Категории персональных данных

Что представляют собой подобные сведения и как проводится их защита?

Защита и прием персональных данных проводится в соответствии с требованиями Федерального закона № 152-ФЗ «О персональных данных»

Персональные данные

Персональные сведения — существенная информация, относящаяся к конкретному лицу.

Персональная информация:

• ФИО конкретного лица.
• Полные год, месяц, а также полная дата рождения.
• Адрес подобного физического лица, а также положения в семье и в обществе.
• Образование подобного лица, основная профессия и уровень доходов.
• Другая информация, которая содержится в действующем на территории страны федеральном законодательстве.

К другой информации относятся нижеперечисленные данные:

• Паспортные данные физического лица.
• Разнообразные финансовые ведомости.
• Медицинская карта человека.
• Биометрия.
• Иная информация, которая, так или иначе, носит какой-либо идентифицирующий характер.

Общедоступные источники предоставления информации:

• Адресные книги.
• Всевозможные списки.
• Иное обеспечение.

В подобные источники включается информация о конкретном лице, но сведения о человеке вносятся только с письменного согласия самого лица.

Для внесения требуются данные:

• ФИО человека.
• Год и точное место рождения.
• Полный адрес регистрации или же прописки.
• Абонентский номер конкретного гражданина.
• Иная информация, которую согласен предоставить человек.

• Иные данные относятся к специализированной категории ограниченного доступа.
• По этой причине сведения должны быть надежно защищены действующим на территории нашей страны законом.
• При проведении формирования требований по безопасности систем, данные подразделяются сразу на четыре категории.

Установленные категории данных

Ниже определено количество категорий.

К подобным категориям относятся:

• Общедоступные.
• Специальные.
• Категории, подвергающиеся обработке непосредственно в информационных системах.
• Биометрические.
• Какие-либо иные категории.

Описание категорий

• Общедоступные данные — сведения, которые получает гражданин ли группа лиц, с согласия определенного субъекта.

Источники общих данных — адресные книги, справочники и прочие общедоступные способы получения информации.

Такая информация исключается из источников по решению суда и других уполномоченных органов.

• Специальные данные — сведения о национальности человека, расы и взглядов на политическую деятельность.

Подобную информацию получают только в ситуации, когда человек самостоятельно подписывает согласие на проведение установленной процедуры обработки персональных сведений.

• Личные данные, обрабатывающиеся в специализированных информационных системах.

Определяются отдельные категории:

1. первые касаются национальной и расовой принадлежности, а также политических взглядов;
2. вторая категория позволят провести идентификацию человека и получить о нем информацию;
3. данные, позволяющие по каким-либо сведениям провести идентификацию субъекта;
4. общедоступные данные.

В разнообразных системах проводится обработка личных сведений, в среднем, в одно и то же время проводится обработка данных примерно ста тысяч человек.

• Последний тип данных – биометрический.

Биометрический тип характеризуется данными об особенностях физиологии конкретного человека. Благодаря сведениям о физиологии есть возможность легко установить личность каждого определенного человека.

Сведения должны обрабатываться только при наличии личного согласия человека на совершение такого действия. Без согласия физического лица процедуру использования сведений можно проводить только на основании вынесенного решения суда.

Сюда относятся фото и видео субъекта.

Права субъекта

1. В качестве субъекта выступает определенное конкретное лицо, которое идентифицируется по внесенным им данным.
2. Это фактическое лицо, нуждающееся в защите на основании текущего закона.

3. Перечень прав субъекта:

• Субъект получает неограниченный доступ к внесенным в программы или документы данным.

Доступ заключается в том, что субъект имеет право на грамотное предоставление сведений о непосредственном операторе данных.

Человек может потребовать  от  оператора частичное или полностью заблокировать уточнение имеющихся в программе данных.

В программе может содержаться:

1. цель проведения обработки;
2. способы, при помощи которых проводится обработка;
3. сроки проведения обработки;
4. перечень лиц, которые допущены к проведению обработки;
5. перечень источников непосредственного получения личных данных;
6. сведения о последствиях проведения обработки информации.

• Обработка в ситуации, напрямую касающейся продвижения различного товара, выполнения работ или агитации, должна проводиться с согласия самого субъекта.
• Физические лица самостоятельно принимают объективное решение в ситуации, когда их данные будут обрабатываться автоматизированным способом.

То есть, при проведении обработки персональных данных, субъект в обязательном порядке должен дать свое письменное согласие по форме на проведение действий, касающихся сведений.

Случаи, при которых письменное согласие требуется, четко оговариваются в текущем законодательстве.

• Субъект обжалует действие или же напротив бездействие своего фактического оператора, занимающегося обработкой предоставленных ему данных.

