Работа с персональными данными. Защита персональных данных Требования к по для обработки персональных данных

Задача современного мира — обеспечить защиту персональных данных от внутреннего нарушителя частной информации.

Что представляют собой подобные сведения и как проводится их защита?

Защита и прием персональных данных проводится в соответствии с требованиями Федерального закона № 152-ФЗ «О персональных данных»

Персональные данные

Персональные сведения — существенная информация, относящаяся к конкретному лицу.

Персональная информация:

• ФИО конкретного лица.
• Полные год, месяц , а также полная дата рождения.
• Адрес подобного физического лица , а также положения в семье и в обществе.
• Образование подобного лица , основная профессия и уровень доходов.
• Другая информация , которая содержится в действующем на территории страны федеральном законодательстве.

К другой информации относятся нижеперечисленные данные:

• Паспортные данные физического лица.
• Разнообразные финансовые ведомости.
• Медицинская карта человека.
• Биометрия.
• Иная информация , которая, так или иначе, носит какой-либо идентифицирующий характер.

Общедоступные источники предоставления информации:

• Адресные книги.
• Всевозможные списки.
• Иное обеспечение.

В подобные источники включается информация о конкретном лице, но сведения о человеке вносятся только с письменного согласия самого лица.

Для внесения требуются данные:

• ФИО человека.
• Год и точное место рождения.
• Полный адрес регистрации или же прописки.
• Абонентский номер конкретного гражданина.
• Иная информация , которую согласен предоставить человек.

Иные данные относятся к специализированной категории ограниченного доступа.

По этой причине сведения должны быть надежно защищены действующим на территории нашей страны законом.

При проведении формирования требований по безопасности систем, данные подразделяются сразу на четыре категории.

Установленные категории данных

Ниже определено количество категорий.

• Общедоступные.
• Специальные.
• Категории, подвергающиеся обработке непосредственно в информационных системах.
• Биометрические.
• Какие-либо иные категории.

Описание категорий

Источники общих данных — адресные книги, справочники и прочие общедоступные способы получения информации.

Такая информация исключается из источников по решению суда и других уполномоченных органов.

• Специальные данные — сведения о национальности человека, расы и взглядов на политическую деятельность.

Подобную информацию получают только в ситуации, когда человек самостоятельно подписывает согласие на проведение установленной процедуры обработки персональных сведений.

• Личные данные, обрабатывающиеся в специализированных информационных системах .

Определяются отдельные категории:

1. первые касаются национальной и расовой принадлежности, а также политических взглядов;
2. вторая категория позволят провести идентификацию человека и получить о нем информацию;
3. данные, позволяющие по каким-либо сведениям провести идентификацию субъекта;
4. общедоступные данные.

В разнообразных системах проводится обработка личных сведений, в среднем, в одно и то же время проводится обработка данных примерно ста тысяч человек.

• Последний тип данных – биометрический .

Биометрический тип характеризуется данными об особенностях физиологии конкретного человека. Благодаря сведениям о физиологии есть возможность легко установить личность каждого определенного человека.

Сведения должны обрабатываться только при наличии личного согласия человека на совершение такого действия. Без согласия физического лица процедуру использования сведений можно проводить только на основании вынесенного решения суда.

Сюда относятся фото и видео субъекта.

Права субъекта

В качестве субъекта выступает определенное конкретное лицо , которое идентифицируется по внесенным им данным.

Это фактическое лицо, нуждающееся в защите на основании текущего закона.

Перечень прав субъекта:

• Субъект получает неограниченный доступ к внесенным в программы или документы данным.

Доступ заключается в том, что субъект имеет право на грамотное предоставление сведений о непосредственном операторе данных.

Человек может потребовать от оператора частичное или полностью заблокировать уточнение имеющихся в программе данных.

В программе может содержаться:

• Обработка в ситуации , напрямую касающейся продвижения различного товара, выполнения работ или агитации, должна проводиться с согласия самого субъекта.
• Физические лица самостоятельно принимают объективное решение в ситуации , когда их данные будут обрабатываться автоматизированным способом .

То есть, при проведении обработки персональных данных, субъект в обязательном порядке должен дать свое письменное согласие по форме на проведение действий, касающихся сведений.

Случаи, при которых письменное согласие требуется, четко оговариваются в текущем законодательстве.

