Персональные данные защита персональных данных: Статья 19. Меры по обеспечению безопасности персональных данных при их обработке \ КонсультантПлюс

Статья 19. Меры по обеспечению безопасности персональных данных при их обработке \ КонсультантПлюс

Статья 19. Меры по обеспечению безопасности персональных данных при их обработке

(в ред. Федерального закона от 25.07.2011 N 261-ФЗ)

(см. текст в предыдущей редакции)

1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

2. Обеспечение безопасности персональных данных достигается, в частности:

1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

5) учетом машинных носителей персональных данных;

6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

(в ред. Федерального закона от 30.12.2020 N 515-ФЗ)

(см. текст в предыдущей редакции)

7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

9) контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

3. Правительство Российской Федерации с учетом возможного вреда субъекту персональных данных, объема и содержания обрабатываемых персональных данных, вида деятельности, при осуществлении которого обрабатываются персональные данные, актуальности угроз безопасности персональных данных устанавливает:

1) уровни защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных;

2) требования к защите персональных данных при их обработке в информационных системах персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;

3) требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.

4. Состав и содержание необходимых для выполнения установленных Правительством Российской Федерации в соответствии с частью 3 настоящей статьи требований к защите персональных данных для каждого из уровней защищенности, организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий.

5. Федеральные органы исполнительной власти, осуществляющие функции по выработке государственной политики и нормативно-правовому регулированию в установленной сфере деятельности, органы государственной власти субъектов Российской Федерации, Банк России, органы государственных внебюджетных фондов, иные государственные органы в пределах своих полномочий принимают нормативные правовые акты, в которых определяют угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, с учетом содержания персональных данных, характера и способов их обработки.

6. Наряду с угрозами безопасности персональных данных, определенных в нормативных правовых актах, принятых в соответствии с частью 5 настоящей статьи, ассоциации, союзы и иные объединения операторов своими решениями вправе определить дополнительные угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении определенных видов деятельности членами таких ассоциаций, союзов и иных объединений операторов, с учетом содержания персональных данных, характера и способов их обработки.

7. Проекты нормативных правовых актов, указанных в части 5 настоящей статьи, подлежат согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации. Проекты решений, указанных в части 6 настоящей статьи, подлежат согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в порядке, установленном Правительством Российской Федерации. Решение федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, и федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, об отказе в согласовании проектов решений, указанных в части 6 настоящей статьи, должно быть мотивированным.

8. Контроль и надзор за выполнением организационных и технических мер по обеспечению безопасности персональных данных, установленных в соответствии с настоящей статьей, при обработке персональных данных в государственных информационных системах персональных данных осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

9. Федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, решением Правительства Российской Федерации с учетом значимости и содержания обрабатываемых персональных данных могут быть наделены полномочиями по контролю за выполнением организационных и технических мер по обеспечению безопасности персональных данных, установленных в соответствии с настоящей статьей, при их обработке в информационных системах персональных данных, эксплуатируемых при осуществлении определенных видов деятельности и не являющихся государственными информационными системами персональных данных, без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

10. Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения.

11. Для целей настоящей статьи под угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных. Под уровнем защищенности персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

12. Оператор обязан в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных.

(часть 12 введена Федеральным законом от 14.07.2022 N 266-ФЗ)

13. Указанная в части 12 настоящей статьи информация (за исключением информации, составляющей государственную тайну) передается федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, в уполномоченный орган по защите прав субъектов персональных данных.

(часть 13 введена Федеральным законом от 14.07.2022 N 266-ФЗ)

14. Порядок передачи информации в соответствии с частью 13 настоящей статьи устанавливается совместно федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и уполномоченным органом по защите прав субъектов персональных данных.

(часть 14 введена Федеральным законом от 14.07.2022 N 266-ФЗ)

Персональные данные — Контур.Экстерн

Уничтожение персональных данных

Закон требует уничтожить персональные данные, если они собраны незаконно, достигнута или изменилась цель их сбора, а также по требованию самого владельца данных. Как организовать это мероприятие и в какие сроки, расскажем в статье.

Как уведомить Роскомнадзор о трансграничной передаче данных

Операторы персональных данных, которые отправляют личную информацию граждан на территорию другого государства, осуществляют трансграничную передачу персональных данных. Они должны уведомить об этом Роскомнадзор не позднее 1 марта 2023 года. Разбираем в статье, какие еще есть требования к передаче персональных данных за границу, и как правильно направить уведомление.

Проверьте себя: отчеты, обесценение ОС и персональные данные

Мы подготовили короткий тест по реальным задачам бухгалтера, чтобы вы проверили свои знания и готовность к переменам. Всего пять вопросов о настоящем и немного о будущем помогут увидеть зоны роста или еще один повод гордиться собой. Поехали!

Как оформить согласие на обработку персональных данных в 2022 году

Согласие на обработку персональных данных — письменный или цифровой документ, который подтверждает добровольное решение гражданина передать оператору свою личную информацию для определенных целей.

По Закону № 152-ФЗ оператор должен его получать в большинстве случаев. Разбираемся, когда требуется разрешение на обработку ПД, и какие к нему есть требования в 2022 году.

Как составить Политику оператора персональных данных в 2022 году

Оператор персональных данных-юрлицо по Закону № 152-ФЗ обязан разработать Политику в отношении обработки персональных данных. Это документ, к которому должны иметь неограниченный доступ субъекты персональных данных и другие заинтересованные лица. Разбираемся, как составить Политику оператора с учетом изменений в 152-ФЗ с 1 сентября 2022 года.

Как оператору персональных данных работать с ГосСОПКА

С 1 сентября 2022 года в Законе о защите персональных данных появилась обязанность оператора обеспечивать взаимодействие с ГосСОПКА. Это государственная система обнаружения, предупреждения, ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты. Разбираемся, как оператору выполнять эту обязанность.

Обязанности оператора персональных данных с 1 сентября 2022 года

ИП и юрлица, которые используют личную информацию граждан, относятся к операторам персональных данных (ОПД). Этот статус у них есть независимо от нахождения в реестре Роскомнадзора. По Закону «О защите персональных данных» у операторов есть обязанности, почти одинаковые для крупной корпорации и микропредприятия. Разбираемся, как их выполнять с учетом изменений в нормативном регулировании с 1 сентября 2022 года.

Что меняется в обработке персональных данных с 1 сентября 2022 года

В начале осени вступает в силу Федеральный закон от 14.07.2022 № 266-ФЗ. Он должен повысить ответственность операторов персональных данных, сделать более прозрачной их деятельность и защитить личные данные россиян. Разберемся, что нового он несет предпринимателям.

Что такое личная информация: руководство

Вы могли заметить, что мы внесли некоторые изменения в наш веб-сайт. Это включает в себя изменения в Руководстве по GDPR Великобритании, которое было разбито на более мелкие руководства, такие как это.

 

Нажмите, чтобы переключить детали

Последние обновления

19 мая 2023 г. — мы разбили Руководство по GDPR Великобритании на более мелкие руководства. Весь контент остается прежним.

Кратко

• Понимание того, обрабатываете ли вы персональные данные, имеет решающее значение для понимания того, применяются ли GDPR Великобритании к вашей деятельности.
• Персональные данные — это информация, относящаяся к идентифицированному или идентифицируемому физическому лицу.
• То, что идентифицирует человека, может быть таким простым, как имя или номер, или может включать другие идентификаторы, такие как IP-адрес или идентификатор файла cookie, или другие факторы.
• Если можно идентифицировать человека непосредственно по обрабатываемой вами информации, то эта информация может быть персональными данными.
• Если вы не можете напрямую идентифицировать человека по этой информации, вам нужно подумать, можно ли его идентифицировать. Вы должны учитывать информацию, которую вы обрабатываете, а также все средства, которые разумно могут быть использованы вами или любым другим лицом для идентификации этого лица.
• Даже если физическое лицо идентифицируется или может быть идентифицировано, прямо или косвенно, на основе данных, которые вы обрабатываете, это не персональные данные, если они не «относятся» к физическому лицу.
• При рассмотрении вопроса о том, «относится» ли информация к физическому лицу, вам необходимо принять во внимание ряд факторов, включая содержание информации, цель или цели, для которых вы ее обрабатываете, а также вероятное воздействие или влияние такой обработки на человек.
• Возможно, что одна и та же информация является персональными данными для целей одного контролера, но не является персональными данными для целей другого контролера.
• Информация, идентификаторы которой были удалены или заменены для псевдонимизации данных, по-прежнему является персональными данными для целей GDPR Великобритании.
• Информация, которая действительно является анонимной, не подпадает под действие GDPR Великобритании.
• Если информация, которая, как представляется, относится к конкретному лицу, является неточной (т. е. фактически неверной или относится к другому лицу), информация по-прежнему является персональными данными, так как относится к этому лицу.

Коротко

• Что такое персональные данные?
• Что такое идентификаторы и связанные с ними факторы?
• Можем ли мы идентифицировать человека непосредственно по имеющейся у нас информации?
• Можем ли мы идентифицировать человека косвенно по имеющейся у нас информации (вместе с другой доступной информацией)?
• Что означает выражение «относится к»?
• Что происходит, когда разные организации обрабатывают одни и те же данные для разных целей?
• Подробнее

Что такое персональные данные?

• GDPR Великобритании применяется к обработке персональных данных, которая:
  • полностью или частично автоматизированными средствами; или
  • обработка персональных данных, кроме автоматизированных средств, которые являются частью или предназначены для формирования части файловой системы.
• Персональные данные включают только информацию, касающуюся физических лиц, которые:
  • могут быть идентифицированы или могут быть идентифицированы непосредственно из рассматриваемой информации; или
  • , кого можно косвенно идентифицировать по этой информации в сочетании с другой информацией.
• Персональные данные могут также включать специальные категории персональных данных или данные о судимости и правонарушениях. Они считаются более конфиденциальными, и вы можете обрабатывать их только в более ограниченных обстоятельствах.
• Псевдонимизированные данные могут помочь снизить риски для конфиденциальности, затруднив идентификацию людей, но это все равно персональные данные.
• Если личные данные могут быть действительно анонимными, то анонимные данные не подпадают под действие GDPR Великобритании. Важно понимать, что такое персональные данные, чтобы понять, были ли данные анонимизированы.
• Информация об умершем человеке не является персональными данными и поэтому не подпадает под действие GDPR Великобритании.
• Информация о компаниях или государственных органах не является персональными данными.
• Однако информация о физических лицах, действующих в качестве индивидуальных предпринимателей, сотрудников, партнеров и директоров компаний, если они являются индивидуально идентифицируемыми и информация относится к ним как к физическому лицу, может представлять собой персональные данные.

Что такое идентификаторы и связанные с ними факторы?

• Лицо считается «идентифицированным» или «идентифицируемым», если вы можете отличить его от других лиц.
• Имя, пожалуй, самый распространенный способ идентифицировать кого-либо. Однако, действительно ли какой-либо потенциальный идентификатор идентифицирует человека, зависит от контекста.
• Для идентификации человека может потребоваться комбинация идентификаторов.
• GDPR Великобритании предоставляет неисчерпывающий список идентификаторов, в том числе:
  • имя;
  идентификационный номер
  • ;
  • данные о местоположении; и
  • сетевой идентификатор.
• «Онлайн-идентификаторы» включают IP-адреса и идентификаторы файлов cookie, которые могут быть личными данными.
• Другие факторы могут идентифицировать человека.

Можем ли мы идентифицировать человека непосредственно по имеющейся у нас информации?

• Если, глядя исключительно на информацию, которую вы обрабатываете, вы можете отличить человека от других людей, это лицо будет идентифицировано (или может быть идентифицировано).
• Вам не обязательно знать чье-то имя, чтобы его можно было идентифицировать напрямую, для идентификации человека может быть достаточно комбинации других идентификаторов.
• Если физическое лицо может быть непосредственно идентифицировано по информации, это может представлять собой персональные данные.

