Защита персональных данных в России стремительно набирает обороты. СМИ и интернет-операторы вынуждены доказывать в судах, что размещенная информация является достоверной и не нарушает права граждан или организаций. В обзоре судебной практики - дела по защите персональных данных бизнесменов и простых граждан.
1. Закон о защите персональных граждан не противоречит Конституции РФ
Конституционный Суд РФ решил, что норма "О персональных данных", согласно которой операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, не противоречит Конституции РФ .
Суть спора
В Конституционный Суд РФ с жалобой на несоответствие Конституции РФ статьи 7 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных", согласно которой операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, обратилась гражданка. Заявительнице было отказано в предоставлении данных на третьих лиц, которые ранее являлись ее коллегами в образовательном учреждении. Гражданка сочла, что эта норма противоречит части 4 статьи 29 Конституции РФ , поскольку позволяет правоприменительным органам отказывать в предоставлении информации, необходимой для защиты нарушенных прав гражданина.
Решение суда
Конституционный Суд определением от 26 мая 2016 г. N 1158-О отказал гражданке в принятии жалобы к рассмотрению. Судьи отметили, что КС РФ уже неоднократно указывал, что в понятие "частная жизнь" включается только та область жизнедеятельности человека, которая относится к отдельному лицу, касается только его и не подлежит контролю со стороны общества и государства, если носит непротивоправный характер. Поэтому ограничение на раскрытие и распространение информации, относящейся к персональным данным, направлено на обеспечение разумного баланса конституционно-защищаемых ценностей. В связи с этим оспариваемая заявительницей норма закона не может рассматриваться как нарушающее ее конституционные права в указанном в жалобе аспекте.
2. За распространение материалов, содержащих персональные данные, СМИ может быть закрыто
Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций может прекратить деятельность средства массовой информации, если были установлены факты распространения материалов, содержащих персональные данные, и другие систематические нарушения требований закона, допущенные редакцией издания. Так решил Верховный суд РФ.
Суть спора
За нарушение требований статьи 4 и опубликование редакцией газеты "Лабинские вести" материалов, которые содержали персональные данные несовершеннолетней гражданки, а именно фамилии, имени, сведений о школе, в которой обучается несовершеннолетняя, без ее согласия и согласия ее законного представителя, а также ряда других статей с персональными данными несовершеннолетних, Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций вынесло письменное предупреждение о недопустимости распространения через средство массовой информации сведений, составляющих специально охраняемую законом тайну, главному редактору СМИ газеты "Лабинские вести". Однако, главный редактор не отреагировала на это предупреждение и продолжала публиковать персональные данные граждан без их согласия. Поэтому Управление Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций обратилось в Краснодарский краевой суд с исковым заявлением о прекращении деятельности газеты "Лабинские вести".
Решение суда
Решением суда первой инстанции исковое заявление Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций было удовлетворено и деятельность газеты прекращена. В качестве апелляционной инстанции в этом процессе Судебная коллегия по административным делам Верховного Суда Российской Федерации. В определении Верховного Суда РФ от 24.06.2015 N 18-АПГ15-7 судьи не нашли оснований для отмены решения суда первой инстанции. Причиной для такого решения послужил тот факт, что в силу статьи 4 не допускается использование средств массовой информации для разглашения сведений, составляющих государственную или иную специально охраняемую законом тайну. Новелла статьи 16 данного закона определяет, что основанием для прекращения судом деятельности средства массовой информации являются неоднократные нарушения редакцией требований данного закона. Такие нарушения должны происходить не менее, чем в течение двенадцати месяцев. Как это происходило в спорной ситуации, по поводу чего регистрирующий орган делал письменные предупреждения учредителю и главному редактору. Кроме того, судьи отметили, что по нормам статьи 3 такими данными признается любая информация, которая относится к прямо или косвенно определенному субъекту персональных данных. К этим сведениям, в частности, относятся фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация. В соответствии с требованиями закона обработка персональных данных может осуществляться только с письменного согласия в письменной форме субъекта персональных данных. Поэтому, редакция, получившая доступ к персональным данным, должна обеспечить конфиденциальность персональных данных путем их обезличивания. Объективных доказательств того, что у редакции газеты были исключительные обстоятельства для распространения персональных данных в связи с защитой общественных интересов судами получено не было.
3. Требование о предъявлении паспорта на кассе не является нарушением
Нарушение установленного законом порядка сбора, хранения и использования информации о гражданах подлежит административному наказанию. Однако у покупателя в магазине при возврате товара кассир обязан проверить паспорт и заполнить финансовую документацию, в соответствии с требованием законодательства. Верховный суд РФ, что такие действия не являются нарушением закона о защите персональных данных.
Суть спора
В отношении торгующей организации постановлением прокуратуры было возбуждено дело об административном правонарушении, предусмотренном статьей 13.11 КоАП РФ . Данное нарушение выразилось в том, что в магазине организации в ходе проверки на предмет соблюдения законодательства о персональных данных было установлено, что организация осуществляет обработку персональных данных физических лиц путем сбора, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи. При этом осуществляемая организацией обработка персональных данных покупателей не подпадает под исключения, установленные в статье 22 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных". Проверка была проведена по заявлению гражданина, который изъявил желание вернуть товар в магазине "Покупочка". При этом ему было предложено заполнить в обязательном порядке заявление, в котором необходимо указывать персональные данные для возврата денежных средств, при наличии чека. В силу статьи 5 Федерального закона "О персональных данных" истребование персональных данных является избыточным. На основании этого организация была привлечена мировым судьей к административной ответственности за совершение административного правонарушения, предусмотренного статьей 13.11 КоАП РФ в виде предупреждения. Однако организация свою вину не признала и обжаловала решение мирового судьи.
Решение суда
Вышестоящие судебные инстанции согласились с выводами мирового судьи о наличии в действиях общества состава данного административного правонарушения. Однако Верховный суд РФ, куда обратилась с жалобой организация, постановлением от 15 июня 2016 г. N 25-АД15-3 отменил все принятые по делу судебные акты и признал организацию невиновной. Судьи отметили, что в соответствии с законом о персональных данных обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных законодательством. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных. Однако, по нормам покупатель вправе отказаться от исполнения договора купли-продажи и потребовать возврата уплаченной за товар денежной суммы. Постановлением Правительства РФ от 19 января 1998 г. N 55 утверждены Правила продажи отдельных видов товаров, согласно которым которых покупатель вправе возвратить приобретенный товар продавцу и получить уплаченную за него денежную сумму. При этом, продавец обязан соблюдать Положение о порядке ведения кассовых операций с банкнотами и монетой Банка России на территории Российской Федерации, утвержденное Банком России от 12 октября 2011 г. N 373-П (утратило силу с 1 июня 2014 года в связи с изданием Указания Банка России от 11 марта 2014 г. N 3210-У). В соответствии с которым, порядок ведения кассовых операций в целях организации на территории РФ наличного денежного обращения предусматривает выдачу наличных денег кассиром непосредственно получателю, указанному в расходном кассовом ордере, только при предъявлении им паспорта или другого документа, удостоверяющего личность в соответствии с требованиями законодательства Российской Федерации. Исходя из этих норм, ситуация с возвратом денег покупателю из кассы организации на основании его письменного заявления с указанием фамилии, имени, отчества и данных документа, удостоверяющего личность, не противоречит требованиям законодательства. Истребование указанных персональных данных избыточным не является. Поэтому отсутствуют основания для привлечения организации к административной ответственности.
4. Организации обязаны предоставлять ФАС сведения о персональных данных клиентов
Федеральная антимонопольная служба имеет право наказать организацию за отказ предоставить по запросу документы, которые содержат персональные данные физических лиц. Так решил Верховный суд РФ.
Суть спора
Решение суда
5. Журналисты должны получать согласие на использование изображений и персональных данных граждан
Если журналист не получил согласия гражданина на публикацию информации о нем и фотографии в СМИ, то он нарушил закон и должен компенсировать гражданину моральный вред. Так решил Санкт-Петербургский городской суд.
Суть спора
Гражданин обратился в районный суд Санкт-Петербурга с исковым заявлением к ЗАО "Издательский дом "Комсомольская правда" о признании незаконным распространение газетой "Комсомольская правда" персональных данных, а также его личного изображения. Кроме того гражданин просил взыскать с редакции газеты компенсацию морального вреда и опубликовать в ближайшем планируемом выпуске газеты "Комсомольская правда" опровержение. Причиной для такого обращения в суд послужил тот факт, что газета "Комсомольская правда", зарегистрированная как электронное средство массовой информации в Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций опубликовала в сети интернет статью. В этой статье содержалось интервью журналиста с гражданином с размещением его личной фотографии. В статье упоминаются сведения о личной жизни гражданина, по большей части не соответствующие действительности, а также его персональные данные. Поскольку, гражданин уверен, что не давал такого интервью, не принимал какого-либо участия в размещении статьи, а также не давал кому-либо разрешения на опубликование своего изображения, в том числе, в данной газете, он обратился в суд.