• Это право действует, когда человек по существенным причинам полагает, что оператор проводит процедуру обработки внесенных данных неправильным образом.
• Человек может обратиться в профильный орган, занимающийся защитой прав существующих субъектов.
• [box type=»download»] Каждый субъект имеет существенное право на возмещение убытков и компенсации фактического морального вреда, путем непосредственного обращения в суд с письменным исковым заявлением.[/box]

Оператор персональных данных

1. Организует требующуюся обработку, а также определяет фактические цели и содержание обработки данных.
2. Каждая организация, которая осуществляет сбор, хранение или уточнение имеющихся данных, является своего рода зарегистрированным оператором.
3. Некоторые организации, особенно, гсоударственные, по роду своей деятельности собирают и обрабатывают данные, принадлежащие их клиентам.
4. Оператор имеет полное право не уведомлять о проведенной обработке Роскомнадзор.

Оператор использует сведения без какого-либо уведомления:

• Субъекта с непосредственным оператором связывают трудовые взаимоотношения.
• Оператор получил личную информацию на основании зарегистрированного договора, одной из сторон — субъект.

Без предупреждения информация не распространяется и не передается посторонним третьим лицам.

• Субъекты относятся к участникам общественных движений, а также религиозных организаций.
• Данные полностью общедоступны.
• Сведения содержат только ФИО субъекта.
• Информация требуется только для однократного доступа субъекта на территорию, на которой находится оператор.

Обязанности оператора:

• Контроль за безопасностью обработки данных.
• Соблюдать уведомительный характер проведения обработки полученных персональных данных.
• При получении личных данных, оператор должен получить письменное согласие субъекта на проведение грамотной обработки.
• По первому требованию оператор предоставляет субъекту имеющиеся на текущий момент времени данные и вносит изменения.
• Оператор предоставляет доказательство, что он получил согласие от субъекта на обработку данных.
• По запросу специализированного органа, оператор дает имеющуюся информацию об определенном субъекте.

Обработка персональных данных

Основные принципы, на основании которых производится обработка принятых данных:

• Оператор определяет цели в соответствии со своими действующими полномочиями.
• Характер обработки соответствует поставленным целям.
• Нельзя объединять персональные данные, представленные для целей разного направления.
• По достижении поставленных целей персональная информация удаляется.

Два основных способа обработки персональных данных: автоматизированный и неавтоматизированный.

• Неавтоматизированный метод обработки сведений — без использования средств автоматизации.

Запрещается фиксировать на одной и том же материальном носителе сведения, цели обработки несовместимы.

При обработке категорий персональных данных для их фиксации используются разные носители.

• Второй способ обработки – автоматизированный.

• Комплекс предоставляемых личных сведений подвергается обработке при помощи автоматизированных систем.
• При этом операции проводятся полностью с использованием автоматизированных процессов или  частично.
• Распространено использование частичного способа, так как это позволяет проводить обработку самостоятельно самим оператором, а хранить ее при помощи специальных программ.

Как обеспечивается безопасность персональных сведений?

В соответствии с законодательством, оператор должен принимать необходимые меры для защиты сведений от неправомерного или же ненамеренного доступа к ним.

Установление защиты достигается:

• Исключение умышленного доступа к имеющимся данным.
• Исключение случайного доступа к принятым данным.

Обязанность по обеспечению безопасности хранения информации полностью ложится на плечи оператора обработки данных.

По этой причине каждый оператор должен проводить следующие ключевые мероприятия:

• Защищать информацию от несанкционированного доступа.
• Обнаружить факт несанкционированного доступа к принятым личным данным.
• Восстанавливать поврежденные персональные сведения.
• Защищать вверенные ему сведения.

Контроль и надзор за выполнением требований закона

За выполнением  требований законодательства следит Роскомнадзор.

Роскомнадзор имеет право на:

• Запрос у лиц информации, требующейся для грамотного контроля.
• Проверка сведений, которые содержатся в предоставляемых уведомлениях.
• Требование от действующего оператора уточняющей информации.
• Блокирование или полное уничтожение предоставленных сведений, полученных каким-либо незаконным путем.
• Принятие мер по приостановке или полному прекращению процедуры обработки сведений.
• Обращение в суд для защиты прав субъектов.
• Направление в прокуратуру или в другой уполномоченный орган материалов, необходимых для возбуждения уголовного дела из-за нарушения процедуры обработки личных данных.
• Внесение в действующее Правительство предложений, которые направлены исключительно на совершенствование регулирования процедуры обработки внесенных данных.
• Привлечение к установленной ответственности лиц, которые виновны в нарушении законодательства, регулирующего вопросы обработки информации о лице.

Источник: http://ip911.ru/ostalnoe/kategorii-personalnye-dannye.html

Персональные данные: классификация ИСПДн

Одним из первоочередных мероприятий, которое требуется осуществить при создании информационной системы обработки персональных данных (ИСПДн) является классификация ИСПДн.

Это необходимо для того, чтобы определить класс системы и соответствующие требования, предъявляемые ФСТЭК и ФСБ при обработке персональных данных (ПДн). В этой статья я опишу общую процедуру проведения классификации ИСПДн.

