Защита персональных данных

 
 
 
 
 
 
 

РЕФЕРАТ

На тему:

«Защита персональных данных» 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

Томск, 2012

Содержание: 

 

1. Введение.
2. Основные законодательные и подзаконные акты по защите персональных данных принятые в России.
3. Требования к информационным системам персональных данных.
4. Основные организационно-технические мероприятия по защите персональных данных.
5. Преимущества проведения мероприятий по защите персональных данных.
6. Ответственность за нарушение работы с персональными данными.
7. Заключение.
8. Список используемой литературы.

 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

Введение. 

     Основным  Законом, регулирующим защиту персональных данных в Российской Федерации, является Федеральный Закон «О персональных данных». Основу этого Закона составляют базовые принципы и условия обработки персональных данных, которые были разработаны во исполнение норм Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных», а также положений Директивы Европейского Парламента и Совета Европы 95/46/ЕС «О защите личности в отношениях обработки персональных данных и свободном обращении этих данных» и Директивы Европейского Парламента и Совета Европы 2002/58/ЕС от 12 июля 2002 г., касающейся защиты персональных данных и защиты личных данных в электронном коммуникационном секторе, которая заменила Директиву Европейского Парламента и Совета Европы 97/66/ЕС от 15 декабря 1997 г., регламентирующую использование персональных данных и гарантирующую неприкосновенность частной жизни в сфере телекоммуникаций.

     Защита  персональных данных – это комплекс мероприятий, позволяющий выполнить  требования законодательства РФ, касающиеся обработки, хранению и передачи персональных данных граждан.

     Персональные  данные - любая информация, относящаяся  к определенному или определяемому  на основании такой информации физическому  лицу (субъекту персональных данных), в  том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное  положение, образование, профессия, доходы, другая информация.

     Оператор  персональных данных - государственный  орган, муниципальный орган, юридическое  или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных. 
 
 
 
 
 
 

Основные  законодательные и подзаконные  акты по защите персональных данных принятые в России. 

     Федеральный закон №152-ФЗ "О персональных данных" был принят 27 июля 2006 года.

Согласно требованию закона о защите персональных данных, оператор персональных данных обязан выполнить ряд организационных  и технических мер касающихся процессов обработки персональных данных.

Правоотношения в  сфере персональных данных регулируются федеральным законодательством  РФ (Федеральный Закон от 27.07.2006 г. № 152-ФЗ «О персональных данных»), Трудовым кодексом РФ (глава 14), а так же Гражданским  кодексом РФ.

     Закон «О персональных данных» обязывает  оператора принимать необходимые  организационные и технические  меры для защиты персональных данных от неправомерного или случайного доступа  к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных  действий.

     Появление закона поставило сложную и требующую  немедленного решения задачу перед  большинством российских компаний. До 1 января 2010 года компании (операторы), обрабатывающие персональные данные в  информационных системах, обязаны обеспечить:

     а) проведение мероприятий, направленных на предотвращение несанкционированного доступа к  персональным данным и (или) передачи их лицам, не имеющим права доступа  к такой информации;

     б) своевременное  обнаружение фактов несанкционированного доступа к персональным данным;

     в) недопущение  воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может  быть нарушено их функционирование;

     г) возможность  незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

     д) постоянный контроль за обеспечением уровня защищенности персональных данных. 

Основные  положения Закона «О персональных данных»:

     Информационные  системы, обрабатывающие персональные данные и созданные до вступления в силу Закона «О персональных данных»  должны быть приведены в соответствие с его требованиями не позднее 1 января 2010 года;

Оператор обязан направить  уведомление об обработке персональных данных в уполномоченный орган по защите прав субъектов персональных данных. Таким органом является Федеральная  служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (более известная как  Роскомнадзор);

Субъект персональных данных имеет право на защиту своих  прав и законных интересов, в том  числе на возмещение убытков и (или) компенсацию морального вреда, обжаловав  действия или бездействие оператора  в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;

Нарушение требований Закона влечет гражданскую, уголовную, административную, дисциплинарную ответственность  физических и должностных лиц. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

Требования  к информационным системам персональных данных. 

     Требования  к обеспечению безопасности персональных данных установлены Постановлением Правительства № 781 от 17.11.2007 г. «Об  утверждении Положения об обеспечении  безопасности персональных данных при  их обработке в информационной системе  персональных данных». Положение определяет требования по обеспечению безопасности персональных данных при их обработке в информационных системах в соответствии с их классом.

