Сказка про белого бычка или как оставаться невидимым за стеклом

[Tel]

Мосфильм заблокировал видео с Иван Васильевичем. Ну вот теперь я видел всё.

[Tel]

А если серьёзно, то раньше была, кажется уголовная ответственность для руководителя за то, что организация ПД собирает, но ни как не защищает. Как с этим сейчас?
Как быть с хранением ФИО и паспортных данных ЧОПом на входе в своих книжицах?

[Smart_Soft]

Tel, при работе с персональными данными в организации должны быть обеспечены как технические (в посте выше), так и организационные меры, как то:
1. Разработка Положения о защите персональных данных, например www.crmdaily.ru/novosti-rynka-crm/515-polozhenie-o-zashhite-personalnyx-dannyx-rabotnikov-obrazec.html, которое определяет права и обязанности руководителей и работников, порядок использования указанных данных в служебных целях, а также порядок взаимодействия по поводу сбора, документирования, хранения и уничтожения персональных данных работников. (Такое положение разрабатывается на основе и во исполнение части 1 статьи 23, статьи 24 Конституции Российской Федерации, Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» положений главы 14 Трудового кодекса Российской Федерации «Защита персональных данных работников»).
2. Получение согласия физического лица (работника) на обработку персональных данных.
3. Разработка обязательства о неразглашении конфиденциальной информации (персональных данных), не содержащих сведений, составляющих государственную тайну.

[Tel]

Вот я прихожу в generic здание с кучей офисов. У меня охрана берёт паспорт и записывает куда-то мои данные. Что мне нужно делать, чтобы знать что всё окей?

[Smart_Soft]

Теоретически, вы должны дать согласие на обработку ваших персональных данных, на практике вы даете паспорт — значит согласны. Собственник помещения вправе устанавливать те или иные особенности пропускного режима. Далее он должен обеспечить комплекс мер для того, чтобы ваши данные дальше журнала посещений никуда не пошли. Ну а если есть желание удостовериться в СБ данной организации — то это уже к Роскомнадзору)

[uncia]

Почему ссылки на планы проверок за 2011 год? Копипастили?

[Smart_Soft]

Ссылку поправили, теперь можно заглянуть в план на 2014 год, хотя к проверкам стоит быть готовым всегда, часто они идут и не по плану.
Например, в том же 2010 году количество плановых проверок Роскомнадзора в области персональных данных составило 886, а вот внезапных «внеплановых» — 441, устранено свыше 3000 нарушений в области персональных данных выдано 1 917 предписаний, составлено 1 633 протокола об АП, такие дела…

[Tel]

Ещё вопрос, который, в своё время, нам не давал покоя. Вот стандартная организация на 100+ человек. Кадры используют 1С, где радостно (по идее) заносят когда человек брал больничный и (вероятно) данные этого больничного для учёта. Какая категория ПД это будет? Можно ли как-то отделить конкретно этих сотрудников/сервера/рабочие места и защитится по двум уровням разным?
Верно ли я понимаю, что любая организация у которой есть кадровая служба, тут же пролетает мимо К4?

[Smart_Soft]

Tel, информация о состоянии здоровья человека относится к 1 категории, необходимо обеспечить всю сеть необходимыми техническими мерами.
категория 1 — персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;
категория 2 — персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;
категория 3 — персональные данные, позволяющие идентифицировать субъекта персональных данных;
категория 4 — обезличенные и (или) общедоступные персональные данные.

[Tel]

Вот и вопрос — получается любая организация у которой есть кадровый учёт автоматом подпадает под категорию 2, а очень может быть и 1? Даже ИП. Мудрилкин, как только в свою палатку с шаурмой берёт кого-то, по идее записывает куда-то его паспорт. И тут же подпадает под действие категории 3, а если прописку записал то сразу и 2. Верно?

[Smart_Soft]

По закону да, получается так

[Tel]

А на практике как? На моей прошлой работе, где с физиками работа не велась вообще, т.е. почти всё касалось сотрудников нам разные конторы считали стоимость «защиты по ПД» и оно с ПО и прочим начиналась от 2-3х миллионов. Это было, ну прямо скажем, не бюджетно.

[Smart_Soft]

Реальный пример из личного общения с клиентом-сисадмином: школа покупает интернет-шлюз с сертификатом ФСТЭК за сумму, ГОРАЗДО меньше названной Teloм. Приходит прокурорская проверка — им предъявляют сертификат. Все, вопрос снят, системный администратор школы нагуляй не получает.