Соблюдение законов как сервис: как ЦОД помогает бизнесу в работе с персональными данными. Судебная практика по спорам о защите персональных данных Кто такой оператор персональных данных

Защита персональных данных и СМИ.

Обязательные требования Федерального закона «О персональных данных».

Свободный доступ граждан к информации ограничивается правом каждого отдельного человека на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени.

Охрана личной жизни поддерживается всеми правовыми документами: нормами международного права , Конституцией РФ, уголовным, гражданским, специализированным законодательством.

Права и свободы – оговорены в Конституции, во всем массиве российского законодательства и в том числе в законе о персональных данных.

Принятие Федерального Закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных» направлено на реализацию конституционных положений, закрепляющих право каждого на неприкосновенность частной жизни и свободу информации.

В законе используются следующие основные понятия:

1) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

3) обработка персональных данных - любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

4) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

5) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

Основными задачами Роскомнадзора, как уполномоченного органа по защите прав субъектов персональных данных, являются в том числе:

Обеспечение контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных;

Ведение реестра операторов, осуществляющих обработку персональных данных, а также проверка сведений, содержащихся в уведомлении об обработке персональных данных;

Рассмотрение обращений субъектов персональных данных, а также принятие в пределах своих полномочий решений по результатам их рассмотрения.

В соответствии с ч. 1 ст. 22 Федерального закона оператор до начала обработки персональных данных обязан уведомить Уполномоченный орган о своем намерении осуществлять обработку персональных данных. Операторы, осуществляющие обработку персональных данных, обязаны направить в Уполномоченный орган уведомление об обработке персональных данных.

«Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе…» А почему человек захочет давать информацию СМИ о себе, какой ему в этом интерес? Это просто. Публичным людям это дает популярность, общественный авторитет , повышает рейтинг. Политики, бизнесмены готовы платить за материалы о себе - и не только во время предвыборных кампаний. Имидж - это одно из слагаемых успеха и бизнеса, и политики.

Но в журналистском арсенале есть не только и не столько положительные материалы, но и критика, расследования, разоблачения. Журналисты расследуют служебную деятельность и решения чиновников, критикуют органы власти, финансово-промышленные группы, разоблачают коррупцию. Здесь всегда встает вопрос, на что готовы пойти конкретные СМИ при публикации подобных материалов, какую цену они готовы заплатить за отстаивание интересов общества и конкретных людей. Если они уверены в своей правоте, то готовы судиться и с конкретными людьми, и с целыми структурами.

Что может изменить в этой ситуации закон о персональных данных? Понятно, что герой коррупционного скандала не даст согласие на публикацию своей фамилии «своей волей и в своем интересе». К своим искам о защите чести и достоинства, о клевете или о защите деловой репутации он прибавит иск о нарушении прав субъекта персональных данных. Это только еще один возможный риск при «осуществлении профессиональной деятельности журналиста».

Закон не содержит прямых ограничений для журналистов, но в правоприменительной практике, возможны ситуации, когда некоторые ограничения могут возникнуть. Будем надеяться, что правоприменительная практика все же будет развиваться в благоприятном для прессы направлении.

Таким образом, закон и этические нормы профессии журналиста за то, чтобы не публиковать сведения, касающиеся частной сферы. Как сказал один известный политик, «человек должен иметь свое личное пространство, куда можно войти только по приглашению».

Появление в 2006 году Федерального закона «О персональных данных» заставило существенно пересмотреть сам принцип работы с информацией персонального характера. С какими проблемами столкнулись СМИ после принятия данного законодательного акта? На что теперь приходится обращаться повышенное внимание? Как минимизировать риск того, что «очень грамотный» читатель (зритель) может подать на СМИ жалобу в Уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор)?

Сегодня «новости в газетах, статьи, телевизионные сюжеты, являются конечным продуктом в той технологической цепочке, которая начинается с работы журналиста на своем персональном компьютере и заканчивается электронным архивом готового продукта, доступным многим, в том числе через Интернет». В связи с этим нормы, касающиеся персональных данных, распространяются на всю эту технологическую цепочку. Обозначившаяся в последние годы тенденция превалирования на рынке СМИ «электронных изданий» создает качественно новую ситуацию. Появившиеся технологии позволяют теперь идентифицировать потребителей (подписчиков), а это напрямую связано с вопросами обработки персональных данных субъектов .

