Обработка персональных данных без использования средств автоматизации регламентируется сдо ответ ржд

Обработка персональных данных без использования средств автоматизации регламентируется:Постановлением Правительства Российской Федерации от 06. 2008 г. № 512Постановлением Правительства Российской Федерации от 01. 2012 г. № 1119Постановлением Правительства Российской Федерации от 15. 2008 г. № 687Найти другие ответы на вопросы

Связанные темы

Темы, в которых встречается данный вопрос:

Приводя бизнес в соответствие с действующими нормативами законодательства в отношении сбора, хранения и передачи личной информации, ИП и руководителям крупных компаний приходится столкнуться с тем, что есть отдельные правила для неавтоматизированной и автоматизированной обработки ПДн. Оператору необходимо правильно трактовать пункты законов и подзаконных актов, чтобы не нарушать их и обеспечить необходимый уровень информационной безопасности на предприятии.

Использование средств автоматизации при обработке персональных данных в ИСПДн

Чтобы при хранении, сборе, блокировке, изменении, удалении ПДн не возникало никаких сбоев и все законодательные требования были на 100% соблюдены, оператору нужно грамотно организовать работу информационной системы. В неё входят не только все используемые сведения, сформированные в БД, но также технологии и оборудование. ИП или юридическое лицо может позаботиться об информационной защите самостоятельно либо заключить договор на делегирование полномочий. Надежным партнером во втором случае может стать наш Центр, обладающий лицензией ФСТЭК и многолетним опытом в обеспечении безопасности ПДн. Своими силами продумать все нюансы проблематично, если только в вашем распоряжении нет команды профессионалов, но содержать их в штате дорого. Аутсорсинговое обслуживание обходится дешевле и позволяет оперативно решать текущие вопросы.

В список главных обязанностей, которые ложатся на оператора, входят:

профилактика несанкционированного доступа (НСД);
мониторинг на предмет утечек или незаконного проведения операций;
поддержание необходимого уровня защищенности системы автоматической обработки данных;
предупреждение воздействия на вычислительную технику со стороны персонала и сторонних лиц;
восстановление утерянных сведений в кратчайшие сроки;
определение ответственного лица (или нескольких сотрудников), который будет отслеживать положение дел, уведомлять о проблемах и заниматься их урегулированием.

Дополнительно приходится тратить усилия, время и денежные ресурсы на подбор, установку, настройку и техническое обслуживание оборудования и программного обеспечения, а также отслеживать изменения в законодательной базе, чтобы своевременно вносить коррективы и осуществлять модернизацию.

Уведомлять о работе с персональными данными – обязательно

Обновленная редакция Федерального закона N 152-ФЗ «О персональных данных» вступает в силу с 1 сентября этого года.

Главное изменение, которое должно затронуть практически все российские организации, – это необходимость направлять в РКН уведомления о намерении обрабатывать персональные данные работников.

Если на момент публикации поправок к 152-ФЗ вопросы по поводу практического применения новых законодательных норм еще оставались, то после публикации письма РКН от 19 августа 2022 г. № 08-75348 ситуация прояснилась.

Отвечая на вопрос, обязан ли работодатель подавать уведомление в отношении обработки данных сотрудников, если они нужны работодателю исключительно для оформления стандартных трудовых отношений, ответ РКН был однозначным – да, обязан.

При этом под стандартными трудовыми отношениями подразумеваются:

заключение трудового договора;
выплата заработной платы;
передача информации в ПФР и ФСС;
оформление доверенностей;
оформление пропусков для входа на территорию работодателя и т.д.

Что значит неавтоматизированная обработка персональных данных

Разобраться в том, что такое неавтоматизированная обработка персональных данных, помогает основной регулирующий нормативно-правовой акт по данному вопросу: Постановление Правительства № 687, принятое 15. 2008.

В соответствии с пунктом первым Положения, утвержденного указанным Постановлением, неавтоматизированной обработкой являются любые действия с персональными данными, при условии, что использование, уточнение, распространение и уничтожение персональных данных осуществляются при непосредственном участии человека. Причем обработку нельзя признать автоматизированной только потому, что персональные данные содержатся в информационной системе или извлечены из нее.

Таким образом использование, уточнение, распространение и уничтожение персональных данных при неавтоматизированной обработке должно осуществляться без использования электронно-вычислительных технологий. Проще говоря, обработка персональных данных будет являться неавтоматизированной при условии, что используемые персональные данные набраны, например, на электронной печатной машинке (что в настоящее врем практически не встречается) и распечатаны на листе бумаги (материальном носителе), при условии что они не будут сохранены в памяти, или откопированы на ксероксе.

Кроме того, необходимо обратить внимание на следующие принципы обработки ПДн без использования средств автоматизации:

сведения, при использовании которых не применяется вычислительная техника, должны быть обособленными и фиксироваться на бланках, в специальных формах или на других физических носителях;
не допускается объединение на одном носителе личной информации, которая будет обрабатываться для несовместимых целей, а для каждой категории ПДн необходима отдельная форма, бланк и т.д.;
обработка персональных данных считается неавтоматизированной, если осуществляется хранение, передача, уточнение и уничтожение сведений при непосредственном участии человека;
сотрудники, допущенные к неавтоматизированной обработке, предварительно информируются о требованиях работы с ПДн, наказании за их нарушение и внутренних правилах предприятия в этой области;
для получения согласия от субъектов ПДн могут применять типовые формы документов, где должны быть указаны цели обработки и виды собираемой информации;
по каждой категории сведений необходимо определить место размещения материального носителя и лицо, ответственное за обеспечение его безопасности. Дополнительно необходимо создать условия, в которых ПДн будут защищены от внешних и внутренних угроз.

Штрафы за неуведомление Роскомнадзора

Если работодатель не представит уведомление в Роскомнадзор о планируемой обработке персональных сведений, его оштрафуют по ст. 7 КоАП РФ. Данная норма устанавливает административную ответственность за непредставление или несвоевременное представление сведений в государственный орган, осуществляющий государственный контроль (надзор).

Величина штрафа для ИП и должностных лиц организаций составит от 300 до 500 рублей. А для организаций – от 3 000 до 5 000 рублей.

Полный текст разъяснения на портале ИТС

Форма для подачи уведомления на бумажном носителе

Электронная форма уведомления на портале РКН

Порядок заполнения уведомления о начале обработки персональных данных и о внесении изменений в ранее представленные сведения

Категория иных персональных данных

Четкого определения, какие сведения могут быть отнесены в эту группу, в нормативно-правовой документации нет. Указано только, что речь идет о ПДн, не относящихся к предыдущим категориям. То есть оператору, чтобы идентифицировать информацию как «иную», придется убедиться в том, что она не является биометрической, общедоступной или специальной.

Категория общедоступных ПДн

Отличительной особенностью таких персональных данных является возможность их получения неограниченным кругом лиц. Они присутствуют в открытых источниках, например, справочниках и иных документах, при этом гражданин должен предварительно дать свое согласие на размещение. В соответствии с классификацией ФЗ-152 в данную категорию персональных данных входят:

имя, фамилия и отчество субъекта;
место, где человек родился или проживает;
возраст;
профессия, образование;
месяц, год и число рождения;
электронная почта;
телефонный номер и т.д.

Нужно учитывать, что если гражданин не согласен с тем, что информация о нем общедоступна, то он имеет право потребовать её удалить из источника путем подачи заявления. Также это может быть сделано при выдаче соответствующего решения государственного органа либо суда.

Права и обязанности оператора персональных данных

Занимаясь обработкой ПДн, предприниматель или фирма должны четко придерживаться законодательных нормативов. Например, есть возможность осуществлять с полученными сведениями такие операции, как:

копирование;
сбор, анализ и сохранение;
изменение, дополнение, обновление;
распространение;
использование;
систематизация и накопление;
обезличивание;
блокировка, уничтожение, удаление.

Но при этом установлены ограничения относительно продолжительности хранения и способа применения. Запрещено продолжать обрабатывать ПДн после достижения изначально поставленных целей и сроков.

