Персональные данные российских граждан и сервера в иностранных государствах. Хранение и обработка персональных данных. Инструкция Закон хранение персональных данных на территории рф

Процесс обработки персональных данных любого гражданина прописан в Федеральном Законе № 152-ФЗ «О персональных данных». Первоначально данный закон был принят 27 июля 2006 года, и уже в последующем подвергался различным изменениям и дополнениям.

Закон «О персональных данных» регулирует отношения между государственными, муниципальными органами, физическими и юридическими лицами в сфере обработки и защиты личной информации, которые совершаются при помощи средств автоматизации или же без нее.

Цель этого закона заключается в обеспечении защиты свобод и прав граждан законными методами при обработке его личных данных, в том числе неприкосновенность частной жизни, семейной и личной тайн.

Какая организация попадает под требования Федерального закона «О персональных данных»?

Любая организация имеет возможность не регламентировать свои действия согласно главе 1 статьи 2 Федерального закона за № 152-ФЗ «О персональных данных», касающиеся обработки персональных данных, в таких случаях как:

1. Обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;
2. Организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;
3. Обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну;
4. Предоставление уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22 декабря 2008 года N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации».

Когда же организация не попадает под вышеуказанные пункты, она должна в обязательном порядке подчиниться требованиям закона. Все остальные случаи, относящиеся к сбору, обработке и хранению персональных данных, регламентируются согласно Федеральному закону № 152 «О персональных данных». Практически все организации попадают под данные требования, так как почти все компании тем или иным образом производят обработку персональных данных своих сотрудников или других физических лиц. При этом все личные данные должны быть строго конфиденциальны.

Для того, чтобы риск претензий от владельцев персональных данных и государственных органов был минимальным, нужно выполнить комплекс работ, которые обосновывают необходимость обработки персональных данных. Также необходимо выполнить требования обеспечения конфиденциальности и при неавтоматизированной обработке, и в случае обработки персональных данных в информационных системах.

Персональные данные — что это?

В главе 1 статье 3 ФЗ «о персональных данных» имеется определение персональных данных:

— персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Это может быть фамилия, имя отчество, адрес места жительства и электронной почты, контактные телефоны, место пребывания, вероисповедание, семейное положение, фотографии, сведения о родственниках и многое другое. Каждая организация, которая владеет подобной информацией, обязана защищать информационные системы, в которых должны храниться такие данные.

Сбор, хранение и обработка персональных данных

При необходимости получения персональных данных сотрудника или другого физического лица организация вправе собирать ее непосредственно у самого субъекта. Если же информацию можно получить только у третьих лиц, то субъект должен быть обязательно извещен, а также обязан дать свое письменное согласие на данную процедуру. В свою очередь, оператор обязан известить гражданина о целях, которые он преследует при получении и обработке его личных данных.

Все, что касается законных оснований обработки персональной информации, прописано в главе 2 статье 6 пункте 1 № 152 Федерального закона «О персональных данных»:

1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения, возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
3) обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее — исполнение судебного акта);
4) обработка персональных данных необходима для предоставления государственной или муниципальной услуги в соответствии с Федеральным законом от 27 июля 2010 года N 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», для обеспечения предоставления такой услуги, для регистрации субъекта персональных данных на едином портале государственных и муниципальных услуг;
5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
8) обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;
9) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных;
10) осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее — персональные данные, сделанные общедоступными субъектом персональных данных);
11) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

Если организация осуществляет обработку персональных данных, противоречащую вышеуказанным пунктам, то это является нарушением федерального законодательства.

Организация обязана обеспечить конфиденциальность, имеющихся персональных данных согласно статье 7 Федерального закона «О персональных данных». Исключения составляют те случаи, когда персональные данные обезличены или когда они являются общедоступными.
В статье 8 указано, что могут быть общедоступные источники персональных данных. Они могут содержать фамилию, имя, отчество, страну и год рождения, адрес проживания, номер телефона, информацию о профессии или же другие персональные данные субъекта, которые он предоставляет со своего письменного согласия. К ним относятся, например, справочники или адресные книги. Данные сведения могут быть лишены доступности по решению субъекта или государственных уполномоченных органов.

Принципы и условия обработки персональных данных

В процессе обработки персональных данных каждая организация должна придерживаться принципов, которые прописаны в главе 2 статьи 5 Федерального закона «О персональных данных»:

1. Обработка персональных данных должна осуществляться на законной и справедливой основе.
2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Условия, которые должна соблюдать организация в процессе обработки персональных данных, прописаны в статье 6 Федерального закона «О персональных данных» и заключаются в том, что оператор при осуществлении обработки персональных данных субъекта, имеет право обрабатывать их только с его письменного согласия.
Однако, в некоторых случаях такое согласие не требуется. Так, например, если обработка персональной информации производится в различных научных и статистических целях с обязательным условием обезличивания персональных данных. Или же когда обработка личных данных необходима для здоровья, жизни или других жизненно значимых интересов субъекта таких данных.

Обязанности оператора персональных данных

Глава 4 статьи 18 Федерального закона за 3 152 «О персональных данных» содержит полную информацию о том, что входит в обязанности оператора по обработке данных.
Рассматривая ключевые моменты данной статьи закона можно выделить несколько наиболее важных принципов.

Оператор обязан:

— проводить обработку персональных данных в соответствии с законом,
— иметь разрешение от владельца персональных данных в случаях предусмотренных законодательством,
— обеспечивать конфиденциальность,
— отвечать на все вопросы владельца, касающиеся его персональных данных, в поставленный законом срок,
— уничтожить персональные данные после того, как будут достигнуты сроки их обработки,
— извещать Управление Роскомнадзора на тему обработки персональных данных и о мерах, которые предпринимаются им для их защиты.

Также в данной статье говориться о том, что если владелец персональных данных отказывается предоставить персональную информацию, которую он обязан предоставить в соответствии с федеральным законом, оператор должен разъяснить владельцу о последствиях такого отказа.

Самостоятельная деятельность организаций при защите персональных данных

Сбор, обработка и защита персональных данных в Российской Федерации является лицензируемым видом деятельности. Разработка методик по защите персональной информации находится в ведении ФСБ России и ФСТЭК России.
Организация, в свою очередь, может лишь сделать часть таких работ. Например, осуществить сбор информации. Остальные работы требуют наличие лицензии на деятельность по технической защите конфиденциальной информации, а также на установку средств криптографической защиты.

Проверка деятельности по обработке персональных данных

Организация, которая проводит проверку на предмет законной обработки персональных данных, называется Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).
Роскомнадзор проводит государственный контроль и надзор за соблюдением требований действующего законодательства в сфере:
— СМИ, ТВР вещания и массовых коммуникаций — требования закона Российской Федерации за № 2124-1 от 27 декабря 1991 года «О средствах массовых коммуникаций», а также соблюдение лицензионных условий,
— связи — требования Федерального закона за № 126 от 7 июля 2003 года «О связи», а также подзаконных актов, в том числе действие лицензии и использование радиочастотного спектра,
— персональных данных — Федеральный закон от 27 июля 2006 года за № 152 «О персональных данных».

Правовым основанием для осуществления государственного контроля и надзора является Федеральный закон от 26 декабря 2008 года за № 294 «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля».

Роскомнадзор проводит несколько видов проверок:

1). Плановая проверка.
Данная проверка может быть проведена на основании и в точно поставленные сроки, которые указаны в плане проверок, подготовленного Роскомнадзором и утвержденного прокуратурой. Согласно пункту 4 статьи 27 Федерального закона «О связи» такой вид проверки Роскомнадзор имеет право проводить не более чем один раз в 3 года.
В План проверок Роскомнадзора может попасть любая организация, занимающаяся обработкой персональных данных.
Основанием для проведения плановой проверки считается факт начала обработки оператором по обработке персональных данных, в том числе прохождение трех лет с момента государственной регистрации как оператора персональных данных или завершения проведения плановой проверки в отношении оператора по истечении трех лет с предыдущей плановой проверки.

2). Внеплановая проверка.
Основаниями для проведения такого вида проверки можно считать:
— проверка исполнения предписания о ликвидации выявленного нарушения, которое было выдано раньше,
— выявление нарушений обязательных требований в результате систематического наблюдения,
— требование прокурора о проведении внеплановой проверки на основании поступивших материалов и обращений в органы прокуратуры от граждан, индивидуальных предпринимателей, юридических лиц, органов государственной и муниципальной власти,
— нарушения законных прав и интересов субъектов российской Федерации вследствие бездействия операторов, занимающихся обработкой персональных данных,
— приказ руководителя Службы, который издан согласно поручениям Президента Российской Федерации или Правительства Российской Федерации.
Проверка производится в срок не более 20 рабочих дней, но в то же время, в случае серьезных причин она может быть продлена на основании приказа руководителя Управления Роскомнадзора еще на 20 дополнительных рабочих дней.
Кроме того, проверочные мероприятия могут проводиться одним из нижеперечисленных методов:
а) выездные, т. е. проверка проходит по месту нахождения проверяемого.
б) документарные, письменный запрос оператора о предоставлении необходимых документов и информации. Если документы не были предоставлены, а предоставление их должно производится по закону в обязательном порядке, то это влечет за собой наложение штрафа. Если же административный штраф не был уплачен, он может быть увеличен в два раза.
в) систематическое наблюдение, производится без взаимодействия с лицом, которое проверяют, также от проверяемого лица не требуют никаких документов и информации. Государственные специалисты-инспекторы территориального Управления Роскомнадзора делают выводы о деятельности проверяемого, основываясь на его действия в отношении неопределенного круга субъектов.

Ответственность за незаконную обработку персональных данных

Оператор не должен допускать сбор, хранение, использование и распространение информации, касающейся личной и семейной жизни, тайной переписки, телеграфных, почтовых или иных сообщений, телефонных переговоров, если на то нет судебного решения или законного основания для этих действий.

Оператор не имеет права использовать персональные данные с целью причинения морального и имущественного ущерба гражданам, а также затруднения реализации их свобод и прав. Более того, оператор персональных данных не имеет права ограничивать права граждан Российской Федерации, используя при этом их персональную информацию, касающуюся национальной, расовой, религиозной, языковой или партийной принадлежностей.
Физические и юридические лица, которые в соответствии со своими полномочиями, владеют какой-либо частной информацией о гражданах, используют ее, нарушая при этом Федеральный закон «О персональных данных» несут ответственность за данное деяние согласно действующему законодательству Российской Федерации.

Те лица, которые своими действиями нарушили Федеральный закон «О персональных данных» несут гражданскую, административную, дисциплинарную, уголовную или иную ответственность, предусмотренную действующим законодательством Российской Федерации.

Кодекс об Административных Нарушениях (КоАП):

А) статья 13.11 Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Данная статья влечет за собой предупреждение или же наложение административного штрафа на:
— граждан в размере от 300-500 рублей,
— должностных лиц в размере от 500-1000 рублей,
— юридических лиц в размере от 5000-10000 рублей.

Б) статья 13.12 Нарушение правил защиты информации.
Согласно этой статье административный штраф возлагается на нарушителей закона в размере от 500 до 30 тысяч рублей. Кроме того, к юридическим лицам может быть применена конфискация или административное приостановление деятельности сроком на 3 месяца.
В) статья 13.14 Разглашение информации с ограниченным доступом.
В соответствии с данной статьей возможно наложение административного штрафа на:
— граждан в размере от 4 до 5 тысяч рублей.

Г) статья 19.5 Невыполнение в срок законного предписания (постановления, представления, решения) органа (должностного лица), осуществляющего государственный надзор (контроль).
Нарушителям этой статьи грозит административный штраф в размере от 300 рублей до 500 тысяч рублей, или же дисквалификация сроком до 3 лет.

Уголовный кодекс (УК).

Статья 137 Нарушение неприкосновенности частной жизни.
В этой статье говорится о том, что за незаконное собирание или распространение информации о частной жизни субъекта, которая является его семейной или личной тайной, без его на то согласия или же распространение такой информации посредством средств массовой информации несет за собой ответственность в виде
— штрафа размером до 200 тысяч рублей или же в размере равном заработной плате за 18 месяцев,
— обязательных работ сроком до 360 часов
— исправительных работ сроком до 1 года,
— принудительных работ сроком до 2 лет,
— запрета заниматься определенной деятельностью сроком до 3 лет,
— ареста сроком до 2 лет.

Трудовой кодекс (ТК).

Статья 90 Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника.
Данная статья предусматривает наказание в виде увольнения или же возможности наказания согласно Уголовному кодексу Российской Федерации.

Требования к защите персональных данных

В соответствии со статьей 19 Федерального закона «О персональных данных» требования к защите персональной информации считаются обязательными. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Обеспечение безопасности персональных данных достигается, в частности:

1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
5) учетом машинных носителей персональных данных;
6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.

С целью достижения вышеобозначенных целей, все организации которые осуществляют обработку персональных данных, должны придерживаться следующих требований:

— выполнять требования Федерального закона за № 152 «О персональных данных», обеспечив при этом все необходимые доказательства законности сбора и обработки персональной информации,
— обеспечивать защиту от несанкционированного распространения персональных данных,
— разрабатывать нормативные локальные акты и техническую организационную документацию, для обеспечения регламентированной обработки персональных данных,
— уведомлять Управление Роскомнадзора.

Для того, чтобы выполнять эти требования нужно выполнить следующие работы:

1. Провести изучение процессов сбора и обработки персональной информации в компании. А именно, в каком месте, и каком виде они обрабатываются, в каком месте хранятся, кто отвечает за это и имеет к ним доступ, что за источник персональных данных и тому подобные вопросы. Необходимо собрать полную информацию о всех процессах, связанных с личными данными.

2. Нужно разработать пакет документов, которые относятся к процессу обработки персональных данных, а именно
А. Акт категорирования,
Б. Концепция создания системы защиты персональных данных,
В. Модель угроз,
Г. Модель нарушителя,
Д. Техническое задание на построение системы защиты персональных данных,
Е. Технический проект (пояснительную записку технического проекта) по построению системы защиты персональных данных,
Ж. Организационно распорядительная документация.

В общем, количество документов в средней организации составляет около 80 штук, в том числе журналы учета и приказы.

3. Внедрить в организации технические средства защиты, согласно разработанной документации.

4. Провести оценку соответствия или же аттестацию информационных систем.

Аттестация и оценка являются специальными установленными документами, благодаря которым организация имеет возможность подтвердить то, что она выполняет все требования действующего законодательства Российской Федерации.

Основанием для разработки утвержденных документов операторов персональных данных является Федеральная служба по техническому и экспортному контролю Российской Федерации (ФСТЭК) и Федеральная служба безопасности Российской Федерации (ФСБ), что прописано в их нормативных методических документах и приказах.

Одним из таких документов является:

Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 5 февраля 2010 года за № 58 «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных».

В данном приказе для всех организаций прописаны такие методы и способы защиты персональных данных от несанкционированного доступа как,
— реализация разрешительной системы допуска пользователей (обслуживающего персонала) к информационным ресурсам, информационной системе и связанным с ее использованием работам, документам;
— ограничение доступа пользователей в помещения, где размещены технические средства, позволяющие осуществлять обработку персональных данных, а также хранятся носители информации;
— разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
— регистрация действий пользователей и обслуживающего персонала, контроль несанкционированного доступа и действий пользователей, обслуживающего персонала и посторонних лиц;
— учет и хранение съемных носителей информации, и их обращение, исключающее хищение, подмену и уничтожение;
— резервирование технических средств, дублирование массивов и носителей информации;
использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;
— использование защищенных каналов связи;
— размещение технических средств, позволяющих осуществлять обработку персональных данных, в пределах охраняемой территории;
— организация физической защиты помещений и собственно технических средств, позволяющих осуществлять обработку персональных данных;
— предотвращение внедрения в информационные системы вредоносных программ (программ-вирусов) и программных закладок.

Основные методы и способы защиты данных от несанкционированного доступа в случае взаимодействия информационно-телекоммуникационных сетей международного информационного обмена и информационных систем включают:

— межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры информационной системы;
— обнаружение вторжений в информационную систему, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных;
— анализ защищенности информационных систем, предполагающий применение специализированных программных средств (сканеров безопасности);
— защита информации при ее передаче по каналам связи;
— использование смарт-карт, электронных замков и других носителей информации для надежной идентификации и аутентификации пользователей;
— использование средств антивирусной защиты;
централизованное управление системой защиты персональных данных информационной системы;
— фильтрация входящих (исходящих) сетевых пакетов по правилам, заданным оператором (уполномоченным лицом);
— периодический анализ безопасности установленных межсетевых экранов на основе имитации внешних атак на информационные системы;
— активный аудит безопасности информационной системы на предмет обнаружения в режиме реального времени несанкционированной сетевой активности;
— анализ принимаемой по информационно-телекоммуникационным сетям международного информационного обмена (сетям связи общего пользования) информации, в том числе на наличие компьютерных вирусов;
— использование атрибутов безопасности;
— создание канала связи, обеспечивающего защиту передаваемой информации;
— осуществление аутентификации взаимодействующих информационных систем и проверка подлинности пользователей и целостности передаваемых данных.

В дополнительные требования для организаций включены:

— создание канала связи, обеспечивающего защиту передаваемой информации;
— аутентификация взаимодействующих информационных систем и проверка подлинности пользователей и целостности передаваемых данных;
— обеспечение предотвращения возможности отрицания пользователем факта отправки персональных данных другому пользователю;
— обеспечение предотвращения возможности отрицания пользователем факта получения персональных данных от другого пользователя.

Теги: ПДн 152-ФЗ

Гражданство

Как следует из положений частей 2 и 3 статьи 105 Воздушного кодекса Российской Федерации, договор воздушной перевозки пассажира, договор воздушной перевозки груза или договор воздушной перевозки почты удостоверяется соответственно билетом и багажной квитанцией в случае перевозки пассажиром багажа, грузовой накладной, почтовой накладной; билет, багажная квитанция, иные документы, используемые при оказании услуг по воздушной перевозке пассажиров, могут быть оформлены в электронном виде (электронный перевозочный документ) с размещением информации об условиях договора воздушной перевозки в автоматизированной информационной системе оформления воздушных перевозок. Таким образом, авиаперевозчикам в целях реализации вышеуказанных положений закона, требуется осуществление деятельности по обработке персональных данных пассажира в целях оформления документов, удостоверяющих заключение договора воздушной перевозки.

В соответствии со ст. 85.1 Воздушного кодекса Российской Федерации, в целях обеспечения авиационной безопасности перевозчики обеспечивают передачу персональных данных пассажиров воздушных судов в автоматизированные централизованные базы персональных данных о пассажирах в соответствии с законодательством Российской Федерации о транспортной безопасности и законодательством Российской Федерации в области персональных данных, при международных воздушных перевозках также в уполномоченные органы иностранных государств в соответствии с международными договорами Российской Федерации или законодательством иностранных государств вылета, назначения или транзита в объеме, предусмотренном законодательством Российской Федерации, если иное не установлено международными договорами Российской Федерации. При этом следует иметь ввиду, что Российская Федерация является стороной ряда международных конвенций в области авиаперевозок, в частности, Чикагской конвенции («Конвенция о международной гражданской авиации» заключена в Чикаго 7 декабря 1944 года, вступила в силу для Российской Федерации 16 августа 2005 года - «Собрание законодательства РФ», 30.10.2006, №44) , Варшавской конвенции («Конвенция об унификации некоторых правил, касающихся международных воздушных перевозок» заключена в Варшаве 12 октября 1929 года, вступила в силу для СССР 13 февраля 1933 года, Сборник действующих договоров, соглашений и конвенций, заключенных СССР с иностранными государствами, Вып. VIII, - М., 1935, с. 326 - 339. ) и Гваладахарской конвенции («Конвенция, дополнительная к Варшавской конвенции, для унификации некоторых правил, касающихся международных воздушных перевозок, осуществляемых лицом, не являющимся перевозчиком по договору» заключена в Гвадалахаре 18 сентября 1961 года, вступила в силу для СССР 21 декабря 1983 года, «Ведомости ВС СССР», 15.02.1984, №7 ), которые также составляют неотъемлемую часть правового регулирования деятельности авиаперевозчиков и связанных с нею информационных процессов.

Исходя из вышеизложенного, требования ч. 5 ст. 18 ФЗ «О персональных данных» не распространяются на деятельность российских, а также иностранных авиаперевозчиков в части сбора и обработки персональных данных граждан-пассажиров для целей бронирования, оформления и выдачи им авиабилетов (проездных билетов), багажных квитанций и иных перевозочных документов, так как они подпадают под исключение, предусмотренное п. 2 ч. 1 ст. 6 ФЗ «О персональных данных».

Требования ч. 5 ст. 18 ФЗ «О персональных данных» также не распространяются на деятельность лиц, действующих от имени авиаперевозчика (уполномоченный агент), деятельность которых предусмотрена пунктом 6 Общих правил воздушных перевозок пассажиров, багажа, грузов и требования к обслуживанию пассажиров, грузоотправителей, грузополучателей, утвержденных Приказом Минтранса России №82 от 28 июня 2007 года «Об утверждении Федеральных авиационных правил "Общие правила воздушных перевозок пассажиров, багажа, грузов и требования к обслуживанию пассажиров, грузоотправителей, грузополучателей», а также иных лиц, в части обработки персональных данных граждан-пассажиров исключительно для целей бронирования, оформления и выдачи последним авиабилетов (проездных билетов), багажных квитанций и иных перевозочных документов, в том числе в электронном виде при внутрироссийских и международных перелетах, в случае, если вышеуказанная деятельность данных лиц предусмотрена законодательством Российской Федерации или соответствующим международным договором, в том числе для целей обеспечения авиационной безопасности.

В случае, если обработка персональных данных подпадает под исключения, предусмотренные пунктами 2, 3, 4, 8 части 1 статьи 6 Федерального закона «О персональных данных», положения части 5 статьи 18 152-ФЗ не применяются. Соответствующая квалификация осуществляемых действий по обработке персональных данных и обеспечение ее соответствия требованиям законодательства осуществляются оператором персональных данных при обеспечении (организации обеспечения) такой обработки. Корректность упомянутой квалификации и обеспечения обработки в конкретной ситуации проверяется уполномоченным федеральным органом при проведении контрольных мероприятий.

Товары и услуги

Из совокупности положений части 5 статьи 18 Федерального закона «О персональных данных» («при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона) и пункта 2 части 1 статьи 6 Федерального закона «О персональных данных» («обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей») следует, что обработка персональных данных в целях и в соответствии с требованиями, установленными ратифицированной Российской Федерацией Конвенции Совета Европы о защите частных лиц в отношении автоматизированной обработки данных личного характера не противоречит законодательству Российской Федерации, регулирующему отношения в области защиты персональных данных. Кроме того, часть 5 статьи 18 152-ФЗ не ограничивают трансграничную передачу персональных данных граждан Российской Федерации.

Закон не предусматривает понятия «первичный сбор», а устанавливает требования к обработке персональных данных при любом сборе информации, при этом выделяя такие операции с ПД, как уточнение (обновление, изменение) информации, содержащей персональные данные. В целях закона в процесс сбора информации включены также процедуры хранения и накопления информации, что само по себе не позволяет использовать такое понятие, как «первичный сбор». Таким образом, закон налагает на оператора обязанность при осуществлении обработки собранных персональных данных путем систематизации, накопления, хранения, уточнения, извлечения, использовать базы данных, находящиеся на территории Российской Федерации. Таким образом, если для составления отчетности, либо анализа информации, содержащей персональные данные, оператору требуется осуществить упомянутые формы обработки персональных данных, то такие действия должны осуществляться с использованием баз данных, находящихся на территории Российской Федерации.

Трактовка в части первичного сбора является неверной по следующим основаниям. Закон не предусматривает понятия «первичный сбор», а устанавливает требования к обработке персональных данных при любом сборе информации, при этом выделяя такие операции с ПД, как уточнение (обновление, изменение) информации, содержащей персональные данные. В целях закона в процесс сбора информации включены также процедуры хранения и накопления информации, что само по себе не позволяет использовать такое понятие, как «первичный сбор». Таким образом, закон налагает на оператора обязанность при осуществлении обработки собранных персональных данных путем систематизации, накопления, хранения, уточнения, извлечения, использовать базы данных, находящиеся на территории Российской Федерации.

В соответствии с положениями пункта 7 части 4 статьи 16 Федерального закона №149-ФЗ от 27 июля 2006 года «Об информации, информационных технологиях и о защите информации», обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.

Принимая во внимание также положения части 5 статьи 18 Федерального закона №152-ФЗ от 27 июля 2006 года «О персональных данных» (вступающей в силу с 1 сентября 2015 года), устанавливающих, что при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, считаем, что обработка ПД граждан Российской Федерации на территории другого государства может осуществляться исключительно в случаях, предусмотренных пунктами 2, 3, 4, 8 части 1 статьи 6 Федерального закона «О персональных данных», для которых имеется изъятие в части 5 статьи 18 152-ФЗ. Следует также учитывать, что законодательно не имеется разделений на «основную» базу персональных данных и ее «копию». В обоих случаях речь идет о базе данных, с помощью которой обрабатываются персональные данные. Вместе с тем, Федеральный закон не содержит указаний на общий запрет обработки персональных данных граждан Российской Федерации с использованием баз данных, не находящихся на территории Российской Федерации.

В этой связи считаем, что обработка персональных данных граждан Российской Федерации посредством сбора, записи, систематизации, накопления, хранения, уточнения, извлечения может осуществляться с использованием баз данных, не находящихся на территории Российской Федерации в следующих случаях:

• если такая деятельность подпадает под случаи, предусмотренные пунктами 2-4, 8 части 1 статьи 6 152-ФЗ;
• если такая деятельность не подпадает под случаи, предусмотренные пунктами 2-4, 8 части 1 статьи 6 152-ФЗ, и на территории Российской Федерации находятся используемые для такой обработки персональных данных базы данных, в которых содержится больший объем персональных данных или равный находящемуся за пределами территории Российской Федерации (в этом случае недопустимо нахождение за пределами территории Российской Федерации персональных данных, которые одновременно не находятся в пределах территории Российской Федерации).