     Классификация информационных систем производится операторами  самостоятельно в зависимости от объема и состава обрабатываемых персональных данных в соответствии с совместным приказом ФСТЭК, ФСБ и Мининформсвязи от 13.02.2008 г. «Об утверждении Порядка проведения классификации информационных систем персональных данных».

     Контроль  за выполнением законодательства возложен на следующие органы:

Роскомнадзор – основной надзорный орган в области персональных данных;

ФСБ – основной надзорный  орган в части использования  средств шифрования;

ФСТЭК – надзорный  орган в части использования  технических средств защиты информации.

     Уполномоченный  орган по защите прав субъектов персональных данных производит как плановые и  внеплановые мероприятия по контролю (надзору) за соответствием обработки  персональных данных требованиям законодательства Российской Федерации. За 2008 год уполномоченный орган произвел 76 плановых проверок и 40 внеплановых, произведенных по в  ходе рассмотрения обращений граждан . На 2009 год планируется проведение более 300 плановых проверок. 
 
 
 
 
 
 
 
 
 

Основные  организационно-технические мероприятия  по защите персональных данных. 

     Организационные меры по защите персональных данных включают в себя:

Разработку организационно-распорядительных документов, которые регламентируют весь процесс получения, обработки, хранения, передачи и защиты персональных данных;

Определение перечня  мероприятий по защите ПДн.

Технические меры по защите персональных данных предполагают использование программно - аппаратных средств защиты информации. При обработке  ПДн с использованием средств автоматизации, применение технических мер защиты является обязательным условием, а их количество и степень защиты определяется исходя из класса системы персональных данных;

     Типичные  позиции операторов персональных данных:

     1. ”Наша  компания не собирается ничего  предпринимать и тратить время  и деньги на решение этих  вопросов, мы будем ждать развития  событий”.

Такая компания не собирается тратить деньги и время на изменение  процессов обработки и хранения персональных данных, а так же не задумывается об обучении своих сотрудников  при работе с ними. Организация  продолжает свою деятельность в привычном  режиме, в надежде на то, что первые компании, которые не выполнят поставленных задач со стороны государственных  органов, будут требовать пересмотра и корректировки закона, а так  же расширения списка средств, допустимых к использованию в системах защиты ПДн или же сдвинуть сроки готовности системы обработки ПДн.

Ассоциация российских банков (АРБ) уже дважды пыталась безуспешно отсрочить срок приведения информационных систем в соответствие с требованиями ФЗ-152. Сроки выполнения оставлены  без изменения.

     2. “Мы  уверены в том, что действия  закона не будут распространяться  на нашу компанию”.

В любой компании, вне зависимости от её организационно-правовой формы, есть информация о сотрудниках, работающих в организации, а иногда и её контрагентах. Таким образом такая компания является оператором персональных данных, действия ФЗ-152 распространяются и на неё. 
 

Преимущества  проведения мероприятий по защите персональных данных. 

     После внедрения системы по защите персональных данных Заказчик получит:

- Возможность продолжать свою деятельность, не опасаясь претензий со стороны клиентов и собственных сотрудников;

- Возможность работы с персональными данными не только внутри компании, но и при передаче их сторонним организациям;

- Защиту от претензий со стороны регулирующих органов;

- Защиту от непредвиденной и принудительной остановки бизнеса;

- Защиту от недобросовестных конкурентов;

- Информационную систему соответствующую всем стандартам и требованиям законодательства.

     Для оценки возможности реализации угрозы применяются два показателя: уровень  исходной защищенности ИСПДн и частота (вероятность) реализации рассматриваемой угрозы.

Исходная степень  защищенности определяется следующим  образом.

1. ИСПДн имеет высокий уровень исходной защищенности, если не менее 70% характеристик ИСПДн соответствуют уровню «высокий» (суммируются положительные решения по первому столбцу, соответствующему высокому уровню защищенности), а остальные – среднему уровню защищенности (положительные решения по второму столбцу).

2. ИСПДн имеет средний уровень исходной защищенности, если не выполняются условия по пункту 1 и не менее 70% характеристик ИСПДн соответствуют уровню не ниже «средний» (берется отношение суммы положительные решений по второму столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные – низкому уровню защищенности.

3. ИСПДн имеет низкую степень исходной защищенности, если не выполняются условия по пунктам 1 и 2.

