Общие персональные данные

Являются ли общедоступными персональные данные, размещенные в социальных сетях?

dragonstock / Depositphotos.com

Роскомнадзор выявил нарушения в части соответствия деятельности по обработке персональных данных требованиям законодательства по результатам плановой выездной проверки одного из бюро кредитных историй. Эти результаты бюро попыталось оспорить в Арбитражном суде города Москвы (решение Арбитражного суда города Москвы от 5 мая 2017 года по делу № А40-5250/17-144-51).

Суть выявленных Роскомнадзором нарушений заключалась в следующем:

• финансовая организация не представила уведомление в уполномоченный орган об использовании сервисов Double Data Social Link и Double Data Social Attributes, которые передавали финансовой организации данные физических лиц или потенциальных клиентов из открытых источников информации (ч. 1 ст. 22 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», далее – Закона № 152-ФЗ);
• отсутствовало согласие на обработку персональных данных, содержащихся в открытых источниках – в социальных сетях и на интернет-порталах (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ).

Арбитражный суд города Москвы определил, что обработка персональных данных допускается в случаях, когда персональные данные доступны неопределенному кругу лиц, имеется согласие владельца данных и сведения предоставлены непосредственно самим субъектом (п. 1, п. 10 ч. 1 ст. 6 Закона № 152-ФЗ).

Суд подчеркнул, что без письменного согласия субъекта персональных данных нельзя утверждать о предоставлении согласия именно указанным лицом. По его мнению, если владелец сделал персональные данные общедоступными для всех, то они могут содержаться только в общедоступных источниках (ст. 8 Закона № 152-ФЗ). По мнению суда, соцсети не являются такими источниками получения персональных данных, соответственно информация о лице, размещенная в них, не может быть отнесена к общедоступной.

В решении арбитража указано, что в общедоступные источники персональных данных могут включаться фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные их владельца с его письменного согласия и сообщаемые им самим. Суд пришел к выводу, что владельцы персональных данных не сделали сведения общедоступными, которые обрабатывались бюро кредитных историй в социальных сетях (ч. 3 ст. 22, п. 1 ч. 1 ст. 6 Закона № 152-ФЗ). В связи с чем суд признал предписание Роскомнадзора законным и отказал финансовому учреждению в удовлетворении исковых требований.

Можно ли привлечь к ответственности компанию за использование изображения физического лица без его согласия, если она обнародовала фотографии сотрудников в социальные сети? Ответ на этот и другие практические вопросы – в «Базе знаний службы Правового консалтинга» в интернет-версии системы ГАРАНТ. Получите полный доступ на 3 дня бесплатно!

Суд апелляционной инстанции согласился с выводами нижестоящего суда, подчеркнув, что размещение персональных данных в социальных сетях не делает их автоматически общедоступными, следовательно, требуется согласие субъекта на обработку информации (постановление Девятого арбитражного апелляционного суда от 27 июля 2017 года по делу № А40-5250/17). Суд кассационной инстанции и Верховный Суд Российской Федерации встали на сторону Роскомнадзора и не нашли оснований для отмены обжалуемых судебных актов (постановление Арбитражного суда Московского округа от 9 ноября 2017 года по делу № А40-5250/2017, Определение ВС РФ от 29 января 2018 года по делу № 305-КГ17-21291).

Таким образом, суды решили, что персональные данные являются общедоступными при выполнении двух условий: они предоставлены владельцем и доступны неопределенному кругу лиц. По их мнению, из-за отсутствия согласия владельца персональных данных на размещение сведений о нем в соцсетях, нельзя их [соцсети] отнести к общедоступным источникам. При этом оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных, в случае его отзыва, только при наличии соответствующих оснований, например, для противодействия терроризму или коррупции (ч. 2 ст. 9 Закона № 152-ФЗ).

Ведущий юрист Европейской Юридической Службы Елена Держиева отметила, что по условиям пользовательского соглашения соцсети «Вконтакте» владелец персональных данных дает согласие только на доступ к информации, которую он размещает на своей странице, но не на обработку третьими лицами.

Источник: http://www.garant.ru/news/1294310/

Какие персональные данные являются общедоступными

Защита персональных данных
с помощью DLP-системы

К аждый день физические лица предоставляют личную информацию в различные инстанции. За обработку сведений отвечают операторы персональных данных. Это банки, работодатели, медицинские организации, интернет-сайты и другие структуры. В соответствии с законом операторы обязаны защищать персональную информацию. Для создают источники, где содержатся общедоступные персональные данные (ПД).

Что такое общедоступные ПД?

К общедоступным относят сведения о человеке, которые он или она самостоятельно предоставляет в инстанции. Чтобы к открыть свободный доступ к информации, требуется письменное разрешение человека – субъекта персональных данных. Субъект – это физическое лицо, ПД которого собирает, хранит и обрабатывает оператор. Оператор – это юридическое или физическое лицо, муниципальный или государственный орган власти.

К общедоступным ПД относят сведения о субъекте, по которым его можно идентифицировать:

• ФИО;
• дата и место рождения;
• домашний адрес;
• номер телефона;
• профессия;
• индивидуальный налоговый номер;
• место работы или учебы и другие сведения.

В состав общедоступных данных может входить любая информация, которая с точки зрения закона не является конфиденциальной. ПД субъекта могут классифицироваться по объему и степени важности информации личного характера.

К общедоступным данным относится также персональная информация, которая предоставляется:

• при трудоустройстве, заключении контракта или трудового договора;
• во время переписи населения;
• при оформлении договорных отношений во время торговых операций и других подобных ситуациях.

Персональные данные субъекта, которые распространяются через СМИ, не относятся к конфиденциальным, так как являются общедоступными в соответствии с «Перечнем сведений конфиденциального характера».

Письменное согласие субъекта на получение, передачу, обработку и другие действия с ПД требуется не всегда. В отдельных случаях, например, при участии в анкетировании или подписке на новостную рассылку, достаточно поставить галочку в графе, которая разрешает использование ПД.

Данные общего типа допускает размещать в источниках, которые являются общедоступными. Это означает, что источники просматривает и использует огромное количество заинтересованных лиц. Пример такого источника – телефонные справочники.

Обработка общедоступных данных

Обработкой общедоступных данных занимаются отделы и подразделения, в обязанности которых входит сбор, систематизация, хранение, изменение, использование и уничтожение ПД. Физические лица вправе запросить сведения об операторе данных и узнать, какую цель преследует оператор во время обработки ПД.

Контроль соблюдения законов при обработке возложен на Роскомнадзор. Определенными ревизионными и контролирующими полномочиями обладают ФСБ и ФСТЭК. Операторы создают системы защиты личных данных для собственных нужд поэтому, в связи с этим лицензировать такую деятельность.

ПД обрабатывают организации, которым для осуществления своей деятельности необходимо собирать, накапливать, обрабатывать и хранить информацию о сотрудниках, поставщиках и клиентах. В определенных случаях такие данные входят в состав открытых.

Права субъектов общедоступных данных

Субъекты ПД могут подать заявление с требованием заблокировать, уничтожить, уточнить или изменить общедоступные данные, если сведения утратили актуальность, являются неполными или не требуются для целей обработки. Субъекты праве также запросить доступ к своим ПД и узнать, какие средства использует оператор для их обработки.

Информация должна использоваться в соответствии с требованиями законодательства и быть защищенной независимо от того, является она конфиденциальной или общедоступной. В обязанности операторов входит обеспечить полную защиту ПД субъекта и ограничить доступа к данных посторонних лиц.

Оператор начинает обрабатывать персональные данные только после получения письменного разрешения субъекта на обработку. Согласие включает информацию о физическом лице и данные оператора: название компании, фамилия, имя и отчество оператора, должность. Также в согласии требуется указать цель обработки и список данных с описанием операций, которые будут выполняться с информацией. Физическое лицо имеет право на отзыв своих ПД и аннулирование своего согласия на обработку.

В случае недееспособности или смерти субъекта согласие на обработку и использование ПД запрашивается у наследников или законных представителей. При этом нужно руководствоваться Федеральным законом о персональных данных.

В случае нарушения требований законодательства виновные несут административную, уголовную и другие виды ответственности. Неважно, являются ли ПД конфиденциальными или общедоступными, в соответствии со статьей 8 ФЗ-152 о персональных данных общедоступные ПД могут размещаться в общедоступных источниках только с согласия субъекта данных. Персональные данные должны быть исключены из источников, если этого требует субъект или уполномоченные органы: Роскомнадзор, суд или другие госструктуры.

Источник: http://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/kakie-personalnye-dannye-yavlyayutsya-obshchedostupnymi/

Все о персональных данных

goldyg / Shutterstock.com

СОДЕРЖАНИЕ

Персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому лицу (п. 1 ст. 3 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»; далее – закон о персональных данных). Такое широкое толкование позволяет относить к персональным данным практически любую информацию о человеке: сведения о его ФИО, поле и возрасте, образовании, месте жительства, семейном положении и др. Помимо этого к персональным данным относится и изображение человека, с помощью которого можно установить его личность – например, фотография, видеозапись или портрет (разъяснения Роскомнадзора от 30 августа 2013 г. «Разъяснения по вопросам отнесения фото-, видеоизображений, дактилоскопических данных и иной информации к биометрическим персональным данным и особенностей их обработки»).

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, их состав, а также совершаемые с ними действия (п. 2 ст. 3 закона о персональных данных).

Обработка персональных данных – любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 закона о персональных данных).

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу (п. 11 ст. 3 закона о персональных данных).

С 1 июля 2017 года ужесточилась административная ответственность за нарушения, допущенные при обработке персональных данных. Рассмотрим подробнее, какие правила необходимо соблюдать при работе с ними и какая ответственность теперь грозит нарушителям.

Последняя актуализация: 30 августа 2017 г.

Документы по теме:

Читайте также:

Персональные данные: успеть обеспечить защиту!
Предпринимателей могут обязать хранить персональные данные граждан РФ на российских серверах не с 1 сентября 2016 года, как планировалось ранее, а уже с 1 сентября 2015 года.

Кибербезопасность и цифровой суверенитет: стимул или препятствие для развития IT-рынка?
Разберемся, как от киберугроз планируется защищать персональные данные, чего ждать от Доктрины информационной безопасности и каковы перспективы развития законопроекта о критической инфраструктуре.

Источник: http://www.garant.ru/actual/persona/

Закон о персональных данных, понятие, хранение и обработка персональных данных работников и граждан

Не всю информацию о человеке и его жизни можно распространять и публиковать в открытых источниках. С самого начала интернет-экспансии границы стираются и данные, которые должны передаваться только с разрешения человека, у него буквально «воруют». Рассмотрим детальнее, что такое персональные данные, что включает в себя это понятие, как хранятся данные с пометкой «ПД», что грозит за нарушение закона и несанкционированное распространение личной информации?

Нормативная база

Перечень законов о персональных данных:

Федеральный закон “О персональных данных” можно скачать здесь:

Классификация персональных данных

Согласно Федеральному закону «О персональных данных» это любая информация, которая прямо или косвенно относится к жизни субъекта. Что относится к персональным данным:

1. имя;
2. фамилия и паспортные данные;
3. место и дата рождения;
4. адрес прописки либо проживания;
5. семейное положение;
6. информация о доходах и задолженностях;
7. специальность, профессия,
8. информация о занятости;
9. доходы.

Сюда так же может относиться информация о социальных связях, контактах, личной жизни, покупках гражданина либо членов его семьи.

Номер телефона является персональной информацией в РФ, так, как он привязан к паспортным данным.

Общие ПД

К общим данным можно отнести те, которые находятся “на поверхности”. Общедоступные персональные данные – это имя, которое можно увидеть на бейджике сотрудника компании, его номер телефона в анкете на сайте, специальность и должность. Если человек сам распространяет данные, которые не относятся к разделу “Общие”, это не даёт права гражданам распоряжаться ими или публиковать в открытых источниках.

Биометрические ПД

Сюда относится вес, рост, цвет волос и глаз, отпечатки пальцев, национальность, особые приметы. Эти данные используются сотрудниками спецслужб для создания ориентировок и поиска преступников в базах данных.

Полиция и правоохранительные органы не имеют права снимать у граждан отпечатки пальцев без веской причины и заносить их информацию в базу данных.

Специальные ПД

Сюда относится расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимной жизни. Распространение этой информации не допускается, за исключением случаев, предусмотренных частью 2 ФЗ-152.

Обезличенные ПД

Это те данные, принадлежность которых невозможно установить. Обезличивание – процесс “отчуждения” данных, который делает личную информацию публичной.

Пример: В организации работают 2 сотрудника – мужчина и женщина. Мужчина соблюдает дресс-код, а женщина носит паранджу. Если работодатель подаст статистику о количестве верующих и/или религиозных людей, а конкретно – один атеист, один верующий, вычислить кто есть кто будет просто.

Такой топорный пример не является прямым нарушением закона, тем не менее передаёт личные данные (а вдобавок, специальные) третьим лицам.

Обработка персональных данных

Защита персональной информации может обеспечиваться несколькими источниками права:

• Первым источником защиты является ТК РФ, в котором закреплены гарантии, нормы, правила регуляции обмена и открытой публикации материалов работника;
• Вторым источником является система организационно-правовых отношений, устав предприятия, политика конфиденциальности, общепринятая в данной трудовой сфере;
• Третьим фактором служит право на защиту личной информации, гарантированное Конституцией РФ каждому её гражданину.

Обмен информацией и использование персональных данных возникают на протяжении всего рабочего процесса, между работодателем и сотрудником, между сотрудниками, а также третьими лицами. Высший приоритет в урегулировании конфликтных ситуаций имеет Трудовой Кодекс Российской Федерации, за ним идёт уставо-правовые нормы организации, а потом уже право на защиту, гарантированное Конституцией РФ. Работодатель не может просто так требовать от сотрудника предоставить информацию. Оглашению подлежит лишь та информация, которая необходима для заключения трудового договора, оформления нормативных документов, возможного урегулирования конфликтных и спорных ситуаций, коллективного или корпоративного договора с третьими лицами (согласно тексту ст. 22 ТК РФ).