В соответствии с Приказом ФСТЭК/ФСБ/Мининформсвязи от 13.02.2008 № 55/86/20 о «Порядке проведения классификации информационной системы персональных данных», который можно скачать здесь, требуется проведение классификации включает в себя следующие этапы:

• Сбор и анализ исходных данных по информационной системе;
• Присвоение информационной системе соответствующего класса и его документальное оформление.

При проведении классификации информационной системы необходимо ответить на следующие вопросы:

1. 1К какой категории принадлежат персональные данные обрабатываемые в информационной системе – Xпд?
2. Какой объем обрабатываемых персональных данных (количество субъектов персональных данных, персональные данные которых обрабатываются в информационной системе) – Xнпд?
3. Какие заданы характеристики безопасности персональных данных, обрабатываемых в информационной системе?
4. Какая структура информационной системы?
5. Имеется ли подключение информационной системы к сетям связи общего пользования и/или сети Internet?
6. Какой режим обработки персональных данных?
7. Какой режим разграничения прав доступа пользователей информационной системы?
8. Местонахождение технических средств информационной системы?

Исходные данные и вспомогательная информация

Определяются следующие категории обрабатываемых в информационной системе персональных данных (Xпд):

1. категория 1 — персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;
2. категория 2 — персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;
3. категория 3 — персональные данные, позволяющие идентифицировать субъекта персональных данных;
4. категория 4 — обезличенные и (или) общедоступные персональные данные.

Xнпд может принимать следующие значения:

• 1 — в информационной системе одновременно обрабатываются персональные данные более чем 100 000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;
• 2 — в информационной системе одновременно обрабатываются персональные данные от 1000 до 100 000 субъектов персональных данных или персональные данные субъектов персональных данных, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования;
• 3 — в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах конкретной организации.

Характеристики безопасности персональных данных

Для ИСПДн определяют характеристики безопасности персональных данных, которые делятся на основные и дополнительные:

ОСНОВНЫЕ:

• конфиденциальность
• целостность
• доступность

ДОПОЛНИТЕЛЬНЫЕ:

• неотказуемость
• учетность (подконтрольность)
• аутентичность (достоверность)
• адекватность

Структура информационной системы подразделяется на:

• автономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки персональных данных (автоматизированные рабочие места);
• комплекс автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа (локальные информационные системы);
• комплекс автоматизированных рабочих мест и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа (распределенные информационные системы).

Режим обработки

При организации ИСПДн определяют следующие режимы обработки:

• однопользовательский;
• многопользовательский.

Режим разграничения прав доступа

В ИСПДн система разграничения доступа подразумевается:

• без разграничения прав доступа;
• с разграничением прав доступа.

Информационные системы делятся на типовую и специальную. К типовой информационной системе относятся системы, которые требуют только конфиденциальность ПДн.

К специальной информационной системе относятся системы, которые помимо конфиденциальности требуют:

• Информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;
• Информационные системы, в которых на основании исключительно автоматизированной обработки персональных данных предусмотрено принятие решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

Классификация информационной системы

Согласно Приказа ФСТЭК/ФСБ/Мининформсвязи № 55/86/20, ИСПДн может принимать один из четырех классов, определенных в данном приказе:

1. класс 1 (К1) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных;
2. класс 2 (К2) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных;
3. класс 3 (К3) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных;
4. класс 4 (К4) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.

В соответствии с данными определениями классов, для удобства классификации, построена следующая таблица:

Источник: http://zetblog.ru/personalnye-dannye-klassifikatsiya-ispdn.html

Уровни защищенности персональных данных

Ликбез по персональным данным

Уровень защищенности персональных данных — это комплексный показатель, который характеризует выполнение требований, нейтрализующих угрозы безопасности информационных систем персональных данных.

Постановление Правительства № 1119 от 1 ноября 2012

Требованиями к защите ПДн при их обработке в информационных системах (Утв. Постановлением Правительства № 1119 от 01.11.2012) установлены 4 уровня защищенности персональных данных, различающихся перечнем необходимых к выполнению требований по защите информационных систем.

Для определения уровня защищенности необходимо установить категории обрабатываемых персональных данных субъектов (физических лиц), вид обработки по форме отношений между субъектами и организацией, количество субъектов, а также тип угроз актуальных для информационной системы.

• Категории обрабатываемых персональных данных (ПДн), подразделяются на 4 группы:
• 1 группа — специальные категории ПДн, к которым относятся информация о национальной и расовой принадлежности субъекта, о религиозных, философских либо политических убеждениях, информацию о здоровье и интимной жизни субъекта;
• 2 группа — биометрические ПДн, то есть данные, характеризующие биологические или физиологические особенности субъекта, например фотография или отпечатки пальцев;
• 3 группа — общедоступные ПДн, то есть сведения о субъекте, полный и неограниченный доступ к которым предоставлен самим субъектом;
• 4 группа — иные категории ПДн, не представленные в трех предыдущих группах.
• По форме отношений между вашей организацией и субъектами обработка подразделяется на 2 вида:

• обработка персональных данных работников (субъектов, с которыми ваша организация связана трудовыми отношениями);
• обработка персональных данных субъектов, не являющихся работниками вашей организации.

По количеству субъектов, ПДн которых обрабатываются, нормативным актом определены лишь 2 категории:

• менее 100 000 субъектов;
• более 100 000 субъектов;

К какой категории относить объем, который составляет ровно 100 000 субъектов, к сожалению, не понятно. Вот такая коллизия. Правовой вакуум, как любят говорить наши нормотворцы…

И наконец, типы актуальных угроз:

• угрозы 1-го типа связанны с наличием недекларированных (недокументированных) возможностей в системном ПО, используемом в ИСПДн;
• угрозы 2-го типа связанны с наличием недекларированных возможностей в прикладном ПО, используемом в ИСПДн;
• угрозы 3-го типа не связаны с наличием недекларированных возможностей в программном обеспечении, используемом в ИСПДн.

Как установить тип актуальных угроз не регламентировано, поэтому необходимо привлекать для оценки специалистов в области информационной безопасности.

Установив исходные данные, для конкретной ИСПДн определяется уровень защищенности персональных данных в соответствии со следующей таблицей:

В зависимости от уровня защищенности ПДн определяется перечень требований, выполнение которых необходимо для нейтрализации угроз безопасности персональных данных.

Источник: https://data-sec.ru/personal-data/protection-level/

Что относится к персональным данным: виды тайн и сведений

Содержание

Рассказать ВКонтакте Поделиться в Одноклассниках Поделиться в Facebook

В современных условиях от граждан часто требуется согласие на обработку сведений частного характера, например, при визите к врачу. Во многих случаях подпись на бланке ставится автоматически. Открывая доступ к информации о себе, важно знать и соблюдать правила.

Какие сведения считаются персональными данными

Распространенные персональные данные:

• Фамилия, имя, отчество физического лица. В этом ракурсе физлицо выступает в виде субъекта ПДн.
• Дата и место рождения.
• Адрес регистрации и проживания.

Персональные данные работника концентрируются в информационной системе (ИС). Она может быть цифровой или аналоговой (компьютерной базой или личным делом в бумажной папке). При этом законодательные требования распространяются на ПД вне зависимости от технической реализации инфосистемы. Существуют разные способы обработки личной информации физлица – сбор, классификация, уточнение и др.

Понятие ПДн относится не только к гражданам, но и к юридическим лицам вне зависимости от организационно-правовой формы (фирмы, компании, организации, коммерческие предприятия и т. д.). Их особенностью является то, что на их основе происходит идентификация не конкретного человека, а определенной компании. Официальные сведения о компании нужны при заключении договоров и т. д.

Физические лица

К персональным сведениям для этой категории субъектов относятся:

• ФИО;
• дата и место рождения;
• гражданство;
• адрес регистрации и проживания;
• решение о полной или частичной недееспособности;
• семейное положение + информация о членах семьи;
• образование;
• место работы;
• оклад, страховые и налоговые отчисления;
• воинская обязанность.

Существуют особенности отнесения разных данных к категории персональных у физических лиц:

• Номер телефона. Относится к ПДн, если информация о владельце есть в общедоступном источнике (например, на сайте депутата указаны контакты для прямого обращения).
• Верификационные параметры для авторизации на разных интернет-сервисах являются ПДн по определению и не подлежат разглашению третьим лицам.
• Фото- и видеозаписи. Относятся к ПДн только в ситуации, когда по ним можно провести идентификацию физического лица. Исключением является фото- или видеосъемка, произведенная на мероприятиях, имеющих массовый характер. Если запись порочит честь, достоинство или деловую репутацию человека, он в соответствии с частью 1 статьи 152 Гражданского Кодекса РФ может требовать опровержения.

К числу персональных сведений в этом случае относится информация, которую сотрудник должен сообщить при устройстве на работу. В основной части они совпадают с ПДн для физлица и предназначены для занесения в личное дело работника. По причине того, что сотрудник заполняет типовой бланк, в ИС могут попадать сведения, не связанные с выполнением им своей работы.

Дополнительно к личной информации физлиц персональное досье работника предприятия в обязательном порядке включает:

• должность;
• ИНН;
• заявление о приеме на работу;
• оклад;
• СНИЛС;
• трудовой стаж (+ на этом предприятии);
• справки о поощрениях и взысканиях со стороны администрации;
• информацию об использованном отпуске;
• медсправки и/или документы о диспансеризации (если это требуется условиями работы).

Работодатель не имеет права (и это прописано в законах):

1. Передавать третьим лицам личные данные без согласия самого работника (защита данных).
2. Запрашивать сведения о состоянии здоровья сотрудника без согласия. Исключением являются ситуации, когда это непосредственно связано с выполнением работником своих функций.

