Управление персональными данными. Роскомнадзор об обработке персональных данных

С 1 июля 2017 года ужесточилась ответственность за нарушение законодательства о персональных данных. С какими персональными данными приходится иметь дело управляющим организациям, что делать, если собственники не дают согласие на обработку персональных данных?

Об этом мы поговорили с Дмитрием Юрьевичем Артюхиным, руководителем Управления федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по Республике Карелия.

Об обработке персональных данных

Дмитрий Юрьевич, расскажите, что такое персональные данные и есть ли они в сфере ЖКХ?

Персональные данные - это любая информация, на основании которой можно однозначно идентифицировать конкретного человека.

Обработка персональных данных - любое действие, автоматизированное или не автоматизированное, которое совершается с персональными данными. Это сбор, запись, систематизация, накопление, хранение и уточнение данных.

К персональным данным мы относим фамилию, имя, отчество, дату и место рождения человека, данные документа, удостоверяющего личность. И много другой информации, на основании которой прямо или косвенно можно определить конкретного человека.

При этом нужно иметь ввиду, что если без получения дополнительной информации невозможно установить конкретного человека, то такая информация не является персональными данными.

Например, в СМИ размещены списки должников. В них указаны фамилии и инициалы. На основании этой информации идентифицировать человека нельзя. Совсем другое дело, если эти списки управляющая организация разместит в подъезде дома, в котором живёт человек.

Конечно, деятельность по управлению МКД связана с обработкой персональных данных. Каждая форма управления: управляющая организация, ТСЖ или даже непосредственное управление предусматривает сбор и обработку персональных данных.

Управляющие организации заключают с собственниками помещений договоры управления МКД, в которых обязательно указываются персональные данные. Кроме того, УО как юридические лица имеют правоотношения со своими работниками, которые регулируются трудовым законодательством. Поэтому управляющие организации являются операторами по обработке персональных данных.

Об операторе по обработке персональных данных

Кто является оператором персональных данных?

В соответствии с законом оператор персональных данных - государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или с другими лицами обрабатывает персональные данные. Такое лицо определяет цели обработки ПД и их состав.

Любое юридическое лицо, в том числе УО, ТСЖ и кооперативы, автоматически становится оператором персональных данных.

Кого должна уведомить УО о том, что она является оператором персональных данных?

Не нужно уведомлять Роскомнадзор, если персональные данные оператор получает по договору с субъектом персональных данных, при условии, что ПД не распространяются и не передаются третьим лицам.

Это же правило действует, если ПД относятся к членам общественного объединения или религиозной организации, являются общедоступными и состоят из фамилии, имени и отчества. Полный перечень можно прочитать в части 2 статьи 22 N 152-ФЗ .

Решение об отправке уведомления в уполномоченный орган принимает оператор персональных данных. При этом отправляет или не отправляет оператор уведомление, он всё равно остаётся оператором персональных данных.

Мы регулярно напоминаем юридическим лицам о необходимости отправлять нам уведомления (ст. 22 N 152-ФЗ). Если юридическое лицо не включено в реестр операторов персональных данных, это не освобождает его от контрольно-надзорных мероприятий.

Скорее наоборот, те юрлица, которые с нашей точки зрения, могут быть операторами персональных данных, обрабатывают ПД и не попадают в перечень, исключающий необходимость направления уведомления, но уведомление не направили, вероятнее всего попадут в план проверок.

Требования к уведомлению в Роскомнадзор перечислены в части 3 статьи 22 N 152-ФЗ .

О согласии на обработку персональных данных

Когда нужно заручиться согласием на обработку персональных данных?

Оператор персональных данных должен понимать, что обработка персональных данных может осуществляться только с согласия субъекта персональных данных или при наличии других законных оснований. При этом, необходимо отметить, что каждый отдельный случай индивидуален.

Кто несёт ответственность за персональные данные, если УО, которая обрабатывает персональные данные собственников, передаёт их по договору третьему лицу?

Если управляющая организация планирует поручить обработку персональных данных третьим лицам, у неё обязательно должно быть на то согласие субъекта персональных данных. Если такого согласия не будет, оператора привлекут к ответственности. Согласие получать не нужно, если это установлено федеральными законами.

Лицо, которое обрабатывает персональные данные по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных. Ответственность в этой ситуации несёт управляющая организация.

Что делать управляющей организации, если собственник не даёт согласие на обработку персональных данных?