Что касается требований к операторам персональных данных, то основными среди них являются:

Отправка уведомления о начале проведения действий с ПДн сотрудников, клиентов с обязательным указанием адреса, Ф.И.О./названия организации, субъектов и типов обрабатываемых сведений, правового обоснования деятельности, списка операций, предпринятых мер обеспечения безопасности. Также нужно сообщить дату начала работ с ПДн, сроки и условия её завершения, наличие трансграничной передачи информации (передачи на территорию иностранного государства).
Обеспечение защиты ПДн от несанкционированного доступа. На предприятии должен быть сотрудник, ответственный за внедрение и контроль операций, а также разработаны и интегрированы организационные и технические меры защиты. Для внедрения мер обеспечения безопасности требуется составить достаточной большой список локальных документов, начиная от должностных инструкций, заканчивая моделью актуальных угроз ПДн.
Конфиденциальность информации. Операторы должны организовать свою деятельность таким образом, чтобы к ней имели доступ только уполномоченные лица, не происходило утечек, и не было случаев передачи ПДн третьей стороне без предварительного получения письменного согласия.
Использование локальных ИСПДн — имеется ввиду необходимость хранения и обработки на российских серверах при сборе ПДн. При этом возможность дальнейшей трансграничной передачи не запрещена.
Прекращение операций после истечения предусмотренного срока или достижения изначально установленных условий обработки. Кроме того, ФЗ-152 позволяет каждому субъекту написать заявление с просьбой отозвать согласие на использование его ПДн, после чего у фирмы или ИП есть 30 дней на исполнение данного требования, если конечно же нет законных оснований для продолжения обработки его ПДн.

Обработка персональных данных с использованием средств автоматизации

Подборка наиболее важных документов по запросу Обработка персональных данных с использованием средств автоматизации (нормативно–правовые акты, формы, статьи, консультации экспертов и многое другое).

Персональные данные:
Cookie
Адвокатский запрос персональные данные
Адрес электронной почты
Акт об уничтожении персональных данных
Аттестация информационной системы

Путеводитель по госуслугам для юридических лиц. Представление уведомления об обработке персональных данныхНа практике это основание является одним из самых распространенных исключений, позволяющим не подавать уведомление. Однако работодателям следует учитывать, что под него подпадают не все персональные данные работников, а только те, обработка которых осуществляется в соответствии с трудовым законодательством. На практике встречаются случаи обработки персональных данных работников в объемах (категориях) и целях, не предусмотренных трудовым законодательством, например обработки сведений об имущественном положении, о судимости (за исключением случаев, указанных в ст. 65, 349. 1 ТК РФ). Названное исключение не распространяется на персональные данные уволенных сотрудников (кроме случаев, предусмотренных трудовым законодательством, например ст. 1 ТК РФ); членов семей сотрудников, их детей (персональные данные которых могут иметься у работодателя, например, в связи с уплатой алиментов или предоставлением налоговых вычетов по НДФЛ). В указанных случаях операторы обязаны подавать уведомление, если отсутствуют иные основания для обработки персональных данных без его подачи (например, обработка персональных данных без использования средств автоматизации).

Разделение ПДн необходимо для того, чтобы устанавливать отдельные правила обработки и защиты для информации разного характера, а также наказания организаций, которые их нарушают. Действующее российское законодательство предусматривает 4 категории обрабатываемых ПДн:

общедоступные;
биометрические;
специальные;
иные.

Несмотря на внесение различных изменений, четко прописаны только три первые группы, а вот в отношении последней нет конкретики. Перед операторами стоит задача понять, с какими сведениями они работают, и только потом устанавливать степень защищенности ИС.

Что проверяет Роскомнадзор?

Регулярные проверки ведомства — мощный стимул для организаций не нарушать положения ФЗ-152. Главное, на что обращают внимание представители госструктуры:

наличие письменного согласия субъектов в случае их необходимости;
присутствие локальной документации, регулирующей взаимоотношения между оператором и владельцем ПДн, а также их соблюдение;
своевременное уведомление о начале обработки;
поставленные цели и длительность хранения информации;
применяемые меры защиты, налаженная система ограничения доступа;
сервера, на которые помещаются сведения для систематизации и хранения.

Чем грозит разглашение личной информации граждан?

Закон предусматривает различные виды ответственности за несоблюдение оператором требований ФЗ-152 в отношении операций с ПДн, а именно:

замечание, выговор и увольнение сотрудника, допустившего разглашение конфиденциальной информации;
взыскание суммы ущерба с работника-нарушителя;
возмещение морального вреда субъекту персональных данных в результате гражданских исков;
наложение административного штрафа, размер которого может варьироваться в зависимости от обстоятельств дела (от 15 тысяч до 18 миллионов рублей);
и другие виды ответственности, вплоть до уголовной для руководителя при значительных нарушениях, повлекших за собой серьезные последствия для субъекта.

