Email
Пароль

СИСТЕМА ОБРАЗОВАНИЯ КРОНШТАДТСКОГО РАЙОНА СПб


ИНФОРМАЦИОННО-МЕТОДИЧЕСКИЙ ЦЕНТР
КРОНШТАДТСКОГО РАЙОНА САНКТ-ПЕТЕРБУРГА



Яндекс.Метрика

Васин Владимир Владимирович

руководитель структурного подразделения, тел: 311-46-65

Федеральный закон №242 от 21 июля 2014 года
«О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях»

                       РОССИЙСКАЯ ФЕДЕРАЦИЯ

                         ФЕДЕРАЛЬНЫЙ ЗАКОН


       О внесении изменений в отдельные законодательные акты
     Российской Федерации в части уточнения порядка обработки
     персональных данных в информационно-телекоммуникационных
                               сетях

     Принят Государственной Думой                  4 июля 2014 года
     Одобрен Советом Федерации                     9 июля 2014 года

    (В редакции Федерального закона от 31.12.2014 г. N 526-ФЗ)

     Статья 1

     Внести в Федеральный  закон  от  27  июля  2006 года  N 149-ФЗ
"Об информации, информационных технологиях и о  защите  информации"
(Собрание  законодательства  Российской  Федерации,   2006,   N 31,
ст. 3448;  2010,  N 31,  ст. 4196;  2011,  N 15,  ст. 2038;   N 30,
ст. 4600;  2012,  N 31,  ст. 4328;  2013,  N 14,  ст. 1658;   N 23,
ст. 2870;  N 27,  ст. 3479;  N 52,  ст. 6961,  6963;  2014,   N 19,
ст. 2302) следующие изменения:
     1) дополнить статьей 15-5 следующего содержания:

     "Статья 15-5. Порядок ограничения доступа к информации,
                   обрабатываемой с нарушением законодательства
                   Российской Федерации в области
                   персональных данных

     1. В целях ограничения доступа к информации в сети "Интернет",
обрабатываемой с нарушением законодательства Российской Федерации в
области   персональных   данных,    создается    автоматизированная
информационная   система   "Реестр   нарушителей   прав   субъектов
персональных данных" (далее - реестр нарушителей).
     2. В реестр нарушителей включаются:
     1) доменные имена и (или)  указатели  страниц  сайтов  в  сети
"Интернет",  содержащих  информацию,  обрабатываемую  с  нарушением
законодательства  Российской  Федерации  в   области   персональных
данных;
     2) сетевые адреса, позволяющие идентифицировать сайты  в  сети
"Интернет",  содержащие  информацию,  обрабатываемую  с  нарушением
законодательства  Российской  Федерации  в   области   персональных
данных;
     3) указание на вступивший в законную силу судебный акт;
     4) информация   об   устранении   нарушения   законодательства
Российской Федерации в области персональных данных;
     5) дата направления операторам связи данных об  информационном
ресурсе для ограничения доступа к этому ресурсу.
     3. Создание,  формирование  и  ведение   реестра   нарушителей
осуществляются   федеральным   органом    исполнительной    власти,
осуществляющим функции  по  контролю  и  надзору  в  сфере  средств
массовой   информации,   массовых   коммуникаций,    информационных
технологий  и  связи,  в  порядке,   установленном   Правительством
Российской Федерации.
     4. Федеральный  орган  исполнительной  власти,  осуществляющий
функции по контролю и надзору в сфере средств массовой  информации,
массовых  коммуникаций,  информационных  технологий  и   связи,   в
соответствии с критериями, определенными Правительством  Российской
Федерации,  может  привлечь  к  формированию  и   ведению   реестра
нарушителей     оператора     такого     реестра -     организацию,
зарегистрированную на территории Российской Федерации.
     5. Основанием для включения в реестр  нарушителей  информации,
указанной  в  части  2  настоящей  статьи,  является  вступивший  в
законную силу судебный акт.
     6. Субъект персональных данных вправе обратиться в федеральный
орган исполнительной власти, осуществляющий функции по  контролю  и
надзору в сфере средств массовой информации, массовых коммуникаций,
информационных технологий и связи, с заявлением о принятии  мер  по
ограничению  доступа  к  информации,  обрабатываемой  с  нарушением
законодательства  Российской  Федерации  в   области   персональных
данных, на основании вступившего в законную  силу  судебного  акта.
Форма  указанного  заявления   утверждается   федеральным   органом
исполнительной власти, осуществляющим функции по контролю и надзору
в  сфере  средств  массовой  информации,   массовых   коммуникаций,
информационных технологий и связи.
     7. В течение трех рабочих дней со дня получения вступившего  в
законную  силу  судебного  акта  федеральный  орган  исполнительной
власти, осуществляющий  функции  по  контролю  и  надзору  в  сфере
средств массовой информации, массовых коммуникаций,  информационных
технологий и связи, на основании указанного решения суда:
     1) определяет   провайдера    хостинга    или    иное    лицо,
обеспечивающее           обработку           информации           в
информационно-телекоммуникационной  сети,  в  том  числе   в   сети
"Интернет", с нарушением законодательства  Российской  Федерации  в
области персональных данных;
     2) направляет  провайдеру  хостинга  или  иному  указанному  в
пункте 1 настоящей части лицу в  электронном  виде  уведомление  на
русском и английском языках о нарушении законодательства Российской
Федерации в области персональных данных с информацией о  вступившем
в законную силу судебном акте, доменном  имени  и  сетевом  адресе,
позволяющих идентифицировать сайт в  сети  "Интернет",  на  котором
осуществляется обработка информации с  нарушением  законодательства
Российской Федерации в области  персональных  данных,  а  также  об
указателях   страниц   сайта   в   сети   "Интернет",   позволяющих
идентифицировать такую информацию, и с требованием принять меры  по
устранению  нарушения  законодательства  Российской   Федерации   в
области персональных данных, указанные в решении суда;
     3) фиксирует дату и время направления  уведомления  провайдеру
хостинга или иному указанному в пункте 1  настоящей  части  лицу  в
реестре нарушителей.
     8. В  течение  одного  рабочего  дня   с   момента   получения
уведомления, указанного  в  пункте  2  части  7  настоящей  статьи,
провайдер хостинга или иное указанное в пункте 1 части 7  настоящей
статьи лицо обязаны проинформировать  об  этом  обслуживаемого  ими
владельца информационного ресурса и уведомить его  о  необходимости
незамедлительно    принять    меры    по    устранению    нарушения
законодательства  Российской  Федерации  в   области   персональных
данных, указанного в уведомлении, или принять меры  по  ограничению
доступа к информации, обрабатываемой с нарушением  законодательства
Российской Федерации в области персональных данных.
     9. В течение  одного  рабочего  дня  с  момента  получения  от
провайдера хостинга  или  иного  указанного  в  пункте  1  части  7
настоящей  статьи  лица  уведомления  о  необходимости   устранения
нарушения   законодательства   Российской   Федерации   в   области
персональных данных владелец информационного ресурса обязан принять
меры по устранению указанного в  уведомлении  нарушения.  В  случае
отказа или бездействия владельца информационного ресурса  провайдер
хостинга или иное указанное в пункте 1  части  7  настоящей  статьи
лицо обязаны ограничить доступ к  соответствующему  информационному
ресурсу не позднее истечения трех рабочих дней с момента  получения
уведомления, указанного в пункте 2 части 7 настоящей статьи.
     10. В  случае  непринятия  провайдером   хостинга   или   иным
указанным в пункте  1  части  7  настоящей  статьи  лицом  и  (или)
владельцем информационного ресурса мер, указанных в частях  8  и  9
настоящей статьи, доменное имя сайта в сети "Интернет", его сетевой
адрес, указатели  страниц  сайта  в  сети  "Интернет",  позволяющие
идентифицировать   информацию,    обрабатываемую    с    нарушением
законодательства  Российской  Федерации  в   области   персональных
данных,  а  также  иные  сведения  об  этом  сайте   и   информация
направляются   по   автоматизированной    информационной    системе
операторам связи для принятия мер по ограничению доступа к  данному
информационному ресурсу, в том числе к сетевому  адресу,  доменному
имени, указателю страниц сайта в сети "Интернет".
     11. Федеральный орган  исполнительной  власти,  осуществляющий
функции по контролю и надзору в сфере средств массовой  информации,
массовых  коммуникаций,  информационных  технологий  и  связи,  или
привлеченный им в соответствии с частью 4 настоящей статьи оператор
реестра нарушителей  исключает  из  такого  реестра  доменное  имя,
указатель страницы сайта  в  сети  "Интернет"  или  сетевой  адрес,
позволяющие идентифицировать сайт в сети "Интернет",  на  основании
обращения владельца сайта в сети  "Интернет",  провайдера  хостинга
или оператора связи не позднее чем  в  течение  трех  дней  со  дня
такого  обращения  после  принятия  мер  по  устранению   нарушения
законодательства Российской Федерации в области персональных данных
или на основании вступившего в законную силу решения суда об отмене
ранее принятого судебного акта.
     12. Порядок взаимодействия  оператора  реестра  нарушителей  с
провайдером хостинга и порядок получения доступа к  содержащейся  в
таком   реестре   информации   оператором   связи   устанавливаются
уполномоченным  Правительством  Российской  Федерации   федеральным
органом исполнительной власти.";
     2) часть  4  статьи  16   дополнить   пунктом   7   следующего
содержания:
     "7) нахождение на территории Российской Федерации  баз  данных
информации, с использованием которых осуществляются  сбор,  запись,
систематизация,  накопление,   хранение,   уточнение   (обновление,
изменение),  извлечение  персональных  данных  граждан   Российской
Федерации.".

     Статья 2

     Внести в Федеральный  закон  от  27  июля  2006 года  N 152-ФЗ
"О персональных  данных"  (Собрание   законодательства   Российской
Федерации, 2006, N 31, ст. 3451; 2011,  N 31,  ст. 4701)  следующие
изменения:
     1) статью 18 дополнить частью 5 следующего содержания:
     "5. При сборе персональных данных,  в  том  числе  посредством
информационно-телекоммуникационной сети "Интернет", оператор обязан
обеспечить запись, систематизацию, накопление, хранение,  уточнение
(обновление, изменение),  извлечение  персональных  данных  граждан
Российской Федерации с использованием баз  данных,  находящихся  на
территории Российской Федерации, за исключением случаев,  указанных
в пунктах 2, 3, 4, 8  части  1  статьи  6  настоящего  Федерального
закона.";
     2) часть  3  статьи  22  дополнить  пунктом  10-1   следующего
содержания:
     "10-1) сведения о месте  нахождения  базы  данных  информации,
содержащей персональные данные граждан Российской Федерации;";
     3) часть  3  статьи  23  дополнить  пунктом   3-1   следующего
содержания:
     "3-1) ограничивать  доступ  к  информации,  обрабатываемой   с
нарушением  законодательства   Российской   Федерации   в   области
персональных данных,  в  порядке,  установленном  законодательством
Российской Федерации;".

     Статья 3

     Часть 3-1 статьи 1 Федерального закона от 26 декабря 2008 года
N 294-ФЗ  "О защите   прав   юридических   лиц   и   индивидуальных
предпринимателей  при   осуществлении   государственного   контроля
(надзора) и  муниципального  контроля"  (Собрание  законодательства
Российской Федерации, 2008, N 52, ст. 6249; 2009,  N 18,  ст. 2140;
N 29,  ст. 3601;  N 52,  ст. 6441;  2010,  N 17,  ст. 1988;   N 31,
ст. 4160,  4193;  2011,  N 17,  ст. 2310;  N 30,  ст. 4590;   N 48,
ст. 6728;  2012,  N 26,  ст. 3446;  2013,  N 27,  ст. 3477;   N 30,
ст. 4041;  N 52,  ст. 6961,  6979, 6981;  Российская газета,  2014,
25 июня) дополнить пунктами 19 и 20 следующего содержания:
     "19) контроль   за   соблюдением   требований   в   связи    с
распространением  информации  в  информационно-телекоммуникационной
сети "Интернет";
     20) контроль и надзор за обработкой персональных данных.".