Решение суда
Суд первой инстанции частично удовлетворил исковые требования гражданина. Суд постановил признать незаконным распространение газетой "Комсомольская правда" персональных данных, а также использование изображения гражданина в оспариваемой статье. Кроме того, судья взыскал с редакции газеты "Комсомольская правда" в пользу истца компенсацию морального вреда. Санкт-Петербургский городской суд с выводами коллег согласился и апелляционным определением от 09.07.2015 N 33-11751/2015 по делу N 2-1510/2014 оставил решение суда первой инстанции без изменения. Основанием для такого решения послужили выводы судей о том, что по нормам статьи 152.1 Гражданского кодекса РФ обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина. Кроме того, действиями ответчика допущено нарушение такого нематериального права, как право на неприкосновенность личной жизни, поэтому требование истца о взыскании компенсации морального вреда подлежит удовлетворению. В силу статьи 151 Гражданского кодекса РФ , причинение морального вреда гражданину (физических или нравственных страданий) действиями, нарушающими его личные неимущественные права, либо посягающими на принадлежащие гражданину другие нематериальные блага, предполагает обязанность денежной компенсации такого вреда. Истребовать такую компенсацию пострадавший гражданин может в судебном порядке.
Защита персональных данных и СМИ.
Обязательные требования Федерального закона «О персональных данных».
Свободный доступ граждан к информации ограничивается правом каждого отдельного человека на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени.
Охрана личной жизни поддерживается всеми правовыми документами: нормами международного права , Конституцией РФ, уголовным, гражданским, специализированным законодательством.
Права и свободы – оговорены в Конституции, во всем массиве российского законодательства и в том числе в законе о персональных данных.
Принятие Федерального Закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных» направлено на реализацию конституционных положений, закрепляющих право каждого на неприкосновенность частной жизни и свободу информации.
В законе используются следующие основные понятия:
1) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
3) обработка персональных данных - любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
4) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
5) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Основными задачами Роскомнадзора, как уполномоченного органа по защите прав субъектов персональных данных, являются в том числе:
Обеспечение контроля и надзора за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных;
Ведение реестра операторов, осуществляющих обработку персональных данных, а также проверка сведений, содержащихся в уведомлении об обработке персональных данных;
Рассмотрение обращений субъектов персональных данных, а также принятие в пределах своих полномочий решений по результатам их рассмотрения.
В соответствии с ч. 1 ст. 22 Федерального закона оператор до начала обработки персональных данных обязан уведомить Уполномоченный орган о своем намерении осуществлять обработку персональных данных. Операторы, осуществляющие обработку персональных данных, обязаны направить в Уполномоченный орган уведомление об обработке персональных данных.
«Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе…» А почему человек захочет давать информацию СМИ о себе, какой ему в этом интерес? Это просто. Публичным людям это дает популярность, общественный авторитет , повышает рейтинг. Политики, бизнесмены готовы платить за материалы о себе - и не только во время предвыборных кампаний. Имидж - это одно из слагаемых успеха и бизнеса, и политики.
Но в журналистском арсенале есть не только и не столько положительные материалы, но и критика, расследования, разоблачения. Журналисты расследуют служебную деятельность и решения чиновников, критикуют органы власти, финансово-промышленные группы, разоблачают коррупцию. Здесь всегда встает вопрос, на что готовы пойти конкретные СМИ при публикации подобных материалов, какую цену они готовы заплатить за отстаивание интересов общества и конкретных людей. Если они уверены в своей правоте, то готовы судиться и с конкретными людьми, и с целыми структурами.
Что может изменить в этой ситуации закон о персональных данных? Понятно, что герой коррупционного скандала не даст согласие на публикацию своей фамилии «своей волей и в своем интересе». К своим искам о защите чести и достоинства, о клевете или о защите деловой репутации он прибавит иск о нарушении прав субъекта персональных данных. Это только еще один возможный риск при «осуществлении профессиональной деятельности журналиста».