Возникает сразу два вопроса. Являются ли СМИ операторами персональных данных? Необходимо ли редакции направлять уведомление о своем намерении осуществлять обработку персональных данных в Уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор)?

На первый вопрос ответ однозначно будет ДА. Во-первых, любая редакция, как минимум, обрабатывается данные своих сотрудников, внештатных корреспондентов. Почти во всех редакциях (особенно крупных СМИ) хранятся базы данных «интересных» и «полезных» людей, героев публикаций. В них зачастую фигурируют не только служебные контакты, но и мобильный, домашний телефон, адрес проживания.

Во-вторых, уже упомянутые нами подписчики. Сегодня чаще всего функции по привлечению подписчиков и организации подписной компании выполняет сторонняя организация, нанятая редакцией по договору. Но, согласно нормам Федерального закона «О персональных данных», оператором персональных данных все равно является редакция, так как именно она определяет в этом случае «цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия, совершаемые с персональными данными» (пункт 2 статьи 3). Конечно, издания стремятся исключить из баз подписчиков информацию, позволяющую идентифицировать субъекта персональных данных, и если с электронными СМИ это, в большинстве случаев, возможно, то в отношении печатных СМИ, где рассылка изданий осуществляется на конкретный адрес и конкретному гражданину, это чаще всего нереально. Если же мы будем говорить о пользователях кабельных каналов, то они оформляют подключение через заключение договора, где фигурируют и паспортные данные абонента.

Теперь о том, что касается уведомления. Можно пытаться оперировать различными статьями, которые позволяют избежать выполнения этого «формального» шага. Например, говорить о том, что данные сотрудников обрабатываются в соответствии с трудовым законодательством, что данные подписчиков обрабатываются с целью выполнения договора, стороной которого является субъект персональных данных. Но в последнем случае для того, чтобы не подавать уведомление, персональные данные подписчиков должны не распространяться, не передаваться третьим лицам без согласия субъекта, а самое главное – использоваться ИСКЛЮЧИТЕЛЬНО для исполнения указанного договора. Однако, как нам кажется, все-таки не стоит тратить время, чтобы избежать неизбежного, так как практика проведения контрольно-надзорных мероприятий уже доказала, что непредставление уведомления в Роскомнадзор – одно из наиболее типичных нарушений, на которое при проверке СМИ обращают внимание сотрудники этого ведомства. Также как и на неполноту и недостоверность сведений, содержащихся в данном документе.

Проверка редакции газеты «Светлый путь» по жалобе одного из читателей. В ходе проверки фактов, изложенных в обращении, были выявлены нарушения редакцией газеты «Светлый путь» части 1 статьи 22 ФЗ «О персональных данных». По данному факту в отношении юридического лица ГУП Оренбургской области «Редакция Переволоцкой районной газеты «Светлый путь» составлен административный протокол по ст. 19.7 КоАП РФ, который направлен на рассмотрение в суд .

25 апреля 2022 года. Приморский край. Плановая выездная проверка Муниципального унитарного предприятия Редакция телепрограмм «Тихоокеанское телевидение» г. Фокино. (МУП РТ «ТТВ» г. Фокино). Обработка персональных данных осуществляется с нарушением требований части 3 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» - в регистрирующий орган представлено уведомление об обработке персональных данных с неполными или недостоверными сведениями. По факту нарушения законодательства о персональных данных составлен протокол об административном правонарушении по ст. 19.7 КоАП РФ, который направлен для рассмотрения мировому судье судебного участка № 67 г. Фокино Приморского края. Выдано предписание об устранении выявленного нарушения. В настоящее время нарушение, указанное в предписании устранено .