Способы защиты личной информации и предохранительные меры

• Ограниченный доступ к хранилищам и архивам материалов;
• Верификация запрашивающего лица перед предоставлением информации;
• Ознакомительный формат предоставления сведений;
• Санкции и штрафы за нарушения правил.

• Криптография и шифрование данных;
• Создание отдельных серверов и каналов связи;
• Уничтожение неактуальных материалов;
• Экранировка помещений и устройств, для защиты от взлома.

Право на защиту персональной информации работник может реализовать через:

• Свободное бесплатное обращение к документам, где фигурируют его личные данные (может потребовать копию любого нормативного документа).
• Требование по отношению к работодателю, заключающееся в удалении или изменении персональных данных, либо их части.
• Путём обжалования процедуры подачи, обработки и публикации сведений, организацией.

Пошаговая инструкция по защите данных в организации:

• Разработка проекта алгоритма обработки персональных сведений;
• Разработка системы согласия и отказа на обработку личных материалов;
• Разработка проекта уведомительных сообщений о включении личных материалов в общий поток;
• Проектирование структуры, обязующейся сохранять информацию с ограниченным доступом;
• Издательство приказа о введении материалов работников предприятия в базу данных, определение порядка и способа обработки и передачи информации, назначение ответственных, обозначение санкций и штрафов за нарушение устава;
• Внесение изменений или дополнений в трудовые и должностные инструкции работников, которые ответственны за хранение, предоставление и обработку личных сведений.

В интернете, как и других открытых источниках, также хранятся и обрабатываются данные пользователей. С 2017 года сайты, которые используют технологию cookie, обязаны оповещать пользователей об этом. Эта технология позволит показывать релевантную рекламу, оптимизировать процесс работы, ускорить технические алгоритмы. Тем не менее, они собирают данные о гражданах:

• историю посещений;
• ссылки и переходы (сайт видит, с какой страницы пользователь на неё попал);
• какие аккаунты привязаны к учётной записи (если авторизоваться на сайте при помощи профиля в социальной сети);
• поисковые запросы (не только на конкретном ресурсе. Google, Yandex и прочие техно-гиганты собирают всю информацию а пользователях).

Что делать, если данные используются без вашего согласия

В первую очередь просмотреть – являются ли они специальными ПД и запрещено ли их распространение. Если закон нарушен – в срочном порядке нужно обратиться в полицию с заявлением, где чётко указать обстоятельства и время кражи. Сослаться на статью 137 УК РФ. В зависимости от классификации и элементов преступления, можно рассчитывать на возмещение в виде выплаты, размером 1 000 – 50 000 рублей. Для должностных лиц штраф намного выше. Уголовная ответственность предусматривает лишение свободы сроком до 2 лет (максимальная мера пресечения).

Надеемся, что наша статья помогла читателю разобраться с вопросами ПД. Помните, что законы и права человека в РФ нарушаются ежедневно, а за помощью в правоохранительные органы обращаются только единицы. Если читатель стал жертвой или свидетелем кражи персональной информации – молчать нельзя. Сегодня это чужие права, завтра – ваши.

Источник: http://trud.guru/ohrana/personalnye-dannye.html

Виды персональных данных: что является общедоступной информацией и какую нельзя разглашать?

Сбор, обработка и хранение персональных данных регламентированы Федеральным законом №152 от 27.07.2006 г. Закон раскрывает права субъекта, а также обязанности оператора или иного лица, собирающего личные сведения. Статья поможет разобраться, какие данные являются персональными, а какие общедоступными, а также перечислит их основные виды и категории.

Основные понятия

Личные сведения могут разглашаться и распространяться только с письменного согласия их владельца.

Закон защищает данные как физических, так и юридических лиц. К последним относятся:

• наименование;
• организационно-правовая форма;
• ОГРН, ИНН, КПП и т. д.

За нарушение законодательства в области персональных данных наступает административная ответственность по ст. 13.11 КоАП РФ.

Перечень

Никакие нормативные акты РФ строго не регламентируют полный перечень персональных данных. Небольшая расшифровка приведена в п. 2.5 методических рекомендаций, утвержденных Приказом Роскомнадзора от №94 от 30.05.2017 г.

ФИО физического лица

Полное имя гражданина однозначно относится к персональным данным, поэтому не может разглашаться или распространяться без его письменного согласия. Исключением являются случаи, когда Ф.И.О. ранее стали общедоступными или раскрыты физическим лицом по его воле.

Национальность

Национальность относится к специальной категории персональных данных, о которых мы поговорим далее (ч. 1 ст. 10 Закона). Их обработка допускается только с согласия владельца, а также в случаях, установленных ч. 2 ст. 10 Закона. Среди них:

• сбор информации по переписи населения;
• медицинское обслуживание;
• противодействие террористической деятельности;
• в страховых целях и др.

Фотография

Охрана изображения гражданина регламентирована ст. 152.1 ГК РФ. Обнародование и использование фотографии предполагает заключение сделки по взаимной договоренности с владельцем (ст. 153 ГК РФ).

Статья 153 ГК РФ. Понятие сделки

Сделками признаются действия граждан и юридических лиц, направленные на установление, изменение или прекращение гражданских прав и обязанностей.

Исключением являются случаи, когда:

• фотография используется в государственных, общественных, экономических, спортивных, культурных или иных публичных интересах;
• изображение создано на публичном мероприятии в местах общего доступа (съездах, конференциях, соревнованиях), если оно не является основным объектом использования;
• фотография создана на возмездной основе (профессиональная фотосъемка) путем заключения устного или письменного договора с владельцем.

Если изображение распространяется в интернете, то гражданин вправе требовать его удаления и моральной компенсации. Физические и виртуальные носители, а также экземпляры фотографии подлежат изъятию по судебному решению, если их обработка производилась с нарушением законодательства.

Номер телефона

При этом установить абонента сети становится возможно только в совокупности с Ф.И.О., адресом или иными личными сведениями. Набор цифр охраняется в соответствии с законом «О связи» и не обрабатывается без согласия абонента.

Таким образом эти сведения считаются обезличенными, если не сопровождаются другой личной информацией. Но их обработка также возможна только по взаимной договоренности с владельцем. Если адрес электронной почты содержит Ф.И.О. физического лица, то его однозначно относят к персональным данным.

Согласно пояснениям Роскомнадзора, неперсонифицированная СМС-рассылка не является нарушением законодательства, так как только по номеру телефона невозможно идентифицировать гражданина.

Виды и определения сведений: что к ним относится по закону?

Персональные данные делятся на 4 вида:

Принцип и условия их обработки установлены гл. 1-6 Закона.

Общие

• полное имя физического лица;
• адрес регистрации и фактического проживания;
• паспортные реквизиты;
• сведения об образовании;
• индивидуальный номер налогоплательщика;
• пол, возраст, дата и место рождения;
• сведения о доходах физического лица;
• семейное положение.

Персональные данные, составляющие семейную или личную тайну, охраняются законом. В случае нарушения неприкосновенности частной жизни наступает уголовная ответственность по ст. 137 УК РФ.

Биометрические

Согласно ст. 11 Закона, к биометрическим относятся такие данные, которые характеризуют физиологические или психологические особенности человека. Информация может располагаться в Единой биометрической системе и использоваться при трудоустройстве в государственные органы или в ходе медицинского обслуживания.

Биометрические персональные данные:

• отпечатки пальцев;
• рисунок радужной оболочки глаза;
• контур, овал и координаты точек лица;
• анатомические особенности;
• рост, вес;
• сведения, касающиеся ДНК;
• психическое здоровье;
• фото или видеоизображение гражданина;
• звукозапись с голосом гражданина.

К ним также не относятся почерк, фотография в личном деле, копия разворота паспорта (при использовании в некоммерческих целях), результаты анализов и исследований, если они не используются для идентификации личности.

Обработка биометрических данных возможна только с письменного согласия субъекта за исключением случаев:

• противодействия преступной и антитеррористической деятельности;
• идентификации работников;
• судопроизводства;
• обязательной дактилоскопической регистрации;
• международного договора.

Какие биометрические характеристики собирает Сбербанк?

В целях улучшения качества дистанционного обслуживания Сбербанк может собирать биометрические данные клиентов. Сведения получают напрямую от клиентов банка, через работодателей и государственные органы, а также из общедоступных источников информации. Среди них:

• фото- и видеоизображения лица;
• аудиозаписи;
• отпечатки пальцев.

Благодаря этому пользователи получают доступ к системе без подтверждающих документов и банковских карт. Услуга необязательна и требует письменного согласия владельца.

Специальные

К специальным категориям персональных данных относятся сведения, касающиеся:

• расовой, национальной принадлежности;
• религиозных, философских и политических убеждений;
• интимной жизни;
• состояния здоровья.

Их обработка не допускается без согласия гражданина за исключением случаев, когда данные:

Соответствующая информация содержится:

• в амбулаторных картах;
• личных делах;
• локальных реестрах и информационных системах.