При составлении перечня  актуальных угроз безопасности ПДн каждой степени исходной защищенности ставится в соответствие числовой коэффициент, а именно:

0 – для высокой  степени исходной защищенности;

5 – для средней  степени исходной защищенности;

10 – для низкой  степени исходной защищенности.

     Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем  показатель, характеризующий, насколько  вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя:

     маловероятно  – отсутствуют объективные предпосылки  для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа  в помещение, где последние хранятся);

     низкая  вероятность – объективные предпосылки  для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);

     средняя вероятность - объективные предпосылки  для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;

     высокая вероятность - объективные предпосылки  для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.

     При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент , а именно:

0 – для маловероятной  угрозы;

2 – для низкой  вероятности угрозы;

5 – для средней  вероятности угрозы;

10 – для высокой  вероятности угрозы.

     При оценке опасности на основе опроса экспертов (специалистов в области  защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения:

     низкая  опасность – если реализация угрозы может привести к незначительным негативным последствиям для субъектов  персональных данных;

     средняя опасность – если реализация угрозы может привести к негативным последствиям для субъектов персональных данных;

     высокая опасность – если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных.

С использованием данных о классе ИСПДн и составленного перечня актуальных угроз, на основе «Рекомендаций по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и «Основных мероприятий по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных» формулируются конкретные организационно-технические требования по защите ИСПДн от утечки информации по техническим каналам, от несанкционированного доступа и осуществляется выбор программных и технических средств защиты информации, которые могут быть использованы при создании и дальнейшей эксплуатации ИСПДн.

     Правовая  основа механизма защиты персональных данных сформировалась по двум направлениям: специализированное законодательство и иное законодательство, которое  лишь частично содержит правовые нормы, гарантирующие неприкосновенность частной жизни и регулирующие сферу защиты персональных данных. К специализированному законодательствуотносятся такие правовые акты как: Федеральный закон «О персональных данных» от 27 июля 2006 г., Федеральный закон «Об информации, информационных технологиях и защите информации» от 27 июля 2006 г., Указ Президента РФ от 6 марта 1997 г. №188, утверждающий «Перечень сведений конфиденциального характера», и другие.

     Правовые  нормы, регулирующие работу с персональными данными, содержатся в главе 14 Трудового кодекса РФ «О защите персональных данных работника», в Законе «Об архивном деле в Российской Федерации» от 22 октября 2004 г. (ст.25), в Законе «Об оперативно-розыскной деятельности» (ст. 3, 5, 9, 10, 12, 21). 
 
 
 
 
 
 
 
 
 
 
 
 
 

Ответственность за нарушение работы с персональными  данными. 

     Закон устанавливает, что лица, виновные в  нарушении требований настоящего Закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную  законодательством Российской Федерации  ответственность[32]. В случае нарушения  прав субъекта персональных данных, он может обжаловать действия или бездействия  в Уполномоченныйорган по защите персональных данных или в судебном порядке. Уполномоченный орган по защите прав субъекта персональных данных является новым для России институтом, деятельность которого направлена на осуществление контроля и надзора за обработкой персональных данных. Уполномоченный орган имеет право обращаться в суд с исковыми заявлениями для защиты персональных данных и представлять интересы субъектов персональных данных в суде.

     Дисциплинарная  ответственность должна быть установлена  внутренними правилами распорядка организации (в данном случае оператора). В виде дисциплинарной ответственности  работнику, совершившему какой-либо дисциплинарный проступок в связи с обработкой персональных данных, не повлекший  за собой административную, гражданскую  или уголовную ответственность, может быть вынесено замечание, выговор, или он может быть уволен по соответствующим  основаниям, предусмотренным ст.81 Трудового  кодекса РФ. В Трудовом кодексе  РФ четко не установлен вид дисциплинарной ответственности за нарушение порядка  обработки персональных данных, а  лишь указано, за нарушение норм защиты персональных данных работника также  устанавливается гражданская, уголовная, административная, дисциплинарная ответственность.

     Что касается гражданской ответственности, то субъект персональных данных в  порядке гражданского судопроизводства может требовать возмещение убытков  и (или) компенсацию морального вреда.