Обязанностью работодателя является:

• Защитить имеющиеся в его распоряжении ПД от стороннего доступа и разрешить знакомство с ними только специально уполномоченных сотрудников, предоставляя им данные в пределах их компетенции.
• Предупреждение третьих лиц, которым передается информация о работнике, что она может быть использована только для конкретных затребованных целей. Законодательством наложен запрет на несанкционированное распространение личных данных и виновные могут быть привлечены к ответственности.
• Закрепить соответствующим образом (например, подписью в специальном бланке) обязательство соблюдения конфиденциальности лицами, которым передаются ПД.

Помимо массива сведений, обязательного для работника предприятия, в число ПДн для этой категории тружеников входит:

• стаж + выслуга лет;
• должность;
• классный чин (если есть);
• разряд по тарифной сетке;
• ученая степень, награды, поощрения;
• допуск для работы с секретными материалами;
• справки об аттестации и повышении квалификации;
• справка о судимости;
• медсправки, копии больничных.

Юридические лица

К этой категории сведений относятся:

• наименование организации;
• юридический и фактический адрес;
• номера лицензий;
• ОГРН;
• ИНН;
• КПП;
• номер расчетного счета и другие банковские реквизиты.

Нормативно-правовая база

Основные юридические документы, устанавливающие принципы использования ПДн:

• Конституция Российской Федерации. Статьи 23 и 24 гарантируют гражданам неприкосновенность частной жизни, личную и семейную тайну, конфиденциальность в переписке, телефонных разговорах и иных сообщениях. Согласно этим положениям, ПДн принадлежат только их носителю и не должны контролироваться третьими лицами без его согласия. Со стороны государства гарантируется защита этого права граждан.
• Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006 определяет, кто и на каких условиях может использовать ПДн гражданина.

Для работников различных отраслей существуют отдельные нормативные акты, регулирующие правила обработки личной информации:

Источник: https://sovets.net/20918-chto-otnositsya-k-personalnym-dannym.html

Категории персональных данных

Разделение на категории персональных данных позволяет правильно и законно обрабатывать информацию. Ведь персональные данные – это любая информация, которая прямо или косвенно относится к конкретному лицу.

Это сведения о фамилии, имени, отчестве, дате рождения, адресе, семейном положении, месте рождения, профессии, паспортные данные, сведения доходах и т.п.

Среди таких данных Закон выделяет такие, обращение с которыми производится по отличному от общих правил порядку.

Категории персональных данных в законе

Порядок обращения с персональными данными и общую терминологию содержит Закон о защите персональных данных от 27.07.2006 года № 152-ФЗ. Этот закон называет и категории персональных данных:

• общие категории – перечень открытый. Это любые данные, которые прямо или косвенно относятся к определенному человеку. Поэтому в каждом случае вопрос о том, являются ли данные персональными, решается индивидуально. И зависит от взаимосвязи человека с конкретной информацией.
• специальные категории. Статья 10 Закона относит сюда сведения о расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. Причем не только сами такие сведения, но имеющие отношение к этой группе. 
• биометрические персональные данные. Им посвящена статья 11 Закона. Это такие данные, которые характеризуют физиологические и биологические особенности человека (самый яркий пример – отпечатки пальцев, анализы ДНК). При этом таковыми они являются только в случае, если оператор использует эти данные для установления личности субъекта РФ (например, новый способ входа в личный кабинет в банках с помощью сканирования лица). 

Что учесть при работе с отдельными категориями

Персональные данные любой категории относятся к конфиденциальным сведениям. А это значит, что обработка, хранение такой информации осуществляется по определенным правилам. 

По общему правилу, требуется согласие субъекта персональных данных. При этом оно должно быть конкретным и информированным. В то же время, отдельное согласие не обязательно, когда человек заполнил электронную форму в интернете о себе.

Ведь такая анкета по своей сути уже выражает согласие на обработку информации. Не обязательно такое согласие, если взаимодействие осуществляется в рамках договора, соглашения. А гражданин может отозвать свое согласие.

Даже из общедоступных источников (например, адресная книга и т.п.).   

Обработка отдельных категорий

По общему правилу обработка такой категории персональных данных, как специальные, запрещена. Но из любого правила есть исключения. Они касаются случаев, когда сам субъект дал согласие на обработку данных. Он мог сам сделать их общедоступными (разместил в социальных сетях и т.п.). И тогда их использование не считается обработкой.

Можно обрабатывать такие данные, если эти действия осуществляются для защиты жизни и здоровья гражданина и т.п. (ч. 2 ст. 10 Закона).

Допускается работа с такими данными для реализации международных договоров, если данные получены в ходе Всероссийской переписи населения. Или в медико-профилактических целях, для диагностики диагноза.

Обработка биометрических данных возможна только с согласия самого гражданина. Либо тогда, когда такое право устанавливает закон, международное соглашение.

Например, все осужденные проходят обязательную дактилоскопическую регистрацию. Как и граждане, которые призываются на военную службу. Сотрудники полиции и т.п.

Кстати, фотографии и видеозапись тоже относятся к биометрическим персональным данным.

Источник: https://iskiplus.ru/kategorii-personalnyx-dannyx/

Что подразумевается под категориями персональных данных? Внимательно изучаем вопрос

До 11 марта 2013 г. все органы государственной власти и муниципальные учреждения были обязаны проводить классификацию персональных данных. Целью мероприятия являлось соблюдение Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

В настоящий момент нормативный акт, требующий установления этой процедуры отменен и проводить классификацию персональных данных не нужно.

Дорогие читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер. 

Если вы хотите узнать, как решить именно Вашу проблему — обращайтесь в форму онлайн-консультанта справа или звоните по телефону +7 (499) 938-47-92. Это быстро и бесплатно!

Скрыть содержание

Как классифицируются?

Сведения

1. По категориям. Бывают специальные, общие, биометрические и иные. Подробно каждая категория будет рассмотрена ниже.
2. По объему. Существует три вида объема данных. Различаются они по количеству субъектов, одновременно обрабатываемых в пределах одной информационной системы: менее 1 тыс. человек, от 1 тыс. до 100 тыс. и более 100 тыс.
3. По результатам анализа данных. Определяют четыре класса. Чем выше негативные последствия при нарушении заданной характеристики безопасности персональных данных, тем ниже класс в этой группе.

Класс 1 означает информационные системы, которые, при нарушении заданной характеристики безопасности, приведут к значительным негативным последствиям для субъекта. Нарушения безопасности хранения данных в классе наоборот, не приведет к негативным последствиям.

Субъект – это физическое лицо, определенное и определяемое во время обработки персональных данных. В зависимости от цели создания системы различаются и категории.

Рассмотрим пример классификации субъектов на примере банка (без принадлежащих им данных, которые обрабатываются):

• Клиенты. В эту категорию включены физические лица (вкладчики, заемщики) и юридические лица (руководители, заключившие догов с банком на предоставление услуг).
• Работники. Весь персонал банка будет относиться к этой категории, а так же представители, оказывающие услуги на договорной основе.
• Посетители. Сюда относятся должностные лица – представители государственных законодательных органов, судебной власти, общественных организаций, различных коммерческих и некоммерческих услуг.
• Иные субъекты. К ним можно отнести акционеров банка или членов Совета Директоров.

Виды обработки

Под обработкой подразумевается любое действие (чтение, сбор, распространение, удаление, изменение) с персональными данными. Существует два вида обработки данных:

Какая информация относится?

• Специальные – это данные характеризующие взгляды, мировоззрение и убеждения, принадлежность к различным группам, то есть к перечню можно отнести информацию о национальности, расе, религии, философии и политических убеждениях. Такие данные позволяют сформировать представление о том, что из себя представляет человек.
• Общие – сведения, которые являются общедоступными. Как правило они предоставлены самим человеком и распространяются с устного или письменного согласия. Справочники, страницы в интернете, книги могут содержать ФИО, адрес, номер телефона, дату рождения, место работы или учебы.
• Биометрические – это данные основанные на физиологических или биологических особенностях, которые позволяют идентифицировать личность. Они являются уникальными и не повторяются. К этой категории относятся фотографии человека, отпечатки пальцев, код ДНК, рисунок радужной оболочки глаза, голос и пр.
• Иные – к этой категории относятся данные не вошедшие в предыдущие три. Сюда могут относиться медицинские, социальные и прочие показатели.

Заключение

Защита персональных данных человека – первоочередная задача. Приведенная выше классификация была разработана ведущими специалистами и успешно применялась на протяжении нескольких лет. Многие сотрудники, занимающиеся обработкой системы данных, до сих пор успешно используют ее в работе

Не нашли ответа на свой вопрос? Узнайте, как решить именно Вашу проблему — позвоните прямо сейчас: 

+7 (499) 938-47-92 (Москва) 

Это быстро и бесплатно!

Источник: https://101million.com/personal/priem-na-rabotu/konfidentsialnaya-informatsiya/personalnye-dannye/kategorii.html

Категории персональных данных

Предприятия, начинающие заниматься обработкой персональной информации, касающейся их сотрудников или клиентов, должны соблюдать все установленные законом требования, регламентирующие такую деятельность. Чтобы все операции, выполняемые с применением персональных данных, находились в правовом поле, необходимо выделить их в отдельные категории.

Категории, определенные законом

В России действует закон № 152 «О персональных данных», утвержденный 27.07.06 г. В статье 10 данного нормативного акта говорится о категориях специального типа, а в ст. 11 сказано о применении биометрической информации о человеке. Нормами данного закона накладываются ограничения особого характера на возможности обработки этой информации.

Предприятию-оператору персональных данных нужно придерживаться предписанных законом требований, касающихся ограничений их обработки. В противном случае оно будет наказано путем наложения административного взыскания с требованием выплаты довольно крупного штрафа. Об этом гласит статья 13.11, а также статья 5.

27 Кодекса об административных правонарушениях.