Необходима для трудоустройства в органы внутренних дел, осуществления прокурорского надзора, усыновления ребенка и т.д.

Общедоступные

К общедоступным источникам относятся:

• интернет-профили;
• справочники;
• адресные книги (ст. 8 Закона).

Статья 8 №152-ФЗ «О персональных данных». Общедоступные источники персональных данных

1. В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных.
2. Сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.

Если исходя из сведений невозможно напрямую идентифицировать личность гражданина (по номеру телефона ли, электронной почте, национальности) без сопровождения дополнительной информацией, они считаются обезличенными (ст. 3 Закона). Их определяют в качестве способа защиты информации, делающей ее недоступной для несанкционированного и противоправного использования.

Какая информация общедоступна, а какую нельзя разглашать?

• К общедоступным данным относятся доходы государственных, муниципальных и политических деятелей.
• К ним также относятся сведения, которые самолично распространяются владельцем в сети Интернет. При этом законодательство не рассматривает информацию в сети как собственность субъекта, так как она сложно поддается контролю с его стороны.Таким образом, IP-адрес, история браузера, формы авторизации, информация, накапливаемая приложениями и гаджетами, является общедоступной.
• Данные, предоставляемые при трудоустройстве, заключении договора и переписи населения также не квалифицируются как персональные.
• Информация, предоставленная и распространяемая в СМИ, понимается как утратившая такое понятие как конфиденциальность, что соответствует перечню, утвержденному Приложением к Указу Президента РФ №188 от 6 марта 1997 г.
• При анкетировании и подписки на новостную рассылку не требуется письменное согласие на обработку данных — достаточно отметки или галочки в специальном поле.

Согласно разъяснениям Роскомнадзора в письме от 07.02.2014 № 08КМ-3681, сведения о доходах гражданина не разглашаются по требованию его законного супруга.

Нельзя передать информацию по запросу 3-х лиц, если они не относятся к органам ОВД, безопасности или прокуратуры. Это касается контактных, личных, паспортных данных, сведений о семейном положении, состоянии здоровья и иных, позволяющих идентифицировать гражданина.

Таким образом, существует 4 вида персональных данных:

При согласии субъекта, а также в случаях, установленных федеральным законом, они подлежат обработке и разглашению 3-им лицам. К персональным относятся любые сведения, которые косвенно или напрямую идентифицируют человека. По этой причине они охраняются законом.

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.

Источник: http://pravovoi.center/zpp/o-personalnyh-dannyh/chto-imi-yavlyaetsya.html

Персональные данные – что это такое?

Все вопросы, связанные с персональными сведениями о частных лицах, регламентируются Федеральным законом № 152-ФЗ “О персональных данных”. Им определяется получение, хранение (систематизирование), обработка, использование и защита персональной информации, а также ее классификация. В этой обзорной статье мы дадим базовую информацию о персональных данных и о том что к ним относится.

Персональные данные – что это?

Говоря о частных лицах, под “персональными данными” понимается вся возможная информация, которая либо прямо, либо косвенно относится к определенному физическому лицу (согласно терминологии закона – субъекту персональных данных).

Согласие на получение и последующую обработку персональных данных частное лицо может предоставить только самостоятельно, выразив это в письменной форме. При этом разрешение на любое использование личных данных может быть оформлено и как отдельным документом, так и быть пунктом договора (например, кредитного или депозитного). Обратите внимание – любая онлайн-заявка на кредит будет недействительна при отсутствии вашего согласия (обычно требуется поставить галочку возле соответствующего пункта).

Получение либо использование любой персональной информации о частном лице без наличия на то письменного или иного согласия является незаконным. Также неправомерными считаются и случаи обработки персональных сведений после получения от частного лица заявления на отзыв согласия на такую обработку. Тем не менее существуют исключения. Например, персональные данные могут быть получены без согласия человека для работы государственных органов, а для соблюдения обязательств по действующим договорам обработка персональной информации может быть продолжена и после отзыва согласия на ее использование.

Виды персональных данных

• общие;
• биометрические;
• специальные;
• общедоступные (либо обезличенные).

Самым значимым видом сведений о частном лице являются общие персональные данные – именно они несут основную информацию о человеке. К этому типу относят практически все данные личного характера – ФИО, данные паспорта, ИНН, образование, семейное положение, номер страхового пенсионного свидетельства, номер мобильного, домашнего или рабочего телефона, уровень дохода клиента, информация о трудовой занятости и прочее. Сведения общего характера чаще всего заполняются согласно предоставленным документам, но могут быть зафиксированы и со слов самого физического лица.