Трансграничная передача персональных данных не запрещена при условии соблюдения требований, установленных в статье 12 Федерального закона №152-ФЗ. При этом трансграничная передача данных должна иметь заранее определенную цель обработки, при достижении которой субъекту персональных данных должно быть гарантировано уничтожение переданных данных на территории иностранного государства. При соблюдении указанных требований ответственность, предусмотренная российским законодательством, применима к оператору в случае нарушения порядка и условий, установленных для договора-поручения.

В соответствии с положениями пункта 2 статьи 3 Федерального закона «О персональных данных», оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Таким образом, положения Федерального закона №242-ФЗ распространяются на всех вышеуказанных субъектов. Принятый федеральный закон не привязывает распространение части 5 статьи 18 152-ФЗ только к операторам, где обработка персональных данных является их основным видом деятельности, либо к операторам, обрабатывающим персональные данные только с использованием информационно-телекоммуникационных сетей.

В соответствии с положениями пункта 2 статьи 3 Федерального закона «О персональных данных», оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Таким образом, положения Федерального закона №242-ФЗ распространяются на всех вышеуказанных субъектов. Принятый федеральный закон не привязывает распространение части 5 статьи 18 152-ФЗ только к операторам, где обработка персональных данных является их основным видом деятельности, либо к операторам, обрабатывающим персональные данные только с использованием информационно-телекоммуникационных сетей. В существующих планах законопроектной деятельности не предусмотрена разработка проекта федерального закона, корректирующего это положение.

Вышеуказанные требования закона распространяются, в том числе, и на обработку оператором полученных в результате сбора персональных данных, а именно запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение.

Понимание правильное. 152-ФЗ термин «использование персональных данных» не раскрывает. В целях толкования под «использованием персональных данных» можно понимать действия с персональными данными, не относящиеся к иным формам обработки персональных данных, в том числе принятие решений на основе персональных данных, для осуществления которых был осуществлен сбор персональных данных (цель сбора персональных данных должна соответствовать цели использования персональных данных).

Понятие «оператор» содержится в статье 3 закона №152-ФЗ, под которым понимается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Принимая во внимание, что статья 3 Закона №152-ФЗ не содержит исключений в части осуществления лицом отдельных операций по обработке персональных данных, а равно иных определений, отличных от оператора, лицо, определяющее цель обработки персональных данных, либо осуществляющее отдельные действия по обработке персональных данных в контексте положений закона №152-ФЗ является оператором, осуществляющим обработку персональных данных.

— Действительно ли не требуется повторное или дополнительное уведомление об обработке персональных данных после 1 сентября 2015 года. Нужно ли дополнительно сообщать, где находятся базы данных?

Понятия «повторного» или «дополнительного» уведомления не существует. Статьей 22 Федерального закона «О персональных данных» установлена обязанность оператора до начала обработки персональных данных направить уведомление. В части 2 указанной статьи приведен ряд исключений, когда такого уведомления не требуется. В Федеральный закон №242-ФЗ вносятся изменения в часть 3, которая определяет требования к содержанию уведомления. Если организация ранее направила в Роскомнадзор уведомление об обработке персональных данных, то после вступления в силу закона операторы, руководствуясь частью 7 данной статьи, должны сообщить сведения о месте нахождения базы данных в течение десяти рабочих дней.

— Подпадает ли первоначальный сбор персональных данных на бумажных носителях с последующим их внесением в электронную базу данных под требования части 5 статьи 18 Федерального закона №152-ФЗ?

Согласно требованиям части 5 статьи 18 Федерального закона №152-ФЗ при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона. Основополагающим принципом законодательства в области персональных данных является принцип, согласно которому обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. В связи с этим внесение персональных данных в информационную систему персональных данных, используемую в целях, аналогичных сбору данных на бумажных носителях, следует рассматривать как единый процесс, реализация которого должна осуществляться в строгом соответствии с требованиями части 5 статьи 18 Федерального закона №152-ФЗ. Разделение указанного единого процесса на отдельные действия законодательством Российской Федерации в области персональных данных не предусмотрено. Таким образом, отдельные виды обработки персональных данных, предусмотренные частью 5 статьи 18 Федерального закона №152-ФЗ, в том числе сбор персональных данных на бумажных носителях с последующим их внесением в электронную базу данных, должны осуществляться как единый процесс в правовом поле законодательной нормы, обязывающей хранить персональные данные на территории Российской Федерации.

Итак, о чем же говорит закон?

Что нельзя делать?

Что можно делать?

Есть два варианта:

• Перестроить архитектуру информационной системы и обеспечить первичную запись, хранение и актуализацию персональных данных в базах на территории России. Хранение и использование копий баз с персональными данными в зарубежных сервисах, таких как Microsoft Azure или Office365, не нарушает закон.

Microsoft ?

1. Необходим локальный AD компании, в который заносятся персональные данные сотрудников.

   Федеральный Закон 242 о хранении персональных данных

   Локальный - размещенный на территории Российской Федерации, в том числе в любом российском облаке.

Обязательно ли для англоязычного сайта нужен английский хостинг? Может, можно обойтись какой-нибудь другой страной? В чем будут состоять особенности выбора и какие особенности стоит учитывать при этом?

Зарцын и партнеры

Эти и многие другие вопросы неизбежно встают перед владельцем англоязычного ресурса.

В настоящее время немало компаний предлагают выделенные сервера, расположенные за рубежом. Например, можно перейти по адресу и ознакомиться со всеми преимуществами и условиями предложений из Европы.

Преимущества услуг зарубежных компаний

Все больше и больше компаний стремятся иметь сервера на территории Европы. И тому есть как субъективные, так и вполне объективные причины. Отвечая для себя на вопрос, как выбрать провайдера, каждый должен решить: действительно ли все доводы являются объективно важными для самого пользователя, либо выбор обусловлен некими личными предпочтениями и убеждениями.

Тем не менее, вот несколько вполне объективных доводов в пользу заграничного хостинга для англоязычного сайта:

• Прекрасный уровень сервисной поддержки и грамотный персонал, который действительно может и хочет помочь, а не отписывается от клиента в духе «мы работаем над вашим вопросом». Пока для большинства российских компаний такое, увы, недостижимо;
• Улучшенная стабильность и скорость соединения. В случае же с американскими серверами, то здесь - в силу расстояний - скорость не всегда стабильна. Поэтому, например, хостинг в Германии будет гораздо предпочтительнее, чем в США;
• Более качественное оборудование;
• Если же принять во внимание то, что ценовая политика многих российских провайдеров базируется на принципе «подоить клиента», то аренда за границей будет в самом деле выгоднее. Особенно в случае с виртуальным облачным хостингом, который и сам по себе дешевле, нежели хостинг физический.