В случае с проведением различных операций с использованием персональных данных важно различать их по категориям в соответствии с характером информации, которую они содержат. С учетом этого нужно выполнить определенные требования, изложенные в законе.

На законодательном уровне установлены категории, являющиеся:

• общедоступными;
• специальными;
• биометрическими;
• другими данными.

Категории персональных данных закон не описывает и не выделяет. Некоторые уточненные формулировки имеются исключительно в отношении специальных категорий и биометрической информации. C 01.11.12 г., вступило в действие Постановление Правительства № 1119, в котором содержатся нормы по защите информации во время использования персональных данных в информационных системах.

Разработчики этого Постановления в пункте 5 указали, что есть несколько категорий, которые разделяют персональные данные на общедоступные, специальные, биометрические данные. Также отнесены в отдельную категорию «иные категории» ПД. Информация об этом содержится в абзаце 4 пункта 5 Постановления.

Исходя из сведений, содержащихся в тексте этого абзаца, можно сделать вывод, что «иными» являются категории ПД, входящие в группу данных о гражданине, отнести которые к трем другим категориям нельзя. Роскомнадзор 27.07.

17 г. издал специальные Рекомендации, в пункте 3.4 которых есть напоминание о требовании закона № 152, по которому во время получения ПД их категории должны соответствовать целям, установленным для обработки этих сведений.

Определенные категории персональной информации выделялись в приказе № 55/86/20, изданном ФСБ, ФСТЭК, Минсвязи совместно. Но в 2014 году с 11 марта этот нормативный документ был выведен из перечня действующих.

Источник: https://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/kategorii-personalnyh-dannyh/

Ликбез по персональным данным для компаний, которые их обрабатывают — Офтоп на vc.ru

Термины, нюансы и частые заблуждения — в материале от экспертов службы безопасности компании «Онланта» (входит в группу компаний ЛАНИТ).

Разбираемся в юридической терминологии и тех самых нюансах, из-за которых можно оказаться в суде.

Объясняем термины человеческим языком

Главный закон, который регулирует отношения, связанные с обработкой персональных данных — это Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных».

Первый термин, который требуется понимать, — персональные данные.

Что такое персональные данные

Это любая информация, с помощью которой можно идентифицировать человека: например, ФИО, дата рождения, образование, доходы и даже семейное положение. Вы спросите: «А что, моя фамилия, напечатанная на визитке, — это тоже персональные данные?»

Ответ: «Да». По закону неважно, напечатана ли на визитке только ваша фамилия или в сочетании, например, с номером телефона и адресом. И первое, и второе, и третье — персональные данные. Правда, за хранение визитки или номера телефона девушки в телефонной книге отвечать по закону не придётся, но об этом ниже.

Идём дальше. В СМИ постоянно пишут «хранение персональных данных». Правильно говорить не хранение, а обработка персональных данных.

Любые действия, которые вы совершаете с персональными данными (собираете, накапливаете, храните, передаёте, изменяете), в законе обозначены как «обработка персональных данных».

Важно понимать, что в законодательстве выделяется два субъекта персональных данных: оператор и обработчик. Оператор осуществляет обработку персональных данных, а также определяет цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработчик — это тот, кто совершает какие-либо действия с персональными данными: сбор, хранение, систематизацию, накопление, уточнение, обновление, изменение, удаление, обезличивание и так далее.

На самом деле, обработчик — это не только конечный пользователь, которому персональные данные нужны для работы, но и любой промежуточный пользователь, через руки которого прошли эти персональные данные. Показываем на практике.

Задачка

У интернет-магазина есть база данных клиентов, которая размещена в «облаке» сторонней компании. С этой базой работает маркетинговое агентство. Вопрос: сколько операторов персональных данных мы имеем?

Правильный ответ — одного. Это интернет-магазин, который задаёт цели обработки персональных данных. Второй вопрос: сколько обработчиков персональных данных мы имеем? Правильный ответ — два.

1. Компания, в облаке которой размещена база данных интернет-магазина.
2. Маркетинговое агентство, которое извлекает данные и на основе этих данных может подготовить рекламное предложение клиентам.

Персональные данные обрабатываются во множестве различных учреждений: например, в банках, школах, поликлиниках, визовых центрах. Не говоря уже про интернет-страницы, где мы регистрируемся, оставляя свои адреса электронной почты и телефонные номера. Но как и где именно?

Нюанс

В законе есть такой малопонятный термин, как «информационная система персональных данных». Если попытаться объяснить простыми словами — это целый комплекс, состоящий из серверов баз данных, технических средств, обеспечивающих их обработку, и информационных технологий. В соответствии с законодательством любую информационную систему персональных данных необходимо защищать.

Методы защиты информации бывают разными.

• Физическими: например, в комнате, где расположены компьютеры, могут быть установлены камеры, использоваться пропускной режим, сигнализация.
• Техническими — c помощью специализированных средств защиты информации.
• Административными: всевозможные регламенты и правила, регулирующие обработку персональных данных внутри компании.