• Субъект обжалует действие или же напротив бездействие своего фактического оператора, занимающегося обработкой предоставленных ему данных.

Это право действует, когда человек по существенным причинам полагает, что оператор проводит процедуру обработки внесенных данных неправильным образом.

Человек может обратиться в профильный орган, занимающийся защитой прав существующих субъектов.

Каждый субъект имеет существенное право на возмещение убытков и компенсации фактического морального вреда, путем непосредственного обращения в суд с письменным исковым заявлением.

Оператор персональных данных

В качестве непосредственного оператора признается специализированный орган государства.

Организует требующуюся обработку, а также определяет фактические цели и содержание обработки данных.

Каждая организация, которая осуществляет сбор, хранение или уточнение имеющихся данных, является своего рода зарегистрированным оператором.

Некоторые организации, особенно, гсоударственные, по роду своей деятельности собирают и обрабатывают данные, принадлежащие их клиентам .

Оператор имеет полное право не уведомлять о проведенной обработке Роскомнадзор.

Оператор использует сведения без какого-либо уведомления:

• Субъекта с непосредственным оператором связывают трудовые взаимоотношения.
• Оператор получил личную информацию на основании зарегистрированного договора, одной из сторон — субъект.

Без предупреждения информация не распространяется и не передается посторонним третьим лицам.

• Субъекты относятся к участникам общественных движений , а также религиозных организаций.
• Данные полностью общедоступны.
• Сведения содержат только ФИО субъекта.
• Информация требуется только для однократного доступа субъекта на территорию, на которой находится оператор.

Обязанности оператора:

• Контроль за безопасностью обработки данных.
• Соблюдать уведомительный характер проведения обработки полученных персональных данных.
• При получении личных данных, оператор должен получить письменное согласие субъекта на проведение грамотной обработки.
• По первому требованию оператор предоставляет субъекту имеющиеся на текущий момент времени данные и вносит изменения.
• Оператор предоставляет доказательство , что он получил согласие от субъекта на обработку данных.
• По запросу специализированного органа, оператор дает имеющуюся информацию об определенном субъекте.

Обработка персональных данных

Основные принципы, на основании которых производится обработка принятых данных:

• Оператор определяет цели в соответствии со своими действующими полномочиями.
• Характер обработки соответствует поставленным целям.
• Нельзя объединять персональные данные , представленные для целей разного направления.
• По достижении поставленных целей персональная информация удаляется.

Два основных способа обработки персональных данных: автоматизированный и неавтоматизированный.

• Неавтоматизированный метод обработки сведений — без использования средств автоматизации .

Запрещается фиксировать на одной и том же материальном носителе сведения, цели обработки несовместимы.

• Второй способ обработки – автоматизированный.

Комплекс предоставляемых личных сведений подвергается обработке при помощи автоматизированных систем.

При этом операции проводятся полностью с использованием автоматизированных процессов или частично.

Распространено использование частичного способа, так как это позволяет проводить обработку самостоятельно самим оператором, а хранить ее при помощи специальных программ.

Как обеспечивается безопасность персональных сведений?

В соответствии с законодательством, оператор должен принимать необходимые меры для защиты сведений от неправомерного или же ненамеренного доступа к ним.

Установление защиты достигается:

• Исключение умышленного доступа к имеющимся данным.
• Исключение случайного доступа к принятым данным.

Обязанность по обеспечению безопасности хранения информации полностью ложится на плечи оператора обработки данных.

По этой причине каждый оператор должен проводить следующие ключевые мероприятия:

• Защищать информацию от несанкционированного доступа.
• Обнаружить факт несанкционированного доступа к принятым личным данным.
• Восстанавливать поврежденные персональные сведения.
• Защищать вверенные ему сведения.

Контроль и надзор за выполнением требований закона

За выполнением требований законодательства следит Роскомнадзор.

Роскомнадзор имеет право на:

Классификация ИСПДн осуществляется непосредственно операто-ром на основании следующих руководящих и методических документов, подлежащих исполнению при проведении работ:

Классификация ИСПДн проводится на этапе создания ИСПДн или в ходе их эксплуатации (для ранее введенных в эксплуатацию и (или) мо-дернизируемых ИСПДн) с целью установления методов и способов защи-ты информации, необходимых для обеспечения безопасности ПДн.