Биометрические ПДн

Практически на любом предприятии есть система охраны и видеонаблюдения, а также ограничения доступа на территорию либо в отдельные помещения. В качестве идентификатора лиц, которые имеют право находиться в определенных зонах или выполнять определенные действия, выступают, как правило, фотографии, отпечатки пальцев или рисунок сетчатки глаза. Эти и другие физиологические особенности входят в категорию биометрических ПДн, а их использование в обязательном порядке требует получения письменного согласия владельцев. Документ не требуется только, если речь идет об использовании данных в целях обеспечения государственной безопасности, работы госструктур, а также осуществлении правоохранительной деятельности.

Работая с такими сведениями, оператору нужно брать в расчет ограничение по условиям обработки — их разрешено собирать, дополнять, хранить и т. только до тех пор, пока не достигнута цель обработки или не прошел срок, прописанный в подписанном субъектом разрешении.

Дополнительные меры безопасности при работе с ПД

Первым шагом на пути к сохранности персональных данных с использованием средств автоматизации будет определение вида ИСПДн, которая перерабатывает личную информацию. Не нужно изобретать велосипед — все виды систем уже перечислены в ПП РФ N 1119 от 01. 2012.

Информационные системы классифицируются по видам обрабатываемых персональных данных:

спецкатегории;
биометрические;
общедоступные;
другие категории (исключая спецкатегории, биометрию и общедоступные персданные).

Конкретные типы угроз свойственны определенным инфосистемам и обусловлены типом обрабатываемых в ней ПД. Поэтому, установив вид ИСПДн, оператор определяет потенциальные риски и настраивает соответствующий уровень ее защищенности. Основой для этого служит ПП РФ No 1119 от 01. 2012:

Уровень защиты ПД диктует дополнительные требования к обработке персональных данных для их безопасности, которые устанавливает оператор.

В ЛНА, регулирующие операции с ПД на предприятии, включается информация о виде ИСПДн, определение угроз и уровней защищенности — конкретизированные оператором сведения об используемой информационной системе.
Определяются уполномоченные лица, с ограниченным или полным допуском к ИСПДн.
Обеспечиваются альтернативные меры безопасности, защищающие ПД. Возможные: подготовка специалистов, работающих с персональными данными, изучение работниками ЛНА, разъясняющих порядок и условия обработки ПД, введение паролей, инструктаж и т.д.

Категории субъектов персональных данных

В процессе установления уровня защищенности, что требуется каждому оператору ИСПДн, необходимо проанализировать не только особенности обрабатываемой личной информации, но и определиться с категориями субъектов ПДн. В широком представлении под субъектами подразумеваются граждане, которых можно идентифицировать, используя те или иные виды касающихся их сведений. Но если говорить о расчете итогового показателя, который отображает способность ИС нейтрализовать угрозы, то здесь правительственное Постановление № 1119 устанавливает две категории:

лица, которые не являются штатными или внештатными сотрудниками организации;
лица, связанные с компанией трудовыми взаимоотношениями.

В дополнение к этому при расчете уровня защищенности нужно будет определиться с количеством граждан, чьи ПДн обрабатываются — меньше или больше 100 000 субъектов. После этого останется установить типы актуальных угроз, и можно приступать к разработке организационно-технических мероприятий, направленных на защиту от неправомерных действий с персональными данными.

Что является специальной категорией персональных данных?

В данную группу входят:

сведения, касающиеся состояния здоровья;
гендерная и расовая принадлежность;
сведения интимного характера, включая сексуальную ориентацию и все, что касается половой жизни;
философские воззрения;
религиозные убеждения;
политические взгляды и т.д.

Для обработки специальных категорий персональных данных требуется выполнение одного из условий:

получение письменного согласия установленного законом образца;
использование сведений, опубликованных в общедоступных источниках самим гражданином;
вступление в силу международных договоренностей;
выполнение действий в рамках судебного производства или по решению суда;
возникновение риска для жизни и здоровья субъекта либо окружающих людей;
обработка информации в рамках деятельности общественной либо религиозной организации.