Недостатки хостинга за границей

В целом, зарубежный хостинг имеет весьма субъективные недостатки, которых может и не быть в случае с другими пользователями. И к одним из них принадлежит языковой барьер. Ведь в процессе аренды придется вести переписку с владельцем сервера, настраивать оборудование и ПО… Понятно, что без знания хотя бы английского языка (а еще лучше - той страны, на территории которой расположен сервер) все это будет весьма затруднительно.

К тому же, выбирая хостинг в Европе, пользователь должен быть готовым к тому, что придется поначалу испытывать некоторые затруднения с конвертацией валют и при выборе оптимального варианта производства финансовых операций.

Подводя итог, можно утверждать, что наилучшим вариантом для хостинга англоязычного ресурса будет облачный сервер выделенного типа где-нибудь в Европе. Например, все в той же Германии.

Федеральный Закон 242 о хранении персональных данных.

C 1 сентября 2015 года в Российской Федерации начинало действовать положение о локализации хранения и отдельных процессов обработки персональных данных, определенное в Федеральном законе №242 от 21 июля 2014 года «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях»

Для того, чтобы понять, что можно делать, а что нельзя, мы подготовили данный материал.

Итак, о чем же говорит закон?

Что нельзя делать?

• Полностью хостить сайт, содержащий персональные данные, вне территории Российской Федерации, без принятия дополнительных мер.
• Предоставлять прямой доступ с российского сайта в зарубежные информационные системы, если персональные данные предварительно не зафиксированы в базе на территории Российской Федерации.
• Напрямую использовать по схеме Saas приложения, обрабатывающие персональные данные и находящиеся за пределами РФ, без принятия дополнительных мер.

Не накладывается никаких ограничений на передачу персональных данных после их сбора и записи в базу данных на территории России, в том числе - на трансграничную передачу, предоставление к ним доступа с территории иных государств, а также на использование персональных данных граждан РФ после их трансграничной передачи, включая использование данных из информационных систем, находящихся за пределами РФ.

Закон в новой редакции не устанавливает новых, дополнительных ограничений на трансграничную передачу персональных данных, не вводит запрет на обработку персональных данный в дата-центрах и облачных инфраструктурах, находящихся вне территории Российской Федерации, за исключением периода их сбора.

Административная ответственность

Статья 13.11 Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа:

• На граждан в размере от 300 до 500 рублей;
• На должностных лиц - от 500 до 1 тысячи рублей;
• На юридических лиц - от 5000 до 10 000 рублей.

Что можно делать?

Не стоит забывать о том, что ограничения на размещение баз персональных данных вводятся на период сбора (внесения изменений) персональных данных и не затрагивают их последующей обработки после завершения сбора (внесения изменений).

Ограничения касаются только персональных данный граждан Российской Федерации и не касаются персональных данных граждан других государств и лиц без гражданства.

Что делать, чтобы выполнить закон?

• Обеспечить первичное размещение баз данных, в которые собираются персональные данные граждан России, на технических средствах, целиком располагающихся на территории Российской Федерации;
• Обеспечить уточнение, обновление, изменения, извлечение персональных данных в этих базах сначала на территории России и лишь затем передавать их за рубеж при необходимости;
• Применять те же правила в отношении персональных данных граждан, чье гражданство неизвестно или установить его нельзя.

На территории России всегда должна быть актуальная база персональных данных, используемых российским оператором персональных данных в своей деятельности.

Есть два варианта:

• Перестроить архитектуру информационной системы и обеспечить первичную запись, хранение и актуализацию персональных данных в базах на территории России.

  Чего ждать бизнесу от закона о хранении персональных данных?

  Хранение и использование копий баз с персональными данными в зарубежных сервисах, таких как Microsoft Azure или Office365, не нарушает закон.

• Хранить данные в информационной системе за рубежом в зашифрованном виде, а расшифровывать данные только в приложении, находящимся на территории России.

Следует помнить, что зашифрованный массив данных без ключа у провайдера - не персональные данные!

Как использовать облачные продукты компании Microsoft ?

1. Необходим локальный AD компании, в который заносятся персональные данные сотрудников. Локальный - размещенный на территории Российской Федерации, в том числе в любом российском облаке.
2. Использовать службу синхронизации каталогов Office 365 (DirSync) для синхронизации учетных записей (без поддержки функциональности единого входа SSO).
3. Использовать службу федерации Active Directory (ADFS) для поддержки функциональности единого входа SSO

СЭД/ЕСМ система DocSpace поддерживает схемы развертывания без нарушения требований ФЗ-242 как при локальной установке, так и при использовании в облаках: Azure, хостинг в России или за рубежом, гибридные облака.

Программное обеспечение компании Conteq соответствует всем требованиям закона. Вам остается только сосредоточится на своих задачах. О соблюдении закона позаботимся мы.

Госдума приняла в третьем чтении закон о хранении персональных данных на территории России. Он вступит в силу с 1 сентября 2015 года, отрасль называет эту дату компромиссным вариантом

С наступлением осени компании будут обязаны хранить обработанные в интернете персональные данные россиян на серверах, которые расположены на территории России. Изначально предполагалось, что ограничение вступит в силу 1 сентября 2016 года. Затем депутаты решили ускорить процесс и в новой редакции фигурировала дата вступления закона в силу 1 января 2015. Комитет по информационной политике Думы внес эту поправку в связи «с общей ситуацией, с участившимися утечками персональных данных и с вопросами безопасности государства в целом». С этой датой законопроект был принят во втором чтении.

После ряда консультаций с представителями интернет-отрасли Госдума решила вернуться к рассмотрению документа и перенести срок вступления нормы в силу. Сегодня депутаты приняли законопроект сразу во втором и третьем чтениях, итоговой датой вступления закона в силу стало 1 сентября 2015 года.

«Это - компромиссный вариант. Видимо, депутаты посчитали, что недопустимо, чтобы данные россиян хранились за рубежом в течение 2015 года, но в ходе обсуждения с отраслью пришли к тому, что к 1 января 2015 года компании не успеют обеспечить соответствие требованиям, к тому же им непонятны многие механизмы, прописанные в законе», - заявил ранее РБК секретарь комиссии Совета Федерации по развитию информационного общества Александр Шепилов.

Директор Российской ассоциации электронной коммерции (РАЭК) Сергей Плуготаренко в интервью РБК отметил, что перенос срока вступления закона в силу на сентябрь дает отрасли время для корректировки документа. В этом процессе он рассчитывает прибегнуть к консультации представителей отрасли и профильных госучреждений.

Свое негативное отношение к законопроекту выражали многие представители IT-бизнеса. Также против принятия документа в существующей редакции выступала РАЭК. Позиция организации отражена на сайте.

«Локализация данных требует от провайдера информационных услуг построения физической местной инфраструктуры в каждой юрисдикции, в которой он работает, чрезвычайно увеличивая расходы и другие убытки как для провайдеров, так и потребителей услуг», - считают члены РАЭК. Они отмечают, что предоставление многих услуг в такой ситуации становится невозможным.

