Иконка поиска
Логотип Все адвокаты
Вопрос
Административное право

Меры безопасности данных при подаче уведомления в регулирующий орган

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Укажите в уведомлении организационные меры: назначение ответственного за обработку ПДн, утверждение политики обработки, правил доступа и проведение внутреннего контроля.
  2. 2
    Опишите технические меры: средства шифрования с наименованиями, системы контроля доступа, средства регистрации действий с ПДн и обнаружения несанкционированного доступа.
  3. 3
    Включите меры по обеспечению сохранности носителей персональных данных и утверждению перечня лиц, имеющих доступ к ПДн.
  4. 4
    Если уровень защищенности ПДн в информационной системе соответствует высокому (или выше) согласно постановлению 1119: Для высоких уровней защищенности добавьте сведения о назначении должностного лица, ответственного за безопасность ПДн в информационной системе.
  5. 5
    Укажите меры по определению угроз безопасности ПДн, оценке эффективности защиты и учету машинных носителей.
  6. 6
    Проверьте полноту сведений: неполные данные влекут требование уточнить информацию и риск ответственности по закону.

Документы и доказательства

  • Политика обработки персональных данных, утвержденная руководителем
  • Приказ о назначении ответственного за организацию обработки персональных данных
  • Перечень лиц, допущенных к обработке персональных данных, утвержденный руководителем
  • Документы, подтверждающие применение средств шифрования и контроля доступа
  • Журналы регистрации и учета действий с персональными данными в информационной системе
  • Акты об обеспечении сохранности носителей персональных данных и режима помещений

  • Сроки и риски

    • Укажите в уведомлении меры по обеспечению сохранности носителей персональных данных.
    • Отразите утвержденный руководителем перечень лиц, имеющих доступ к персональным данным в информационной системе.
    • Если уровень защищенности ПДн в информационной системе соответствует высокому (или выше) согласно постановлению 1119: Для высоких уровней защищенности укажите назначение ответственного за безопасность персональных данных в системе.
    • Включите сведения об обеспечении регистрации и учета всех действий с персональными данными в системе.
    • Опишите применяемые организационные и технические меры, включая обнаружение несанкционированного доступа.
    • При неполных сведениях уполномоченный орган вправе потребовать уточнения, а нарушение требований влечет ответственность.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Меры безопасности персональных данных для указания в уведомлении

Анализ ситуации

При подаче уведомления об обработке персональных данных оператор обязан указать конкретные меры безопасности, принимаемые для защиты персональных данных. Законодательство устанавливает общие требования к таким мерам, но конкретный перечень определяется оператором самостоятельно с учетом характера обрабатываемых данных и актуальных угроз.

Применимые нормы законодательства

Обязательные меры для указания в уведомлении

Согласно законодательству, в уведомлении необходимо указать:

"описание мер, предусмотренных статьями 18.1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств" (Источник: Федеральный закон "О персональных данных", статья 22)

Организационные меры

Из статьи 18.1 Федерального закона "О персональных данных" следует указать:

"назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных" (Источник: Федеральный закон "О персональных данных", статья 18.1)

"издание оператором документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных" (Источник: Федеральный закон "О персональных данных", статья 18.1)

"осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных" (Источник: Федеральный закон "О персональных данных", статья 18.1)

Технические меры безопасности

В соответствии с требованиями к защите персональных данных необходимо отразить меры, соответствующие установленному уровню защищенности:

Для 4-го уровня защищенности:

"организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения" (Источник: Постановление Правительства РФ от 01.11.2012 N 1119, пункт 13)

"обеспечение сохранности носителей персональных данных" (Источник: Постановление Правительства РФ от 01.11.2012 N 1119, пункт 13)

"утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей" (Источник: Постановление Правительства РФ от 01.11.2012 N 1119, пункт 13)

Для более высоких уровней защищенности добавляются требования:

"назначение должностного лица (работника), ответственного за обеспечение безопасности персональных данных в информационной системе" (Источник: Постановление Правительства РФ от 01.11.2012 N 1119, пункт 14)

"обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных" (Источник: Федеральный закон "О персональных данных", статья 19)

Общие требования к мерам безопасности

"применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных" (Источник: Федеральный закон "О персональных данных", статья 19)

"обнаружение фактов несанкционированного доступа к персональным данным и принятие мер" (Источник: Федеральный закон "О персональных данных", статья 19)

Выводы и рекомендации

Конкретные меры для указания в уведомлении:

  1. Организационные меры:

    • Назначение ответственного за организацию обработки ПДн
    • Разработка и утверждение политики обработки ПДн
    • Установление правил доступа к персональным данным
    • Проведение внутреннего контроля и аудита

  2. Технические меры:

    • Средства шифрования (с указанием наименований)
    • Системы контроля и разграничения доступа
    • Средства регистрации и учета действий с ПДн
    • Средства защиты информации, прошедшие оценку соответствия
    • Меры по обеспечению безопасности помещений
    • Системы обнаружения несанкционированного доступа

  3. Общие меры безопасности:

    • Определение угроз безопасности ПДн
    • Оценка эффективности принимаемых мер
    • Учет машинных носителей ПДн
    • Контроль за принимаемыми мерами безопасности

Последствия некорректного указания мер

"В случае предоставления неполных или недостоверных сведений уполномоченный орган по защите прав субъектов персональных данных вправе требовать от оператора уточнения предоставленных сведений" (Источник: Федеральный закон "О персональных данных", статья 22)

"Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность" (Источник: Федеральный закон "О персональных данных", статья 24)

Рекомендация: Для определения полного перечня необходимых мер безопасности рекомендуется обратиться к актуальным нормативным актам ФСБ России и ФСТЭК России, устанавливающим конкретные требования к защите персональных данных для различных уровней защищенности.

Столкнулись с похожей ситуацией?

Подробно опишите детали,
и Нейроадвокат подберёт решение