     Статья 4

     Настоящий Федеральный  закон  вступает  в  силу  с  1 сентября
2015 года. (В          редакции         Федерального         закона
от 31.12.2014 г. N 526-ФЗ)


     Президент Российской Федерации                         В.Путин

     Москва, Кремль
     21 июля 2014 года
     N 242-ФЗ

Политика оператора в отношении обработки персональных данных

Политика

 оператора в отношении обработки персональных данных

 

1.Введение

Настоящее Положение определяет политику ГБОУ ИМЦ Кронштадтского района Санкт-Петербурга (далее – ИМЦ) как оператора, осуществляющего обработку персональных данных, в отношении обработки и защиты персональных данных.

1.1 Политика в отношении обработки персональных данных (далее – Политика) разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», постановления Правительства Российской Федерации от 1.11.2012 № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", постановления Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», постановления Правительства Российской Федерации от 21.03.2012 № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами».

1.2 Политика разработана в целях обеспечения реализации требований законодательства Российской Федерации в области обработки персональных данных, направленного на обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, в частности в целях защиты от несанкционированного доступа и неправомерного распространения персональных данных, обрабатываемых в информационных системах ИМЦ.

1.3 Политика действует в отношении информации, которую ИМЦ получает о субъекте персональных данных в процессе предоставления услуг или исполнения договорных обязательств.

1.4 Настоящая Политика раскрывает состав субъектов персональных данных, принципы, порядок и условия обработки персональных данных работников ИМЦ и иных лиц, чьи персональные данные обрабатываются ИМЦ, с целью обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.5. Персональные данные являются конфиденциальной, строго охраняемой информацией и на них распространяются все требования, установленные внутренними документами ИМЦ по защите конфиденциальной информации.

 

2. Категории субъектов персональных данных

2.1 Перечень персональных данных, подлежащих защите в ИМЦ формируется в соответствии с федеральным законодательством о персональных данных и внутренними документами ИМЦ по защите персональных данных.

2.2 Сведениями, составляющими персональные данные, является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

2.3 В зависимости от субъекта персональных данных, ИМЦ обрабатывает персональные данные следующих категорий субъектов персональных данных:

- персональные данные государственного служащего ИМЦ - информация, необходимая ИМЦ в связи с трудовыми отношениями и касающиеся конкретного государственного служащего Санкт-Петербурга.

- персональные данные руководителей подведомственных предприятий, необходимые ИМЦ для отражения в отчетных документах о деятельности ИМЦ в соответствии с требованиями федеральных законов, нормативных документов Правительства Санкт-Петербурга и иных нормативных правовых актов.

- персональные данные руководителя или сотрудника юридического лица, являющегося контрагентом ИМЦ, необходимые ИМЦ для выполнения своих обязательств в рамках договорных отношений с контрагентом и для выполнения требований законодательства Российской Федерации.

- граждан, обращающихся в ИМЦ в соответствии с Федеральным законом от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан в Российской Федерации»

 

3. Цели обработки персональных данных

3.1 ИМЦ осуществляет обработку персональных данных в следующих целях:

- осуществления деятельности, предусмотренной Уставом ИМЦ и действующим законодательством Российской Федерации;

- заключения, исполнения и прекращения гражданско-правовых договоров с физическими, юридическим лицами, индивидуальными предпринимателями и иными лицами, в случаях, предусмотренных действующим законодательством

- организации кадрового учета ИМЦ, обеспечения соблюдения законов и иных нормативно-правовых актов, заключения и исполнения обязательств по трудовым и гражданско-правовым договорам; ведения кадрового делопроизводства, содействия сотрудникам в трудоустройстве, обучении и продвижении по службе, пользования различного вида льготами, исполнения требований налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, а также единого социального налога, пенсионного законодательства при формировании и представлении персонифицированных данных о каждом получателе доходов, учитываемых при начислении страховых взносов на обязательное пенсионное страхование и обеспечение, заполнения первичной статистической документации, в соответствии с Трудовым кодексом РФ, Налоговым кодексом РФ, федеральными законами, в частности: «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования», «О персональных данных»;

- работой с обращениями граждан в соответствии с Правилами рассмотрения запросов субъектов персональных данных или их представителей

 

4. Сроки обработки персональных данных

4.1. Сроки обработки персональных данных определяются в соответствии со сроком действия договора с субъектом персональных данных, Приказом Минкультуры РФ от 25.08.2010 № 558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения», а также иными требованиями законодательства РФ и нормативными документами.

4.2. В ИМЦ создаются и хранятся документы, содержащие сведения о субъектах персональных данных. Требования к использованию в ИМЦ данных типовых форм документов установлены Постановлением Правительства РФ от 15.09.2008 №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

 

5. Права

5.1. ИМЦ как оператор персональных данных, вправе:

- отстаивать свои интересы в суде;

- предоставлять персональные данные субъектов третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.);

- отказывать в предоставлении персональных данных в случаях, предусмотренных законодательством;

- использовать персональные данные субъекта без его согласия, в случаях, предусмотренных законодательством.

5.2. Субъект персональных данных имеет право

- требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

- требовать перечень своих персональных данных, обрабатываемых ИМЦ и источник их получения;

- получать информацию о сроках обработки своих персональных данных, в том числе о сроках их хранения;

- требовать извещения всех лиц, которым ранее были сообщены неверные или неполные его персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях;

- обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия при обработке его персональных данных;

- на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

 

6. Принципы и условия обработки персональных данных

6.1. Обработка персональных данных ИМЦ осуществляется на основе принципов:

- законности и справедливости целей и способов обработки персональных данных;

- соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям ИМЦ;

- соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;

- достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;

- недопустимости объединения, созданных для несовместимых между собой целей баз данных, содержащих персональные данные;

- хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки;

- уничтожения по достижении целей обработки персональных данных или в случае утраты необходимости в их достижении.

6.2 Обработка персональных данных осуществляется на основании условий, определенных законодательством Российской Федерации.