В октябре 2014 года Ассоциация компаний розничной торговли (АКОРТ), Ассоциация компаний интернет-торговли (АКИТ) и Ассоциация предприятий компьютерных и информационных технологий (РАТЭК) подготовили совместное обращение к президенту России Владимиру Путину. Из-за ограниченности времени и невозможности выполнить некоторые требования закона многие компании вынуждены будут прекратить свою деятельность в России, утверждали представители бизнеса.

Представитель системного интегратора «Инфосистемы джет» Валентин Крохин утверждает, что из-за более строгих требований, хранение данных в России обойдется компаниям на 30% дороже, чем в зарубежных дата-центрах. Его мнение цитирует газета «Ведомости». Эксперт оценил затраты российских компаний на хранение данных за рубежом в десятки миллионов долларов. Перевести такой объем в Россию значительная часть бизнеса не успеет, считает Крохин.

Вступление в силу закона отразится не только на IT-бизнесе. Проблемы могут возникнуть, например, у страховых и авиационных компаний, предприятий розничной торговли, сервисов международной связи, почтовой пересылки, бронирования гостиниц и авиабилетов.

«Цена, которую заплатит Россия, будет несравнимо выше тех рисков, о которых говорят авторы закона. Фактов преступного использования персональных данных мы не наблюдаем», - заявил РБК директор по связям с общественностью РАТЭК Антон Гуськов.

Директор центра информационной безопасности компании R-Style Евгений Акимов в интервью «Коммерсанту» отметил, что серьезные проблемы могут возникнуть у компаний, которые используют облачные сервисы, например зарубежные CRM-системы. «Смена практически невозможна, так как в России нет подобных сервисов. Решить проблему можно деперсонализацией данных. Можно также поменять облачный CRM на классический CRM, но это технологически сложная задача», - утверждает он.​

Облачная инфраструктура – решение от ГК «Интегрус», предоставляющее современному бизнесу готовую ИТ-инфраструктуру без привлечения значительных материальных и человеческих ресурсов.

Компания “Интегрус” предлагает услуги защиты и хранения персональных данных для корпоративных клиентов в России. Обратившись к нам, вы можете быть полностью уверены, что получаете в свое распоряжение надежную защищенную систему и полностью соблюдаете требования законодательства.

Кому подходят наши услуги

Цены на хранение персональных данных на защищенном сервере в СПб

Тарифный план	Цена аренды сервера ИСПДн с аттестатом, руб./мес **	Цена аренды сервера ИСПДн без аттестата, руб./мес
ИСПДн-1 5Gb	4 990	2 490
ИСПДн-2 50Gb	9 990	4 990
ИСПДн-3 100Gb	19 990	9 990
ИСПДн-4 200Gb	29 990	14 990
ИСПДн-5 400Gb	39 990	19 990
Установочный платеж *	10 000

* – Помимо самой стоимости защищенного виртуального сервера в рамках тарифного плана, при заказе первого сервера в ИСПДн имеется установочная плата в

размере 10 000 рублей.

** – Стоимость защищенного сервера ИСПДн с пакетом документов и процедурой аттестации рабочего места.

Продажа защищенной инфраструктуры для хранения и обработки персональных данных по представленным тарифным планам осуществляется с минимальным сроком - 1 год.

Примеры работ

Нашими силами был успешно сделан проект по переносу персональных данных учащихся московского института в облако. Были выпущены аттестаты рабочего места, канала связи а также облачного сервера. Была создана не типовая база данных занимающая 5гб на защищенном сервере.

Наши сертификаты

Что входит в наши услуги хранения персональных данных

• Мы организовываем обработку и хранение информации во внешнем центре обработки данных (ЦОД), предоставляем в ваше распоряжение виртуальную машину, защищенную согласно требованиям Федерального закона о защите персональных данных №152-ФЗ.
• Реализуем правовые, организационные и технические нормы закона.
• Оформляем и предоставляем вашей организации полный комплект требуемых документов (учитывая особенности вашего рода деятельности), в их числе аттестат соответствия требованиям безопасности
• Вам не понадобится заключать договор с субъектами о том, что их персональные сведения будут передаваться на обработку во внешний дата-центр.

Стоит упомянуть два нюанса:

• Минимальный период для сервера равен 6 месяцам. Если вы уложитесь в 5гб тогда цена составит 4990р.в месяц. Если все-же потребуется больше тогда нужен следующий тариф: 50гб и 9990руб. в месяц.

• Стоимость установочного платежа в размере 10 000 руб. справедлив для типового комплекта документов, в вашем случае это «Платформа дистанционного обучения», она у нас не типовая и может потребоваться индивидуальная разработка пакета документации. Стоимость разработки нетиповой конфигурации составляет +15 000 рублей. Делается это единоразово.

Для понимания нужна ли будет индивидуальная разработка, нам нужно краткое описание сервиса (какая база данных и где хранится (MySQL;SQL и т.д.)) который будет размещаться на сервере ИСПДн. Т.е. алгоритм работы сервиса, кто является субъектом ПДн в сервисе, кто и как получает доступ к сервису.

Как это работает

Любое предприятие сейчас использует в своей работе информационные системы, обрабатывающие персональные данные (ПДн). К примеру, это бухгалтерские ИС, финансовые, кадровые и другие. Под обработкой, согласно закону, подразумевается сбор, запись, систематизация, хранение, уточнение, использование, передача, удаление и другие операции с этой информацией.

Соответственно, рано или поздно встает вопрос о том, чтобы привести свою работу в соответствие с Федеральным законом “О персональных данных” и получить документальное подтверждение этого соответствия.

Самостоятельно и без необходимого опыта выполнить все требования к хранению персональных данных довольно затруднительно, это может привести к излишним тратам времени и ресурсов. Поэтому мы предлагаем услуги своих специалистов. Они уже не раз решали задачи организации хранения и передачи персональных данных и хорошо знают о “подводных камнях”.

Хранение персональных данных на сервере дата-центра: преимущества подхода

Чтобы построить полноценную систему защиты информационных систем персональных данных (ИСПДН) на предприятии, необходимо выполнить предпроектное обследование ИСПДН, разработать модель угроз безопасности, создать концепцию и затем проект системы защиты ИСПДН, поставить, внедрить, разработать методы аттестации, провести проверку и оформить аттестат соответствия.

Если же организовать хранение персональных данных клиентов в аттестованной виртуальной инфраструктуре, расположенной во внешнем дата-центре, то выполнение всех этих работ упрощается и сводится к утверждению предварительно разработанных типовых документов, а соответствующие затраты значительно сокращаются. Кроме того, хранение данных в надежном и современном дата-центре гарантирует, что ваша информация будет всегда доступна для вас, целостна и защищена от потерь.

