1 / 49

ПЕРСОНАЛЬНЫЕ ДАННЫЕ

ПЕРСОНАЛЬНЫЕ ДАННЫЕ. Докладчик к.т.н., доцент ГЛИЗНУЦИН Владимир Евгеньевич. как минимум своих работников в целях выполнения трудового законодательства. Все юридические лица и ИП–работодатели обрабатывают персональные данные. Закон РФ N 152-ФЗ «О персональных данных».

agalia
Download Presentation

ПЕРСОНАЛЬНЫЕ ДАННЫЕ

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. ПЕРСОНАЛЬНЫЕ ДАННЫЕ Докладчикк.т.н., доцентГЛИЗНУЦИН Владимир Евгеньевич

  2. как минимум своих работников в целях выполнения трудового законодательства Все юридические лица и ИП–работодатели обрабатывают персональные данные

  3. Закон РФ N152-ФЗ «О персональных данных» Меры по организации обработки и обеспечению безопасности ПДн при их обработке ФСБ России Обязан принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий Правительство РФ Оператор ПДн Устанавливает требования: - к организации обработки - к обеспечению безопасности ПДн Контроль и надзор за выполнением требований в пределах их полномочий и без права ознакомления с ПДн, обрабатываемыми в ИСПДн

  4. Риски: • Гражданские иски со стороны клиентов или работников • Риски недобросовестной конкуренции • Репутационные риски • Привлечение компании и (или) ее руководителя к гражданской, административной и уголовной ответственности

  5. 1. Основные меры по организации обработки персональных данных

  6. 1. Политика оператора в отношении обработки ПДн (ст.18.1 152-ФЗ) Политика Оператора определяет: - порядок и условия обработки персональных данных с использованием средств автоматизации и без использования таких средств - реализуемые требования к защите персональных данных Политика должна быть опубликована

  7. 2. Положение об обработке и защите ПДн (ст. 18.1 152-ФЗ) Оператор обязан утвердить правила обработки персональных данных Работники должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников (ТК ст.86)

  8. 3. Положение о рассмотрении запросов субъектов ПДн или их представителей (ст. 14, 20 152-ФЗ) Оператор при получении запроса обязан: - проинформировать субъекта персональных данных о наличии его персональных данных - предоставить возможность ознакомления с этими персональными данными Ответственный за организацию работы с персональными данными организовывает прием и обработку запросов

  9. 4. Положение об осуществлении внутреннего контроля (ст.18.1 152-ФЗ) Оператор обязан осуществлять внутренний контроль за: -соответствием обработки персональных данных Федеральному закону -выполнением требований к защите персональных данных,

  10. 5. Перечни ПДн(ст.5 152-ФЗ) Обработке подлежат только персональные данные, которые отвечают целям их обработки. Оператор обязан утвердить: - перечень персональных данных, обрабатываемых в связи с реализацией трудовых отношений - перечень персональных данных, обрабатываемых в связи с реализацией договорных отношений

  11. 6. Перечень ИСПДн(Пост Прав. № 211) Оператор обязан: -применять организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (ИСПДн) - утвердить перечень информационных систем персональных данных;

  12. 7. Перечни должностей, осуществляющих обработку ПДн или имеющих доступ к ПДн (Пост Прав № 211) Оператор обязан: - организовать разрешительную систему доступа в помещения - утвердить перечень должностей сотрудников, обрабатывающих персональные данные или имеющих к ним доступ

  13. 8. Должностная инструкция ответственного за организацию обработки ПДн (Пост Прав № 211) Оператор обязан: -назначить ответственного за организацию обработки персональных данных из числа работников -утвердить должностную инструкцию ответственного за организацию обработки персональных данных

  14. 9. Типовые формы • Обязательство сотрудника о неразглашении (ст. 7 152-ФЗ); • - Согласие на обработку ПДн сотрудника, иных субъектов (ст. 9 152-ФЗ); • - Разъяснения субъекту ПДн юридических последствий отказа предоставить свои ПДн (ст.18 152-ФЗ)

  15. Распределение ответственности •   Назначение ответственного за организацию обработки ПДн(ст 18.1 152-ФЗ) •   Назначение ответственного за обеспечение безопасности обработки ПДн •   Разрешительная система доступа к ПДн(ст 19 152-ФЗ)

  16. Распределение ответственности •     Введение в Трудовой договор пункта обязанности по обеспечению безопасности обработки ПДн и ответственности за нарушение •   Включение в договор с третьими лицами обязанность соблюдать конфиденциальность ПДн и безопасность при их обработке (ст. 6 152-ФЗ)

  17. Ознакомление работников с нормативными актами • положениями законодательства РФ о ПДн, в т.ч. по защите ПДн •   документами, определяющими политику оператора по ПДн •   локальными актами оператора по вопросам обработки ПДн и обучение работников

  18. Программа обучения работников 1. Законодательство в области персональных данных 2. Основные требования законодательства Российской Федерации в области персональных данных 3. Организация работы с персональными данными 4. Особенности обработки персональных данных, осуществляемой без использования средств автоматизации 5. Обработка персональных данных в автоматизированных системах 6. Итоговое занятие (зачет)

  19. 2. Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (Утв. Пост Прав. РФ от 15 сентября 2008 г №687)

  20. Особенности обработки ПДн Приказ об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации

  21. Меры по обеспечению безопасности ПДн Каждой категории ПДн определить места хранения Приказ об утверждении мест хранения материальных носителей ПДн и мест обработки ПДн, осуществляемой без использования средств автоматизации

  22. Меры по обеспечению безопасности ПДн Установить перечень лиц, осуществляющих обработкуПДн либо имеющим к ним доступ Приказ об утверждении перечня лиц, осуществляющих обработкуПДн без использования средств автоматизации либо имеющих к ним доступ

  23. Меры по обеспечению безопасности ПДн При хранении материальных носителей должны соблюдаться условия, обеспечивающиесохранностьПДн и исключающие несанкционированный к ним доступ Приказ об утверждении Инструкции о порядке организации учета, хранения и выдачи материальных носителей ПДн

  24. Меры по обеспечению безопасности ПДн Перечень лиц, ответственных за сохранность ПДн устанавливается Оператором Приказ о назначении ответственного за обеспечение безопасности ПДн при их обработке, осуществляемой без использования средств автоматизации

  25. 3. Требования к защите персональных данных при их обработке в информационных системах персональных данных (Утв. Постановлением Правительства РФ от 01.11.2012 № 1119)

  26. Новая классификация информационных систем По категориям ПДн: Специальные Биометрические Общедоступные Прочие

  27. Новая классификация информационных систем По субъектам ПДн: Только сотрудников Не сотрудников

  28. Новая классификация информационных систем По количеству субъектов ПДн Менее чем 100000 субъектов Более чем 100000 субъектов

  29. Классификация актуальных угроз По типу : 3 тип актуальны прочие угрозы НСД 2 тип + актуальны угрозы НДВ прикладного ПО 1 тип + актуальны угрозы НДВ операционной системы

  30. МЕРЫ ПО ЗАЩИТЕ 4 уровень защищенности организация режима обеспечения безопасности помещений обеспечение сохранности носителей ПДн перечень лиц, имеющих доступ к ПДн применение СЗИ, прошедших оценку соответствия

  31. МЕРЫ ПО ЗАЩИТЕ 3 уровень защищенности + назначение ответственного за безопасность ПДн

  32. МЕРЫ ПО ЗАЩИТЕ 2 уровень защищенности + доступ к содержанию электронного журнала сообщений возможен исключительно для должностных лиц

  33. МЕРЫ ПО ЗАЩИТЕ 1 уровень защищенности + автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора создание структурного подразделения, ответственного за обеспечение безопасности персональных данных

  34. Контроль • Контроль за выполнением настоящих требований организуется и проводится оператором самостоятельно • или с привлечением лиц, имеющих лицензию на осуществление деятельности по ТЗКИ • Контроль проводится не реже 1 раза в 3 года в сроки, определяемые оператором

  35. Приказ ФСТЭК России от 18 февраля 2013 г. N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных"

  36. Выбор мер по обеспечению безопасности персональных данных • определение базового набора мер (от 27 до 69) • адаптация базового набора мер • уточнение адаптированного базового набора мер • дополнение уточненного адаптированного базового набора мер • При невозможности технической реализации... а также с учетом экономической целесообразности могут разрабатываться иные (компенсирующие) меры (всего 40)

  37. Приказ Роскомнадзора от 5.09.2013 г. N 996 "Об утверждении требований и методов по обезличиванию персональных данных"

  38. Под обезличиванием персональных данных понимаются действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

  39. Обезличивание Деобезличивание

  40. Обезличивание персональных данных должно обеспечивать не только защиту от несанкционированного использования, но и возможность их обработки.

  41. Свойства обезличенных данных • полнота • структурированность • релевантность • семантическая целостность • применимость • анонимность

  42. Требования к свойствам получаемых обезличенных данных • сохранение полноты • сохранение структурированности • сохранение семантической целостности • анонимность отдельных данных

  43. Требования к свойствам метода обезличивания • обратимость • возможность обеспечения заданного уровня анонимности • увеличение стойкости при увеличении объема обезличиваемых персональных данных.

  44. Методы обезличивания • метод введения идентификаторов • метод изменения состава или семантики • метод декомпозиции • метод перемешивания

  45. ИТОГО: НЕОБХОДИМО СДЕЛАТЬ Провести обследование процессов обработки ПДн Назначить ответственных сотрудников Разработать полный пакет внутренних нормативных актов и организационно-распорядительных документов

  46. ИТОГО: НЕОБХОДИМО СДЕЛАТЬ Разработать и внедрить систему защиты ПДн, которые обрабатываются на компьютере Обучить сотрудников, имеющих доступ к ПДн

  47. ИТОГО: НЕОБХОДИМО СДЕЛАТЬ Подать Уведомление об обработке ПДн в Управление Роскомнадзора по Липецкой области Осуществлять регулярный контроль за соблюдением правил обработки ПДн Поддерживать правила обработки ПДн в актуальном состоянии

More Related