив персональные данные, работодатель обязуется их не распространять и не раскрывать третьим лицам без согласия на то сотрудника ().

Как уведомить контролирующее ведомство о начале обработки персональных данных сотрудников

До начала обработки персональных данных сотрудников работодателю необходимо уведомить территориальный орган Роскомнадзора о намерении осуществить обработку. Исключение составляют случаи обработки персональных данных*:

• обрабатываемых в соответствии с трудовым законодательством;
• сделанных сотрудниками общедоступными;

• полученных организацией в связи с заключением договора, стороной которого является сотрудник (при условии, что персональные данные не распространяются, а также не предоставляются третьим лицам без согласия сотрудника и используются работодателем исключительно для исполнения указанного договора и заключения иных договоров с сотрудником);
• относящихся к членам (участникам) общественного объединения или религиозной организации;
• включающих в себя только фамилии, имена и отчества сотрудников;
• необходимых в целях однократного пропуска сотрудника на территорию работодателя и в иных аналогичных целях;
• включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
• обрабатываемых без использования средств автоматизации в соответствии с законодательными актами, устанавливающими требования к обеспечению безопасности персональныхданных при их обработке и к соблюдению прав субъектов персональных данных;
• обрабатываемых в случаях, предусмотренных законодательством России о транспортной безопасности.

В случае прекращения обработки персональных данных работодатель также обязан уведомить об этом уполномоченный орган. Сделать это нужно в течение десяти рабочих дней с момента прекращения обработки данных. Типовой бланк уведомления о прекращении обработки данных не утвержден, поэтому работодатель может составить его в произвольной форме ().

Вопрос из практики: что следует понимать под обработкой персональных данных сотрудника

Под обработкой персональных данных следует понимать любое действие или совокупность действий, совершаемых с персональными данными сотрудника, в том числе с использованием средств автоматизации. В частности, к таким действиям можно отнести сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Это следует из положений статьи 3 Закона от 27 июля 2006 г. № 152-ФЗ.

Так, получение от сотрудника сведений, необходимых для заполнения его трудового договора и личной карточки, хранение этих сведений и документов, оформленных на их основании, в полной мере относится к обработке персональных данных.

Персональные данные сотрудников обрабатывают уполномоченные на это представители организации (как правило, сотрудники службы персонала). Лица, осуществляющие обработку персональных данных, должны быть проинформированы о факте такой обработки, категориях обрабатываемых данных, а также об особенностях и правилах такой обработки, установленных нормативно-правовыми актами и локальными актами организации. Об этом говорится в Положения, утвержденного , Закона от 27 июля 2006 г. № 152-ФЗ.

Кроме того, работодатель вправе поручить обработку персональных данных сторонней организации (). Договор между работодателем и такой организацией должен предусматривать обязанность данного лица обеспечить безопасность персональных данных при их обработке ( Требований, утвержденных ).

Защита персональных данных

Как организовать защиту персональных данных сотрудников в организации

Чтобы не допустить разглашения персональных данных, создайте надежную систему их защиты. Порядок получения, обработки, передачи и хранения таких сведений установите в локальном акте организации, например в Положении о работе с персональными данными сотрудников (ст. , ТК РФ, ). Положение утверждает руководитель организации. С ним под подпись ознакомьте сотрудников организации*. Об этом говорится в части 1 статьи 86 Трудового кодекса РФ.

Также в организации необходимо назначить лицо, ответственное по работе с персональными данными (). Как правило, таким сотрудником является работник службы персонала, поскольку именно он в ходе своей работы чаще всего сталкивается с персональными данными сотрудников. Лицо, ответственное за работу с персональными данными, назначьте приказом в произвольной форме.

Конкретные меры по обеспечению безопасности персональных данных сотрудников при их обработке предусмотрены в Закона от 27 июля 2006 г. № 152-ФЗ и , утвержденных . На их основе организация может выработать свою собственную систему защиты персональных данных*.

Так, при обработке персональных данных в информационной системе необходимо обеспечить защиту и безопасность персональных данных. При этом угрозой безопасности персональных данных является совокупность условий и факторов, создающих опасность несанкционированного (в т. ч. случайного) доступа к персональным данным при их обработке в системе, результатом которого могут стать:

• уничтожение;
• изменение;
• блокирование;
• копирование;
• предоставление;
• распространение;
• иные неправомерные действия с персональными данными.

Следует отметить, что выбор конкретных средств защиты информации для информационной системы обработки персональных данных осуществляется работодателем в соответствии с нормативно-правовыми актами ФСБ России и ФСТЭК России. Определение типа угроз безопасности персональных данных, актуальных для системы обработки и защиты персональных данных, производится с учетом оценки возможного вреда и в соответствии с нормативными актами упомянутых органов (п. , Требований, утвержденных ).