Можем ли мы идентифицировать человека косвенно по имеющейся у нас информации (вместе с другой доступной информацией)?

• Важно помнить, что информация, которой вы владеете, может косвенно идентифицировать человека и, следовательно, может представлять собой личные данные.
• Даже если вам может понадобиться дополнительная информация, чтобы идентифицировать кого-то, его все равно можно идентифицировать.
• Эта дополнительная информация может быть информацией, которой вы уже владеете, или это может быть информация, которую вам необходимо получить из другого источника.
• В некоторых случаях может существовать небольшая гипотетическая вероятность того, что кто-то сможет восстановить данные таким образом, чтобы идентифицировать человека. Однако этого не обязательно достаточно, чтобы человека можно было идентифицировать в соответствии с GDPR Великобритании. Вы должны учитывать все факторы на кону.
• При рассмотрении возможности идентификации отдельных лиц вам, возможно, придется оценить средства, которые может использовать заинтересованное и достаточно решительное лицо.
• У вас есть постоянное обязательство учитывать, изменилась ли вероятность идентификации с течением времени (например, в результате технологических разработок).

Что означает выражение «относится к»?

• Информация должна «относиться» к идентифицируемому лицу, чтобы быть персональными данными.
• Это означает, что он не просто идентифицирует их — он должен каким-то образом касаться человека.
• Чтобы решить, относятся ли данные к физическому лицу, вам может потребоваться рассмотреть:
  • содержание данных – это непосредственно о человеке или его деятельности?;
  • цель, для которой вы будете обрабатывать данные; и
  • результаты или влияние на человека обработки данных.
• Данные могут относиться к идентифицируемому лицу и не быть личными данными об этом лице, поскольку информация к ним не относится.
• В некоторых случаях может быть сложно определить, являются ли данные личными данными. Если это так, то в соответствии с передовой практикой вы должны обращаться с информацией с осторожностью, убедиться, что у вас есть четкая причина для обработки данных, и, в частности, обеспечить безопасное хранение и удаление данных.
• Неточная информация по-прежнему может быть персональными данными, если она относится к идентифицируемому лицу.

Что происходит, когда разные организации обрабатывают одни и те же данные для разных целей?

• Возможно, что хотя данные не относятся к идентифицируемому лицу для одного контролера, в руках другого контролера они относятся.
• Это особенно важно, когда для целей одного контролера личность отдельных лиц не имеет значения, и поэтому данные не относятся к ним.
• Однако при использовании для другой цели или в сочетании с дополнительной информацией, доступной другому контролеру, данные действительно относятся к идентифицируемому лицу.
• Поэтому необходимо тщательно рассмотреть цель, для которой контролер использует данные, чтобы решить, относятся ли они к физическому лицу.
• Вы должны быть осторожны, когда делаете анализ такого рода.

Подробнее – руководство ICO

Мы опубликовали подробное руководство по определению того, что является персональными данными.

 

Что такое конфиденциальность данных? | SNIA

Конфиденциальность данных, иногда также называемая конфиденциальностью информации, представляет собой область защиты данных, которая касается надлежащего обращения с конфиденциальными данными, включая, в частности, личные данные [1], а также другие конфиденциальные данные, такие как определенные финансовые данные. и данные об интеллектуальной собственности, чтобы соответствовать нормативным требованиям, а также защищать конфиденциальность и неизменность данных.

Грубо говоря, защита данных охватывает три широкие категории, а именно традиционную защиту данных (например, резервное копирование и восстановление копий), безопасность данных и конфиденциальность данных, как показано на рисунке ниже. Обеспечение конфиденциальности конфиденциальных и личных данных можно рассматривать как результат передового опыта в области защиты и безопасности данных с общей целью достижения постоянной доступности и неизменности критически важных бизнес-данных.