Проведение классификации ИСПДн включает в себя следующие этапы:

• сбор и анализ исходных данных по информационной системе;
• присвоение информационной системе соответствующего клас-са и его документальное оформление.

Для проведения классификации оператор создает комиссию по клас-сификации ИСПДн, состав комиссии утверждается руководителем опера-тора (Проект приказа).

На первом этапе комиссия проводит сбор и анализ исходных данных по каждой информационной системе, обрабатывающей сведения, указан-ные в Перечне персональных данных, подлежащих защите, а именно:

1. ПДн обрабатываемые в ИСПДн. Должен быть определен пере-чень ПДн, обработка которых ведется в ИСПДн.
2. Категория ПДн, обрабатываемых в ИСПДн (Х п д). Исходя из особенностей ПДн определяются следующие категории обрабатываемых в информационной системе ПДн:

• категория 1 - ПДн, касающиеся расовой, национальной при-надлежности, политических взглядов, религиозных и философских убеж-дений, состояния здоровья, интимной жизни;
• категория 2 - ПДн, позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную информацию, за исключением ПДн, относящихся к категории 1;
• категория 3 - ПДн, позволяющие идентифицировать субъекта

• категория 4 - обезличенные и (или) общедоступные ПДн.

К ПДн позволяющим идентифицировать человека относятся такие данные, которые позволяют установить личность человека.

Например, на основании только фамилии, имени и отчества нельзя точно установить личность, т.к. существуют полные однофамильцы. Но если в ИСПДн помимо ФИО обрабатываются также данные об адресе проживания, биометрические данные (фотографическое изображение), данные о месте работы и т.д., то уже на основании их можно выделить конкретного человека.

Обезличенными данными являются данные, на основании которых нельзя идентифицировать субъекта ПДн.

1. Объем ПДн, обрабатываемых в ИСПДн (Хнцд). Должен быть определен объем записей ПДн в ИСПДн, может принимать значение:

• 1 - в информационной системе одновременно обрабатываются ПДн более чем 100 000 субъектов ПДн или ПДн субъектов ПДн в пределах субъекта Российской Федерации или Российской Федерации в целом;
• 2 - в информационной системе одновременно обрабатываются ПДн от 1000 до 100 000 субъектов ПДн или ПДн субъектов ПДн, рабо-тающих в отрасли экономики Российской Федерации, в органе государст-венной власти, проживающих в пределах муниципального образования;
• 3 - в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов ПДн или ПДн субъектов ПДн в пределах конкретной организации.

1. Количество рабочих станций, входящих в состав ИСПДн. Должен быть определен перечень рабочих станций, задействованных в ка-ком-либо качестве в обработке ПДн в ИСПДн и (или) имеющих незащи-щенное физическое подключение к ИСПДн.
2. Структура ИСПДн. ИСПДн является:

• АРМ, если вся обработка ПДн производится в рамках одного рабочего места;
• локальной информационной системой, если вся обработка ПДн производится в рамках одной ЛВС;
• распределенной информационной системой, если обработка ПДн производится в рамках комплекса АРМ и (или) локальных информа-ционных систем, объединенных в единую информационную систему сред-ствами связи с использованием технологии удаленного доступа, т.е. эле-менты ИСПДн разнесены территориально, например, в ИСПДн включена сеть филиала, и связь между территориально удаленными элементами осуществляется по каналам сетей общего пользования и (или) междуна-родного обмена.

1. Количество пользователей, допущенных к работе в ИСПДн. Дол-жен быть определен перечень пользователей, допущенных к ПДн в ИСПДн.
2. Режим обработки ПДн в ИСПДн. ИСПДн является однопользо-вательской, если сотрудник обрабатывающий ПДн совмещает в себе функции администратора (осуществляет настройка и поддержку техниче-ских и программных средств) и оператора. Во всех других случаях ИСПДн является многопользовательской.

Если в ИСПДн все пользователи (администраторы, операторы, раз-работчики) обладают одинаковым набором прав доступа или осуществля-ют вход под единой учетной записью и вход под другими учетными запи-сями не осуществляется, то эта ИСПДн с равными правами доступа (пол-номочиями) ко всей информации ИСПДн разных пользователей, в против-ном случае с разными правами доступа (полномочиями) ко всей информа-ции ИСПДн разных пользователей.