Закон не содержит прямых ограничений для журналистов, но в правоприменительной практике, возможны ситуации, когда некоторые ограничения могут возникнуть. Будем надеяться, что правоприменительная практика все же будет развиваться в благоприятном для прессы направлении.
Таким образом, закон и этические нормы профессии журналиста за то, чтобы не публиковать сведения, касающиеся частной сферы. Как сказал один известный политик, «человек должен иметь свое личное пространство, куда можно войти только по приглашению».
Всем привет! Я руковожу центром киберзащиты DataLine. К нам приходят заказчики с задачей выполнения требований 152-ФЗ в облаке или на физической инфраструктуре.
Практически в каждом проекте приходится проводить просветительскую работу по развенчанию мифов вокруг этого закона. Я собрал самые частые заблуждения, которые могут дорого обойтись бюджету и нервной системе оператора персональных данных. Сразу оговорюсь, что случаи госконтор (ГИС), имеющих дело с гостайной, КИИ и пр. останутся за рамками этой статьи.
Миф 1. Я поставил антивирус, межсетевой экран, огородил стойки забором. Я же соблюдаю закон?
152-ФЗ – не про защиту систем и серверов, а про защиту персональных данных субъектов. Поэтому соблюдение 152-ФЗ начинается не с антивируса, а с большого количества бумажек и организационных моментов.Главный проверяющий, Роскомнадзор, будет смотреть не на наличие и состояние технических средств защиты, а на правовые основания для обработки персональных данных (ПДн):
- с какой целью вы собираете персональные данные;
- не собираете ли вы их больше, чем нужно для ваших целей;
- сколько храните персональные данные;
- есть ли политика обработки персональных данных;
- собираете ли согласие на обработку ПДн, на трансграничную передачу, на обработку третьими лицами и пр.
- Типовая форма согласия на обработку персональных данных (это те листы, которые мы сейчас подписываем практически везде, где оставляем свои ФИО, паспортные данные).
- Политика оператора в отношении обработки ПДн ( есть рекомендации по оформлению).
- Приказ о назначении ответственного за организацию обработки ПДн.
- Должностная инструкция ответственного за организацию обработки ПДн.
- Правила внутреннего контроля и (или) аудита соответствия обработки ПДн требованиям закона.
- Перечень информационных систем персональных данных (ИСПДн).
- Регламент предоставления доступа субъекта к его ПДн.
- Регламент расследования инцидентов.
- Приказ о допуске работников к обработке ПДн.
- Регламент взаимодействия с регуляторами.
- Уведомление РКН и пр.
- Форма поручения обработки ПДн.
- Модель угроз ИСПДн.
Реальность: соблюдение закона – это налаживание и соблюдение определенных процессов, в первую очередь, и только во вторую – использование специальных технических средств.
Миф 2. Я храню персональные данные в облаке, дата-центре, соответствующем требованиям 152-ФЗ. Теперь они отвечают за соблюдение закона
Когда вы отдаете на аутсорсинг хранение персональных данных облачному провайдеру или в дата-центр, то вы не перестаете быть оператором персональных данных.Призовем на помощь определение из закона:
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Источник: статья 3, 152-ФЗ
Из всех этих действий сервис-провайдер отвечает за хранение и уничтожение персональных данных (когда клиент расторгает с ним договор). Все остальное обеспечивает оператор персональных данных. Это значит, что оператор, а не сервис-провайдер, определяет политику обработки персональных данных, получает от своих клиентов подписанные согласия на обработку персональных данных, предотвращает и расследует случаи утечки персональных данных на сторону и так далее.
Следовательно, оператор персональных данных по-прежнему должен собрать документы, которые были перечислены выше, и выполнить организационные и технические меры для защиты своих ИСПДн.
Обычно провайдер помогает оператору тем, что обеспечивает соответствие требованиям закона на уровне инфраструктуры, где будут размещаться ИСПДн оператора: стойки с оборудованием или облако. Он также собирает пакет документов, принимает организационные и технические меры для своего куска инфраструктуры в соответствие с 152-ФЗ.
Некоторые провайдеры помогают с оформлением документов и обеспечением технических средств защиты для самих ИСПДн, т. е. уровня выше инфраструктуры. Оператор тоже может отдать эти задачи на аутсорсинг, но сама ответственность и обязательства по закону никуда не исчезают.