 

7. Обеспечение безопасности персональных данных

7.1. ИМЦ предпринимает необходимые организационные и технические меры для обеспечения безопасности персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.

7.2. В целях координации действий по обеспечению безопасности персональных данных в ИМЦ назначено ответственное лицо за обеспечение безопасности персональных данных.

 

8. Заключительные положения

8.1. Настоящая Политика является внутренним документом ИМЦ, общедоступной и подлежит размещению на официальном сайте www.kronnmc.ru.

8.2. Настоящая Политика подлежит изменению, дополнению в случае появления новых законодательных актов и специальных нормативных документов по обработке и защите персональных данных, но не реже одного раза в три года. При внесении изменений в актуальной редакции указывается дата последнего обновления. Новая редакция Политики вступает в силу с момента ее размещения, если иное не предусмотрено новой редакцией Политики. Действующая редакция всегда находится на странице по адресу: kronnmc.ru/page/3084

8.3. Контроль исполнения требований настоящей Политики осуществляется ответственным лицом за обеспечение безопасности персональных данных ИМЦ.

8.4. Ответственность должностных лиц ИМЦ, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними документами ИМЦ.

Приказ 996 от 05.09.2013 "Об утверждении требований и методов по обезличиванию персональных данных"

Приказ 996 от 05.09.2013 "Об утверждении требований и методов по обезличиванию персональных данных"

 

Зарегистрировано в Минюсте России 10 сентября 2013 г. N 29935

 

 

МИНИСТЕРСТВО СВЯЗИ И МАССОВЫХ КОММУНИКАЦИЙ

РОССИЙСКОЙ ФЕДЕРАЦИИ

 

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО НАДЗОРУ В СФЕРЕ СВЯЗИ,

ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ И МАССОВЫХ КОММУНИКАЦИЙ

 

ПРИКАЗ

от 5 сентября 2013 г. N 996

 

ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ И МЕТОДОВ

ПО ОБЕЗЛИЧИВАНИЮ ПЕРСОНАЛЬНЫХ ДАННЫХ

 

В соответствии с подпунктом "з" пункта 1 Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами, утвержденного постановлением Правительства Российской Федерации от 21 марта 2012 г. N 211 (Собрание законодательства Российской Федерации, 2012, N 14, ст. 1626), приказываю:

1. Утвердить прилагаемые требования и методы по обезличиванию персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ.

2. Направить настоящий приказ на государственную регистрацию в Министерство юстиции Российской Федерации.

 

Руководитель

А.А.ЖАРОВ

 

 

 

 

 

Утверждены

приказом Федеральной службы

по надзору в сфере связи,

информационных технологий

и массовых коммуникаций

от 05.09.2013 N 996

 

ТРЕБОВАНИЯ И МЕТОДЫ

ПО ОБЕЗЛИЧИВАНИЮ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОБРАБАТЫВАЕМЫХ

В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ, В ТОМ ЧИСЛЕ

СОЗДАННЫХ И ФУНКЦИОНИРУЮЩИХ В РАМКАХ РЕАЛИЗАЦИИ ФЕДЕРАЛЬНЫХ

ЦЕЛЕВЫХ ПРОГРАММ

 

1. Настоящие Требования и методы по обезличиванию персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ (далее - Требования и методы) разработаны в соответствии сподпунктом "з" пункта 1 Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с нимнормативными правовыми актами, операторами, являющимися государственными или муниципальными органами, утвержденного постановлением Правительства Российской Федерации от 21 марта 2012 г. N 211 (Собрание законодательства Российской Федерации, 2012, N 14, ст. 1626).

2. В соответствии со статьей 3 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31 (ч. I), ст. 3451; 2009, N 48, ст. 5716; N 52 (ч. I), ст. 6439; 2010, N 27, ст. 3407; N 31, ст. 4173, ст. 4196; N 49, ст. 6409; N 52 (ч. I), ст. 6974; 2011, N 23, ст. 3263; N 31, ст. 4701; 2013, N 14, ст. 1651) под обезличиванием персональных данных понимаются действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

3. Обезличивание персональных данных должно обеспечивать не только защиту от несанкционированного использования, но и возможность их обработки. Для этого обезличенные данные должны обладать свойствами, сохраняющими основные характеристики обезличиваемых персональных данных.

4. К свойствам обезличенных данных относятся:

полнота (сохранение всей информации о конкретных субъектах или группах  субъектов, которая имелась до обезличивания);

структурированность (сохранение структурных связей между обезличенными данными конкретного субъекта или группы субъектов, соответствующих связям, имеющимся до обезличивания);

релевантность (возможность обработки запросов по обработке персональных данных и получения ответов в одинаковой семантической форме);

семантическая целостность (сохранение семантики персональных данных при их обезличивании);

применимость (возможность решения задач обработки персональных данных, стоящих перед оператором, осуществляющим обезличивание персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ (далее - оператор, операторы), без предварительного деобезличивания всего объема записей о субъектах);

анонимность (невозможность однозначной идентификации субъектов данных, полученных в результате обезличивания, без применения дополнительной информации).

5. К характеристикам (свойствам) методов обезличивания персональных данных (далее - методы обезличивания), определяющим возможность обеспечения заданных свойств обезличенных данных, относятся:

обратимость (возможность преобразования, обратного обезличиванию (деобезличивание), которое позволит привести обезличенные данные к исходному виду, позволяющему определить принадлежность персональных данных конкретному субъекту, устранить анонимность);

вариативность (возможность внесения изменений в параметры метода и его дальнейшего применения без предварительного деобезличивания массива данных);

изменяемость (возможность внесения изменений (дополнений) в массив обезличенных данных без предварительного деобезличивания);

стойкость (стойкость метода к атакам на идентификацию субъекта персональных данных);

возможность косвенного деобезличивания (возможность проведения деобезличивания с использованием информации других операторов);

совместимость (возможность интеграции персональных данных, обезличенных различными методами);

параметрический объем (объем дополнительной (служебной) информации, необходимой для реализации метода обезличивания и деобезличивания);

возможность оценки качества данных (возможность проведения контроля качества обезличенных данных и соответствия применяемых процедур обезличивания установленным для них требованиям).