При обработке персональных данных в системах могут устанавливаться четыре уровня защищенности в зависимости от категории данных и количества сотрудников, сведения о которых содержит система. В зависимости от уровня защищенности работодателю следует принимать различные меры защиты систем обработки персональных данных, предусмотренные Требований, утвержденных . Например, установление режима обеспечения безопасности помещений, в которых размещены персональные данные, назначение лиц, ответственных за обеспечение безопасности персональных данных в информационной системе, и т. п. Конкретные требования к указанным мерам по обеспечению безопасности персональных данных при их обработке установлены , утвержденными .

Для контроля защищенности персональных данных при их обработке работодатель или уполномоченное им лицо не реже одного раза в три года осуществляет контрольные проверки, конкретные сроки которых работодатель определяет самостоятельно. При необходимости к проведению проверки на договорной основе можно привлечь организации или индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации ( Требований, утвержденных ).

Положение о персональных данных

Вопрос из практики: является ли Положение о работе с персональными данными сотрудников обязательным документом

Да, является.

Порядок хранения, обработки и использования персональных данных сотрудников устанавливает работодатель с учетом требований Трудового кодекса РФ и иных федеральных законов (). Это значит, что работодатель должен самостоятельно определить порядок такой обработки и закрепить его в локальном нормативном акте, в частности, Положении о работе с персональными данными сотрудников. Все сотрудники организации при приеме на работу должны быть ознакомлены с Положением под подпись ().

Исходя из указанного следует, что Положение о работе с персональными данными является обязательным документом организации, а его отсутствие влечет (). На это указывают и суды (см., например, ).

Пример оформления Положения о работе с персональными данными сотрудников

Руководитель организации утвердил Положение о работе с персональными данными сотрудников.

Кадровой службы в организации нет. Ответственным за ведение кадрового учета назначена бухгалтер организации В.Н. Зайцева.

Вопрос из практики: как защитить персональные сведения, находящиеся в компьютерной базе данных

Чтобы предотвратить несанкционированный доступ к персональным сведениям, находящимся в компьютерной базе данных, в Положении закрепите процедуру защиты такой информации. Чем выше риск несанкционированного доступа к персональным данным, тем больше мер нужно предпринять для защиты такой информации. Например, организация может ввести систему индивидуальных паролей, которые будут меняться с определенной периодичностью, ограничить доступ сотрудников к компьютерам, на которых хранятся личные данные, хранить диски и дискеты с такой информацией в запирающихся шкафах.

Обработку персональных данных в информационной системе необходимо осуществлять в соответствии с положениями Требований, утвержденных .

Организация может обеспечивать защиту персональных данных как самостоятельно, так и с привлечением сторонних организаций, имеющих лицензию на осуществление деятельности по защите конфиденциальной информации. Такие разъяснения даны в Требований, утвержденных .

Какая ответственность грозит организации и ее должностным лицам за нарушения в работе с персональными данными

За нарушение порядка получения, обработки, хранения и защиты персональных данных сотрудников предусмотрена дисциплинарная, материальная, административная и уголовная ответственность( , ).

К дисциплинарной ответственности могут быть привлечены только те сотрудники, которые приняли на себя обязательства соблюдать правила работы с персональными данными и нарушили их (). Материальная ответственность может наступить, если в связи с нарушением правил работы с персональными данными организации причинен прямой действительный ущерб ().

За нарушение порядка сбора, хранения, использования или распространения персональных данных организацию и ее должностных лиц могут оштрафовать. Размер штрафа составляет:

• для должностных лиц (например, руководителя организации) от 500 до 1000 руб.;
• для организации от 5000 до 10 000 руб.

Штраф для должностных лиц за разглашение персональных данных в связи с исполнением служебных или профессиональных обязанностей составляет от 4000 до 5000 руб*.

Такие меры ответственности предусмотрены статьями и Кодекса РФ об административных правонарушениях.

Уголовная ответственность для руководителя организации (иного лица, ответственного за работу с персональными данными) может наступить за незаконное:

• собирание или распространение сведений о частной жизни сотрудника, составляющих его личную или семейную тайну, без его согласия;
• распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации.

За указанные нарушения предусмотрены следующие меры ответственности:

• штраф в размере до 200 000 руб. (или в размере доходов осужденного за период до 18 месяцев);
• обязательные работы на срок до 360 часов;
• исправительные работы на срок до одного года;
• принудительные работы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового;
• арест на срок до четырех месяцев;
• лишение свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет.

При этом те же деяния, совершенные лицом с использованием своего служебного положения, наказываются:

• штрафом в размере от 100 000 до 300 000 руб. (или в размере доходов осужденного за период от одного года до двух лет);
• лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет;
• принудительными работами на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет или без такового;
• арестом на срок от четырех до шести месяцев;
• лишением свободы на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет.

Профессиональная справочная система для юристов, в которой вы найдете ответ на любой, даже самый сложный вопрос.

Предъявляет особые требования к информсистемам, содержащим персональные данные, и предполагает создание особых средств и систем защиты информации.

Система защиты персональных данных (СЗПД) – это комплекс мер и мероприятий организационного и технического характера , направленных на противодействие несанкционированному доступу к закрытой информации с учетом актуального типа угроз безопасности(п. 2 Постановления Правительства РФ от 01.11.2012 N 1119).