Реальность: обращаясь к услугам провайдера или дата-центра, вы не можете передать ему обязанности оператора персональных данных и избавиться от ответственности. Если провайдер вам это обещает, то он, мягко говоря, лукавит.
Миф 3. Необходимый пакет документов и мер у меня есть. Персональные данные храню у провайдера, который обещает соответствие 152-ФЗ. Все в ажуре?
Да, если вы не забыли подписать поручение. По закону оператор может поручить обработку персональных данных другому лицу, например, тому же сервис-провайдеру. Поручение – это своего рода договор, где перечисляется, что сервис-провайдер может делать с персональными данными оператора.Тут же закрепляется обязанность провайдера соблюдать конфиденциальность персональных данных и обеспечивать их безопасность в соответствии с указанными требованиями:
За это провайдер несет ответственность перед оператором, а не перед субъектом персональных данных:
В случае если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором.
Источник: 152-ФЗ .
В поручении также важно прописать обязанность обеспечения защиты персональных данных:
Реальность: если отдаете персональные данные провайдеру, то подписывайте поручение. В поручении указывайте требование по обеспечению защиты ПДн субъектов. Иначе вы не соблюдаете закон в части передачи работ обработки персональных данных третьим лицом и провайдер в части соблюдения 152-ФЗ вам ничего не обязан.
Миф 4. За мной шпионит Моссад, или У меня непременно УЗ-1
Некоторые заказчики настойчиво доказывают, что у них ИСПДн уровня защищенности 1 или 2. Чаще всего это не так. Вспомним матчасть, чтобы разобраться, почему так получается.УЗ, или уровень защищенности, определяет, от чего вы будете защищать персональные данные.
На уровень защищенности влияют следующие моменты:
- тип персональных данных (специальные, биометрические, общедоступные и иные);
- кому принадлежат персональные данные – сотрудникам или несотрудникам оператора персданных;
- количество субъектов персональных данных – более или менее 100 тыс.
- типы актуальных угроз.
Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.
Если вы признаете этот тип угроз актуальным, значит вы свято верите в то, что агенты ЦРУ, МИ-6 или МОССАД разместили в операционной системе закладку, чтобы воровать персональные данные конкретных субъектов именно из ваших ИСПДн.
Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.
Если считаете, что угрозы второго типа – это ваш случай, то вы спите и видите, как те же агенты ЦРУ, МИ-6, МОССАД, злобный хакер-одиночка или группировка разместили закладки в каком-нибудь пакете программ для офиса, чтобы охотиться именно за вашими персональными данными. Да, есть сомнительное прикладное ПО типа μTorrent, но можно сделать список разрешенного софта к установке и подписать с пользователями соглашение, не давать пользователям права локальных администраторов и пр.
Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.
Вам не подходят угрозы 1 и 2 типов, значит, вам сюда.
С типами угроз разобрались, теперь смотрим, какой же уровень защищенности будет у нашей ИСПДн.
Таблица на основе соответствий, прописанных в Постановлении Правительства РФ от 1 ноября 2012 г. № 1119 .
Если мы выбрали третий тип актуальных угроз, то в большинстве случаев у нас будет УЗ-3. Единственное исключение, когда угрозы 1 и 2 типа не актуальны, но уровень защищенности все равно будет высоким (УЗ-2), – это компании, которые обрабатывают специальные персональные данные несотрудников в объеме более 100 000. Например, компании, занимающиеся медицинской диагностикой и оказанием медицинских услуг.
Есть еще УЗ-4, и он встречается в основном у компаний, чей бизнес не связан с обработкой персональных данных несотрудников, т. е. клиентов или подрядчиков, либо базы персональных данных малы.
Почему так важно не переборщить с уровнем защищенности? Все просто: от этого будет зависеть набор мер и средств защиты для обеспечения этого самого уровня защищенности. Чем выше УЗ, тем больше всего надо будет сделать в организационном и техническом плане (читай: тем больше денег и нервов нужно будет потратить).
Вот, например, как меняется набор мер обеспечения безопасности в соответствии с тем же ПП-1119.
Теперь смотрим, как, в зависимости от выбранного уровня защищенности, меняется список необходимых мер в соответствии с Приказом ФСТЭК России № 21 от 18.02.2013 г. К этому документу есть длиннющее приложение, где определяются необходимые меры. Всего их 109, для каждого УЗ определены и отмечены знаком "+" обязательные меры – они как раз и рассчитаны в таблице ниже. Если оставить только те, которые нужны для УЗ-3, то получится 41.