Согласие на получение общих персональных данных чаще всего необходимо предоставлять для обслуживания в кредитных организациях, у оператора сотовой связи, интернет провайдера и даже в розничных магазинах (например, для оформления дисконтной карты и последующего получения информации о различных скидках или акциях).

К биометрическим персональным данным в основном относят сведения, необходимые для проведения каких-либо медицинских процедур или установления личности человека по физиологическим параметрам. Это может быть группа крови, рост, вес, дактилоскопические данные, результаты анализов ДНК. В некоторых случая к биометрическим сведениям относят и фотографии частного лица. Исключение – фото и видео, полученные во время проведения публичных либо массовых мероприятий.

Согласие на обработку биометрической персональной информации чаще всего необходимо оформлять для проведения медицинского обследования или лечения.

Под специальными ПД понимается информация, которая говорит о расовой принадлежности частного лица, религиозных взглядах либо философских суждениях, о состоянии психологического и физического здоровья. Такие данные заполняются согласно медицинским справкам или со слов самого частного лица.

Информация специального характера может потребоваться при трудоустройстве на новое место работы или, например, при участии в политической деятельности.

Выделяется еще один вид персональных данных – сведения, которые являются изначально общедоступными или обезличенными , а, значит, не могут быть скрыты. К такому общедоступному типу персональной информации относится, например, доходы сотрудников государственных и муниципальных органов. Обезличенные же сведения не принадлежат какому-либо конкретному субъекту персональной информации и находятся в свободном для всех доступе.

Источник: http://privatbankrf.ru/materialy/personalnyie-dannyie-chto-eto-takoe.html

Как соответствовать 152 ФЗ о персональных данных?

Общий порядок обработки персональных данных установлен федеральным законом № 152-ФЗ от 27.07.2006 «О персональных данных». О нём мы рассказали в нашей предыдущей статье «В чём суть закона».

Этот порядок конкретизирован и детализирован в постановлении Правительства Российской Федерации № 1119 от 01.11.2012 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

Кто обеспечивает защиту данных?

Согласно указанному постановлению Правительства № 1119, безопасность персональных данных при их обработке в информационной системе обеспечивает оператор этой системы, который обрабатывает эти данные, или лицо, осуществляющее обработку этих данных по поручению оператора на основании заключённого с этим лицом договора.

Что защищать и от чего?

В постановлении Правительства определены три типа угроз и четыре уровня защищённости персональных данных.

Под угрозами Правительство понимает совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение этих данных, а также иные неправомерные действия.

Как защищать?

КЛАССИФИКАЦИЯ УРОВНЕЙ ЗАЩИТЫ

В следующей таблице, составленной по содержанию постановления, указаны условия, по которым должен быть обеспечен тот или иной уровень защищённости персональное информации.

* «С» — специальные; «Б» — биометрические; «О» — общедоступные; «И» — иные.** Относятся ли данные к работникам оператора или нет? Если — нет, имеет значение общее число частных лиц, данные о которых содержатся в информационной системе.

Специальные персональные данные: сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни.

Биометрические персональные данные: сведения о физиологических и биологических особенностях человека, на основании которых можно установить его личность.

Общедоступные персональные данные: сведения, которые может получить неограниченный круг лиц. В качестве примеров источников общедоступных персональных данных можно назвать справочники или адресные книги. В такие источники могут включаться фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, но только с письменного согласия их субъекта.

Иные персональные данные: сведения о конкретном человеке, которые не относятся к категориям специальные, биометрические, общедоступные.

Первый уровень защищённости считается наиболее высоким.

ОБЕСПЕЧЕНИЕ УРОВНЯ ЗАЩИТЫ

В следующей таблице перечислены требования по обеспечения защищённости данных на должном уровне.

Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор или лицо, которое производит обработку этих данных по поручению оператора.

В перечень мер по обеспечению безопасности входят:

• идентификация и аутентификация субъектов доступа и объектов доступа;
• управление доступом субъектов доступа к объектам доступа;
• ограничение программной среды;
• защита машинных носителей информации, на которых хранятся или обрабатываются данные;
• регистрация событий безопасности;
• антивирусная защита;
• обнаружение и предотвращение вторжений;
• анализ защищённости;
• обеспечение целостности информационной системы и данных;
• обеспечение доступности данных;
• защита среды виртуализации;
• защита технических средств;
• защита информационной системы, её средств, систем связи и передачи данных;
• выявление событий, которые могут привести к сбоям или нарушению в работе информационной системы, или угрожающих безопасности данных, и реагирование на них;
• управление конфигурацией информационной системы и системы защиты.

В приложении к указанному приказу ФСТЭК содержится более детальный перечень мер по обеспечению безопасности данных для каждого уровня защищённости.