6. Требования к методам обезличивания подразделяются на:

требования к свойствам обезличенных данных, получаемых при применении метода обезличивания;

требования к свойствам, которыми должен обладать метод обезличивания.

7. К требованиям к свойствам получаемых обезличенных данных относятся:

сохранение полноты (состав обезличенных данных должен полностью соответствовать составу обезличиваемых персональных данных);

сохранение структурированности обезличиваемых персональных данных;

сохранение семантической целостности обезличиваемых персональных данных;

анонимность отдельных данных не ниже заданного уровня (количества возможных сопоставлений обезличенных данных между собой для деобезличивания как, например, k-anonymity).

8. К требованиям к свойствам метода обезличивания относятся:

обратимость (возможность проведения деобезличивания);

возможность обеспечения заданного уровня анонимности;

увеличение стойкости при увеличении объема обезличиваемых персональных данных.

9. Выполнение приведенных в пунктах 7 и 8 Требований и методов требований обязательно для обезличенных данных и применяемых методов обезличивания.

10. Методы обезличивания должны обеспечивать требуемые свойства обезличенных данных, соответствовать предъявляемым требованиям к их характеристикам (свойствам), быть практически реализуемыми в различных программных средах и позволять решать поставленные задачи обработки персональных данных.

11. К наиболее перспективным и удобным для практического применения относятся следующие методы обезличивания:

метод введения идентификаторов (замена части сведений (значений персональных данных) идентификаторами с созданием таблицы (справочника) соответствия идентификаторов исходным данным);

метод изменения состава или семантики (изменение состава или семантики персональных данных путем замены результатами статистической обработки, обобщения или удаления части сведений);

метод декомпозиции (разбиение множества (массива) персональных данных на несколько подмножеств (частей) с последующим раздельным хранением подмножеств);

метод перемешивания (перестановка отдельных записей, а также групп записей в массиве персональных данных).

12. Метод введения идентификаторов реализуется путем замены части персональных данных, позволяющих идентифицировать субъекта, их идентификаторами и созданием таблицы соответствия.

Метод обеспечивает следующие свойства обезличенных данных:

полнота;

структурированность;

семантическая целостность;

применимость.

Оценка свойств метода:

обратимость (метод позволяет провести процедуру деобезличивания);

вариативность (метод позволяет перейти от одной таблицы соответствия к другой без проведения процедуры деобезличивания);

изменяемость (метод не позволяет вносить изменения в массив обезличенных данных без предварительного деобезличивания);

стойкость (метод не устойчив к атакам, подразумевающим наличие у лица, осуществляющего несанкционированный доступ, частичного или полного доступа к справочнику идентификаторов, стойкость метода не повышается с увеличением объема обезличиваемых персональных данных);

возможность косвенного деобезличивания (метод не исключает возможность деобезличивания с использованием персональных данных, имеющихся у других операторов);

совместимость (метод позволяет интегрировать записи, соответствующие отдельным атрибутам);

параметрический объем (объем таблицы (таблиц) соответствия определяется числом записей о субъектах персональных данных, подлежащих обезличиванию);

возможность оценки качества данных (метод позволяет проводить анализ качества обезличенных данных).

Для реализации метода требуется установить атрибуты персональных данных, записи которых подлежат замене идентификаторами, разработать систему идентификации, обеспечить ведение и хранение таблиц соответствия.

13. Метод изменения состава или семантики реализуется путем обобщения, изменения или удаления части сведений, позволяющих идентифицировать субъекта.

Метод обеспечивает следующие свойства обезличенных данных:

структурированность;

релевантность;

применимость;

анонимность.

Оценка свойств метода:

обратимость (метод не позволяет провести процедуру деобезличивания в полном объеме и применяется при статистической обработке персональных данных);

вариативность (метод не позволяет изменять параметры метода без проведения предварительного деобезличивания);

изменяемость (метод позволяет вносить изменения в набор обезличенных данных без предварительного деобезличивания);

стойкость (стойкость метода к атакам на идентификацию определяется набором правил реализации, стойкость метода не повышается с увеличением объема обезличиваемых персональных данных);

возможность косвенного деобезличивания (метод исключает возможность деобезличивания с использованием персональных данных, имеющихся у других операторов);

совместимость (метод не обеспечивает интеграции с данными, обезличенными другими методами);

параметрический объем (параметры метода определяются набором правил изменения состава или семантики персональных данных);

возможность оценки качества данных (метод не позволяет проводить анализ, использующий конкретные значения персональных данных).

Для реализации метода требуется выделить атрибуты персональных данных, записи которых подвергаются изменению, определить набор правил внесения изменений и иметь возможность независимого внесения изменений для данных каждого субъекта.

При этом возможно использование статистической обработки отдельных записей данных и замена конкретных значений записей результатами статистической обработки (средние значения, например).

14. Метод декомпозиции реализуется путем разбиения множества записей персональных данных на несколько подмножеств и создание таблиц, устанавливающих связи между подмножествами, с последующим раздельным хранением записей, соответствующих этим подмножествам.

Метод обеспечивает следующие свойства обезличенных данных:

полнота;

структурированность;

релевантность;

семантическая целостность;

применимость.

Оценка свойств метода:

обратимость (метод позволяет провести процедуру деобезличивания);

вариативность (метод позволяет изменить параметры декомпозиции без предварительного деобезличивания);

изменяемость (метод позволяет вносить изменения в набор обезличенных данных без предварительного деобезличивания);

стойкость (метод не устойчив к атакам, подразумевающим наличие у злоумышленника информации о множестве субъектов или доступа к нескольким частям раздельно хранимых сведений);

возможность косвенного деобезличивания (метод не исключает возможность деобезличивания с использованием персональных данных, имеющихся у других операторов);

совместимость (метод обеспечивает интеграцию с данными, обезличенными другими методами);

параметрический объем (определяется числом подмножеств и числом субъектов персональных данных, массив которых обезличивается, а также правилами разделения персональных данных на части и объемом таблиц связывания записей, находящихся в различных хранилищах);

возможность оценки качества данных (метод позволяет проводить анализ качества обезличенных данных).

Для реализации метода требуется предварительно разработать правила декомпозиции, правила установления соответствия между записями в различных хранилищах, правила внесения изменений и дополнений в записи и хранилища.

15. Метод перемешивания реализуется путем перемешивания отдельных записей, а также групп записей между собой.

Метод обеспечивает следующие свойства обезличенных данных:

полнота;

структурированность;

релевантность;

семантическая целостность;

применимость;

анонимность.

Оценка свойств метода:

обратимость (метод позволяет провести процедуру деобезличивания);

вариативность (метод позволяет изменять параметры перемешивания без проведения процедуры деобезличивания);

изменяемость (метод позволяет вносить изменения в набор обезличенных данных без предварительного деобезличивания);

стойкость (длина перестановки и их совокупности определяет стойкость метода к атакам на идентификацию);

возможность косвенного деобезличивания (метод исключает возможность проведения деобезличивания с использованием персональных данных, имеющихся у других операторов);

совместимость (метод позволяет проводить интеграцию с данными, обезличенными другими методами);

параметрический объем (зависит от заданных методов и правил перемешивания и требуемой стойкости к атакам на идентификацию);

возможность оценки качества данных (метод позволяет проводить анализ качества обезличенных данных).

Для реализации метода требуется разработать правила перемешивания и их алгоритмы, правила и алгоритмы деобезличивания и внесения изменений в записи.

Метод может использоваться совместно с методами введения идентификаторов и декомпозиции.

Постановление Правительства РФ №1119

ПРАВИТЕЛЬСТВО РОССИЙСКОЙ ФЕДЕРАЦИИ

 

ПОСТАНОВЛЕНИЕ

от 1 ноября 2012 г. N 1119

 

ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ

К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ

В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

 

В соответствии со статьей 19 Федерального закона "О персональных данных" Правительство Российской Федерации постановляет:

1. Утвердить прилагаемые требования к защите персональных данных при их обработке в информационных системах персональных данных.

2. Признать утратившим силу постановление Правительства Российской Федерации от 17 ноября 2007 г. N 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных" (Собрание законодательства Российской Федерации, 2007, N 48, ст. 6001).

 

Председатель Правительства

Российской Федерации

Д.МЕДВЕДЕВ

 

 

 

 

 

Утверждены

постановлением Правительства

Российской Федерации

от 1 ноября 2012 г. N 1119

 

ТРЕБОВАНИЯ

К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ

В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

 

1. Настоящий документ устанавливает требования к защите персональных данных при их обработке в информационных системах персональных данных (далее - информационные системы) и уровни защищенности таких данных.

2. Безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с частью 5 статьи 19 Федерального закона "О персональных данных".

Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.

3. Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор этой системы, который обрабатывает персональные данные (далее - оператор), или лицо, осуществляющее обработку персональных данных по поручению оператора на основании заключаемого с этим лицом договора (далее - уполномоченное лицо). Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке в информационной системе.

4. Выбор средств защиты информации для системы защиты персональных данных осуществляется оператором в соответствии с нормативными правовыми актами, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю во исполнение части 4 статьи 19 Федерального закона "О персональных данных".

5. Информационная система является информационной системой, обрабатывающей специальные категории персональных данных, если в ней обрабатываются персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни субъектов персональных данных.

Информационная система является информационной системой, обрабатывающей биометрические персональные данные, если в ней обрабатываются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных, и не обрабатываются сведения, относящиеся к специальным категориям персональных данных.

Информационная система является информационной системой, обрабатывающей общедоступные персональные данные, если в ней обрабатываются персональные данные субъектов персональных данных, полученные только из общедоступных источников персональных данных, созданных в соответствии со статьей 8 Федерального закона "О персональных данных".

Информационная система является информационной системой, обрабатывающей иные категории персональных данных, если в ней не обрабатываются персональные данные, указанные в абзацах первом - третьем настоящего пункта.

Информационная система является информационной системой, обрабатывающей персональные данные сотрудников оператора, если в ней обрабатываются персональные данные только указанных сотрудников. В остальных случаях информационная система персональных данных является информационной системой, обрабатывающей персональные данные субъектов персональных данных, не являющихся сотрудниками оператора.

6. Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.

Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.

Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.

Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

7. Определение типа угроз безопасности персональных данных, актуальных для информационной системы, производится оператором с учетом оценки возможного вреда, проведенной во исполнение пункта 5 части 1 статьи 18.1 Федерального закона "О персональных данных", и в соответствии с нормативными правовыми актами, принятыми во исполнение части 5 статьи 19 Федерального закона "О персональных данных".

8. При обработке персональных данных в информационных системах устанавливаются 4 уровня защищенности персональных данных.

9. Необходимость обеспечения 1-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

а) для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает либо специальные категории персональных данных, либо биометрические персональные данные, либо иные категории персональных данных;

б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

10. Необходимость обеспечения 2-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

а) для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает общедоступные персональные данные;

б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

в) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает биометрические персональные данные;

г) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

д) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

е) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

11. Необходимость обеспечения 3-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

а) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные сотрудников оператора или общедоступные персональные данные менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

в) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

г) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает биометрические персональные данные;

д) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

12. Необходимость обеспечения 4-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

а) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает общедоступные персональные данные;

б) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

13. Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

а) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

б) обеспечение сохранности носителей персональных данных;

в) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

14. Для обеспечения 3-го уровня защищенности персональных данных при их обработке в информационных системах помимо выполнения требований, предусмотренных пунктом 13 настоящего документа, необходимо, чтобы было назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе.

15. Для обеспечения 2-го уровня защищенности персональных данных при их обработке в информационных системах помимо выполнения требований, предусмотренных пунктом 14 настоящего документа, необходимо, чтобы доступ к содержанию электронного журнала сообщений был возможен исключительно для должностных лиц (работников) оператора или уполномоченного лица, которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей.