Заставить собственника никак нельзя, нужно пытаться убедить, рассказывать, какие последствия могут возникнуть у субъекта в случае отказа в предоставлении согласия. Но в любом случае обработка ПД без согласия в отсутствии иных законных оснований на обработку ПД не допускается.

Бремя доказывания наличия согласия на обработку ПД лежит на операторе персональных данных.

Об ответственности за нарушение законодательства о персональных данных

Какие штрафы существуют и кто их выписывает?

До первого июля 2017 года за нарушение установленного порядка сбора, хранения, использования или распространения персональных данных была установлена административная ответственность по статье 13.11 КоАП РФ . Для юридических лиц это предупреждение или наложение административного штрафа от пяти тысяч до десяти тысяч рублей.

Механизм был следующий: Роскомнадзор проводил контрольно-надзорные мероприятия в области ПД. Если в ходе мероприятий выявлял нарушения, то сообщал о них в прокуратуру для принятия мер. Прокуратура рассматривала сообщение и в случае признания нарушения выносила постановление о возбуждении дела об административном правонарушении и направляла его в суд.

С первого июля ситуация изменилась. Новая редакция статьи 13.11 КоАП РФ более детализирована, в ней теперь семь составов, все они связаны с обработкой персональных данных. Увеличиваются штрафы, у Роскомнадзора появились полномочия составлять протоколы, то есть возбуждать дела об административных правонарушениях, минуя прокуратуру.

Максимальный штраф, предусмотренный статьёй 13.11 КоАП РФ в новой редакции, - 75 000 рублей. Его можно будет получить за обработку персональных данных без получения согласия субъекта персональных данных в письменной форме, если оно предусмотрено законом.

Законодательство о персональных данных в Российской Федерации уже давно стало предметом бурных обсуждений среди практикующих юристов и бизнес-сообщества. Особую актуальность тематика персональных данных приобрела после ужесточения административной ответственности за нарушение Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее – "Закон о персональных данных"), в частности с вступлением с 01 июля 2017 г. в силу поправок в статью 13.11 КоАП РФ .

Корпоративная деятельность неразрывно связана с получением и обработкой персональных данных. Так, например, хозяйственное общество обязано предоставлять по запросу акционера документы общества, которые могут содержать в числе прочего персональные данные. Другим примером может быть раскрытие информации о крупных акционерах, членах совета директоров общества на официальном сайте компании, где могут фигурировать персональные данные. Наконец, обращение к родственникам с целью сбора и передачи обществу информации о юридических лицах, в которых заинтересованные лица, их супруги, родители, дети, полнородные и неполнородные братья и сестры и (или) их подконтрольные организации занимают должности.

Наиболее часто используемым основанием для обработки персональных данных является согласие субъекта. Вместе с тем оно требуется далеко не всегда. Закон о персональных данных предусматривает несколько исключений, когда получение согласия субъекта на обработку персональных данных не требуется. Эти исключения предусмотрены в статье 6 Закона о персональных данных, которая содержит условия обработки таких данных.

В сфере корпоративного управления наиболее часто используются следующие два исключения, когда при обработке персональных данных согласие субъекта не требуется:

1) Обработка персональных данных, подлежащих раскрытию или опубликованию по закону (подп. 11 ч. 1 ст. 6);

2) Обработка персональных данных для осуществления прав и законных интересов оператора или третьих лиц (подп. 7 ч. 1 ст. 6).

Обработка персональных данных, подлежащих раскрытию или опубликованию по закону

Чаще всего в рамках корпоративного управления персональные данные раскрываются в целях соблюдения требований законодательства. Так, например, персональные данные членов совета директоров раскрываются при публикации годовых отчетов акционерного общества в соответствии со статьей 92 Федерального закона от 26.12.1995 № 208-ФЗ "Об акционерных обществах" (далее – Закон об акционерных обществах). Сведения об аффилированных лицах акционерного общества раскрываются в соответствии с главой 73 Положения о раскрытии информации эмитентами эмиссионных ценных бумаг . Члены совета директоров предоставляют акционерному обществу информацию о занятии ими, их супругами, родителями, детьми, братьями и сестрами, усыновителями или усыновленными должности в органах управления другого юридического лица согласно пункту 2 части 1 статьи 82 Закона об акционерных обществах. Возникает вопрос, нужно ли в данном случае получать согласие субъекта на обработку его персональных данных?

Здесь действует следующее правило: согласие субъекта персональных данных не требуется при соблюдении следующих условий:

1. Условие 1. Если осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом ; или

2. Условие 2. Если обработка персональных данных необходима для осуществления и выполнения оператором функций, полномочий и обязанностей, возложенных на него законодательством Российской Федерации .