1. Подключение ИСПДн к локальным (распределенным) сетям общего пользования. Если ИСПДн или ее элементы имеет подключение к локальным (распределенным) сетям общего пользования, вне зависимости обусловлено ли это служебной необходимостью или нет, то ИСПДн имеет подключение.
2. Подключение ИСПДн к сетям международного информацион-ного обмена. Если ИСПДн или ее элементы имеет подключение к сети Интернет или другим сетям международного информационного обмена, вне зависимости обусловлено ли это служебной необходимостью или нет, то ИСПДн имеет подключение.
3. Тип ИСПДн. Все ИСПДн подразделяются на типовые и специ-альные. К типовым системам относятся системы, в которых требуется обеспечить только свойство конфиденциальности ПДн. Специальные ИСПДн - ИСПДн, в которых вне зависимости от необходимости обеспе-чения конфиденциальности ПДн требуется обеспечить хотя бы одну из ха-рактеристик безопасности ПДн, отличную от конфиденциальности (защи-щенность от уничтожения, изменения, блокирования, а также иных не-санкционированных действий). Характеристики безопасности задаются по решению оператора.

К специальным ИСПДн должны быть отнесены:

• ИСПДн, в которых обрабатываются ПДн, касающиеся состоя-ния здоровья субъектов ПДн;
• ИСПДн, в которых предусмотрено принятие на основании ис-ключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы.

1. Местонахождение технических средств ИСПДн. Все техниче-ские средства ИСПДн находятся в пределах Российской Федерации или технические средства ИСПДн частично или целиком находятся за преде-лами Российской Федерации.

На втором этапе комиссия по результатам анализа исходных данных типовой ИСПДн присваивается один из следующих классов:

• класс 1 (К1) - информационные системы, для которых нару-шение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к значительным негативным последствиям для субъ-ектов ПДн;
• класс 2 (К2) - информационные системы, для которых нару-шение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к негативным последствиям для субъектов ПДн;
• класс 3 (К3) - информационные системы, для которых нару-шение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов ПДн;
• класс 4 (К4) - информационные системы, для которых нару-шение заданной характеристики безопасности ПДн, обрабатываемых в них, не приводит к негативным последствиям для субъектов ПДн.

Класс типовой ИСПДн определяется в соответствии с таблицей:

По результатам исходных данных класс специальной ИСПДн определяется на основе частной модели угроз безопасности ПДн.

Как в случае с типовыми ИСПДн, для специальных систем, необхо-димо определить класс. Классификация специальных систем по аналогии с типовыми нужна для того, чтобы в дальнейшем можно было спроектиро-вать систему защиты ИСПДн, поскольку в документах ФСТЭК России за-щита для любых систем строится с учетом их класса и модели угроз.

В случае выделения в составе ИСПДн подсистем, каждая из которых является ИСПДн, ИСПДн в целом присваивается класс, соответствующий наиболее высокому классу входящих в нее подсистем.

Результаты классификации оформляются соответствующим актом оператора для каждой выявленной ИСПДн (Проект акта).

Акт классификации ИСПДн утверждается председателем комиссии по классификации и подписывается всеми членами комиссии.

Пример присвоения класса:

В соответствии с Порядком проведения классификации информа-ционных систем персональных данных утвержденного приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. № 55/86/20, на основании категории и объема обрабатываемых персональных данных и в соответствии с моделью угроз безопасности персональ-ных данных (в случае ее разработки) информационная система персональ-ных данных (наименование ИСПДн) классифицируется, как типо-вая/специальная ИСПДн класса_______________________________ .

Класс ИСПДн может быть пересмотрен:

• по решению оператора на основе проведенных им анализа и оцен-ки УБПДн с учетом особенностей и (или) изменений конкретной ИСПДн;
• по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности ПДн при их обработке в ИСПДн.