Однако, если переносить ПДн во внешний дата-центр, то, как правило, возникает ряд сложностей. Так, например, согласно Федеральному закону №152-ФЗ “О персональных данных” (ст.7 и ч.ч.3-5 ст.6), определяющему порядок хранения персональных данных в России, оператору для поручения обработки ПДн стороннему дата-центру, необходимо получить согласие каждого субъекта на сбор и хранение персональных данных, где указан перечень данных и допустимых действий с ними, цели, сроки и есть собственноручная подпись каждого субъекта (фактически, заключить с клиентом договор на хранение персональной информации).

Рис.1. Классическая схема: организация-оператор отдает ПДн на обработку во внешний дата-центр, перекладывая все заботы по обеспечению безопасности этих данных на оператора дата-центра.

Организация-оператор ПДн при такой классической схеме работы с дата-центром сталкивается со значительными неудобствами и ограничениями в своей работе:

• Остаются актуальными все организационно-правовые вопросы обработки данных: нужно издавать положение о персональных данных, прорабатывать правовые основания для обработки персональных данных и для передачи персональных данных третьим лицам (включая дата-центр).
• В силу ст.7 и ч.ч.3-5 ст.6 федерального закона №152-ФЗ “О персональных данных” возникает обязанность получить согласие на передачу персональных данных на обработку в дата-центр с каждого субъекта персональных данных. Причём, такое согласие должно быть оформлено согласно требований ст.9 указанного федерального закона, т.е. содержать, в том числе, цели обработки, полный перечень персональных данных, полный перечень действий с персональными данными, на которые даётся согласие, срок действия согласия и собственноручную подпись субъекта персональных данных либо её электронный аналог.И обычно получение такого согласия вызывает затруднение у организации-оператора.

Чтобы избежать этих трудностей, мы предлагаем следующую технологию работы:

• С помощью сертифицированных средств криптозащиты ПДн, передаваемые по каналам связи, защищаются от провайдера услуг связи.
• Подобным образом мы предлагаем защитить ПДн и при обработке в дата-центре – использовать средства информационной защиты, исключающие абсолютно любую техническую возможность доступа со стороны сотрудников дата-центра. Для этого мы разворачиваем одну или несколько виртуальных машин, каждая из которых – всесторонне изолированный объект, любой доступ к которому со стороны хостинг провайдера блокируется. Это достигается как функциями гипервизора, так и средствами защиты от несанкционированного доступа. В дальнейшем работать с такой арендованной защищённой виртуальной машиной можно с рабочего места из офиса клиента с помощью удалённого терминала (“Удалённый рабочий стол”, VNC-терминал или SSH-терминал).

Таким образом, ни провайдер, ни дата-центр никак не смогут установить субъекта персональных данных, определить объём информации в виртуальной машине клиента, наличие каких-либо конфиденциальных сведений. Следовательно, такую работу с ПДн в изолированной виртуальной машине нельзя считать передачей ПДн оператору дата-центра или поручением на обработку ПДн, что избавляет клиента от необходимости получать согласие субъектов.

Пример организации передачи и обработки персональных данных по защищенным каналам связи

Приведем небольшой кейс, иллюстрирующий данную технологию на примере организации-оператора персональных данных, территориально состоящей из центрального офиса и филиалов.

Рис.2. Организация передает персональные данные по открытым каналам

Интернет-провайдер осуществляет передачу IP-пакетов, содержащих персональные данные. Согласно п.3 ст.3 ФЗ-152 это уже частный случай обработки персональных данных. Т. О., согласно п.2 ст.3 ФЗ-152, интернет-провайдер уже превращается в оператора ПДн. И согласно требований ст.6 и ст.7 ФЗ-152, нашей воображаемой оргнанизации, передающей ПДн по открытым каналам в данном случае уже нужно получать согласие субъектов персональных данных на передачу их персональных данных в открытом виде по сетям провайдера. А интернет-провайдер, в свою очередь, должен принимать все необходимые организационно-технические меры для защиты этих данных.

Однако, если принять меры по шифрованию данных (криптографической защите) перед отправкой по каналам связи интернет-провайдера, то с правовой точки зрения уже не возникнет факта передачи ПДн на обработку. Т.к. согласно п.1 ст.3 ФЗ-152 “персональные данные – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).”

На рисунке 3 проиллюстировано, что провайдеру услуг связи не передаётся информация, по которой можно было бы прямо или косвенно установить субъекта персональных данных.

Рис.3. Организация передает персональные данные по защищенным каналам

ИТОГ: Применение криптографических средств защиты ПДн перед отправкой их по каналам провайдера позволяет с правовой точки зрения избавится от факта передачи их на обработку этому провайдеру.

Защита ПДн при обработке в виртуальной инфраструктуре

Точно также компания “Интегрус” предлагает с помощью защищенных каналов передачи данных защитить ПДн при обработке их в дата-центрах, в облачных хранилищах и виртуальных хостингах с помощью специальных средств защиты информации.

Защита будет установлена и настроена таким образом, чтобы полностью исключить техническую возможность доступа со стороны сотрудников дата-центра (администраторов, инженеров, операторов) к тем персональным данным, которые организация будет располагать в дата-центре. Такая защита проводится согласно проекта системы защиты ПДн с помощью сертифицированных по линии ФСТЭК России средств защиты информации (в том числе гипервизора виртуальных машин и средств защиты от несанкционированного доступа), а также с использованием сертифицированных по требованиям ФСБ России средств криптографической защиты информации (при передаче по каналам связи и при обработке в виртуальной инфраструктуре). Подробно такая схема проиллюстрирована на рисунке 4.

Рис.4. Технология защиты ПДн в виртуальной инфраструктуре.

Защита персональных данных – услуги “Интегрус” в организационно-правовой сфере

Кроме организации системы защиты, мы выполняем все организационно-правовые работы:

• Прорабатываем правовые основания для обработки ПДн, её задачи, способы и сроки.
• Готовим и публикуем документ, который декларирует политику в области работы с персональными данными (положение о хранении, обработке персональных данных) и комплект организационно-распорядительных документов (актов классификации ИС, инструкций, регламентов и журналов).
• Разрабатываем уведомления об обработке персональных данных для направления в Роскомнадзор (при необходимости).

Если вы хотите получить готовую информационную систему, выполняющую требования Закона о хранении персональных данных и соответствующую всем стандартам, желаете без проблем работать с персональными данными, не опасаться претензий со стороны клиентов, сотрудников или контролирующих органов, обращайтесь к специалистам “Интегрус”. Оставьте заявку через форму обратной связи на сайте, позвоните или напишите нам и мы охотно проконсультируем вас по технической и правовой стороне вопроса.