Реальность: если вы не собираете анализы или биометрию клиентов, вы не параноик боитесь закладок в системном и прикладном ПО, то, скорее всего, у вас УЗ-3. Для него предусмотрен вменяемый список организационных и технических мер, которые реально выполнить.
Миф 5. Все средства защиты (СЗИ) персональных данных должны быть сертифицированы ФСТЭК России
Если вы хотите или обязаны провести аттестацию, то скорее всего вам придется использовать сертифицированные средства защиты. Аттестацию будет проводить лицензиат ФСТЭК России, который:- заинтересован продать побольше сертифицированных СЗИ;
- будет бояться отзыва лицензии регулятором, если что-то пойдет не так.
Технические меры защиты персональных данных реализуются посредством применения средств защиты информации, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности.
При использовании в информационных системах сертифицированных по требованиям безопасности информации средств защиты информации:
Пункт 12 Приказа № 21 ФСТЭК России
.
Реальность: закон не требует обязательного использования сертифицированных средств защиты.
Миф 6. Мне нужна криптозащита
Тут несколько нюансов:- Многие считают, что криптография обязательна для любых ИСПДн. На самом деле использовать их нужно лишь в случае, если оператор не видит для себя иных мер защиты, кроме как применение криптографии.
- Если без криптографии никак, то нужно использовать СКЗИ, сертифицированные ФСБ.
- Например, вы решили разместить ИСПДн в облаке сервис-провайдера, но не доверяете ему. Свои опасения вы описываете в модели угроз и нарушителя. У вас ПДн, поэтому вы решили, что криптография – единственный способ защиты: будете шифровать виртуальные машины, строить защищенные каналы посредством криптозащиты. В этом случае придется применять СКЗИ, сертифицированные ФСБ России.
- Сертифицированные СКЗИ подбираются в соответствии с определенным уровнем защищенности согласно Приказу № 378 ФСБ .
KC2, КС3 представлены только программно-аппаратными комплексами, такими как: ViPNet Coordinator, АПКШ «Континент», С-Терра Шлюз и т. д.
Если у вас УЗ-2 или 1, то вам нужны будут средства криптозащиты класса КВ1, 2 и КА. Это специфические программно-аппаратные комплексы, их сложно эксплуатировать, а характеристики производительности скромные.
Реальность: закон не обязывает использовать СКЗИ, сертифицированные ФСБ.
По сравнению с государственной тайной сведения о частной жизни граждан образуют как бы другой полюс информационной безопасности. В юридической литературе используется термин «персональные данные» . Закон «Об информации, информатизации и защите информации» дает такое определение: «информация о гражданах (персональные данные) – сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность». Закон запрещает сбор, хранение, использование и распространение информации о частной жизни, а также информации, нарушающей ряд тайн: личной и семейной жизни, переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, если на то нет согласия самого человека или решения суда. Предусматривается, что перечень персональных данных, собираемых государственными и иными организациями, должен быть закреплен на уровне федерального закона. Наконец, деятельность государственных организаций и частных лиц, связанная с обработкой и распространением персональных данных, подлежит лицензированию.
Как видим, этот массив сведений необычайно многолик и не поддается простому перечислению. Более того, существуют законы о различных областях деятельности, в которых вводятся специальные, профессиональные ограничения на использование информации личного характера. Например, Закон «О банках и банковской деятельности» закрывает доступ посторонним лицам к тайне частных вкладов и операций, Закон «О частной детективной и охранной деятельности» фактически запрещает негосударственным структурам скрытое проникновение в личную жизнь граждан, медицинское законодательство охраняет сведения о состоянии здоровья человека и его обращении к врачам и т.д. Таким образом, сохранение личных секретов становится мотивом для установления профессиональных тайн.
Обилие такого рода норм и их разбросанность по различным правовым документам побуждают к разработке специального законодательства о персональных данных. Другая причина заключается в интенсивном развитии системы электронных коммуникаций. Если еще вчера для изучения истории болезни человека нужно было забираться в картотеку лечащего врача, то сегодня, когда эти сведения занесены в компьютеры, они стали едва ли не общедоступными. Появилась опасность утечки информации поверх государственных границ. Вот почему внимание к этой проблеме обострено во всем мире.
