Вифлеемский А.Б., 2009 Проблемы защиты персональных данных. - презентация

1 Вифлеемский А.Б., 2009 Проблемы защиты персональных данных

2 Вифлеемский А.Б., РЕКОМЕНДАЦИИ ОРГАНИЗАЦИИ ПО ЭКОНОМИЧЕСКОМУ СОТРУДНИЧЕСТВУ И РАЗВИТИЮ (ОЭСР) "ОСНОВНЫЕ ПОЛОЖЕНИЯ О ЗАЩИТЕ НЕПРИКОСНОВЕННОСТИ ЧАСТНОЙ ЖИЗНИ И МЕЖДУНАРОДНЫХ ОБМЕНОВ ПЕРСОНАЛЬНЫМИ ДАННЫМИ" (OECD GUIDELINES ON THE PROTECTION OF PRIVACY AND TRANSBORDER FLOWS OF PERSONAL DATA), КОНВЕНЦИЯ СОВЕТА ЕВРОПЫ ОТ 28 ЯНВАРЯ 1981 ГОДА "О ЗАЩИТЕ ФИЗИЧЕСКИХ ЛИЦ ПРИ АВТОМАТИЗИРОВАННОЙ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ". - ДИРЕКТИВА 95/46/ЕС ЕВРОПЕЙСКОГО ПАРЛАМЕНТА И СОВЕТА ЕВРОПЕЙСКОГО СОЮЗА ОТ 24 ОКТЯБРЯ 1995 ГОДА О ЗАЩИТЕ ПРАВ ЧАСТНЫХ ЛИЦ ПРИМЕНИТЕЛЬНО К ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ И О СВОБОДНОМ ДВИЖЕНИИ ТАКИХ ДАННЫХ. - ДИРЕКТИВА 97/66/ЕС ЕВРОПЕЙСКОГО ПАРЛАМЕНТА И СОВЕТА ЕВРОПЕЙСКОГО СОЮЗА ОТ 15 ДЕКАБРЯ 1997 ГОДА, КАСАЮЩАЯСЯ ИСПОЛЬЗОВАНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ И ЗАЩИТЫ НЕПРИКОСНОВЕННОСТИ ЧАСТНОЙ ЖИЗНИ В СФЕРЕ ТЕЛЕКОММУНИКАЦИЙ. - КОНСТИТУЦИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ (ПРИНЯТА , РЕД. ОТ N 5-ФЗ), СТ. 23, 24 (НЕПРИКОСНОВЕННОСТЬ ЧАСТНОЙ ЖИЗНИ, ЛИЧНАЯ И СЕМЕЙНАЯ ТАЙНА), СТ. 41, 42 (НЕДОПУСТИМОСТЬ СОКРЫТИЯ ИНФОРМАЦИИ, СВЯЗАННОЙ С УГРОЗОЙ ЖИЗНИ И ЗДОРОВЬЮ). Перечень правовых и нормативных методических документов по защите персональных данных

3 Вифлеемский А.Б., РЕКОМЕНДАЦИИ ОРГАНИЗАЦИИ ПО ЭКОНОМИЧЕСКОМУ СОТРУДНИЧЕСТВУ И РАЗВИТИЮ (ОЭСР) "ОСНОВНЫЕ ПОЛОЖЕНИЯ О ЗАЩИТЕ НЕПРИКОСНОВЕННОСТИ ЧАСТНОЙ ЖИЗНИ И - ФЕДЕРАЛЬНЫЙ ЗАКОН ОТ 19 ДЕКАБРЯ 2005 Г. N 160-ФЗ "О РАТИФИКАЦИИ КОНВЕНЦИИ СОВЕТА ЕВРОПЫ "О ЗАЩИТЕ ФИЗИЧЕСКИХ ЛИЦ ПРИ АВТОМАТИЗИРОВАННОЙ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ". - ФЕДЕРАЛЬНЫЙ ЗАКОН ОТ 27 ИЮЛЯ 2006 Г. N 149-ФЗ "ОБ ИНФОРМАЦИИ, ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЯХ И ЗАЩИТЕ ИНФОРМАЦИИ". - ФЕДЕРАЛЬНЫЙ ЗАКОН ОТ 27 ИЮЛЯ 2006 Г. N 152-ФЗ «О ПЕРСОНАЛЬНЫХ ДАННЫХ» - УГОЛОВНЫЙ КОДЕКС РОССИЙСКОЙ ФЕДЕРАЦИИ ОТ 13 ИЮНЯ 1996 Г. N 63-ФЗ. - КОДЕКС РОССИЙСКОЙ ФЕДЕРАЦИИ ОБ АДМИНИСТРАТИВНЫХ ПРАВОНАРУШЕНИЯХ ОТ 30 ДЕКАБРЯ 2001 Г. N 195-ФЗ. - ТРУДОВОЙ КОДЕКС РФ, ГЛАВА 14 "О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКА". Перечень правовых и нормативных методических документов по защите персональных данных