Пример

Одно из средств защиты информации — это обезличивание персональных данных. Что это такое? В визовом центре каждому подающему на визу человеку присваивается отдельный идентификационный номер. Сам по себе номер не относится к персональным данным, так как обезличивает человека: по нему нельзя определить лицо, подавшего документы на визу.

Кажется, я обрабатываю персональные данные

Итак, с терминологией разобрались. Теперь всем представителям бизнеса, в особенности индивидуальным предпринимателям, у которых может быть всего несколько сотрудников в штате, стоит честно ответить на вопрос: «Обрабатываю ли я персональные данные?»

Да, если вы владелец сайта с посещаемостью пять человек в неделю, но на нём есть форма обратной связи с полями «ФИО, адрес электронной почты, телефон». Информация о том, для каких целей вы собираете персональные данные, как вы их используете, должна быть представлена на вашем сайте.

Да, если вы обрабатываете персональные данные своих сотрудников или сторонних специалистов, нанятых для выполнения каких-то работ.

Да, если вы работаете с частными клиентами и вам требуются их паспортные данные для заключения договоров — это касается турагентств, фитнес-центров, разного рода сервисных компаний, интернет-магазинов и прочего.

И снова да, если вы бюджетная организация, политическая партия или детский сад. Последние обладают не только информацией о ребёнке, но и о его родителях, включая место работы и должность. Не говоря уже о медицинских учреждениях — там море личной деликатной информации, которую необходимо надёжно хранить.

Однако если вы используете данные для личной коммуникации без коммерческой выгоды, то требования законодательства на вас не распространяются и ни о какой уголовной ответственности речи идти не может.

Например, использование вами контактов, напечатанных на визитке, которую вы получили от коллеги, или номеров телефонов в записной книжке на смартфоне, информации в социальных сетях не накладывает на вас ответственность перед законом.

Главное — не разглашать данные рекламодателям и не публиковать их без разрешения владельцев персональных данных в открытом доступе.

Определяем категорию персональных данных

Поздравляем, вы — гордый обладатель звания «оператор персональных данных». Самое важное теперь — понять, какие именно персональные данные вы обрабатываете. Потому что именно от категории персональных данных зависит, как данные защищать и каким требованиям нужно соответствовать. Категории подробно описаны в ФЗ-152 и постановлении правительства от 1 ноября 2012 г. N 1119.

Категории персональных данных простыми словами:

Общедоступные персональные данные: данные из открытых ресурсов, которые публикуются субъектом персональных данных или с его одобрения. Общедоступные данные — это данные из СМИ или интернета.

Источник: https://vc.ru/flood/33380-likbez-po-personalnym-dannym-dlya-kompaniy-kotorye-ih-obrabatyvayut

Специальные категории персональных данных

Что такое персональная информация человека? Это его имя, фамилия, отчество, число рождения, вес, рост, его образование, адрес места жительства, номер телефона и так далее и тому подобное.

Информацией мы владеем с рождения, с годами накапливаем и используем в повседневной жизни. Как следует из самого названия, это наша личная информация и использование ее без нашего ведома запрещено.

Если у какого-либо гражданина, в связи с его работой, появляется доступ к личным данным разных людей, то он не имеет права разглашать, передавать или использовать эту информацию в личных целях.

Среди этих документов будет бланк, которым Вы либо даете согласие на обработку, либо отказываете. И при любом Вашем решении, это никак не повлияет на качество получаемых услуг от банка.

• Виды информации
• Есть специальные категории наших персональных данных, которые защищены от распространения законом нашей страны.
• К ним можно отнести:

1. Национальность.

2. Религиозные взгляды.

3. Политические настроения.

4. Медицинские показатели.

5. Получаемый доход.

6. Интимная жизнь и пр.

1. Эти виды информации несут о нас более личную характеристику, и разглашение ее или использование возможно только с нашего разрешения.
2. Если возможность получения письменного согласия на использование наших персональных данных отсутствует, то в случаях, предусмотренных законодательными актами это возможно.
3. Исключительные случаи использование информации
4. К ним можно отнести:

1. Медицинское вмешательство, сохранение жизни и здоровья гражданина.

2. Правосудие.

3. Следственно-розыскные мероприятия.

4. Данные стали доступны в связи с действиями самого гражданина.

5. Противодействие терроризму, оборона и безопасность страны.

6. Прокурорский надзор.

7. Действия государственных учреждений, связанные с защитой и в интересах детей, оставшихся без опеки.

• Гражданин, дающий согласие на использование специальных категорий персональных данных другим лицам, должен это делать добровольно и в своих интересах.
• При отсутствии возможности получения согласия лично у владельца информации согласие может дать лицо, имеющее на это право.
• В любом случае, согласие должно иметь форму, которая сможет в любое время подтвердить его факт существования.

Источник: https://uristhome.ru/spetsialnye-kategorii-personalnykh-dannykh