В процессе классификации для снижения затрат на создание СЗПДн и оптимизации класса ИСПДн необходимо рассмотреть и по возможности ис-пользовать следующие инструменты:

1. Сегментация. Физическая или логическая сегментация ИСПДн по классам обрабатываемой информации, выделение сегментов сети, в ко-торых происходит автоматизированная обработка ПДн. Данные работы можно провести с помощью внедрения в ЛВС оператора сертифицирован-ных по требованиям ФСТЭК России МЭ.
2. Обезличивание. Введение в процесс обработки ПДн процедуры обезличивания существенно упростит задачи по защите ПДн. После вы-полнения обезличивания защите будет подлежать лишь справочник, по-зволяющий выполнить обратное преобразование.
3. Разделение ПДн на части. В этом случае возможно уменьшение количества субъектов ПДн, обрабатываемых в ИСПДн. Это может быть достигнуто, например, за счет использования таблиц перекрестных ссылок в базах данных.
4. Постановка требований поставщикам и разработчикам систем обработки ПДн. Включение требований наличия в составе закупаемых информационных систем средств, обеспечивающих защиту ПДн в соответ-ствии с действующим законодательством, позволит снизить затраты на приобретение дополнительных СЗИ.

Угловой штамп, бланк организации

Руководителю Управления Федеральной службы
по надзору в сфере связи,
информационных технологий и массовых коммуникаций
по Челябинской области
М.И. Олениной

УВЕДОМЛЕНИЕ

об обработке (о намерении осуществлять обработку) персональных данных

1. Наименование ТО Роскомнадзора: Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Челябинской области

2. Тип оператора: Юридическое лицо, индивидуальный предприниматель, государственный орган, муниципальный орган, физическое лицо, иностранный гражданин

3. Наименование оператора / Фамилия, имя, отчество оператора:

• Для юридического лица: Полное наименование с указанием организационно-правовой формы, Сокращенное наименование; Телефон, Факс, Адрес электронной почты; ИНН, ОГРН, Дата присвоения ОГРН, ОКВЭД, ОКПО, ОКФС, ОКОГУ, ОКОПФ ; Наименование филиала(ов), осуществляющих обработку персональных данных, Адрес филиала(ов );
• Для индивидуального предпринимателя: Наименование оператора, Документ, удостоверяющий личность, Телефон, Факс, Адрес электронной почты;
• Для государственного органа, муниципального органа: Полное наименование с указанием организационно-правовой формы, Сокращенное наименование; Телефон, Факс, Адрес электронной почты;
• Для физического лица: Фамилия, Имя, Отчество, Документ, удостоверяющий личность, СНИЛС, Телефон, Факс, Адрес электронной почты;
• Для иностранного гражданина: Фамилия, Имя, Отчество, Гражданство, Документ, удостоверяющий личность, Адрес, Телефон, Факс, Адрес электронной почты.

Публичное акционерное общество «Челябэнергосбыт» (сокращенное - ПАО «Челябэнергосбыт»); Российская Федерация, 454091, г. Челябинск, ул. Российская, д. 260.

ИНН 7451213318; ОГРН 1057423505732, 21.10.2005; ОКВЭД...; ОКПО 74225849; ОКФС 41; ОКОГУ 41002; ОКОПФ 47.

Если есть филиалы (в другом регионе), то указать - Новосибирский ф-л ПАО «Челябэнергосбыт», Российская Федерация, 630014, г. Новосибирск, ул. Кирова, 10, Ф.И.О. руководителя, тлф., ИНН, ОГРН, дата присвоения ОГРН, ОКВЭД, ОКПО, ОКФС, ОКОГУ, ОКОПФ.

4. Правовое основание обработки персональных данных (обязательное указание соответствующей статьи, пункта связанных с обработкой персональных данных): п. 2 ч. 2 ст. 6 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»; ст. 53, ч. 2 ст. 54 Федерального закона от 07.07.2003 г. № 126-ФЗ «О связи»; ст.ст. 86-90 Трудового кодекса РФ; п. 4.5 Лицензии № 33799 от 10.08.2005 г., выдана ПАО «Челябэнергосбыт» Федеральной службой по надзору в сфере связи на осуществление деятельности по оказанию телематических услуг связи; п.3 Устава ПАО «Челябэнергосбыт» утверждённого на общем собрании акционеров 20.01.2006 г., протокол № 1.

5. Цель обработки персональных данных (то, что отражено в Уставе; Положении; Лицензии): Выполнение договорных обязательств; проведение расчетов с клиентами; ведение личных дел сотрудников; работа с жалобами, заявлениями граждан обратившихся в ПАО «Челябэнергосбыт»; обеспечение кадрового резерва.

6. Описание мер, по обеспечению безопасности персональных данных, которые оператор обязуется осуществлять при их обработке:

Организационные меры : разграничение прав доступа сотрудников к базе персональных данных; наличие положения и инструкций об обработке персональных данных.

Технические меры : обеспечение охраны помещений с базами персональных данных; информация передается на магнитных и бумажных носителях, а также по специально выделенной сети.

Средства обеспечения безопасности : сейф, шкаф (запирающийся на ключ) для хранения носителей информации с персональными данными; наличие установленного антивирусного программного обеспечения.

В случае использования оператором , осуществляющим обработку персональных данных, шифровальных (криптографических) средств (есть лицензия ФСБ на использование этих средств!) указываются следующие сведения:

а) наименование, регистрационные номера и производителей используемых криптографических средств;

б) уровень криптографической защиты персональных данных;

в) уровень специальной защиты от утечки по каналам побочных излучений и наводок;

г) уровень защиты от несанкционированного доступа.

Предоставление данной информации осуществляется в соответствии с Методическими рекомендациями по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации, утвержденных руководством 8 Центра Федеральной службы безопасности Российской Федерации 21 февраля 2008 года № 149/5-144.

7. Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации: Разработано и утверждено Положение по обработке персональных данных в ПАО "Челябэнергосбыт", приказами определены лица ответственные и допущенные к обработке персональных данных в ПАО "Челябэнергосбыт", приказом определены места хранения носителей, содержащих персональные данные, обеспечивается раздельное хранение материальных носителей, содержащих персональные данные, разработано и утверждено Положение о работе с персональными данными в информационной системе персональных данных, назначено должностное лицо, ответственное за обеспечение безопасности персональных данных в информационной системе. Несанкционированный доступ к базам персональных данных исключён. Не контролируемое проникновение или пребывание посторонних лиц в помещениях, где ведётся обработка персональных данных, исключено. Лица, осуществляющие обработку персональных данных без использования средств автоматизации, проинформированы об особенностях и правилах осуществления такой обработки (*) . На основании модели угроз безопасности информации (частной модели угроз безопасности персональных данных) разработана система защиты информации (СЗИ). Хранение сведений организовано на электронных носителях (в ИСПДн) с использованием средств обеспечения безопасности, на бумажных носителях - в сейфах (шкафах исключающих несанкционированный доступ).

8. Дата начала обработки персональных данных (число, месяц, год) : 31.05.2009 г.

9 . Срок или условие прекращения обработки персональных данных: ликвидация (реорганизация) ПАО «Челябэнергосбыт».

10. Категории персональных данных: непосредственно персональные данные (фамилия, имя, отчество; год, месяц, дата; место рождения; адрес; семейное, социальное, имущественное положение; образование; профессия; доходы); специальные категории ПД (расовая, национальная принадлежность, политические взгляды, религиозные, философские убеждения, состояние здоровья, состояние интимной жизни); биометрические ПД (сведения, которые характеризуют физиологические особенности человека и на основании, которых можно установить его личность - фото, отпечатки пальцев, ДНК и т.д.). Другие категории ПД (паспортные данные: где, кем, когда выдан; ИНН, СНИЛС, № контактного телефона).

11. Категории субъектов, персональные данные которых обрабатываются : физические лица, состоящие в договорных отношениях с ПАО «Челябэнергосбыт»; сотрудники ПАО «Челябэнергосбыт», с которыми заключены трудовые договоры; граждане обратившиеся в ПАО «Челябэнергосбыт» с жалобами, заявлениями; граждане направившие резюме при устройстве на работу, для участия в конкурсе на замещение вакантных должностей.

12. Перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных: Сбор, анализ, обобщение, хранение, изменение, дополнение, передача (без (или) с трансграничной передачей), уничтожение персональных данных. Автоматизированная / Неавтоматизированная / Смешанная обработка персональных данных; С передачей (без передачи) по внутренней сети юридического лица; С передачей (без передачи) по сети Интернет.

Тема доказательства является одной из самых широких и сложных в уголовном процессе. На основе вещественных доказательств строится доказывание в уголовном деле, правила которого регулируется уголовно-процессуальными нормами. Эти правила настолько существенно затрагивают права и свободы человека и гражданина, что их принципиальные основы регулируют нормы Конституции Российской Федерации. Статья 49 Конституции устанавливает, что доказывание виновности в преступлении должно производиться в порядке, предусмотренном Федеральным законом. Обвиняемый не обязан доказывать свою невиновность. Неустранимые сомнения в виновности лица толкуются в пользу обвиняемого. В соответствии со ст. 50 Конституции при осуществлении правосудия не допускается использование доказательств, полученных с нарушением Федерального закона. На основании ст. 51 Конституции никто не обязан свидетельствовать против себя самого, своего супруга и близких родственников.

Нормы о доказательствах и доказывании неразрывно связаны со всеми нормами уголовно-процессуального права, определяющими задачи судопроизводства и его принципы, полномочия государственных органов, права, обязанности и гарантии прав участников процесса, порядок производства следственных и судебных действий, требования, которым должны отвечать решения, принимаемые в уголовном процессе. В науке о доказывании в уголовном процессе используются достижения различных наук, в том числе логики, психологии, криминалистики, судебной медицины, психиатрии и другие. Важную роль в развитии теории доказательств играет изучение следственной и судебной практики.

Цель состоит в том, чтобы исследовать и проанализировать правовую природу доказательств в уголовном процессе. Дать общую характеристику доказательствам в уголовном процессе. Рассмотрим теорию доказательств, основываясь на научных публикациях российских ученых, изучим источники и свойства доказательств. Классификация доказательств будет рассмотрена по наиболее существенным признакам, распространенным в научной литературе и имеющая значение в практической деятельности.

Глава 1. Общая характеристика доказательств в уголовном процессе

Часть 1. Понятие доказательств в уголовном процессе

Понятие доказательств определено в ст. 74 УПК РФ: Доказательствами по уголовному делу являются любые сведения, на основе которых суд, прокурор, следователь, дознаватель, в порядке, определённом УПК, устанавливает наличие или отсутствие обстоятельств, подлежащих доказыванию при производстве по уголовному делу, а также иных обстоятельств, имеющих значение по уголовному делу.

Факты, с которыми закон связывает доказательства, образуют две относительно самостоятельные группы:

обстоятельства, которые составляют в своей совокупности предмет доказывания по уголовному делу;

факты, не входящие в предмет доказывания (промежуточные, вспомогательные, побочные).

Предмет доказывания в уголовном судопроизводстве - это юридически значимые фактические обстоятельства, которые предусмотрены в уголовно-процессуальном законе и подлежат доказыванию для принятия решений по делу в целом или по отдельным правовым вопросам.

В ст. 73 УПК РФ перечислены те фактические обстоятельства, которые при разрешении любого дела имеют правовое значение. Этообстоятельства, характеризующие событие преступления (время, место, способ и другие обстоятельства совершения преступления); виновности обвиняемого в совершении преступления и мотивы преступления; обстоятельства, характеризующие личность обвиняемого; характер и размер вреда, причиненного преступлением; обстоятельства, смягчающие и отягчающие наказание; обстоятельства, способствовавшие совершению преступления.

Таким образом, доказательства это:

а) фактические данные, под которыми необходимо понимать сведения об имевшем место в прошлом событии преступления;

б) фактические данные, на основании которых устанавливаются наличие или отсутствие общественно опасного деяния, виновного лица, совершившего это деяние, и иные обстоятельства, имеющие значение для правильного разрешения дела;

в) фактические данные, которые устанавливаются только показаниями свидетеля, показаниями потерпевшего, показаниями подозреваемого, показаниями обвиняемого, заключением эксперта, вещественными доказательствами, протоколами следственных и судебных действий и иными документами;

г) фактические данные, собранные в установленном законом порядке. Ст. 70 УПК определяет способы собирания доказательств, а соответствующие нормы - порядок производства различных следственных действий;

д) фактические данные, проверенные и оцененные по внутреннему убеждению.

Доказательствами могут быть любые фактические данные, все, что служит установлению истины, если соблюдены законные правила доказывания.

Некоторые ученые (М.С. Строгович, П.С. Элькинд, В.Д. Арсеньев, И.М. Гуткин) под доказательствами, о которых говорится в ст. 74 УПК РФ, понимают не информацию, сведения о тех или иных обстоятельствах, а сами факты объективной реальности, которые устанавливаются при доказывании по уголовному делу, а иногда и то и другое.