4 Вифлеемский А.Б., УКАЗ ПРЕЗИДЕНТА РФ ОТ 6 МАРТА 1997 Г. N 188 "ПЕРЕЧЕНЬ СВЕДЕНИЙ КОНФИДЕНЦИАЛЬНОГО ХАРАКТЕРА" (В РЕД. УКАЗА ПРЕЗИДЕНТА РФ ОТ N 1111). - УКАЗ ПРЕЗИДЕНТА РФ ОТ 30 МАЯ 2005 Г. N 609 "ПОЛОЖЕНИЕ О ПЕРСОНАЛЬНЫХ ДАННЫХ ГОСУДАРСТВЕННОГО ГРАЖДАНСКОГО СЛУЖАЩЕГО РОССИЙСКОЙ ФЕДЕРАЦИИ И ВЕДЕНИИ ЕГО ЛИЧНОГО ДЕЛА". - УКАЗ ПРЕЗИДЕНТА РФ ОТ 17 МАРТА 2008 Г. N 351 "О МЕРАХ ПО ОБЕСПЕЧЕНИЮ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ РОССИЙСКОЙ ФЕДЕРАЦИИ ПРИ ИСПОЛЬЗОВАНИИ ИНФОРМАЦИОННО-ТЕЛЕКОММУНИКАЦИОННЫХ СЕТЕЙ МЕЖДУНАРОДНОГО ИНФОРМАЦИОННОГО ОБМЕНА". - ПОСТАНОВЛЕНИЕ ПРАВИТЕЛЬСТВА РФ ОТ 3 НОЯБРЯ 1994 Г. N 1233 "ПОЛОЖЕНИЕ О ПОРЯДКЕ ОБРАЩЕНИЯ СО СЛУЖЕБНОЙ ИНФОРМАЦИЕЙ ОГРАНИЧЕННОГО РАСПРОСТРАНЕНИЯ В ФЕДЕРАЛЬНЫХ ОРГАНАХ ИСПОЛНИТЕЛЬНОЙ ВЛАСТИ". - - ПОСТАНОВЛЕНИЕ ПРАВИТЕЛЬСТВА РФ ОТ 17 НОЯБРЯ 2007 Г. N 781 "ПОЛОЖЕНИЕ ОБ ОБЕСПЕЧЕНИИ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ". Перечень правовых и нормативных методических документов по защите персональных данных

5 Вифлеемский А.Б., ПОСТАНОВЛЕНИЕ ПРАВИТЕЛЬСТВА РФ ОТ 6 ИЮЛЯ 2008 Г. N 512 "ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ К МАТЕРИАЛЬНЫМ НОСИТЕЛЯМ БИОМЕТРИЧЕСКИХ ПЕРСОНАЛЬНЫХ ДАННЫХ И ТЕХНОЛОГИЯМ ХРАНЕНИЯ ТАКИХ ДАННЫХ ВНЕ ИНФОРМАЦИОННЫХ СИСТЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ". - ПРИКАЗ ФСТЭК РОССИИ, ФСБ РОССИИ, МИНИНФОРМСВЯЗИ РОССИИ ОТ 13 ФЕВРАЛЯ 2008 Г. N 55/86/20 "ОБ УТВЕРЖДЕНИИ ПОРЯДКА ПРОВЕДЕНИЯ КЛАССИФИКАЦИИ ИНФОРМАЦИОННЫХ СИСТЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ". - ПРИКАЗ РОССВЯЗЬОХРАНКУЛЬТУРЫ ОТ 28 МАРТА 2008 Г. N 154 "ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ О ВЕДЕНИИ РЕЕСТРА ОПЕРАТОРОВ, ОСУЩЕСТВЛЯЮЩИХ ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ". - ПРИКАЗ РОССВЯЗЬОХРАНКУЛЬТУРЫ ОТ 13 МАЯ 2008 Г. N 340 "ОБ УТВЕРЖДЕНИИ ОБРАЗЦА ФОРМЫ УВЕДОМЛЕНИЯ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ". Перечень правовых и нормативных методических документов по защите персональных данных