Любое физическое или юридическое лицо, подпадающее под определение “оператор ПД”, обязано создать условия и предпринять меры по охране ПД от непредумышленных или преступных покушений.

СЗПД должна быть выстроена таким образом, чтобы действовать эффективно, но в то же время обеспечивать непрерывность внутренних процессов компании или организации.

Какие существуют уровни защищенности?

Важно! Контролировать выполнение требований по защищенности информации, оператор может самостоятельно либо привлечь лицензированную организацию, которая специализируется на создании и реализации СЗПД.

Какие предпринимаются меры и мероприятия?

Мероприятия по защите ПД – это комплекс мер, направленных на надежную охрану конфиденциальной информаци и, которую субъект предоставляет оператору организации.

Организационные меры включают:

1. Оповещение Роскомнадзора о начале обработки персональных данных путем отправки в орган соответствующего уведомления.

Разработка пакета документации для внутреннего пользования , которой регламентируются операции с ПД, их обработка и хранение, в частности это , Приказ о назначении ответственного за обработку ПД лица, должностные инструкции и пр. Больше информации о пакете документов, необходимых для создания защиты персональных данных, найдете , а про документы, необходимые для защиты ПД работников в организациях, мы рассказываем .

Внедрение пропускного режима для доступа на объект, где хранятся и обрабатываются данные.

Подписание соглашений с третьими лицами , которые участвуют в обработке информации.

Составление перечня ограниченного круга лиц , которые имеют право работать с ПД и несут ответственность за конфиденциальность информации.

Рациональное расположение рабочих мест в организации , исключающее несанкционированный доступ к личным сведениям.

2. Внутренний контроль за соблюдением требований к в соответствии с законодательством.

Технические меры предполагают использование программных и аппаратных средств информационной защищенности.Они направлены на:

• предупреждение неправомерного доступа – внедрение системы разграничения доступа, установка антивирусных программ, межсетевых экранов, криптографических и блокировочных средств;
• предотвращение технической информационной утечки – применение экранированных кабелей, высокочастотных фильтров, систем зашумления и пр.

Средства и способы защиты оператор выбирает самостоятельно с учетом актуальных угроз и особенностями операций, совершаемых с ПД.

Пошаговая инструкция по разработке СЗПД

Процессы обработки и защиты ПД должны строго соответствовать законодательным актам РФ, прежде всего положениям Федерального закона № 152-ФЗ «О персональных данных» . Это можно реализовать только при помощи грамотно выстроенной системы. Создание системы – процесс сложный, который выполняется поэтапно:

1. Издание внутреннего приказа , в соответствии с которым начинаются процессы подготовки и реализации мер по защите ПД и построение защитной системы. В приказе обязательно должен быть указан сотрудник, который несет ответственность за выполнением соответствующих мероприятий, перечисляются локальные документы, в том числе Положение по защите и обработке данных и состав специальной комиссии.
2. Обследование внутренних систем , содержащих конфиденциальную информацию. На этом этапе нужно определить, является ли организация оператором ПД. Если да, то к какой категории относятся обрабатываемые данные. Составляется отчет о диагностических мероприятиях, создается акт о классификации системы информации, уровне ее защищенности и модели угроз, которым могут подвергаться личные сведения на объекте.
3. Если в ходе обследования выяснилось, что организация является оператором ПД, направляется Уведомление в Роскомнадзор о намерении производить обработку ПД (ст. 22 Закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»).
4. Разработка и утверждение документов согласия субъекта на обработку ПД и отзыва согласия (ст. 9 Закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»).
5. Внедрение защитной системы. На этом этапе создается ряд документов, которые регламентируют внутренний порядок работы, хранения, передачи и уничтожения ПД. Составляется перечень лиц, которые допущены к обработке данных и перечень сведений, с которыми осуществляются операции.

   Необходимо разработать специальное Положение об обработке и защите ПД в организации, разработать инструкции пользователям и администраторам для работы с информацией, для резервного копирования и восстановления.

6. Определение содержания технических защитных мер. В частности, они должны оберегать информацию от несанкционированного доступа, включать антивирусные и криптографические средства и пр. (Приказ ФСТЭК России от 18.02.2013 № 21).
7. Подписание «Заключения о соответствии системы защиты данным , обрабатываемым в информационных системах организации».

Подробную инструкцию по реализации защиты ПД в различных организациях найдете .

Для учета и хранения данных заводится специальный журнал. При списании и уничтожении носителей информации бумажного и электронного типа составляется соответствующий акт. Информация об изменениях технического оснащения, структуры организации, расширении площадей или принятии новых защитных мер должна быть внесена в весь комплекс внутренней документации.

Техсредства защиты информации должны быть сертифицированы и правильно настроены. Со списком сертифицированных средств можно ознакомиться на сайте ФСТЭК России .

Средства и система защиты ПД – это целый комплекс мероприятий, которые важно не только грамотно разработать и внедрить, но и поддерживать систему в актуальном состоянии.

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter .