Обзор изменений ФЗ 152 «О персональных данных», внесенных 04.06.2011, 25.07.2011. - презентация

1 Обзор изменений ФЗ 152 «О персональных данных», внесенных ,

2 Глава 1. ОБЩИЕ ПОЛОЖЕНИЯ. Статья 3. Основные понятия, используемые в настоящем Федеральном законе Введено новое понятие «автоматизированная обработка персональных данных» - обработка персональных данных с помощью средств вычислительной техники. Понятие «распространение персональных данных» отличается от понятия «предоставление персональных данных» тем, что первое – это действия, направленные на раскрытие персональных данных неопределенному кругу лиц, а второе - определенному лицу или определенному кругу лиц.

3 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 5. Принципы обработки персональных данных Статья 5 претерпела существенные изменения: Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. Обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

4 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 5. Принципы обработки персональных данных При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

5 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 6. Условия обработки персональных данных Произошли существенные изменения статьи 6, добавлено законодательное обоснование поручения обработки персональных данных оператором другому лицу, которое несет ответственность перед оператором. Обработка персональных данных допускается в следующих случаях: 1)обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2)Обработка персональных данных необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательсовм РФ на оператора функций, полномочий, обязанностей; 5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем; 9) обработка персональных данных осуществляется в статистических или иных исследовательских целях настоящего Федерального закона, при условии обязательного обезличивания персональных данных.

6 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 6. Условия обработки персональных данных Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, либо путем принятия государственным или муниципальным органом соответствующего акта.

7 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 6. Условия обработки персональных данных Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных. В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором.

8 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. Согласие на обработку персональных данных может быт дано субъектом в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

9 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. К согласию субъекта персональных данных на обработку его данных добавили необходимость включения персональных данных законного представителя. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных)

10 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом. Новая статья, введена Федеральным законом от N 261-ФЗ Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами.

11 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом. К таким мерам могут, в частности, относиться: назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений; применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 настоящего Федерального закона; осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;

12 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом. К таким мерам могут, в частности, относиться: оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом; ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.

13 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно- телекоммуникационной сети.

14 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом. Правительство Российской Федерации устанавливает перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами. Оператор обязан представить документы и локальные акты, указанные в части 1 настоящей статьи, и (или) иным образом подтвердить принятие мер, указанных в части 1 настоящей статьи, по запросу уполномоченного органа по защите прав субъектов персональных данных.

15 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 19. Меры по обеспечению безопасности персональных данных при их обработке. В эту статью были добавлены меры из Положения Правительства РФ ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ ОБ ОБЕСПЕЧЕНИИ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ Обеспечение безопасности персональных данных достигается, в частности: определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных; применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

16 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 19. Меры по обеспечению безопасности персональных данных при их обработке. применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации; оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных; учетом машинных носителей персональных данных; обнаружением фактов несанкционированного доступа к персональным данным и принятием мер; восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним; установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных; контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

17 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 19. Меры по обеспечению безопасности персональных данных при их обработке. Правительство Российской Федерации с учетом возможного вреда субъекту персональных данных, объема и содержания обрабатываемых персональных данных, вида деятельности, при осуществлении которого обрабатываются персональные данные, актуальности угроз безопасности персональных данных устанавливает: уровни защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных; требования к защите персональных данных при их обработке в информационных системах персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;

18 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 19. Меры по обеспечению безопасности персональных данных при их обработке. Состав и содержание необходимых для выполнения требований к защите персональных данных для каждого из уровней защищенности, организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий.

19 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 19. Меры по обеспечению безопасности персональных данных при их обработке. Контроль и надзор за выполнением организационных и технических мер по обеспечению безопасности персональных данных, установленных в соответствии с настоящей статьей, при обработке персональных данных в государственных информационных системах персональных данных осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

20 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 19. Меры по обеспечению безопасности персональных данных при их обработке. Для целей настоящей статьи под угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных. Под уровнем защищенности персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

21 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья Лица, ответственные за организацию обработки персональных данных в организациях Новая статья, введена Федеральным законом от N 261-ФЗ. Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных. Лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от исполнительного органа организации, являющейся оператором, и подотчетно ему. Оператор обязан предоставлять лицу, ответственному за организацию обработки персональных данных, сведения, указанные в части 3 статьи 22 настоящего Федерального закона (уведомление о намерении осуществлять обработку персональных данных).

22 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья Лица, ответственные за организацию обработки персональных данных в организациях Лицо, ответственное за организацию обработки персональных данных, в частности, обязано: осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных; доводить до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных; организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.

23 Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Статья 24. Ответственность за нарушение требований настоящего Федерального закона. Добавился новый вид ответственности: Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

24 Глава 6. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ Статья 25. Заключительные положения Операторы, которые осуществляли обработку персональных данных до 1 июля 2011 года, обязаны представить в уполномоченный орган по защите прав субъектов персональных данных сведения, указанные в пунктах: 5 (правовое основание обработки персональных данных), 7.1 (фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты), 10 (сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки) 11 (сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации)

25 Контроль и надзор за выполнением требований по защите ПДн Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций РФ (Роскомнадзор) – основной контрольно-надзорный орган по защите прав субъектов ПДн. надзор за соблюдением требований, установленных федеральным законом «О персональных данных» 152 (ФЗ-152): порядок сбора, обработки, уничтожения ПДн защита прав субъектов ПДн в суде В Иркутской области указанные функции осуществляет Управление Роскомнадзора по Иркутской области. Контактные данные: Адрес: , г.Иркутск, ул.Халтурина, 7 (а/я 169) Телефон: (3952) , факс: (3952) Официальный сайт:

26 Контроль и надзор за выполнением требований по защите ПДн Федеральная служба по техническому и экспортному контролю России (ФСТЭК) курирует вопросы, связанные с технической защитой ПДн, за исключением криптографической защиты. Под технической защитой конфиденциальной информации понимается комплекс мероприятий по ее защите от несанкционированного доступа (НСД), в том числе и по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней. В Сибирском федеральном округе указанные функции осуществляет Управление ФСТЭК России по СФО. Контактные данные: Адрес: , г. Новосибирск, Красный проспект, д. 41. Телефон: (383) Официальный сайт:

27 Контроль и надзор за выполнением требований по защите ПДн Федеральная служба безопасности России (ФСБ) курирует вопросы защиты ПДн с помощью шифровальных (криптографических) средств. В Иркутской области указанные функции осуществляет Управление ФСБ России по Иркутской области. Контактные данные: Адрес: г.Иркутск, ул.Литвинова, д.13 Телефон: (3952) Официальный сайт:

28 Контроль и надзор за выполнением требований по защите ПДн Указанные органы могут проводить документарные и выездные плановые и внеплановые проверки. Важно учитывать, что проверки могут проводиться как в отношении операторов, включенных в реестр операторов, осуществляющих обработку ПДн, так и в отношении не включенных в реестр операторов, но фактически осуществляющих обработку ПДн. Перед проверкой надзорный орган уведомляет организацию о предстоящей процедуре. В случае плановой проверки – не позднее, чем за 3 рабочих дня до дня начала проверки, в случае внеплановой – не позднее 24-х часов до начала проверки.

29 Контроль и надзор за выполнением требований по защите ПДн Предметом документарной проверки являются следующие документы: уведомление об обработке ПДн документы, необходимые для проверки фактов, (содержащих признаки нарушения законодательства РФ в области ПДн) изложенных в обращениях граждан и информации, поступившей в надзорный орган документы, подтверждающие выполнение оператором предписаний об устранении ранее выявленных нарушений законодательства РФ в области ПДн письменное согласие субъекта ПДн на обработку его персональных данных локальные акты оператора, подтверждающие соблюдение требований законодательства РФ при обработке специальных категорий и биометрических ПДн локальные акты оператора, подтверждающие уничтожение ПДн по достижении цели их обработки локальные акты оператора, регламентирующие порядок и условия обработки ПДн

30 Контроль и надзор за выполнением требований по защите ПДн В первую очередь проверяются документы организации, имеющиеся в распоряжении надзорного органа. Если во время проверки возникает необходимость в иных документах, то надзорный орган вправе запросить в письменном виде у организации соответствующие документы. К мотивированному запросу обязательно прилагается заверенная печатью копия распоряжения или приказа руководителя надзорного органа, на основании которого проводится проверка. В течение десяти рабочих дней со дня получения запроса организация обязана направить в надзорный орган запрашиваемые документы. Документы (копии) должны быть заверены печатью организации.

31 Контроль и надзор за выполнением требований по защите ПДн Надзорный орган не вправе требовать: нотариально заверенные копии документов документы, не относящиеся к предмету документарной проверки сведения и документы, которые могут быть получены этим органом от иных органов государственного контроля (надзора), органов муниципального контроля

32 Контроль и надзор за выполнением требований по защите ПДн Выездная проверка является формой документарной проверки, которая проводится сотрудниками надзорного органа по месту нахождения организации. Целью проведения выездной проверки является проверка полноты и достоверности сведений, содержащихся в уведомлении об обработке ПДн, а также в иных документах, имеющихся в распоряжении надзорного органа. Оператор обязан предоставить должностным лицам надзорного органа возможность ознакомиться с документами, связанными с целями, задачами и предметом выездной проверки, а также обеспечить доступ проверяющим в здания, строения, сооружения, помещения и к оборудованию, используемому оператором для обработки ПДн. Должностные лица надзорного органа не вправе изымать оригиналы документов.

33 Контроль и надзор за выполнением требований по защите ПДн Внеплановые проверки проводятся: Роскомнадзором в случае: получения обращений, жалоб (как от субъектов ПДн, так и организаций, государственных и муниципальных органов) или информации из СМИ о возникновении угрозы здоровью или жизни граждан, а также о непосредственном причинении вреда здоровью или жизни граждан нарушения законных прав и интересов субъектов ПДн при обработке оператором ПДн получения от Правительства РФ или Президента РФ соответствующих поручений истечения срока исполнения оператором предписания об устранении нарушений, выявленных во время предыдущих проверок ФСТЭК России и ФСБ России по обращению Роскомнадзора.

34 Контроль и надзор за выполнением требований по защите ПДн Плановые проверки проводятся на основании плана проверок на текущий год, с которым можно ознакомиться по следующему адресу: Основанием включения оператора в годовой план является начало оператором обработки ПДн. Плановые проверки проводятся не чаще чем один раз в три года. ФСТЭК России и ФСБ России также осуществляют контрольно- надзорные функции за лицензиатами (организациями, имеющими лицензии соответственно ФСТЭК России и ФСБ России, и оказывающие услуги по технической защите информации). Реестр лицензиатов ФСТЭК находится по следующему адресу:

35 Подготовка пакета документов по персональным данным Приказа о защите персональных данных Приложения к приказу: об организации работы с персональными данными обучающихся об организации работы с персональными данными работников сведений ограниченного доступа Перечень подразделений и должностей, осуществляющих обработку персональных данных Раздел трудового договора «Конфиденциальность» Согласие сотрудника на обработку персональных данных Согласие родителей на обработку персональных данных АКТ классификации информационной системы персональных данных БАЗОВАЯ МОДЕЛЬ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ ОБРАЗОВАТЕЛЬНОГО УЧРЕЖДЕНИЯ Соглашение на обработку персональных данных!