6 Вифлеемский А.Б., 2009 КОНФИДЕНЦИАЛЬНАЯ ИНФОРМАЦИЯ - ЭТО ДОКУМЕНТИРОВАННАЯ ИНФОРМАЦИЯ, ДОСТУП К КОТОРОЙ ОГРАНИЧИВАЕТСЯ В СООТВЕТСТВИИ С ЗАКОНОДАТЕЛЬСТВОМ РОССИЙСКОЙ ФЕДЕРАЦИИ. К ПЕРСОНАЛЬНЫМ ДАННЫМ ОТНОСЯТСЯ ЛЮБЫЕ СВЕДЕНИЯ О ФАКТАХ, СОБЫТИЯХ И ОБСТОЯТЕЛЬСТВАХ ЖИЗНИ ГРАЖДАНИНА, ПОЗВОЛЯЮЩИЕ ИДЕНТИФИЦИРОВАТЬ ЕГО ЛИЧНОСТЬ. СПЕЦИАЛЬНЫЕ ДАННЫЕ, В ОТНОШЕНИИ КОТОРЫХ ДЕЙСТВУЮТ ПОВЫШЕННЫЕ МЕРЫ ЗАЩИТЫ ОТ НЕСАНКЦИОНИРОВАННОЙ ОБРАБОТКИ И РАСПРОСТРАНЕНИЯ. ЭТО ИНФОРМАЦИЯ, КАСАЮЩАЯСЯ: - расовой, национальной принадлежности; - политических взглядов, религиозных или философских убеждений; - состояния здоровья, интимной жизни физического лица, а также биометрические персональные данные - сведения, характеризующие физиологические особенности человека Основные понятия

7 Вифлеемский А.Б., 2009 ИНФОРМАЦИОННЫЕ СИСТЕМЫ ПЕРСОНАЛЬНЫХ ДАННЫХ ( информационные системы ) - совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации. Под техническими средствами, позволяющими осуществлять обработку персональных данных, понимаются средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах. Основные понятия

8 Вифлеемский А.Б., : Инвентаризация ресурсов. 2: Согласие субъектов на обработку. 3: Пересмотр договоров с субъектами. 4: Формирование перечня персональных данных. 5: Установление сроков обработки персональных данных. 6: Ограничение доступа работников учреждения к персональным данным. 7: Документальная регламентация работы с персональными данными. 8: Формирование модели угроз персональным данным. 9: Классифицирование ИСПД. 10: Составление и направление в уполномоченный орган соответствующего уведомления. 11: Приведение системы защиты персональных данных в соответствие с требованиями законодательства 12: Получение лицензии на техническую защиту конфиденциальной информации. 13: Создание подсистемы информационной безопасности ИСПД и ее аттестация (сертификация). 14: Организация эксплуатации ИСПД и контроль за безопасностью. Алгоритм организации защиты персональных данных

9 Вифлеемский А.Б., 2009 Неопределенность понятий «персональные данные» и «информационная система» Сложность получения письменного согласия субъекта персональных данных Проблемы передачи персональных данных и регламентации их обработки Лицензирование деятельности операторов информационных систем персональных данных на соответствие требованиям по технической защите конфиденциальной информации. Большинство информационных систем в образовании попадает в класс специальных Недоступность нормативных правовых актов и непринятие их в установленном порядке Проблемы

10 Вифлеемский А.Б., 2009 Рекомендации по обеспечению безопасности ПД при их обработке в ИСПД, Основные мероприятия по организации и техническому обеспечению безопасности ПД, обрабатываемых в ИСПД, Базовая модель угроз безопасности ПД при их обработке в ИСПД Методика определения актуальных угроз безопасности ПД при их обработке в ИСПД, Для служебного пользования Для получения документов операторы, осуществляющие обработку персональных данных, могут обратиться по адресу: , Г. МОСКВА, УЛ. СТАРАЯ БАСМАННАЯ, 17 Проблемы

11 Вифлеемский А.Б., 2009 Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных (утверждено Постановлением Правительства РФ от 17 ноября 2007 г. N 781) 3. Методы и способы защиты информации в информационных системах устанавливаются Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в пределах их полномочий. Достаточность принятых мер по обеспечению безопасности персональных данных при их обработке в информационных системах оценивается при проведении государственного контроля и надзора. 4. Работы по обеспечению безопасности персональных данных при их обработке в информационных системах являются неотъемлемой частью работ по созданию информационных систем. 5. Средства защиты информации, применяемые в информационных системах, в установленном порядке проходят процедуру оценки соответствия. Проблемы

12 Вифлеемский А.Б., 2009 Положение о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти (утверждено Постановлением Правительства РФ от 3 ноября 1994 г. N 1233) 1.2. К служебной информации ограниченного распространения относится несекретная информация, касающаяся деятельности организаций, ограничения на распространение которой диктуются служебной необходимостью. Проблемы