16. Для обеспечения 1-го уровня защищенности персональных данных при их обработке в информационных системах помимо требований, предусмотренных пунктом 15 настоящего документа, необходимо выполнение следующих требований:

а) автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к персональным данным, содержащимся в информационной системе;

б) создание структурного подразделения, ответственного за обеспечение безопасности персональных данных в информационной системе, либо возложение на одно из структурных подразделений функций по обеспечению такой безопасности.

17. Контроль за выполнением настоящих требований организуется и проводится оператором (уполномоченным лицом) самостоятельно и (или) с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Указанный контроль проводится не реже 1 раза в 3 года в сроки, определяемые оператором (уполномоченным лицом).

Ответственность за нарушения в сфере защиты информации

Нарушение требований по защите информации влечет за собой дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с законодательством Российской Федерации.
Лица, права и законные интересы которых были нарушены в связи с разглашением информации ограниченного доступа или иным неправомерным использованием такой информации, вправе обратиться в установленном порядке за судебной защитой своих прав, в том числе с исками о возмещении убытков, компенсации морального вреда, защите чести, достоинства и деловой репутации.

Требование о возмещении убытков не может быть удовлетворено в случае предъявления его лицом, не принимавшим мер по соблюдению конфиденциальности информации или нарушившим установленные законодательством Российской Федерации требования о защите информации, если принятие этих мер и соблюдение таких требований являлись обязанностями данного лица.

В случае, если распространение определённой информации ограничивается или запрещается федеральными законами, гражданско-правовую ответственность за распространение такой информации не несёт лицо, оказывающее услуги:

  • либо по передаче информации, предоставленной другим лицом, при условии её передачи без изменений и исправлений;
  • либо по хранению информации и обеспечению доступа к ней при условии, что это лицо не могло знать о незаконности распространения информации.

Данные мероприятия за правонарушения в области защиты информации устанавливают нормативные правовые акты и предусматривают следующие виды ответственности:

  • дисциплинарную (замечание; выговор; увольнение) Трудовой кодекс РФ, ст. 192 (ФЗ 2001 г.№ 197-ФЗ)
  • гражданскую (возмещение причинённого ущерба) Гражданский кодекс РФ (ст. 15, 16) ФЗ «О защите прав потребителя» (ФЗ 1999 г. № 2-ФЗ)
  • административную (предупреждение, административный штраф) КоАП (от 30.12.2001 г. №195-ФЗ) (ст.13.11-13.14) Трудовой кодекс РФ (от 30.12.2001 г. № 197-ФЗ) (ст. 57, 86, гл. 39 и др.) ФЗ «О защите прав потребителя»
  • уголовную (штраф, лишение свободы) Уголовный кодекс РФ (от 13.06.1996 г. №63-ФЗ) (ст.138, 140, 183, 238, гл. 28 (ст. 272-274) и др.)


Наказание по Кодексу об Административных Правонарушениях
Название статьиМаксимальное наказание
13.11Нарушение установленного законом порядка сбора,
хранения, использования или распространения информации о гражданах (персональных данных)
10.000 руб.
13.14Разглашение информации с ограниченным доступом5.000 руб.
13.12Нарушение правил защиты информации20.000 руб.+ конфискация + приостановление деятельности
на срок до 90 суток
13.13Незаконная деятельность в области защиты информации20.000 руб.+ конфискация
5.27Нарушение законодательства о труде и об охране труда50.000 руб.+ приостановление
деятельности на
срок до 90 суток + дисквалификация
должностного лица
до 3-х лет
5.39Отказ в предоставлении гражданину информации1.000 руб.
19.4Неповиновение законному распоряжению должностного
лица органа, осуществляющего государственный надзор (контроль)
10.000 руб.
19.6Непринятие мер по устранению причин и условий,
способствовавших совершению административного правонарушения
500 руб.
19.5Невыполнение в срок законного предписания (постановления, представления, решения) органа (должностного лица), осуществляющего государственный надзор (контроль)500.000 руб. +дисквалификация
должностного лица
до 3-х лет
19.7Непредставление сведений (информации)5.000 руб.
19.20Осуществление деятельности, не связанной с извлечением прибыли, без специального разрешения (лицензии)20.000 руб. +
приостановление
деятельности
на срок до 90 суток
20.25Неуплата административного штрафа либо самовольное оставление места отбывания административного арестаДвукратное
увеличение
штрафа
Наказание по Уголовному Кодексу
Название статьиМаксимальное наказание
137Нарушение неприкосновенности частной жизни300.000 руб. + исправительные
работы на срок
до 240 часов +
арест до 6-ти месяцев
140Отказ в предоставлении гражданину информации200.000 руб.+ лишение права занимать должность на срок
до 5-ти лет
171Незаконное предпринимательство300.000 руб. + обязательные
работы на срок
до 1-го года +
арест до
6-ти месяцев +
лишение права занимать
должность на срок
до 5-ти лет
Наказание по трудовому Кодеску
Название статьиМаксимальное наказание
237Моральный вред, причиненный работнику неправомерными
действиями или бездействием работодателя
Денежное вознаграждение по
согласованию
195Привлечение к дисциплинарной ответственности руководителя организации, руководителя структурного подразделения организации, их заместителей по требованию представительного органа работниковУвольнение
90Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работникаУвольнение + УК
81Расторжение трудового договора по инициативе работодателя за разглашение охраняемой законом тайныУвольнение

Методика определения актуальных угроз безопасности

Для каждой информационной системы существуют угрозы безопасности. Угрозы можно классифицировать следующим образом:

  • по видам возможных источников угроз;
  • по структуре ИСПДн на которые направлена реализация угроз безопасности ПДн;
  • по виду несанкционированных действий, осуществляемых с ПДн;
  • по способам реализации угроз;
  • по виду каналов, с использованием которых реализуются те или иные угрозы.

Актуальной считается угроза, которая может быть реализована в ИСПДн и представляет опасность для ПДн. Для оценки возможности реализации угрозы применяются два показателя - уровень исходной защищенности ИСПДн и частота (вероятность) реализации рассматриваемой угрозы.