Но это не соответствует смыслу закона и природе доказывания. Сами факты, представляющие интерес для органов расследования и суда, не могут быть познаны иначе, как путем доказывания, с помощью доказательств.

Доказательства - это не сами факты, подлежащие установлению по делу, а сведения об этих фактах, информация о них, их отображения.

Только отдельные обстоятельства, факты, могут быть восприняты следователем, судьей непосредственно. Это те факты и состояния, которые сохранились ко времени расследования, рассмотрения судом дела.

К этой группе можно отнести:

1) некоторые факты, относящиеся к материальным последствиям совершенного преступления (например, последствия пожара, обезображенное лицо потерпевшего, испорченная вещь)

2) сохранившиеся продукты преступной деятельности (подделанный документ, фальшивая банкнота и другие);

3) найденные предметы преступного посягательства (похищенный костюм, часы и другие);

4) обстановка на месте совершения преступления;

5) некоторые факты, характеризующие внешность преступника (черты лица, рост, цвет волос и другие).

Иногда доказательствами называют факты , установленные по делу, из которых можно сделать вывод о других фактах, существенных для дела, то есть доказательственные факты (побег с места преступления, обладание похищенной вещью и т. п.). Но каждый доказательственный факт, существуя реально, сам может быть установлен лишь с помощью доказательств, доказан, и только после этого он может использоваться для установления обстоятельств, подлежащих доказыванию.

1. Настоящий документ устанавливает требования к защите персональных данных при их обработке в информационных системах персональных данных (далее - информационные системы) и уровни защищенности таких данных.

2. Безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с частью 5 статьи 19

Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.

3. Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор этой системы, который обрабатывает персональные данные (далее - оператор), или лицо, осуществляющее обработку персональных данных по поручению оператора на основании заключаемого с этим лицом договора (далее - уполномоченное лицо). Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке в информационной системе.

4. Выбор средств защиты информации для системы защиты персональных данных осуществляется оператором в соответствии с нормативными правовыми актами, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю во исполнение части 4 статьи 19 Федерального закона "О персональных данных".

5. Информационная система является информационной системой, обрабатывающей специальные категории персональных данных, если в ней обрабатываются персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни субъектов персональных данных.

Информационная система является информационной системой, обрабатывающей биометрические персональные данные, если в ней обрабатываются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных, и не обрабатываются сведения, относящиеся к специальным категориям персональных данных.

Информационная система является информационной системой, обрабатывающей общедоступные персональные данные, если в ней обрабатываются персональные данные субъектов персональных данных, полученные только из общедоступных источников персональных данных, созданных в соответствии со статьей 8 Федерального закона "О персональных данных".

Информационная система является информационной системой, обрабатывающей иные категории персональных данных, если в ней не обрабатываются персональные данные, указанные в абзацах первом - третьем настоящего пункта.

Информационная система является информационной системой, обрабатывающей персональные данные сотрудников оператора, если в ней обрабатываются персональные данные только указанных сотрудников. В остальных случаях информационная система персональных данных является информационной системой, обрабатывающей персональные данные субъектов персональных данных, не являющихся сотрудниками оператора.

6. Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.

Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.

Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.

Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

7. Определение типа угроз безопасности персональных данных, актуальных для информационной системы, производится оператором с учетом оценки возможного вреда, проведенной во исполнение пункта 5 части 1 статьи 18.1 Федерального закона "О персональных данных", и в соответствии с нормативными правовыми актами, принятыми во исполнение части 5 статьи 19 Федерального закона "О персональных данных".

8. При обработке персональных данных в информационных системах устанавливаются 4 уровня защищенности персональных данных.

9. Необходимость обеспечения 1-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

а) для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает либо специальные категории персональных данных, либо биометрические персональные данные, либо иные категории персональных данных;

б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

10. Необходимость обеспечения 2-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

а) для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает общедоступные персональные данные;

б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

в) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает биометрические персональные данные;

г) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

д) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

е) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

11. Необходимость обеспечения 3-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

а) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные сотрудников оператора или общедоступные персональные данные менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

в) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

г) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает биометрические персональные данные;

д) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

12. Необходимость обеспечения 4-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

а) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает общедоступные персональные данные;

б) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.