Вопрос 55 Защита информации ограниченного доступа: персональных данных.

ПД – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Запрещается требовать от гражданина информации о его частной жизни, в том числе информацию, составляющую личную или семейную тайну помимо воли гражданина, если иное не предусмотрено законом.

Конфиденциальные ПД – обязательные для соблюдения оператором или иным получившим доступ к персональным данным лицам требования не допускать их распространение без согласия субъекта персональных данных или без наличия иного законного обоснования.

Обеспечение конфиденциальности ПД не требуется:

• в случае обезличивания данных;

• в отношении общедоступных персональных данных.

Субъект ПД сам дает разрешение на обработку своих персональных данных. Предусмотрены случаи обязательного предоставления своих ПД в интересах защиты конституционного строя, защиты обороны страны и т.д.

Оператор при обработке ПД обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства для защиты ПД.

Обязанность по обеспечению безопасности ПД возлагается на Правительство РФ, а Правительство возлагает на ФОИВ (ФСБ и ФСТЭК). Биометрические данные могут использоваться и храниться только на таких НИ, которые смогут обеспечить защиту от неправомерного, случайного доступа

Глава 14 Трудового кодекса РФ «Защиты ПД работников» определяет ПДР как информации, необходимой работодателю в связи с трудовыми отношениями и касающуюся конкретного работника. В данной главе устанавливаются общие требования при обработке ПДР, порядка хранения и использования ПДР, передачи ПДР, права работника в целях обеспечения защиты ПД, хранящихся у работодателя, и ответственность за нарушение норм, регулирующих защиту ПД работника.

Под обработкой ПДР понимается: получение, хранение, комбинирование, передача или любое другое использование ПД работника.

работодатель обязан :

- при определении объема и вида обработки ПДР работодатель должен руководствоваться Конституцией РФ и иными Федеральными законами; - любые ПД следует получать только у работника, если ПДР возможно получить только у третьей стороны, то работник должен быть уведомлен заранее и от него должно быть получено письменное согласие; -работодатель не имеет права получать и обрабатывать ПДР об его политических, религиозных и иных убеждениях, его частной жизни. работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия;

- защита ПДР от неправильного их использования или утраты должна быть организована работодателем за счет его средств в порядке, установленном трудовым кодексом и федеральными законами;

- работники не должны отказываться от своих прав на сохранение и защиту тайны;

- работодатели, работники и их представители должны совместно вырабатывать меры защиты ПРД;

В целях обеспечения защиты ПДР хранящихся у работодателя работники имеют право на:

- полную информацию об их ПД и обработку; - свободный бесплатный доступ к своим ПД, любой записи, за исключением случаев, предусмотренных федеральными законами. - Определение своих представителей для защиты своих ПД. - Доступ к относящимся к ним медицинские данным с помощью медицинских специалистов по их выбору. - Требовать исключения или исправления неверных или неполных ПД а так же данных, обрабатываемых с нарушением требований трудового кодекса и федеральных законов. - При отказе работодателя исключить или исправить ПДР он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. - ПД оценочного характера работник имеет право дополнять заявлением, выражающим его собственную точку зрения. - Требовать об извещении работодателем всех лиц которым ранее были сообщены неверные или неполные ПД обо всех произведенных в них исключениях, исправлениях или дополнениях. - Обжалование в суд любых неправомерных действий или бездействий работодателя при обработке ПДР. - Лица, нарушающие установленные требования, несут ответственность в соответствии с ФЗ.

Постановление Правительства РФ №1119 устанавливает требования к защите персональных данных при их обработке в информационных системах персональных данных и уровни защищенности таких данных.

Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.

В постановление фиксируется 3 типа угроз, в зависимости от наличия недокументированных возможностей в системном и прикладном программном обеспечении, используемом в информационной системе. Также устанавливается 4 уровня защищенности ИСПДн. Устанавливаются условия, при которых следует обеспечивать каждый уровень защищенности в зависимости от типа актуальных угроз, категории обрабатываемых персональных данных, количества субъектов ПД. Фиксируются требования, которые необходимо выполнить для обеспечения каждого уровня защищенности.

Постановление Правительства РФ № 211 определяет перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами.

Меры:

• назначение ответственного за обработку ПД в госоргане;

• утверждение документов о правилах обработки ПДн и других;

• принятие правовых, организационных и технических мер по обеспечению безопасности БД;

• ознакомление служащих с законодательством по ПДн;

• проведение периодических проверок условий обработки ПДн;

• осуществление обезличивания данных, обрабатываемых ИСПДн.