При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности персональных данных, а также с учётом экономической целесообразности могут разрабатываться и применяться иные (компенсирующие) меры, направленные на нейтрализацию актуальных угроз.

СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ

Технические средства защиты имеют классификацию. Класс применяемого средства защиты должен соответствовать требующемуся уровню защищённости.

В руководящем документе «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» установлено девять классов защищённости автоматизированной системы от несанкционированного доступа к информации.

Каждый класс характеризуется определенным минимальным набором требований по защите. Классы подразделяются на три группы, отличающиеся особенностями обработки информации.

С государственным реестром средств защиты информации, сертифицированных ФСТЭК, можно ознакомиться на сайтеэтого ведомства. Идентификатор этого реестра: РОСС RU.0001.01БИ00. На момент подготовки этой статьи в реестре имеется 1 774 записи.

Этот реестр также доступен на сайте «Открытые данные России».

На сайте ФСТЭК также находятся реестры компаний, имеющих лицензии на деятельность по технической защите конфиденциальной информации и лицензии на деятельность по разработке и производству средств защиты конфиденциальной информации.

КРИПТОГРАФИЧЕСКИЕ СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ

Если для защиты персональных данных применяются какие-либо криптографические средства, их применение регламентировано приказом ФСБ России № 378 от 10.07.2014.

Перечень средств защиты информации, сертифицированных ФСБ России, можно получить на сайте Центра по лицензированию, сертификации и защите государственной тайны ФСБ России.

В версии перечня на 01.08.2018 упомянуты 525 средств защиты.

Заключение

Несмотря на изрядную запутанность руководящих документов по защите информационных систем, в том числе, хранящих в них данных, соблюсти основные нормы, установленные в этих документах, можно.

В целом, последовательность действий лица, планирующего обработку данных должна быть примерно следующей:

• определить, относится ли он к категории «оператор персональных данных»; если относится, известить о своих планах Роскомнадзор;
• определить угрозы безопасности данных при их обработке в информационной системе оператора;
• определить требующийся уровень защиты;
• определить и применить организационные и технические меры защиты данных от неправомерного доступа к ним, а также от возможной их утраты или искажения;
• применить выбранные меры защиты;
• после ввода информационной системы в эксплуатацию регистрировать и учитывать все действия, совершаемых с персональными данными в информационной системе;
• обеспечить обнаружение фактов несанкционированного доступа к данным и принимать меры, исключающие такой доступ в дальнейшем;
• регулярно оценивать эффективность применения выбранных средств защиты.

Напомним о пункте 10 приказа ФСТЭК № 21 от 18.02.2013, в котором говорится о том, что при невозможности реализации отдельных выбранных мер по обеспечению безопасности персональных данных, а также с учётом экономической целесообразности могут разрабатываться компенсирующие меры, направленные на нейтрализацию актуальных угроз безопасности данных.

В любом случае полезно руководствоваться здравым смыслом.

Список нормативных актов

• федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006;
• постановление Правительства РФ № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» от 01.11.2012;
• рекомендации Роскомнадзор по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»;
• приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК)№ 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» от 11.02.2013;
• приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК) № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» от 18.02.2013;
• приказ Федеральной службы безопасности России (ФСБ) № 378 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищённости» от 10.07.2014;
• федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» от 27.07.2006;
• федеральный закон № 99-ФЗ «О лицензировании отдельных видов деятельности» от 04.05.2011;
• федеральный закон № 184-ФЗ «О техническом регулировании» от 27.12.2002;
• указ Президента РФ № 1085 «Вопросы Федеральной службы по техническому и экспортному контролю» от 16.08.2004;
• ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения»;
• ГОСТ Р 53114-2008 «Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения»;
• ГОСТ Р 56938-2016 «Защита информации. Защита информации при использовании технологий виртуализации. Общие положения»;
• ГОСТ Р 51583-2000 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения»;
• ГОСТ Р 51624-2000 «Защита информации. Автоматизированные системы в защищенном исполнении. Общие положения»;
• ГОСТ 34.003-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения»;
• ГОСТ 34.201-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем»;
• ГОСТ 34.601-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания»;
• ГОСТ 34.602-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы»;
• ГОСТ 34.603-92 «Информационная технология. Виды испытаний автоматизированных систем»;
• ГОСТ Р ИСО/МЭК 27001-2006 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования»;
• ГОСТ Р ИСО/МЭК 27000-2012 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология».

К сожалению, крайне трудно, практически невозможно, сделать этот список исчерпывающим, так как в документах, присутствующих в нём, имеются недостаточно чёткие формулировки и многочисленные ссылки на иные правовые акты.

Источник: http://spark.ru/startup/1cloud/blog/42777/kak-sootvetstvovat-152-fz-o-personalnih-dannih