Какие же «льготы» и привилегии (если можно так выразиться) дает закон «О персональных данных» журналистам, осуществляющим свою профессиональную деятельность? Для начала определимся, что Закон Российской Федерации от 27 декабря 1991 года №2124-1 «О средствах массовой информации» содержит определение понятия «журналист», связывая его деятельность с официально зарегистрированным средством массовой информации :

«… под журналистом понимается лицо, занимающееся редактированием, созданием, сбором или подготовкой сообщений и материалов для редакции зарегистрированного средства массовой информации, связанное с ней трудовыми или иными договорными отношениями либо занимающееся такой деятельностью по ее уполномочию (статья 2)».

Комментарий компании «ИнфоТехноПроект»:

Первостепенным условием обработки персональных данных субъектов, является наличие согласия субъекта на осуществление этой обработки (часть 1 статьи 6 ФЗ-152). Но существует ряд исключений, когда оператор персональных данных приобретает право такое согласие не получать. Одно из них касается СМИ напрямую.

Статья 6 . Условия обработки персональных данных

1. Обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. Обработка персональных данных допускается в следующих случаях:

1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;

…..8) обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных.

В связи с применением данной нормы закона стоит обратить внимание на два нюанса. Во-первых, законодатель ограничил сферу применения данного правового основания в отношении журналистов требованием профессиональной деятельности. Это означает, что только лица, занимающиеся журналистикой как профессионалы, имеют возможность воспользоваться предоставленным правовым основанием. Во-вторых, еще одним условием законность применения данной нормы является ненарушение прав и свобод субъекта персональных данных, и вот именно это чаще всего является своеобразным «камнем преткновения» в отношениях журналиста (редакции) и субъекта, чьи данные были опубликованы.

Напрямую СМИ касается и еще одна статья закона «О персональных данных». В ней речь идет об обязанностях оператора при сборе персональных данных.

Статья 18 . Обязанности оператора при сборе персональных данных

3. Если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных частью 4 настоящей статьи, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:

1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя;

2) цель обработки персональных данных и ее правовое основание;

3) предполагаемые пользователи персональных данных;

4) установленные настоящим Федеральным законом права субъекта персональных данных;

5) источник получения персональных данных.

4. Оператор освобождается от обязанности предоставить субъекту персональных данных сведения, предусмотренные частью 3 настоящей статьи, в случаях, если:

…4) оператор осуществляет обработку персональных данных для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных.

Как мы видим, в случае получения персональных данных субъекта не от него самого, оператор персональных данных обязан выполнить определенную процедуру уведомления субъекта об обработке его персональных данных до ее начала. Законодатель также вывел из-под действия этой нормы профессиональную деятельность журналиста, вновь ограничив ее условием ненарушения прав и законных интересов субъекта персональных данных.

Какая же к данному моменту наработана практика проверок СМИ как операторов персональных данных? Для начала несколько примеров.

21 января 2011 года. Оренбургская область. В Управление Роскомнадзора по Оренбургской области поступило обращение жителя Переволоцкого района Оренбургской области с жалобой на публикацию в печатном СМИ «Светлый путь» персональных данных их трагически погибшего сына: фамилии, имени, отчества, даты рождения, адреса проживания и места учебы, без согласия родителей погибшего. В соответствии с частью 7 статьи 9 ФЗ «О персональных данных» в случае смерти субъекта персональных данных согласие на обработку личных сведений о нем дают в письменной форме наследники, если такое согласие не было дано субъектом персональных данных при его жизни. Материалы направлены в прокуратуру Оренбургской области для принятия мер прокурорского реагирования.

22 июля 2011 года. Хабаровский край. Завершены внеплановые выездные проверки Управления Роспотребнадзора по Хабаровскому краю и ЗАО «Телекомпания «Даль-ТВ» по обращению гражданина о распространении персональных данных в новостном блоке на канале ТНТ путём показа в эфире документа, содержащего персональные данные гражданина. В ходе проверок установлено, что Управлением Роспотребнадзора по Хабаровскому краю для дачи интервью (комментария) к репортажу «Мутная история с мутной водой» был выделен специалист, который в ходе записи не обеспечил конфиденциальность персональных данных гражданина, вследствие чего данный документ с персональными данными попал в кадр и был выпущен в эфир. Необеспечение конфиденциальности персональных данных является нарушением требования части 1 статьи 7 Федерального закона от 27.07.2006 № 152 «О персональных данных» .

25 июля 2011 года. Пермский край. Управление Роскомнадзора по Пермскому краю и прокуратура г. Добрянка Пермского края провели совместную проверку по факту публикации в газете «Камские зори» списка граждан, вызываемых на призывную комиссию, а также списка граждан, оповещённых и не прибывших на медицинскую и призывную комиссии. В списках содержались персональные данные призывников. В результате проверки установлено, что действия газеты противоречат требованиям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (часть 1 статьи 6 и часть 1 статьи 7). В связи с этим органом прокуратуры в отношении Муниципального учреждения «Редакция газеты Добрянского муниципального района «Камские зори» возбуждено дело по ст. 13.11 КоАП РФ. Дело передано на рассмотрение мировому судье. Управление Роскомнадзора по Пермскому краю вынесло газете «Камские зори» предупреждение о недопустимости злоупотребления свободой массовой информации .

В двух из трех случаев поводом к проверке послужило обращение гражданина, и такая тенденция наблюдается, если мы посмотрим проверки, которые проводились в СМИ и в 2009, и в 2010 годах. Конечно, вы можете как сотрудник СМИ, журналист утверждать, что опубликованные (названные, показанные) вами персональные данные субъекта ни в коей мере не нарушают законные интересы и права этого гражданина, НО… Именно в этом НО и кроется вся загвоздка, субъект персональных данных может думать совершенно иначе и обратиться с жалобой в суд, Роскомнадзор. И даже если он не докажет факт нарушения этих самых интересов и прав, все равно придется пройти всю неприятную процедуру судебного разбирательства или внеплановую Роскомнадзора.

Конечно, можно на всякий случай запастись согласием субъекта на публикацию его персональных данных, но все мы понимаем, что такое согласие будет получено, если только материал имеет положительную окраску или подготовлен в интересах самого субъекта.

Всем привет! Я руковожу центром киберзащиты DataLine. К нам приходят заказчики с задачей выполнения требований 152-ФЗ в облаке или на физической инфраструктуре.
Практически в каждом проекте приходится проводить просветительскую работу по развенчанию мифов вокруг этого закона. Я собрал самые частые заблуждения, которые могут дорого обойтись бюджету и нервной системе оператора персональных данных. Сразу оговорюсь, что случаи госконтор (ГИС), имеющих дело с гостайной, КИИ и пр. останутся за рамками этой статьи.

Миф 1. Я поставил антивирус, межсетевой экран, огородил стойки забором. Я же соблюдаю закон?

• с какой целью вы собираете персональные данные;
• не собираете ли вы их больше, чем нужно для ваших целей;
• сколько храните персональные данные;
• есть ли политика обработки персональных данных;
• собираете ли согласие на обработку ПДн, на трансграничную передачу, на обработку третьими лицами и пр.

• Типовая форма согласия на обработку персональных данных (это те листы, которые мы сейчас подписываем практически везде, где оставляем свои ФИО, паспортные данные).
• Политика оператора в отношении обработки ПДн ( есть рекомендации по оформлению).
• Приказ о назначении ответственного за организацию обработки ПДн.
• Должностная инструкция ответственного за организацию обработки ПДн.
• Правила внутреннего контроля и (или) аудита соответствия обработки ПДн требованиям закона.
• Перечень информационных систем персональных данных (ИСПДн).
• Регламент предоставления доступа субъекта к его ПДн.
• Регламент расследования инцидентов.
• Приказ о допуске работников к обработке ПДн.
• Регламент взаимодействия с регуляторами.
• Уведомление РКН и пр.
• Форма поручения обработки ПДн.
• Модель угроз ИСПДн.

Реальность: соблюдение закона – это налаживание и соблюдение определенных процессов, в первую очередь, и только во вторую – использование специальных технических средств.

Миф 2. Я храню персональные данные в облаке, дата-центре, соответствующем требованиям 152-ФЗ. Теперь они отвечают за соблюдение закона

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Источник: статья 3, 152-ФЗ

Из всех этих действий сервис-провайдер отвечает за хранение и уничтожение персональных данных (когда клиент расторгает с ним договор). Все остальное обеспечивает оператор персональных данных. Это значит, что оператор, а не сервис-провайдер, определяет политику обработки персональных данных, получает от своих клиентов подписанные согласия на обработку персональных данных, предотвращает и расследует случаи утечки персональных данных на сторону и так далее.

Следовательно, оператор персональных данных по-прежнему должен собрать документы, которые были перечислены выше, и выполнить организационные и технические меры для защиты своих ИСПДн.

Обычно провайдер помогает оператору тем, что обеспечивает соответствие требованиям закона на уровне инфраструктуры, где будут размещаться ИСПДн оператора: стойки с оборудованием или облако. Он также собирает пакет документов, принимает организационные и технические меры для своего куска инфраструктуры в соответствие с 152-ФЗ.

Некоторые провайдеры помогают с оформлением документов и обеспечением технических средств защиты для самих ИСПДн, т. е. уровня выше инфраструктуры. Оператор тоже может отдать эти задачи на аутсорсинг, но сама ответственность и обязательства по закону никуда не исчезают.

Реальность: обращаясь к услугам провайдера или дата-центра, вы не можете передать ему обязанности оператора персональных данных и избавиться от ответственности. Если провайдер вам это обещает, то он, мягко говоря, лукавит.

Миф 3. Необходимый пакет документов и мер у меня есть. Персональные данные храню у провайдера, который обещает соответствие 152-ФЗ. Все в ажуре?

Тут же закрепляется обязанность провайдера соблюдать конфиденциальность персональных данных и обеспечивать их безопасность в соответствии с указанными требованиями:

За это провайдер несет ответственность перед оператором, а не перед субъектом персональных данных:

В случае если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором.
Источник: 152-ФЗ .

В поручении также важно прописать обязанность обеспечения защиты персональных данных:

Реальность: если отдаете персональные данные провайдеру, то подписывайте поручение. В поручении указывайте требование по обеспечению защиты ПДн субъектов. Иначе вы не соблюдаете закон в части передачи работ обработки персональных данных третьим лицом и провайдер в части соблюдения 152-ФЗ вам ничего не обязан.

Миф 4. За мной шпионит Моссад, или У меня непременно УЗ-1

• тип персональных данных (специальные, биометрические, общедоступные и иные);
• кому принадлежат персональные данные – сотрудникам или несотрудникам оператора персданных;
• количество субъектов персональных данных – более или менее 100 тыс.
• типы актуальных угроз.

Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.

Если вы признаете этот тип угроз актуальным, значит вы свято верите в то, что агенты ЦРУ, МИ-6 или МОССАД разместили в операционной системе закладку, чтобы воровать персональные данные конкретных субъектов именно из ваших ИСПДн.

Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.

Если считаете, что угрозы второго типа – это ваш случай, то вы спите и видите, как те же агенты ЦРУ, МИ-6, МОССАД, злобный хакер-одиночка или группировка разместили закладки в каком-нибудь пакете программ для офиса, чтобы охотиться именно за вашими персональными данными. Да, есть сомнительное прикладное ПО типа μTorrent, но можно сделать список разрешенного софта к установке и подписать с пользователями соглашение, не давать пользователям права локальных администраторов и пр.

Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

Вам не подходят угрозы 1 и 2 типов, значит, вам сюда.

С типами угроз разобрались, теперь смотрим, какой же уровень защищенности будет у нашей ИСПДн.

Таблица на основе соответствий, прописанных в Постановлении Правительства РФ от 1 ноября 2012 г. № 1119 .

Если мы выбрали третий тип актуальных угроз, то в большинстве случаев у нас будет УЗ-3. Единственное исключение, когда угрозы 1 и 2 типа не актуальны, но уровень защищенности все равно будет высоким (УЗ-2), – это компании, которые обрабатывают специальные персональные данные несотрудников в объеме более 100 000. Например, компании, занимающиеся медицинской диагностикой и оказанием медицинских услуг.

Есть еще УЗ-4, и он встречается в основном у компаний, чей бизнес не связан с обработкой персональных данных несотрудников, т. е. клиентов или подрядчиков, либо базы персональных данных малы.

Почему так важно не переборщить с уровнем защищенности? Все просто: от этого будет зависеть набор мер и средств защиты для обеспечения этого самого уровня защищенности. Чем выше УЗ, тем больше всего надо будет сделать в организационном и техническом плане (читай: тем больше денег и нервов нужно будет потратить).

Вот, например, как меняется набор мер обеспечения безопасности в соответствии с тем же ПП-1119.

Теперь смотрим, как, в зависимости от выбранного уровня защищенности, меняется список необходимых мер в соответствии с Приказом ФСТЭК России № 21 от 18.02.2013 г. К этому документу есть длиннющее приложение, где определяются необходимые меры. Всего их 109, для каждого УЗ определены и отмечены знаком "+" обязательные меры – они как раз и рассчитаны в таблице ниже. Если оставить только те, которые нужны для УЗ-3, то получится 41.

Реальность: если вы не собираете анализы или биометрию клиентов, вы не параноик боитесь закладок в системном и прикладном ПО, то, скорее всего, у вас УЗ-3. Для него предусмотрен вменяемый список организационных и технических мер, которые реально выполнить.

Миф 5. Все средства защиты (СЗИ) персональных данных должны быть сертифицированы ФСТЭК России

• заинтересован продать побольше сертифицированных СЗИ;
• будет бояться отзыва лицензии регулятором, если что-то пойдет не так.

Технические меры защиты персональных данных реализуются посредством применения средств защиты информации, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности.
При использовании в информационных системах сертифицированных по требованиям безопасности информации средств защиты информации:

Пункт 12 Приказа № 21 ФСТЭК России .

Реальность: закон не требует обязательного использования сертифицированных средств защиты.

Миф 6. Мне нужна криптозащита

1. Многие считают, что криптография обязательна для любых ИСПДн. На самом деле использовать их нужно лишь в случае, если оператор не видит для себя иных мер защиты, кроме как применение криптографии.
2. Если без криптографии никак, то нужно использовать СКЗИ, сертифицированные ФСБ.
3. Например, вы решили разместить ИСПДн в облаке сервис-провайдера, но не доверяете ему. Свои опасения вы описываете в модели угроз и нарушителя. У вас ПДн, поэтому вы решили, что криптография – единственный способ защиты: будете шифровать виртуальные машины, строить защищенные каналы посредством криптозащиты. В этом случае придется применять СКЗИ, сертифицированные ФСБ России.
4. Сертифицированные СКЗИ подбираются в соответствии с определенным уровнем защищенности согласно Приказу № 378 ФСБ .

KC2, КС3 представлены только программно-аппаратными комплексами, такими как: ViPNet Coordinator, АПКШ «Континент», С-Терра Шлюз и т. д.

Если у вас УЗ-2 или 1, то вам нужны будут средства криптозащиты класса КВ1, 2 и КА. Это специфические программно-аппаратные комплексы, их сложно эксплуатировать, а характеристики производительности скромные.

Реальность: закон не обязывает использовать СКЗИ, сертифицированные ФСБ.

В управлении Роскомнадзора по УрФО прошел семинар для прессы с разъяснениями новаций в законодательстве. В ведомстве отметили, что если журналисты допустили «утечку» персональных данных, это будет расцениваться как злоупотребление свободой СМИ. В таком случае редакция рискует получить предупреждение Роскомнадзора . Два предупреждения за год – повод для обращения в суд с иском о прекращении деятельности издания. О том, как не допустить такой ситуации, и шла речь на семинаре.

Инициалы, фамилия, должность – и все на этом

Одна из главных новаций заключается в том, что теперь журналисты имеют право брать из открытых источников только ограниченную информацию. К примеру, допускается упоминание имени и фамилии (без отчества) героя материала, а также его должность или место работы. Но описание где и как он живет, с кем общается – уже считается нарушением закона, даже если человек сам опубликовал эту информацию в социальных сетях . Или журналист может поступить наоборот: максимально подробно рассказать о жизни человека, но «обезличить» текст – изменить имя или «зашифровать» его инициалами. Как пояснила начальник отдела по защите прав субъектов персональных данных управления Роскомнадзора по УрФО Анастасия Гоголева, главным критерием является объем опубликованных сведений о человеке. Если информация не способствует идентификации личности, ее можно свободно размещать в СМИ.

В любом другом случае автор материала должен взять согласие того, чьи персональные данные он собирается опубликовать. Причем в некоторых ситуациях согласие должно быть дано в письменной форме – эти случаи перечисляются в статьях 8, 10, 11, 12 и 16 федерального закона «О персональных данных». Например, по закону разглашение сведений, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни возможно только с разрешения человека. Аналогичная ситуация с фото и видеоматериалами. Если на них можно опознать человека, это считается распространением биометрических данных и требует согласия субъекта. Исключением является только публикация фотографий во время розыскных и следственных действий. Для СМИ есть один выход – публиковать фотографии без подписей или давать минимальную информацию под ними. «Если читатель не может идентифицировать человека, изображенного на фотографии, претензий не будет», – заверили представители Роскомнадзора.

Конец расследованиям

Конечно, новая трактовка защиты персональных данных возмутила журналистов. Ограничения практически ставят «крест» на расследованиях о коррумпированных чиновниках, политиках и других публичных персонах. Как можно описывать злодеяния должностного лица, скрывая от читателей его имя? Представители Роскомнадзора заявили, что не дают оценку общественно-значимой информации, а лишь проверяют соблюдение закона «О персональных данных». К примеру, если обиженный чиновник пожалуется на незаконное распространение его личных данных в каком-либо издании, Роскомнадзор будет обязан направить запрос в СМИ. Журналисты вправе ответить, что разглашение данных было в интересах общества. Тогда в этом споре будет разбираться суд. Кстати, на Урале пока таких прецедентов не было.

В то же время в Роскомнадзоре привели пример из жизни, когда публикация о доходах госслужащего была определена как нарушение закона. Журналист взял сведения из официальной декларации чиновника, где также был указан доход его супруги, и в своем тексте дописал должность жены служащего и «бэкграунд». От властной семьи незамедлительно последовала жалоба.

Претензии могут возникнуть даже к таким безобидным публикациям, где дается справка о карьерной историии чиновника – где учился и работал. В таком случае журналисту также необходимо брать согласие у «субъекта персональных данных». Хотя тут тоже есть нюансы. Как отметила Анастасия Гоголева, Роскомнадзор в основном следит за соблюдением закона в отношении несовершеннолетних, а проверка публикаций с персональными данными взрослых обычно проводится по заявлениям граждан. За год в ведомство поступает около 40 подобных обращений.

О детях – почти ничего

О жестких ограничениях Роскомнадзора относительно публикаций данных несовершеннолетних ранее уже писалось. Сегодня, сотрудники ведомства в очередной раз напомнили, что журналистский материал должен защищать права ребенка . Распространение личных данных пострадавших в результате противоправных действий детей запрещается. Причем противоправные действия могут укладываться в КоАП, то есть банальная драка в школе тоже относится к этим случаям. Публиковать фотографию несовершеннолетнего можно только с согласия его родителей или законного представителя. Если ребенок достиг 14 лет, разрешение нужно спрашивать и у него. Если совершено преступление против половой неприкосновенности несовершеннолетнего, публиковать фото жертвы нельзя, даже после окончания следственных действий. Единственным исключением может быть фото ребенка, который потерялся и его ищет полиция. После того, как ребенка нашли, СМИ лучше ограничится минимальной информацией о «потеряшке», чтобы не навлечь на себя санкции.

Практика будет нарабатываться

Представители Роскомнадзора отметили, что полномочия по наложению штрафов за несоблюдение закона «О персональных данных» переходят к ним с 1 июля. На данный момент судебной практики по разрешению спорных вопросов в этой сфере практически нет, но, как следует из вышеописанного, она не заставит себя долго ждать. По новому закону существенно увеличиваются размеры штрафов за нарушения публикаций персональных данных. Если сейчас денежные санкции составляют 5-10 тысяч рублей, то со второго полугодия штрафы для юридических лиц уже будут от 20 до 75 тысяч рублей. При этом важно помнить, что в КоАП внесено семь дополнительных составов правонарушений по персональным данным, то есть суммы штрафов за нарушения будут суммироваться.

27 июля в Роскомнадзоре прошел день открытых дверей. В ситуационном центре представители ведомства рассказали о правовых новшествах в законе о персональных данных, а также ответили на вопросы общественности.

Основную часть присутствующих составляли журналисты и члены бизнес-сообщества. На мероприятии побывал и корреспондент Федерального агентства новостей .

Новые подходы для новых времен

Роскомнадзор рассказал о принятых поправках в закон о персональных данных. По словам заместителя руководителя Роскомнадзора Алексея Панкова , тема защиты персональных данных граждан в последние годы стала весьма актуальной и приобрела особое динамичное развитие.

Панков полагает, что это связано с широким распространением различных мобильных устройств, развитием интернет-технологий, а также с аккумулированием значительного объема сведений о гражданах в электронных базах.

«Все эти процессы постепенно приводят к тому, что прежние взгляды на роль и место обработки персональных данных в информационном обществе требуют модернизации, - добавил Панков. - Это побуждает регулятора, общественные организации и объединения искать новые подходы к созданию надежных механизмов защиты информации о гражданах».

Защитить россиян

Заместитель начальника управления по защите прав субъектов персональных данных Роскомнадзора Альфия Гафурова рассказала о правовых нововведениях в законе о персональных данных.

В частности, изменения коснулись статьи 13.11 КоАП РФ. В административный кодекс вносится 7 новых составов административных правонарушений в области персональных данных. Кроме того, с 1 июля 2017 года Роскомнадзор наделяется полномочиями по возбуждению дел, предусмотренных этими новыми составами.

В частности, административное наказание последует за отсутствие письменного согласия на обработку персональных данных, нарушение сроков по уточнению, блокированию или уничтожению персональных данных, за невыполнение обязанностей по обезличиванию персональных данных и другие нарушения. Законодательством предусматриваются предупреждения и штрафы от 6 до 75 тысяч рублей.

По словам сотрудников ведомства, принятые новеллы помогут защитить персональные данные россиян от недобросовестного использования.

По голосу – в банк!

После презентации правовых новшеств сотрудники Роскомнадзора несколько часов отвечали на вопросы присутствующих. Чиновников спрашивали и о конкретной правоприменительной практике, и о перспективах защиты персональных данных в целом. В основном, вопросы исходили от представителей бизнеса.

В частности, на вопрос о необходимости изменения политики персональных данных после введения биометрической верификации в банках ведомство ответило: безусловно, необходимо получение письменного согласия на использование биометрических данных клиента.

Множество вопросов задавали компании, которые подавали уведомления об использовании персональных данных в Роскомнадзор, но затем не обнаружили себя в списке. Представитель ведомства, старший государственный инспектор Анастасия Клочкова подчеркивает: в таком случае необходимо подать уведомление повторно. Дело в том, что зачастую уведомления компаний не соответствуют требованиям законодательства и нуждаются в изменении.

Хорошее подспорье

Свой вопрос задал и корреспондент ФАН. Нас интересовало, как закон о персональных данных соотносится с деятельностью СМИ. Является ли интервью с известным лицом разглашением его персональных данных? И будет ли персональными данными указание ФИО и фотографии в статье? Нужно ли просить у каждого героя статьи согласие на публикацию?

Начальник управления Роскомнадзора по защите прав субъектов персональных данных Юрий Контемиров начал с того, что само определение персональных данных достаточно широко.

«Если отталкиваться от определения, в законе четко прописано: это любая информация, прямо или косвенно относящаяся к физическому лицу и позволяющая его идентифицировать, - поясняет Контемиров. - Идентификация субъекта не является основным критерием отнесения информации к персональным данным».