Обратите внимание, что термин «конфиденциальность данных» включает то, что в Европейском Союзе (ЕС) называется «защитой данных».

Рисунок: Три категории защиты данных

Безопасность становится важным элементом защиты данных от внешних и внутренних угроз, а также при определении того, какие цифровые данные могут быть переданы и кому. В практическом смысле конфиденциальность данных связана с аспектами процесса контроля, связанными с передачей данных третьим лицам, с тем, как и где эти данные хранятся, а также с конкретными правилами, применимыми к этим процессам.

Почти все страны мира ввели ту или иную форму законодательства о конфиденциальности данных в ответ на потребности определенной отрасли или группы населения.

Суверенность данных

Суверенитет данных относится к цифровым данным, на которые распространяется законодательство страны, в которой они расположены.

Растущее распространение облачных сервисов данных и кажущееся отсутствие безопасности привели к тому, что многие страны приняли новое законодательство, которое требует, чтобы данные хранились в стране, в которой проживает клиент.

Текущие опасения по поводу суверенитета данных связаны с тем, что правительства пытаются предотвратить хранение данных за пределами географических границ страны происхождения. Обеспечение того, чтобы данные существовали только в принимающей стране, может быть сложной задачей и часто зависит от деталей, указанных в Соглашении об уровне обслуживания с поставщиком облачных услуг.

Конфиденциальность данных — географические вариации терминов

В Европейском союзе неприкосновенность частной жизни признана абсолютным фундаментальным правом, а в некоторых частях мира неприкосновенность частной жизни часто рассматривается как элемент свободы, право на свободу от вторжений со стороны штат. В большинстве регионов конфиденциальность — это юридическое понятие, а не технология, поэтому термин «защита данных» относится к технической основе обеспечения безопасности и доступности данных.

Почему важна конфиденциальность данных?

Ответ на этот вопрос сводится к требованиям бизнеса:

1. Управление бизнес-активами: Данные, пожалуй, самый важный актив, которым владеет бизнес. Мы живем в экономике данных, где компании находят огромную ценность в сборе, обмене и использовании данных о клиентах или пользователях, особенно из социальных сетей. Прозрачность в том, как компании запрашивают согласие на хранение персональных данных, соблюдение их политик конфиденциальности и управление собранными данными, имеет жизненно важное значение для укрепления доверия клиентов, которые, естественно, считают конфиденциальность одним из прав человека.
2. Соответствие нормативным требованиям: Управление данными для обеспечения соответствия нормативным требованиям, возможно, еще более важно. Компании, возможно, придется выполнить юридические обязательства в отношении того, как они собирают, хранят и обрабатывают личные данные, и несоблюдение может привести к огромному штрафу. Если бизнес станет жертвой взлома или программы-вымогателя, последствия с точки зрения упущенной выгоды и утраты доверия клиентов могут быть еще хуже.

Конфиденциальность данных не является безопасностью данных

Предприятия иногда путаются в терминах и ошибочно полагают, что защита личных и конфиденциальных данных от хакеров означает, что они автоматически соблюдают правила конфиденциальности данных. Это не вариант. Безопасность данных защищает данные от компрометации внешними злоумышленниками и злоумышленниками, а конфиденциальность данных определяет, как данные собираются, передаются и используются.

Различные юридические определения конфиденциальности данных

Если существует соглашение о важности конфиденциальности данных для бизнеса, то юридическое определение может быть чрезвычайно сложным.

Ни один из наиболее распространенных нормативных актов (GDPR, CCPA, HIPAA и т. д.) не определяет точно, что подразумевается под конфиденциальностью данных, и компаниям остается решать, что они считают передовой практикой в ​​своей отрасли. Законодательство часто ссылается на то, что считается «разумным», что может различаться в зависимости от закона, наряду с соответствующими штрафами.

На практике это означает, что компании, которые работают с конфиденциальными и личными данными, должны рассмотреть возможность превышения правовых параметров, чтобы гарантировать, что их методы работы с данными намного выше тех, которые изложены в законодательстве.