Обработка персональных данных без использования средств автоматизации

Подборка наиболее важных документов по запросу Обработка персональных данных без использования средств автоматизации (нормативно–правовые акты, формы, статьи, консультации экспертов и многое другое).

Эксперты «1С» рассказали, что направлять уведомления об обработке персональных данных можно следующими способами:

в бумажном виде;
в электронном виде с использованием усиленной квалифицированной электронной подписи;
в электронном виде с использованием средств аутентификации ЕСИА.

Подготовить бланк бумажной формы или отправить электронное уведомление в контролирующий орган можно на специальной странице сайта Роскомнадзора.

Согласно ч. 1 ст. 22 Закона № 152-ФЗ, подать уведомление в Роскомнадзор нужно до начала обработки персональных данных.

При этом уведомлять о предстоящей обработке конкретной группы персданных требуется однократно. Каждый раз, когда принимается на работу новый сотрудник, направлять уведомление в Роскомнадзор не нужно.

Такое уведомление требуется предоставлять только в том случае, если обработка персональных данных осуществляется с применением компьютерной техники и средств автоматизации. Если компания планирует записывать персданные в бумажный журнал, книгу или тетрадь, уведомлять об этом Роскомнадзор не нужно (ст. 22 ч. 2 п. 8 Федерального закона «О персональных данных»).

Получив от компании уведомление, Роскомнадзор в течение 30 дней внесет ее в специальный реестр операторов персональных данных, с помощью которого любой желающий сможет проверить, законно ли та или иная компания осуществляет сбор и обработку его сведений или нет.

Какими должны быть меры безопасности для защиты ПД

Есть отдельный правовой акт, нормирующий обработку ПД, размещенных на бумажных носителях. Это Постановление Правительства No 687 от 15. 2008. В нем определены условия обработки персональных данных, имеющихся в документе, без использования ИС. Постановление регламентирует применение типовых бланков, в которых предполагается наличие персданных и мероприятия для их сохранности

Если работодатель применяет типовые формы, у него должны быть разработаны инструкции по их заполнению.

Пример приказа о предоставлении отпуска

Кроме информации, традиционно отражаемой в подобном распоряжении, постановление требует указать:

. Здесь ПД обрабатываются для реализации права работника на получение и оплату ежегодного отпуска. Это и есть цель обработки персональных данных, выполняемой без использования средств автоматизации.
Источник и сроки. Личная карточка работника No Т-2. Длительность хранения ПД из настоящего документа — в течение установленного законом архивного срока хранения.
. Импортирование данных в «1С», использование на бумажном носителе после вывода на печать, отражение в Личной карточке No Т-2, графике отпусков.
Описание применяемых методов обработки. Сбор, запись, накопление, хранение, уточнение (обновления, изменения), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение— указывайте только то, что применяете.

Официальных рекомендаций по выполнению п. 7 ПП No 687 нет. Вы можете поступить следующим образом:

Указать требуемую информацию в ЛНА, разъясняющем правила заполнения типовых бланков:
приказы или распоряжения о приеме на работу;-//- о предоставлении отпуска;-//- об увольнении;личный листок и другие.
приказы или распоряжения о приеме на работу;
-//- о предоставлении отпуска;
-//- об увольнении;
личный листок и другие.

По каждой типовой форме, содержащей персональные данные, разрабатывайте отдельную инструкцию с указанием актуальных сведений.

Персональные данные соискателя

Кадровики часто сталкиваются с проблемой обработки ПДн без использования средств автоматизации в анкетах соискателей. Возникают затруднения в определении характера собираемых ПД, их количестве и оформления в документах.

Что касается количества сведений — придерживайтесь ст. 5, п. 5 N 152 — ФЗ и запрашивайте только те личные сведения, которые вам действительно необходимы.

Если организация собирает ПД соискателей с помощью типовой формы анкеты, утвержденной работодателем, все указанные выше требования распространяются и на нее. Дополнительно к общим условиям данная анкета должна вмещать:

информацию о сроке ее рассмотрения;
решение об устройстве либо отказе в приеме на работу.

Порядок заполнения всех типовых форм документов персональных данных — бланков и форм, применяемых в организации, включая приказы, анкеты, график отпусков и прочие, отразите в отдельных разработанных и утвержденных инструкциях.