13 Вифлеемский А.Б., 2009 В соответствии с ч. 3 ст. 15 Конституции РФ все законы, а также любые нормативные акты, затрагивающие права, свободы и обязанности человека и гражданина, должны быть официально опубликованы для всеобщего сведения, то есть обнародованы. Неопубликованные нормативные правовые акты не применяются, не влекут правовых последствий как не вступившие в силу. С 15 мая 1992 года Постановлением Правительства РФ от N 305 была введена государственная регистрация нормативных актов министерств и ведомств, затрагивающих права и интересы граждан и носящих межведомственный характер. Вопросы государственной регистрации и вступления в силу ведомственных НПА регулируются Указом Президента РФ от N 763 и Постановлением Правительства РФ от N П. 10 Правил, утвержденных указанным Постановлением, государственной регистрации подлежат нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, устанавливающие правовой статус организаций, имеющие межведомственный характер, независимо от срока их действия, в том числе акты, содержащие сведения, составляющие государственную тайну, или сведения конфиденциального характера. Проблемы

14 Вифлеемский А.Б., Обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Согласия субъекта персональных данных, предусмотренного частью 1 настоящей статьи, не требуется в следующих случаях: 1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора; 2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных; Условия обработки персональных данных

15 Вифлеемский А.Б., 2009 ОБЩИЕ ПОЛОЖЕНИЯ ПОРЯДОК ХРАНЕНИЯ, ИСПОЛЬЗОВАНИЯ И ПЕРЕДАЧИ ПЕРСОНАЛЬНЫХ ДАННЫХ ОБЯЗАННОСТИ РАБОТОДАТЕЛЯ ПО ХРАНЕНИЮ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ ПРАВА РАБОТНИКОВ НА ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ ОТВЕТСТВЕННОСТЬ ЗА РАЗГЛАШЕНИЕ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ, СВЯЗАННОЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ РАБОТНИКОВ Положение о персональных данных

16 Вифлеемский А.Б., 2009 РАЗРАБОТКА ЛОКАЛЬНОГО НОРМАТИВНОГО АКТА О ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ ЯВЛЯЕТСЯ ОБЯЗАННОСТЬЮ РАБОТОДАТЕЛЯ, НЕИСПОЛНЕНИЕ КОТОРОЙ МОЖЕТ ПОВЛЕЧЬ ПРИВЛЕЧЕНИЕ К АДМИНИСТРАТИВНОЙ ОТВЕТСТВЕННОСТИ ПО СТ КОАП РФ: НАЛОЖЕНИЕ АДМИНИСТРАТИВНОГО ШТРАФА: НА ДОЛЖНОСТНЫХ ЛИЦ В РАЗМЕРЕ ОТ 5 ДО 50 МРОТ; НА ЮРИДИЧЕСКИХ ЛИЦ - ОТ 300 ДО 500 МРОТ ИЛИ АДМИНИСТРАТИВНОЕ ПРИОСТАНОВЛЕНИЕ ДЕЯТЕЛЬНОСТИ НА СРОК ДО 90 СУТОК. Положение о персональных данных

17 Вифлеемский А.Б., 2009 Субъект персональных данных имеет право на получение сведений об операторе, о месте его нахождения, о наличии у оператора персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными. Субъект персональных данных вправе требовать от оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав. Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей: 1) подтверждение факта обработки персональных данных оператором, а также цель такой обработки; 2) способы обработки персональных данных, применяемые оператором; 3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ; 4) перечень обрабатываемых персональных данных и источник их получения; 5) сроки обработки персональных данных, в том числе сроки их хранения; 6) сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных. Права субъектов персональных данных

18 Вифлеемский А.Б., за отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, непосредственно затрагивающих права и свободы гражданина, либо их несвоевременное предоставление, непредоставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст КоАП РФ); - за нарушение установленного законом порядка сбора, хранения, использования или распространения персональных данных (ст КоАП РФ); - за разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, когда ее разглашение влечет за собой уголовную ответственность) лицом, получившим к ней доступ в связи с исполнением служебных или профессиональных обязанностей (ст КоАП РФ). Административная ответственность оператора персональных данных

19 Вифлеемский А.Б., Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения; 2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных; 4) являющихся общедоступными персональными данными; 5) включающих в себя только фамилии, имена и отчества субъектов персональных данных; Уведомление уполномоченного органа

20 Вифлеемский А.Б., Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях; 7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; 8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.. Уведомление уполномоченного органа

21 Вифлеемский А.Б., 2009 Приказ Россвязьохранкультуры от «Об утверждении формы уведомления об обработке (о намерении осуществлять обработку) персональных данных» Рекомендации по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных (Приложение N 2 к Приказу Россвязькомнадзора от 17 июля 2008 г. N 08) Уведомление уполномоченного органа