Исходная степень защищенности определяется следующим образом:

  • ИСПДн имеет высокий уровень исходной защищенности, еcли не менее 70% характеристик ИСПДн соответствуют уровню «высокий»;
  • ИСПДн имеет средний уровень исходной защищенности, если не выполняются условия по пункту 1 и не менее 70% характеристик ИСПДн соответствуют уровню не ниже "средний";
  • ИСПДн имеет низкую степень исходной защищенности, если не выполняется условия по пунктам 1 и 2.

При составлении перечня актуальных угроз безопасности ПДн каждой степени исходной защищенности ставится в соответствие числовой коэффициент Y1. 0 - для высокой степени исходной защищенности, 5 - для средней степени исходной защищенности и 10 - для низкой степени исходной защищенности.

Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки.

Вводятся четыре вербальных градации частоты реализации угрозы:

  • маловероятно - отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);
  • низкая вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);
  • средняя вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;
  • высокая вероятность - объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.

При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент Y2. 0 - для маловероятной угрозы, 2 - для низкой вероятности угрозы, 5 - для средней вероятности угрозы и 10 - для высокой вероятности угрозы.
По значению коэффициента реализуемости угрозы Y формируется вербальная (словесная) интерпретация реализуемости угрозы:

  • 0 < Y < 0,3 - возможность реализации угрозы низкая;
  • 0,3 < Y < 0,6 - возможность реализации угрозы средняя;
  • 0,6 < Y < 0,8 - возможность реализации угрозы высокая;
  • Y > 0,8 - возможность реализации угрозы очень высокая.

При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения:

  • низкая опасность - если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;
  • средняя опасность - если реализация угрозы может привести к негативным последствиям для субъектов персональных данных;
  • высокая опасность - если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных.

Возможность реализации угрозы (вербальная)Показатель опасности угрозы (вербальный)
НизкаяСредняяВысокая
Низкаянеактуальнаянеактуальнаяактуальная
Средняянеактуальнаяактуальнаяактуальная
Высокаяактуальнаяактуальнаяактуальная
Очень высокаяактуальнаяактуальнаяактуальная














Типовой пример оформления результатов в частной модели угроз

Угрозы утечки
информации по
техническим
каналам и за
счёт НСД
Уровень
исходной
защищённости (Y1)
Вероятность реализации угрозы
(Y2)
Коэффициент реализуемости угрозы
Y=(Y1+Y2)/20
Показатель опасности угрозы
(определяется на основе опроса специалистов в области ЗИ)
Вывод об актуальности угрозы

Малая вероятность
(0)

Низкая вероятность
(2)

Средняя вероятность
(5)
Высокая вероятность (10)Возможность реализации угрозыНизкая опасностьСредняя опасностьВысокая опасность
Утечка информации по каналу ПЭМИН520,35данет
средняя
Утечка речевой информации500,25данет
низкая
Перехват паролей (идентификаторов)550,5дада
средняя













Класс информационной системы может быть пересмотрен по решению оператора на основе проведенных им анализа и оценки угроз безопасности персональных данных с учетом особенностей и (или) изменений конкретной информационной системы, или по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационной системе.


С использованием данных о классе ИСПДн и составленного перечня актуальных угроз, на основе «Рекомендаций …» и «Основных мероприятий …» формулируются конкретные организационно-технические требования по защите ИСПДн от утечки информации по техническим каналам, от несанкционированного доступа и осуществляется выбор программных и технических средств защиты информации, которые могут быть использованы при создании и дальнейшей эксплуатации ИСПДн.

Типовой комплект по образованию

Типовой комплект по 152 ФЗ, разработанный СПб ГУП "Санкт-Петербургский Информационно Аналитический Центр" для образовательных учреждений
Дополнительные материалы:

Федеральный закон «О персональных данных»

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор - Федеральный орган исполнительной власти) информирует: 26 января 2007 года вступил в силу Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Задача Закона обеспечить защиту прав и свобод гражданина при обработке его персональных данных, неприкосновенность частной жизни, личной и семейной тайны.

Под персональными данными понимается любая информация, относящаяся к физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

В соответствии с положением п. 2 ст. 3 Федерального закона «О персональных данных» оператор – государственный или муниципальный орган, юридическое или физическое лицо, организующее или осуществляющее обработку персональных данных с определенными целями.

Ч. 1 ст. 22 Федерального закона «О персональных данных» требует до начала обработки персональных данных уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку.

Уполномоченным органом по защите прав субъектов персональных данных, на который возложен контроль и надзор за соответствием обработки персональных данных Закону, назначена Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций.

В соответствии с требованиями п. 4 ст. 25 Федерального закона «О персональных данных» до 01 января 2008 года операторы, осуществляющие обработку персональных данных, были обязаны направить в адрес уполномоченного органа надлежащее уведомление.

В соответствии со ст. 24 Федерального закона «О персональных данных» лица, виновные в нарушении требований настоящего Федерального Закона, несут гражданскую, дисциплинарную, административную, уголовную и иную ответственность, предусмотренную законодательством Российской Федерации.

Руководствуясь положениям ч. 3 ст. 22 Федерального закона «О персональных данных» Федеральной службой Роскомнадзора разработана форма Уведомления об обработке или намерении осуществлять обработку персональных данных, содержащая перечень информации для его составления, а также Рекомендации по заполнению уведомления.

Указанные документы выложены на официальном сайте Управления Роскомнадзора по Санкт-Петербургу и Ленинградской области в разделе «Контрольная и надзорная деятельность в сфере защиты персональных данных» по адресу: http://78.rsoc.ru.

Заполненные уведомления должны быть подписаны уполномоченным лицом и направлены в адрес Управления Роскомнадзора по Санкт-Петербургу и Ленинградской области в письменной форме. При наличии цифровой подписи (Федеральный закон от 10 января 2002 года № 1-ФЗ «Об электронной цифровой подписи») уведомление может направляться в электронной форме.

 

 Почтовый адрес: 190000, Санкт-Петербург, ул. Галерная, д. 27;

электронный адрес: rsockanc78@rsoc.ru;

справки по телефонам: (812) 610-01-53 и (812) 571-95-66.