Обработка ПД в коллективных формах

Проблемы возникают при использовании коллективных форм, включающих личную информацию сразу нескольких субъектов. Это обработка персональных данных без автоматизации в:

графиках отпусков, приказах о премировании;
приказах о предоставлении отпусков (Т-6а);
графиках работ, сменности.

Каждый работник, чьи ПД указаны в бланке, вправе ознакомиться с тем, какие именно сведения о нем обрабатываются. При этом он должен сделать это так, чтобы не нарушить права других субъектов, чьи данные также размещены в этой форме. Для обеспечения этого условия ПД других сотрудников скрываются, например, через употребление специальной формы с вырезанным окошком, через которое видны данные конкретного субъекта.

Если сотрудники разрешили сделать свои персданные, используемые в документах работодателя, общедоступными в согласии на обработку персональных данных, то ознакомление с коллективной формой производится открыто и свободно.

Это самый удобный и доступный вариант, не требующий особого раскрытия тайны, так как, например, в рамках одной организации, все знают ФИО своих коллег, их специальности, другие ПД.

Требования по ведению журналов, содержащих персональные данные, при неавтоматизированной обработке

Такие журналы заводят при пропускных режимах, когда субъекта ПД надо пропустить на территорию оператора. В них фиксируют ПД, требуемые для одного прохода. К таким типовым формам Постановление N 687 предъявляет следующие требования:

Иметь ЛНА, регламентирующий ведение журнала. В нем указываются цели обработки ПД, состав ПД, которые запрашиваются у субъекта, способы их фиксации.
Перечислить должности или ФИО ответственных лиц, допущенных к журналу, сроки обработки ПД.
Подробно расписывается механизм пропуска на территорию без подтверждения достоверности сведений, которые сообщает субъект.

Копирование из журналов при обработке ПД без использования средств автоматизации запрещено.

ПД субъектов вносятся в журнал в каждом случае пропуска не больше 1 раза.

Дистанционный курс по работе с ПД будет полезен и тем, кто применяет автоматизацию в своей деятельности, и тем, кто обрабатывает ПД вручную. Мы рассмотрим самые важные изменения в законодательстве и разъясним порядок применения нормативов.

Специфика организации СЗПДн

Разбираясь в том, что такое автоматизированная обработка информации, особое внимание нужно уделить именно защите. Во-первых, этого требует действующее российское законодательство, во-вторых, только так можно завоевать положительные отзывы от партнеров и клиентов, и, наконец, бесперебойно работающая СЗПДн — гарантия отсутствия претензий от Роскомнадзора, ФСТЭК и других проверяющих органов.

По-настоящему хорошая система защиты должна:

отвечать актуальным правовым нормативам;
иметь разные уровни, которые будут в равной степени защищены от угроз;
быть ориентированной на профилактику НСД;
соответствовать характеристикам используемого ПО и вычислительной техники;
базироваться на комбинации результативных методов и технологий;
адаптироваться под вероятные системные изменения;
предполагать контроль по всем направлениям;
отвечать потребностям конкретной деятельности;
функционировать без сбоев до окончания жизненного цикла ИС.

Делегирование обработки ПДн

Осуществлять обработку самостоятельно необязательно — можно поручить организацию обработки и защиту информации специалистам. Это может быть сервис-провайдер либо иное лицо (например, наш Центр безопасности данных), которое возьмет на себя обеспечение технической части согласно условиям подписанного договора и нормативам российского законодательства. Юридическое право выполнять действия с ПДн закрепляется в поручении, где отдельным пунктом прописана необходимость обеспечения безопасности и конфиденциальности обрабатываемых данных граждан.

Новости

GLOBAL EVENT FORUMНа Красной Поляне в Сочи впервые состоится GLOBAL EVENT FORUM. Масштабное событие отечественной событийной индустрии пройдёт в горах Сочи с 10 по 14 октября этого года.

IX Ежегодный форум PA FORUMНа PA Forum помощники руководителей могут получить новые знания от опытных ассистентов и бизнес-тренеров, а также приятно провести время в кругу единомышленников.

Ежегодная премия PA-AWARDSУчастие в премии — лучшая возможность усилить свой профессиональный бренд. Успейте подать заявку в одной или нескольких номинациях