В России сформировались концептуальные установки для грамотного использования информации персонального характера. Так, в ее составе есть сведения, которые, как правило, нецелесообразно засекречивать (например, справочная информация, без которой не смогли бы действовать адресные столы и не издавались бы телефонные книги) – они, значит, открыты и для оглашения в прессе. В то же время к услугам СМИ сегодня предлагаются полулегальные компьютерные базы конфиденциальных данных. В распространении таких фактов требуются предельная осторожность и щепетильность. Сообщение информации о человеке без его ведома может быть истолковано как нарушение личных интересов, а за это установлена юридическая ответственность. По Гражданскому кодексу, задетый излишне любопытным корреспондентом человек имеет право ставить вопрос о возмещении ему морального вреда.
Вот некоторые типичные ситуации. Фоторепортер запечатлевает скандальную жанровую сцену (скажем, демонстрацию политических экстремистов), и в кадре ее участниками выглядят случайные прохожие. Согласно Закону «О средствах массовой информации», он обязан был принять меры против возможной идентификации посторонних лиц. Еще пример – недруги репортера-«разгребателя грязи» публикуют статью о том, как он в детстве лечился у психотерапевта. Или такой случай: столкнувшись с отказом кинорежиссера дать интервью, находчивый радиожурналист тайком включает магнитофон, чтобы записать телефонный разговор мэтра с актрисой...
Заметим, что скрытая запись не исключается законом – она должна быть мотивирована соблюдением конституционных прав и свобод гражданина и защитой общественных интересов. Однако и здесь есть существенные детали: данное положение распространяется на запись общих планов (например массового спортивного зрелища), тогда как на съемку или аудиозапись конкретного человека в любом случае требуется его согласие.
Журналисты сталкиваются с проблемой охраны частной жизни и в другом качестве – иногда они сами становятся объектами неправомерного наблюдения и слежки. Законодательство РФ запрещает проведение оперативно-розыскных мероприятий для сбора информации о частной жизни граждан, если это не является способом борьбы с преступлениями. Причиной избыточного интереса к представителям СМИ служит их профессиональная активность. Об одной из таких историй рассказала газета «Известия». Сотрудница «Комсомольской правды» поняла, что за ней следят, после того, как опубликовала серию критических статей об областной милиции. Она не только обратилась с заявлением в прокуратуру, но и направила в Конституционный суд жалобу, в которой поставила под сомнение ряд положений Закона «Об оперативно-розыскной деятельности». Так милицейская тема ее статей получила развитие в форме публичной общественной деятельности.
18. Порядок аккредитации редакции СМИ
Особые права журналистов: посещать государственные органы, их организации или пресс-службы. Возможность аккредитации – дополнительная услуга, которая создаёт благоприятные условия деятельности: журналист получает дополнительные гарантии допуска к информации, предупреждается о заседаниях и других мероприятиях, обеспечивается стенограммами и другими документами, ему обеспечиваются условия для производства записи.
Произвольно нельзя лишить аккредитации , нужны официальные основания (нарушение правил информации, распространение несоответствующих действительности сведений об организации) - это подтверждается решением суда. Есть рекомендательные правила комитета гласности – механизм аккредитации, количество сотрудников СМИ с аккредитацией, какие места занимать при работе и т. д.
В управлении Роскомнадзора по УрФО прошел семинар для прессы с разъяснениями новаций в законодательстве. В ведомстве отметили, что если журналисты допустили «утечку» персональных данных, это будет расцениваться как злоупотребление свободой СМИ. В таком случае редакция рискует получить предупреждение Роскомнадзора . Два предупреждения за год – повод для обращения в суд с иском о прекращении деятельности издания. О том, как не допустить такой ситуации, и шла речь на семинаре.
Инициалы, фамилия, должность – и все на этом
Одна из главных новаций заключается в том, что теперь журналисты имеют право брать из открытых источников только ограниченную информацию. К примеру, допускается упоминание имени и фамилии (без отчества) героя материала, а также его должность или место работы. Но описание где и как он живет, с кем общается – уже считается нарушением закона, даже если человек сам опубликовал эту информацию в социальных сетях . Или журналист может поступить наоборот: максимально подробно рассказать о жизни человека, но «обезличить» текст – изменить имя или «зашифровать» его инициалами. Как пояснила начальник отдела по защите прав субъектов персональных данных управления Роскомнадзора по УрФО Анастасия Гоголева, главным критерием является объем опубликованных сведений о человеке. Если информация не способствует идентификации личности, ее можно свободно размещать в СМИ.
В любом другом случае автор материала должен взять согласие того, чьи персональные данные он собирается опубликовать. Причем в некоторых ситуациях согласие должно быть дано в письменной форме – эти случаи перечисляются в статьях 8, 10, 11, 12 и 16 федерального закона «О персональных данных». Например, по закону разглашение сведений, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни возможно только с разрешения человека. Аналогичная ситуация с фото и видеоматериалами. Если на них можно опознать человека, это считается распространением биометрических данных и требует согласия субъекта. Исключением является только публикация фотографий во время розыскных и следственных действий. Для СМИ есть один выход – публиковать фотографии без подписей или давать минимальную информацию под ними. «Если читатель не может идентифицировать человека, изображенного на фотографии, претензий не будет», – заверили представители Роскомнадзора.
Конец расследованиям
Конечно, новая трактовка защиты персональных данных возмутила журналистов. Ограничения практически ставят «крест» на расследованиях о коррумпированных чиновниках, политиках и других публичных персонах. Как можно описывать злодеяния должностного лица, скрывая от читателей его имя? Представители Роскомнадзора заявили, что не дают оценку общественно-значимой информации, а лишь проверяют соблюдение закона «О персональных данных». К примеру, если обиженный чиновник пожалуется на незаконное распространение его личных данных в каком-либо издании, Роскомнадзор будет обязан направить запрос в СМИ. Журналисты вправе ответить, что разглашение данных было в интересах общества. Тогда в этом споре будет разбираться суд. Кстати, на Урале пока таких прецедентов не было.
В то же время в Роскомнадзоре привели пример из жизни, когда публикация о доходах госслужащего была определена как нарушение закона. Журналист взял сведения из официальной декларации чиновника, где также был указан доход его супруги, и в своем тексте дописал должность жены служащего и «бэкграунд». От властной семьи незамедлительно последовала жалоба.
Претензии могут возникнуть даже к таким безобидным публикациям, где дается справка о карьерной историии чиновника – где учился и работал. В таком случае журналисту также необходимо брать согласие у «субъекта персональных данных». Хотя тут тоже есть нюансы. Как отметила Анастасия Гоголева, Роскомнадзор в основном следит за соблюдением закона в отношении несовершеннолетних, а проверка публикаций с персональными данными взрослых обычно проводится по заявлениям граждан. За год в ведомство поступает около 40 подобных обращений.
О детях – почти ничего
О жестких ограничениях Роскомнадзора относительно публикаций данных несовершеннолетних ранее уже писалось. Сегодня, сотрудники ведомства в очередной раз напомнили, что журналистский материал должен защищать права ребенка . Распространение личных данных пострадавших в результате противоправных действий детей запрещается. Причем противоправные действия могут укладываться в КоАП, то есть банальная драка в школе тоже относится к этим случаям. Публиковать фотографию несовершеннолетнего можно только с согласия его родителей или законного представителя. Если ребенок достиг 14 лет, разрешение нужно спрашивать и у него. Если совершено преступление против половой неприкосновенности несовершеннолетнего, публиковать фото жертвы нельзя, даже после окончания следственных действий. Единственным исключением может быть фото ребенка, который потерялся и его ищет полиция. После того, как ребенка нашли, СМИ лучше ограничится минимальной информацией о «потеряшке», чтобы не навлечь на себя санкции.
Практика будет нарабатываться
Представители Роскомнадзора отметили, что полномочия по наложению штрафов за несоблюдение закона «О персональных данных» переходят к ним с 1 июля. На данный момент судебной практики по разрешению спорных вопросов в этой сфере практически нет, но, как следует из вышеописанного, она не заставит себя долго ждать. По новому закону существенно увеличиваются размеры штрафов за нарушения публикаций персональных данных. Если сейчас денежные санкции составляют 5-10 тысяч рублей, то со второго полугодия штрафы для юридических лиц уже будут от 20 до 75 тысяч рублей. При этом важно помнить, что в КоАП внесено семь дополнительных составов правонарушений по персональным данным, то есть суммы штрафов за нарушения будут суммироваться.