     В соответствии со статьей 13.11 Кодекса РФ об административных правонарушениях (КоАП) административная ответственность предусмотрена за нарушение установленного Законом «О персональных данных» порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) в виде предупреждения или наложения на граждан административного штрафа в размере от трех до пяти минимальных размеров оплаты труда (МРОТ), от пяти до десяти МРОТ для должностных лиц и от пятидесяти до ста МРОТ для юридических лиц. Разглашение информации, доступ к которой ограничен федеральным законом, лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, влечет за собой наложение административного штрафа на граждан в размере от пяти до десяти МРОТ, а на должностных лиц — в размере от сорока до пятидесяти МРОТ.

     Поскольку защита персональных данных человека являются составной частью института гарантий неприкосновенности частной жизни человека, нормы особенной части Уголовного кодекса РФ относительно уголовной ответственности за нарушение неприкосновенности частной жизни человека распространяются, в том числе, и на порядок защиты персональных данных. Так, уголовная ответственность статьей 137 Уголовного кодекса РФ устанавливается за незаконное собирание или распространение сведений о частной жизни лица, составляющих личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации. Указанные деяния наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до одного года, либо арестом на срок до четырех месяцев. Те же деяния, совершенные лицом с использованием своего служебного положения, наказываются штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо арестом на срок от четырех до шести месяцев.  
 
 
 
 
 
 
 

Заключение 

     Таким образом, проанализировав ситуацию по поводу защиты персональных данных, можно сделать следующие выводы. Существует несколько точек зрения по поводу классификации информации, но в целом, ее можно разделить на информацию открытого и ограниченного доступа. Ограничение доступа к информации может устанавливаться только федеральными законами. Перечень информации ограниченного доступа, установлен в Указе Президента «Об утверждении перечня сведений конфиденциального характера». К таким сведениям относятся и персональные данные.

     Следуя  статье 3 Федерального закона «О персональных данных», можно сформировать следующее  определение понятия «персональные  данные» - любая информация, относящаяся  к определенному или определяемому  на основании такой информации физическому  лицу (субъекту персональных данных), в  том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное  положение, образование, профессия, доходы и другая информация.

     Также, благодаря нормативно-правовым актам  и научно-исследовательским работам  становиться ясно, что персональные данные являются конфиденциальной информацией  и что за нарушение работы с  ними наступает юридическая ответственность.

     Что касается защиты персональных данных, то нужно заметить, что безопасность персональных сведений находится на высоком уровне. Этому способствуют как правовая база, так и многочисленные средства технического контроля. Законодательствами стран Европы и Российской Федерации  предусмотрены практически все  необходимые нормы для защиты этой категории правоотношений. Основным Законом, регулирующим работу с персональными  данными, является Федеральный закон  «О персональных данных». В нем описаны  основные принципы и условия обработки  и защиты таких сведений

Закон устанавливает, что лица, виновные в нарушении  требований настоящего закона, несут  гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерацией ответственность. 
 

Список источников и литературы: 

1. Конституция Российской  Федерации принята на всенародном  голосовании 12 декабря 1993 г.–  М., 2002.

2. Мазуров В.А. Уголовно-правовые аспекты информационной безопасности: учебное пособие – Барнаул: Изд-во Алт. Ун-та, 2004. – 288с.

3. Ярочкин В.И. Информационная безопасность: учебник для ВУЗов. - М.: Гаудеамус, 2004. - 544с. [1] Конституция Российской Федерации, принятая на всенародном референдуме 12 декабря 1993 года//СПС Консультант плюс, 2009 г.

4.  Федеральный закон РФ от 27 июля 2006 г. N 152-ФЗ «О персональных данных»//СПС Консультант плюс, 2009 г.

5. Доктрина информационной безопасности от 9 сентября 2009 г.//СПС Консультант плюс, 2009г

6. Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных от 17 ноября 2007г. N-781(утв. Постановлением Правительства РФ)//СПС Консультант плюс, 2009г.

7. Гражданский кодекс Российской Федерации от 30 ноября 1994 г. N 51-ФЗ (с изменениями и дополнениями, вступившими в силу 11 января 2009г.) //СПС Консультант плюс, 2009 г.

8. Уголовный кодекс РФ от 13 июня 1996 г. № 63-ФЗ (с изменениями от 30 декабря 2008г.) //СПС Консультант плюс, 2009 г.

9..Перечень сведений  конфиденциального характера (утв.  Указом Президента РФ от 6 марта  1997 г. N 188) //СПС Консультант плюс, 2009 г.