Указанные условия Закона о персональных данных идут "плечом к плечу", и можно смело говорить о том, что в отсутствие условия 1 оператор мог бы обрабатывать персональные данные, подлежащие обязательному опубликованию или раскрытию, руководствуясь условием 2, – т.е. для осуществления и выполнения функций, возложенных на него законодательством. Обратим, однако, внимание на то, что в отличие от условия 1, где речь идет о соблюдении федерального закона, в условии 2 используется понятие "законодательство Российской Федерации".Следовательно, в соответствии с данным условием возможна обработка персональных данных, если это предусмотрено как федеральными законами, так и постановлениями правительства, а также актами органов власти субъектов или органов местного самоуправления.

Таким образом, следует придерживаться простого правила: если обработка (в том числе предоставление, раскрытие) предусмотрена законодательством Российской Федерации, согласие субъекта персональных данных на такую обработку не требуется. Если обработка персональных данных не предусмотрена законодательством или обработка происходит в объеме большем, чем предусмотрено законодательством, на такую обработку потребуется согласие субъекта.

Разберем данное правило на простых примерах.

Раскрытие сведений о членах совета директоров акционерного общества

Публичные общества, а также непубличные общества с числом акционеров более 50 обязаны раскрывать годовой отчет в соответствии со статьей 92 Закона об акционерных обществах.

Пример 1. Общество раскрыло на своей странице в сети Интернет краткие биографические данные членов совета директоров в объеме, предусмотренном пунктом 70.3 Положения о раскрытии информации эмитентами эмиссионных ценных бумаг (год рождения, сведения об образовании, сведения об основном месте работы).

Согласие членов совета директоров на данное раскрытие информации не требуется, т.к. такое раскрытие предусмотрено законодательством.

Пример 2. Общество раскрыло на своей странице в сети Интернет данные о семейном положении членов совета директоров.

На данное раскрытие требуется согласие членов совета директоров, т.к. такое раскрытие не предусмотрено законодательством.

По общему правилу, для публикации фотографий членов совета директоров требуется согласие, т.к. такая публикация не является обязательной в соответствии с требованиями законодательства. Однако есть обстоятельства, при которых согласие не требуется. Такие обстоятельства указаны в статье 152.1 Гражданского кодекса Российской Федерации, а именно: использование изображения в государственных, общественных или иных публичных интересах; изображение гражданина получено при съемке в местах, открытых для свободного посещения или на публичных мероприятиях, за исключением случаев, когда такое изображение является основным объектом использования; гражданин позировал за плату.

При этом отсутствие необходимости получения согласия субъекта не означает, что все требования законодательства при обработке персональных данных соблюдены. Общие принципы обработки персональных данных, изложенные в статье 5 Закона о персональных данных, должны соблюдаться. К таким принципам относится, в частности, соответствие содержания и объема персональных данных заявленным целям обработки. Персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. Например, если цель обработки персональных данных – соответствие требованиям по раскрытию информации, то раскрытие данных, не предусмотренных законом, уже не будет соответствовать заявленной цели.

Если, исходя из изложенного выше правила, требуется получать согласие субъекта на обработку его персональных данных, можно использовать форму согласия, приведенную ниже .

Обработка персональных данных для осуществления прав и законных интересов оператора или третьих лиц (подп. 7 ч. 1 ст. 6 Закона о персональных данных)

Обработка персональных данных при предоставлении акционерам доступа к документам. Вопрос об обработке персональных данных встает и в случае, когда речь идет о предоставлении персональных данных акционерам/участникам общества в соответствии со ст. 91 Закона об акционерных обществах и ст. 50 Закона об обществах с ограниченной ответственностью. В частности, когда запрос акционера/участника связан с предоставлением персональных данных физических лиц, входящих в органы управления юридического лица, или лиц, вступивших в правоотношения с таким обществом.

В данном случае доступ к документам предоставляется с учетом позиций, изложенных в Информационном письме ВАС РФ от 18.01.2011 № 144 (далее – Письмо). Письмо предусматривает, что участник хозяйственного общества вправе получать информацию о физических лицах, вступивших в правоотношения с таким обществом, если это необходимо для защиты им своих прав и законных интересов. Речь идет, например, о случаях оспаривания участником сделки, заключенной обществом, либо предъявления иска члену совета директоров или генеральному директору с требованием о возмещении причиненных обществу убытков. В таких случаях заявитель вправе запрашивать у общества информацию и документы, содержащие в числе прочего персональные данные физических лиц, необходимые для обращения в суд, со ссылкой на пункт 7 часть 1 статьи 6 Закона о персональных данных.

Позиция, выработанная ВАС РФ, находит свое применение на практике. Так, арбитражный суд Дальневосточного округа признал незаконным отказ налогового органа предоставить копии документов из регистрационного дела по запросу конкурсного управляющего должника . Одним из оснований для отказа стало то, что документы по запросу конкурсного управляющего содержали в себе персональные данные учредителей компании. Отказ налогового органа был признан судом незаконным со ссылкой на то, что обработка персональных данных в данном случае необходима для осуществления прав и законных интересов оператора или третьих лиц. В частности, согласно законодательству о банкротстве конкурсный управляющий исполняет обязанности руководителя должника и действует на основании и во исполнение судебного акта о признании должника несостоятельным (банкротом). В силу этого непредставление по запросу конкурсного управляющего сведений, содержащих среди прочего персональные данные, будет являться нарушением, так как препятствует сбору сведений о должнике и, как следствие, реализации конкурсным управляющим предоставленных законодательством о банкротстве специальных полномочий.

В другом деле арбитражный суд Западно-Сибирского округа признал незаконным отказ налогового органа в предоставлении протокола общего собрания общества с ограниченной ответственностью по причине нарушения прав субъектов персональных данных. Речь шла о предоставлении протокола, содержащего в себе паспортные данные физического лица, который не давал согласия на признание сведений о себе общедоступными. На этом основании налоговый орган ответил отказом, ссылаясь на пункт 1 статьи 6 Федерального закона от 08.08.2001 № 129-ФЗ "О государственной регистрации юридических лиц и индивидуальных предпринимателей" (далее – Закон о государственной регистрации). Согласно Закону о государственной регистрации сведения и документы, содержащиеся в реестре, являются открытыми и общедоступными, за исключением сведений с ограниченным доступом (абз. 2 п. 1 ст. 6 Закона о государственной регистрации). В соответствии с ограничениями законодательства о государственной регистрации данные документа, удостоверяющего личность, могут быть предоставлены лишь по запросу органов государственной власти, иным государственным органам, судам, органам государственных внебюджетных фондов в случаях и в порядке, которые установлены Правительством Российской Федерации. Однако данное ограничение не применяется при предоставлении содержащих указанные сведения копий учредительных документов юридических лиц .

Изначально такое ограничение по предоставлению информации и копий документов из реестра было установлено в целях защиты сведений от посягательств лиц, не имеющих никакого отношения к обществу. В случае же, когда речь идет о предоставлении заявителю документов (включая протоколы общего собрания) общества, участником которого он является, основания для отказа отсутствуют. В связи с этим при обращении с запросом информации или корпоративных документов следует, прежде всего, учитывать характер запрашиваемой информации (документа); субъектный состав участников правоотношений; доказательства нарушения прав субъектов персональных данных или отсутствие таких нарушений.

Обработка и условия передачи персональных данных работника. При обработке персональных данных сотрудников необходимо руководствоваться разъяснениями Роскомнадзора , которыми установлены следующие правила. Согласие сотрудника на обработку его персональных данных не требуется при соблюдении следующих критериев:

(а) объем данных для обработки соответствует установленным законодательством пределам;

(б) цель обработки данных сотрудника не противоречит трудовому или иному специальному законодательству.

В разъяснениях Роскомнадзора прямо сказано, что согласие работника не требуется при обработке персональных данных в случаях, установленных трудовым договором, коллективным договором или иными правилами внутреннего трудового распорядка. Однако это не означает, что в локальные нормативные акты (далее – ЛНА) можно транслировать все что угодно. Главной задачей здесь является принятие ЛНА в порядке, установленном отраслевым законодательством, и отсутствие противоречий с принципами и положениями действующего трудового законодательства. Только если обработка ПД осуществляется в соответствии с надлежаще разработанными ЛНА и цели обработки соответствуют действующему трудовому законодательству, получать согласие работника нет необходимости.

На практике существует достаточно много примеров, когда работодатель может осуществлять обработку персональных данных без получения согласия сотрудника . Как правило, речь идет о случаях, когда обработка персональных данных необходима для выполнения работодателем, выступающим в качестве оператора, обязанностей, предусмотренных законодательством. В частности, если речь идет об образовательном учреждении, то законодательством предусмотрено, что на его сайте должна размещаться и обновляться информация, включающая в себя в числе прочего персональные данные сотрудников . Например, фамилию, имя, отчество руководителя образовательного учреждения, его место нахождения, график работы, справочные телефоны, фамилии, имена, отчества, должности руководителей структурных подразделений, информация о персональном составе педагогических (научно-педагогических) работников.

Правила о получении согласия работника на обработку его персональных данных не применяются , когда речь идет о передаче персональных данных третьим лицам в целях предотвращения угрозы для жизни или здоровья сотрудника. Кроме того, трудовое законодательство предусматривает передачу персональных данных сотрудника в Пенсионный фонд и Фонд социального страхования без согласия работника со ссылкой на ст. 22 Трудового кодекса Российской Федерации. Наконец, законодательство предусматривает передачу персональных данных сотрудника без его согласия в налоговые органы, профсоюзы и военные комиссариаты или по мотивированному запросу прокуратуры и правоохранительных органов .

Анализ изложенных выше примеров и комментариев законодательства позволяет предложить следующие рекомендации при обработке персональных данных в сфере корпоративного управления.

Во-первых, руководствоваться правилом о том, что если обработка персональных данных предусмотрена законодательством, то согласие субъекта на обработку не требуется. Вместе с тем оператору персональных данных следует проверять и соблюдать, в каком объеме законодательство предусматривает раскрытие персональных данных. В противном случае может потребоваться согласие на обработку.

Во-вторых, операторам рекомендуется обращать внимание на принципы обработки персональных данных, изложенные в статье 5 Закона о персональных данных. Одним из принципов, на который стоит обратить особое внимание при обработке – соответствие содержания и объема персональных данных заявленным целям обработки. Велика вероятность, что такие принципы будут толковаться в пользу субъекта персональных данных как более слабой и уязвимой стороны по сравнению с оператором.

В-третьих, при обращении акционера/участника общества с запросом об ознакомлении с документами общества, которые могут содержать персональные данные, следует учитывать характер и объем запрашиваемой информации/документа, а также статус лица, направившего запрос.

Наконец, общей рекомендацией может быть предварительно оценивать риски нарушения прав акционеров/участников общества при отказе в предоставлении информации/документов с одной стороны и риски нарушения прав субъектов персональных данных при раскрытии информации/документов, содержащих эти данные. Попытка оценить риски и взвесить плюсы и минусы в случае отказа или раскрытия персональных данных в корпоративном управлении позволит оператору персональных данных избежать ответственности или как минимум выбрать меньшее из зол.

С 1 июля 2017 года вступают в силу поправки, регламентирующие увеличение штрафов до 75.000 руб. и упрощение процесса проверки, что позволит инспектору Роскомнадзора (РКН) выписать штраф за зафиксированное нарушение, просто зайдя на сайт .

Нужно ли вам это?

• На вашем ресурсе присутствуют формы с запросом любых данных о посетителе (ФИО, телефон, email и т.д.)?
• Осуществляются продажи товаров или услуг через сайт (корзина, покупка в 1 клик, форма заказа и т.д.)?
• Имеется возможность пользования личным кабинетом на вашем сайте (регистрация, авторизация, восстановление пароля)?
• Существует возможность подписки на e-mail уведомления (рассылка новостей, уведомлений, информации и т.д.)?
• Присутствуют любые предложения, в которых необходимо связываться по e-mail?

Во всех случаях вы являетесь оператором по обработке персональных данных, что накладывает на вас обязательства по нормативам Роскомнадзора, в случае невыполнения которых могут возлагаться штрафы.

Что необходимо сделать?

Оформить все необходимые нормативные документы и грамотно представить их на сайте. Не знаете, как это сделать? Мы вам поможем!

Нами будут проведены следующие работы:

• Подготовим соглашение о конфиденциальности, условиям использования сайта и обработке персональных данных
• Добавим страницу «Соглашение об обработке персональных данных»
• Разместим ссылку на страницу «Соглашение об обработке персональных данных» на всех страницах сайта
• Добавим во все формы на сайте, в которых используются персональные данные, поле о согласии на их обработку с ссылкой на страницу «Соглашение об обработке персональных данных»
• Добавим всплывающее сообщение с Дисклеймером – предупреждение, в котором говорится, что на сайте собираются статистические данные
• Проверим, соответствуют ли условия хранения базы данных и дадим рекомендации
• Дадим рекомендации для подачи заявления в Роскомнадзор для регистрации вас как оператора (обращаем ваше внимание, что подача документов осуществляется самостоятельно)
• Проконсультируем по любым возникшим вопросам

02.12.2009 Валерий Васенин, Кирилл Шапченко

ФЗ №152, принятия которого ждали долгие годы, законодательно регламентирует все процессы оперирования персональными данными, но ряд вопросов остались открытыми. Без их решения многие из положений закона не смогут быть реализованы на практике.

ФЗ №152, принятия которого ждали долгие годы, законодательно регламентирует все процессы оперирования персональными данными, но ряд вопросов, связанных в первую очередь с механизмами обеспечения информационной безопасности, в силу объективных технологических причин остались открытыми. Попробуем систематизировать некоторые из них и обозначим подходы к их решению.

Рассматривая вопросы обеспечения информационной безопасности, возникающие при сборе, обработке, хранении и использовании персональных данных, следует выделить несколько условных уровней их разрешения.

Уровень 1. Персональные данные находятся под контролем субъекта, к которому они относятся. В этом случае вся ответственность по обеспечению их безопасности на этапах сбора, первичной обработки и систематизации, хранения и предоставления другим пользователям возлагается на самого субъекта. Исходя из положений ФЗ-152 он определяет политику безопасного использования таких данных, архитектуру и набор средств защиты, собственно их аппаратно-программное обеспечение. В этом случае ответственность за реализацию нормативных актов ложится на субъекта персональных данных. Регулятор может оказывать субъекту методическую помощь и содействие.

Уровень 2. Управление персональными данными берет на себя посредник – юридическое или физическое лицо, заключающее с субъектом персональных данных договор, определяющий условия их сбора, обработки, хранения и использования. В этом случае вся полнота ответственности за их информационную безопасность возлагается на организацию-посредника.

Уровень 3. Управление персональными данными осуществляют субъекты таких данных вместе с организацией той или иной формы собственности, которая не специализируется в области управления персональными данными, однако по роду своей деятельности обладает таковыми в составе коллекций других документов и вынуждена собирать их, обрабатывать и хранить. К числу таких организаций относятся, например, банки, различного рода другие кредитные организации, учреждения социальной направленности и ведомства силового блока. Посредником в таком взаимодействии могут выступать и организации, специализирующиеся в области управления персональными данными. Как следствие, при этом возникают угрозы несанкционированной утечки персональных данных через различные каналы связи, а также извлечения персональных данных из других коллекций данных и документов более общего характера. В ходе работы с документами в подобных организациях сложно гарантировать, в первую очередь с позиций технологических и административно-организационных, что будут приняты все декларируемые положениями ФЗ-152 меры по обеспечению безопасности персональных данных и соблюдению права субъекта на санкционированный доступ к своим персональным данным в коллекциях документов и на обработку его персональных данных.

Разработка механизмов эффективной реализации положений и требований закона в полном объеме, выпуск спецификаций к реализующим такие механизмы программным средствам, создание высокофункционального, верифицируемого и отчуждаемого программного обеспечения информационных систем обработки персональных данных – все это относится к важнейшим задачам государства. Но далеко не все вопросы на этом направлении сегодня решены. Рассмотрим отдельные положения ФЗ-152, требования к функциям информационных систем для обработки персональных данных, к механизмам их реализации, которые заслуживают особого внимания и диктуют необходимость проведения дополнительных теоретических и прикладных исследований.

Отправные положения и функциональные требования

Статья 3 закона определяет ряд основных понятий, касающихся действий, которые производятся с персональными данными: распространение, блокирование, уничтожение и обезличивание персональных данных. Эти операции должны составлять основу бизнес-процессов информационной системы для работы с персональными данными. В контексте целей настоящей публикации обратим внимание на отмеченное в пункте 2 данной статьи функциональное требование к такой информационной системе – предоставление гарантий по ограничению срока хранения данных в зависимости от состояния процесса их обработки.

Интерпретируя статью 19, в первую очередь следует отметить цели обеспечения безопасности, связанные с защитой персональных данных от несанкционированного доступа при выполнении таких операций, как чтение, изменение и удаление данных. Требование защиты от неправомерного блокирования персональных данных влечет за собой необходимость обеспечения не только их конфиденциальности и целостности, но и доступности. Более детальные требования, согласно пункту 2 статьи 19, утверждаются Правительством РФ. Одним из документов, регулирующих этот аспект информационных систем персональных данных, является Постановление Правительства РФ от 17 ноября 2007 года № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных». В пунктах 11 и 12 перечисляются основные требования и мероприятия по обеспечению безопасности, устанавливаются требования по перманентному контролю за состоянием защищенности информационной системы персональных данных, повышенные требования по восстановлению после сбоев и несанкционированных действий, а также по разработке и описанию модели угроз персональным данным, по созданию системы их защиты. Разработка методических материалов по обеспечению безопасности информационных систем для работы с персональными данными возлагается на Федеральную службу по техническому и экспортному контролю (ФСТЭК) и на Федеральную службу безопасности Российской Федерации в пределах их полномочий. Реализация перечисленных требований – технологически сложная задача, механизмов решения которой в полном объеме сегодня нет.

В статье 21 закона отмечается необходимость реализации таких служебных операций в информационных системах персональных данных, как блокирование и снятие блокировки с персональных данных, а также их надежное удаление. Такие операции должны быть «привязаны» к статусу обрабатываемых персональных данных и к состоянию процессов их обработки, а именно – должны выполняться по завершении обработки и в случаях обнаружения неправомерных операций с данными либо выявления их недостоверности. Указанное обстоятельство свидетельствует о повышенных требованиях к механизмам управления бизнес-процессами в организации-посреднике при работе с персональными данными. Разработка таких механизмов, регламентов их применения и программных реализаций с использованием традиционных средств вычислительной техники с позиций требований руководящих документов ФСТЭК, других стандартов и рекомендаций – отдельная, технологически сложная задача.

Дополнительное требование к функциональным возможностям информационных систем обработки персональных данных определяется в статье 14 закона. Пункт 4 этой статьи указывает на необходимость предоставления субъекту персональных данных служебной информации о процессах обработки таких данных. Выполнение этих требований возможно только с применением механизмов детального протоколирования процессов обработки и использования персональных данных, в том числе – протоколирования информации о режиме доступа к таким данным. Реализация этих требований в полном объеме с использованием традиционных информационных систем на настоящее время пока не представляется возможной.

Перечисленные отдельные положения закона требуют более детального осмысления, в первую очередь – с позиции их применения на практике, разработки необходимого для этого математического и программного обеспечения.

Требования к информационным системам

Проанализируем некоторые положения закона с точки зрения требований к механизмам и формальным моделям, удовлетворяющим букве ФЗ-152. Во-первых, отметим, что в информационной системе для обработки персональных данных должен вводиться дополнительный класс объектов – класс персональных данных. Правила доступа к объектам этого класса необходимо задавать отдельно от других. Кроме того, возможно определение отдельных категорий данных такого вида с отличающимися правилами доступа к ним. Как следствие, может быть востребована реализация процедур изменения категории доступа к персональным данным, например, при их обезличивании.

Отмеченные обстоятельства указывают на необходимость разработки формальных моделей логического разграничения доступа к данным и реализующих их программных средств, адаптированных к потребностям и особенностям обработки и использования персональных данных. В том числе представляется целесообразным при формировании механизмов блокирования и снятия блокировки с персональных данных в максимальной степени использовать традиционные в системах защиты информации средства разграничения доступа. На основе верификации программного кода и, как следствие, корректной программной реализации моделей и механизмов логического разграничения доступа может быть выполнена часть требований к защите персональных данных, представленных в части 1 статьи 19. Заметим, что их следствием является высокий оценочный уровень доверия к автоматизированным системам. Суть этих требований сводится к предотвращению несанкционированного доступа к персональным данным с целью их чтения или изменения, а также к предоставлению гарантий на потоки данных в информационной системе, включая копирование и распространение.

С точки зрения разработки механизмов и программных средств автоматизированного управления персональными данными важно отметить необходимость реализации механизмов их надежного удаления из информационной системы. Надежное удаление, как правило, подразумевает уничтожение самого удаляемого объекта и всех его копий, включая резервные и временные, которые создаются под потребности используемых аппаратно-программных средств. Разработка механизмов и программного обеспечения такого удаления – отдельная и достаточно тонкая задача, требующая своего решения.

Для того чтобы эффективно контролировать сроки хранения персональных данных и выполнять процедуру их своевременного надежного удаления, должны быть созданы механизмы мониторинга состояния процессов обработки и использования персональных данных. Представляется целесообразным совместить решение этой задачи с созданием специализированной системы управления бизнес-процессами, адаптированной для выполнения действий над персональными данными. Срок выполнения ряда операций над персональными данными может устанавливаться неявно, например через условие, что обработка данных завершена либо перестала быть необходимой. Своевременное реагирование на выполнение такого условия, в свою очередь, приводит к необходимости формального описания, проектирования средств автоматизации процессов обработки персональных данных с целью обеспечить гарантированное (с высокой вероятностью) выполнение операций их удаления по истечении срока хранения.

Принимая во внимание упомянутые требования закона по реализации своевременной выдачи субъекту персональных данных информации о процессах их обработки, необходимо строго поставить и решить задачу о выборе адекватной схемы хранения самих персональных данных и информации об операциях с ними. Поскольку информация, которая должна быть выдана субъекту, содержит как непосредственно персональные данные о нем, так и метаданные, связанные с процедурой их обработки, необходимо вести оперативный учет и обладать возможностями получения подобной дополнительной информации по требованию. Механизмов и программных средств, обладающих должным оценочным уровнем доверия и позволяющих реализовать такие функции, в составе автоматизированных систем, представленных на ИТ-рынке, сегодня не существует. Разработка таких систем в развитие положений Постановления Правительства РФ № 781 – важная задача.

Отметим, что требования по организации перманентного контроля за обеспечением надлежащего уровня защищенности персональных данных, изложенные в Постановлении, указывают на необходимость проведения исследований, разработки механизмов и создания комплекса средств для проведения аудита информационных систем персональных данных на предмет оценки уровня их защищенности как в целом, так и обрабатываемых с их помощью персональных данных в частности. В состав подобного комплекса целесообразно включать инструментальные средства для проведения такого исследования экспертом-аудитором и автоматизированные системы активного аудита, позволяющие в режиме реального времени производить оценку состояния защищенности подконтрольных информационных систем и принимать решения по противодействию деструктивным воздействиям, если такие обнаруживаются. Принимая во внимание относительно высокий оценочный уровень доверия, которым должны обладать системы для обработки персональных данных, выбор соответствующих средств вычислительной техники и архитектурно-технологических решений обязан быть предметом отдельного исследования с привлечением критериальных подходов к оценке безопасности.

Предложения по реализации

В рамках работ по созданию теоретических и методических основ обеспечения безопасности персональных данных, а также последующей реализации поддерживающих такие данные специализированных информационных систем представляется целесообразным провести ряд мероприятий.

Разработать проект типовой информационной системы, включающий описание ее архитектуры и набора моделей, адекватно отражающих: схему хранения персональных данных; модель логического разграничения доступа, позволяющую учитывать персональные данные как отдельный класс объектов доступа; процедуры, гарантирующие выполнение требований, указанных в законе, а также формальные модели, строго подтверждающие их выполнение; модель организации эффективного доступа к персональным данным для выполнения санкционированных действий с ними; модель предоставления гарантий на потоки персональных данных; архитектуру средств обеспечения безопасности в составе информационной системы персональных данных.

На основе разработанной и формально проверенной теоретической модели произвести выбор программных средств, их последующую модификацию и интеграцию в информационную систему персональных данных. В числе таких средств должны присутствовать следующие программные компоненты: механизмы логического разграничения доступа и их настройки; средства, гарантирующие выполнение заданных процессов обработки персональных данных с установленными для таких процессов требованиями; дополнительные средства защиты, в том числе средства контентной фильтрации, реализующие функциональные возможности по предотвращению утечек персональных данных через каналы их передачи, контроль над которыми не может быть обеспечен с использованием традиционных механизмов разграничения доступа; средства активного мониторинга состояния работоспособности элементов информационной системы персональных данных, позволяющие своевременно обнаруживать сбойные ситуации и оперативно реагировать на них.

Коллекции персональных данных, как информационные активы повышенных категорий защищенности (уровней доверия), представляют собой национально значимые объекты. Они так же, как, например, потенциально опасные и критически важные объекты, требуют особого внимания со стороны государства. Поиск ответов на представленные в статье вопросы является не только актуальной, но и национально значимой задачей. Без ее решения многие из положений ФЗ «О персональных данных» не смогут быть реализованы на практике.

Валерий Васенин, Кирилл Шапченко ({vasenin,shapchenko}@msu.ru) - сотрудники Института проблем информационной безопасности МГУ им. М. В. Ломоносова (Москва).

Несмотря на то что федеральные службы разработали ряд нормативных документов, регламентирующих работу с персональными данными, сам ФЗ-152 и ряд сопутствующих подзаконных актов вызвали неоднозначную реакцию у всех участников рынка информационной безопасности.

Что должны сделать ИТ-компании, чтобы соответствовать ФЗ №?152?