Вы используете устаревший браузер!

Страница может отображаться некорректно.

Persona (non) grata

Persona (non) grata

Другие выпуски этой рубрики (59)
  • добавить в избранное
    Добавить в закладки

ПДн-Ликбез

Прочитали: 2166 Комментариев: 64 Рейтинг: 78

18 февраля 2019

- Если вы обрабатываете данные в
ИСПДН, то вам нужно использовать
сертифицированные версии.
- Что это за система? Мы с ней не
работаем, просто храним паспортные
данные.

Диалог пользователя со специалистом
службы поддержки «Доктор Веб»

В качестве эпиграфа – почти дословное содержание обращения в нашу техническую поддержку. Клиент хотел купить сертифицированные продукты, но точно не знал, нужны ли они ему. Казалось бы: есть юристы, они обязаны знать нюансы законодательства, касающиеся работы фирмы. Ладно если речь о защите критических данных – это тема новая, до сих пор вызывающая кучу вопросов. Но уж вопросы защиты персональных данных за прошедшие годы растолкованы вдоль и поперек ... И тем не менее многие не знают о своих обязанностях с точки зрения закона.

В этом нет ничего странного. Большинство людей очень далеки от ИБ, и их технический уровень весьма невысок (и это абсолютно нормально).

Итак, приступим – и начнем с терминологии.

Персональные данные (общеупотребительное сокращение – ПДн). Определение, которое дает Федеральный закон от 27.07.2006 N 152-ФЗ (в текущей редакции от 31.12.2017) «О персональных данных», достаточно широко трактует понятие персональных данных. Согласно закону, «персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу». Естественно, с таким определением работать нельзя. Цвет лица спросонья – это уже персональная информация. Нужно как-то ограничить круг данных, которые мы обязаны защищать.

На практике под персональными данными понимают данные, по которым можно идентифицировать то или иное лицо.

Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.

Источник

Вот пара примеров.

  1. Фамилия, имя и отчество. Это персональные данные и нужно ли их защищать? В большинстве случает – нет, наверняка есть люди, имеющие то же ФИО. Но поскольку среди ваших контактов наверняка есть люди с уникальными именами – да, защищать нужно, так как выявить уникальные ФИО самостоятельно вы не сможете.

    2. Надо признать, что вопрос о том, являются ли ФИО персональными данными, дискутируется до сих пор. Но в подавляющем большинстве случаев он не имеет смысла, так как крайне редко хранятся только ФИО – скорее всего, в базе будет присутствовать и другая информация о человеке (скан паспорта, телефон, почтовый или электронный адрес, фотография). Вопрос станет актуальным, только если вы решите обезличить персональные данные – хранить их в нескольких базах, в каждой из которых должен быть набор данных, не являющихся персональными.

  2. Фамилия, имя и отчество, дата и/или место рождения, профессия, образование. Теоретически и тут могут быть «двойники», но вероятность уже меньше. И защищать эту информацию нужно по причинам, перечисленным выше.
  3. Паспорт. Однозначно персональные данные, поскольку они однозначно определяют субъекта.

  4. Номер телефона, IP-адрес, электронная почта. Тоже дискуссионный вопрос, как показывают дела о репостах. Кто сделал запись с вашего IP-адреса на вашей страничке в соцсети (очень часто следственные органы считают, что если адрес ваш, то и данные с него заносите вы).

    Здесь нужно понимать, что возможность определить то или иное лицо зависит от дознавателя или атакующего. В российской практике, к сожалению, атакующий имеет доступ к базам данных граждан Российской Федерации и может легко вычислить, кому принадлежит тот или иной адрес.

Суды признавали, что персональными данными являются:

  • информация о смерти физического лица (постановление АС Поволжского округа от 25.09.14 по делу № А49-2005/2014);
  • номер мобильного телефона (апелляционное определение Алтайского краевого суда от 01.10.13 по делу № 33–9241/2015);
  • фотографии физического лица (апелляционное определение Свердловского областного суда от 09.04.15 по делу № 33–5232/2015).

Источник

Как мы видим, данные по отдельности могут и не позволять определить то или иное лицо. Поэтому оператор персональных данных (тот, кто их собирает, обрабатывает и защищает) первым делом должен выяснить, какие данные он имеет на руках / планирует собирать, определить, позволяют ли они в совокупности определить человека, и, возможно, избавиться от ряда ненужных данных, с тем чтобы понизить степень защиты.

Это интересно

  1. все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение;
  2. работодатель не имеет права получать и обрабатывать сведения о работнике, относящиеся в соответствии с законодательством Российской Федерации в области персональных данных к специальным категориям персональных данных, за исключением случаев, предусмотренных настоящим Кодексом и другими федеральными законами;
  3. работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных настоящим Кодексом или иными федеральными законами;
  4. при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения;

«Трудовой кодекс Российской Федерации» от 30.12.2001 N 197-ФЗ (ред. от 27.12.2018)

И кстати: «работодатели, работники и их представители должны совместно вырабатывать меры защиты персональных данных работников».

#персональные_данные #законодательство

Антивирусная правДА! рекомендует

Тема ПДн – очень обширная, так что продолжение следует. Ну и, конечно же, задавайте вопросы в комментариях.

Оцените выпуск

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии

 
На страницу: