Advokat-inform.ru

Юридический советник
4 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Размещение персональных данных

Предприятие размещает на своем официальном сайте персональные данные работника (фотографию, год рождения, должность) в информационных целях. Необходимо ли в данном случае оформление отдельного от иных согласий субъекта персональных данных на обработку его персональных данных согласия на распространение, следуя норме части 1 ст. 10.1 ФЗ "О персональных данных" и по установленной форме (п. 9 ст. 9 данного ФЗ) форме? Либо данная норма распространяется на иные случаи, когда сам субъект (п. 1.1 ст. 3 данного ФЗ) дает доступ к своим персональным данным, и относится к другим правоотношениям, работой с Единой системой идентификации и аутентификации?

Рассмотрев вопрос, мы пришли к следующему выводу:
Размещение фотографий работников и сопутствующей информации на сайте организации в приведенной ситуации соответствует признакам распространения персональных данных и требует отдельного согласия работников.

Обоснование вывода:
Статьей 10.1 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ) установлены особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения, под которыми понимаются персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на подобную обработку в установленном порядке (п. 1.1 ст. 3 Закона N 152-ФЗ). Распространение персональных данных, в свою очередь, представляет собой действия, направленные на раскрытие персональных данных неопределенному кругу лиц (п. 5 ст. 3 Закона N 152-ФЗ).
На наш взгляд, ограничение сферы применения ст. 10.1 Закона N 152-ФЗ только случаями обработки персональных данных, доступ к которым предоставлен самим субъектом персональных данных, противоречило бы смыслу заложенных в эту статью норм. К примеру, как следует из ч. 2 ст. 10.1 Закона N 152-ФЗ, раскрытие персональных данных неопределенному кругу лиц самим субъектом персональных данных является лишь частным случаем из общей сферы применения ст. 10.1 Закона N 152-ФЗ. Поэтому мы полагаем, что ключевым понятием для применения названной статьи является именно распространение персональных данных: если обработка персональных данных заключается в действиях, направленных на раскрытие персональных данных неопределенному кругу лиц, то оператор должен осуществлять такую обработку в соответствии с требованиями ст. 10.1 Закона N 152-ФЗ. Другого порядка обработки персональных данных в форме распространения закон не содержит.
Соответственно, если работодатель собирается разместить фотографии работников в открытом доступе — на корпоративном сайте в сети Интернет (изображения при этом предполагается дополнить справочной информацией, включающей фамилию, имя, отчество сотрудника, год рождения), его действия следует признать распространением персональных данных*(1). Следовательно, организация в описанной ситуации обязана соблюсти требования Закона N 152-ФЗ и получить предварительное согласие сотрудников на распространение их персональных данных, включая фотографическое изображение, неопределенному кругу лиц. Такое согласие должно быть получено по правилам ст. 10.1 Закона N 152-ФЗ. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения (ч. 8 ст. 10.1 Закона N 152-ФЗ).
Напомним, что с 1 сентября 2021 г. вступает в силу приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 24 февраля 2021 г. N 18, утвердивший требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
Отметим, что согласно ч. 11 ст. 10.1 Закона N 152-ФЗ установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации. Обработка персональных данных, необходимая для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей, допускается и без согласия субъекта персональных данных (п. 2 ч. 1 ст. 6 Закона N 152-ФЗ). Таким образом, размещение персональных данных работников на сайте организации не требует предварительного их согласия в том случае, если работодатель обязан законом к размещению таких сведений*(2).

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Прибыткова Мария

Ответ прошел контроль качества

23 августа 2021 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.

————————————————————————
*(1). Согласно нормам п. 1 ст. 3 и ч. 1 ст. 11 Закона N 152-ФЗ персональными данными признается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу, а их обработкой — любое действие (операция) с такими данными. Биометрическими персональными данными признаются сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность. На основе приведенных норм можно заключить, что персональные данные (в целях применения Закона N 152-ФЗ) — это всевозможные сведения, с помощью которых можно идентифицировать субъекта персональных данных, что согласуется с положениями ст. 2 Конвенции о защите физических лиц при автоматизированной обработке персональных данных, принятой Советом Европы 28.01.1981.
Обращаем внимание, что из Закона N 152-ФЗ не следует, что персональными данными являются только такие сведения о человеке, которые позволяют его персонифицировать в отрыве от другой информации о нем (либо относящейся к нему). Данный вывод находит прямое подтверждение, в частности, в ч. 1 ст. 8 Закона N 152-ФЗ, причисляющей к персональным данным фамилию, имя, отчество, год и место рождения, адрес человека и др. При этом совершенно очевидно, что сам по себе адрес регистрации по месту жительства (временного пребывания) или, к примеру, абонентский номер, недостаточны для персонификации субъекта. Однако в совокупности с иными данными (в частности, фамилией, именем, отчеством) они позволяют установить личность субъекта персональных данных.
Закон N 152-ФЗ определяет персональные данные достаточно широко и не закрепляет исчерпывающего перечня сведений, относящихся к персональным данным субъекта. Изображение человека, в том числе фотографическое, среди подобных сведений в нем прямо не упомянуто.
В правоприменительной практике получила распространение позиция, высказанная представителями Роскомнадзора, согласно которой фотография человека относится к биометрическим персональным данным при условии, что она используется оператором для установления личности субъекта персональных данных. Эта позиция поддержана представителями Минцифры России и судьями (смотрите письмо Министерства цифрового развития, связи и массовых коммуникаций РФ от 17.07.2020 N ОП-П24-070-19433; кассационное определение СК по административным делам Второго кассационного суда общей юрисдикции от 31.07.2020 по делу N 8а-15200/2020[88а-17020/2020], постановление Арбитражного суда Северо-Западного округа от 21.11.2017 N Ф07-11732/17 по делу N А42-342/2017). Примеров обратного подхода ни в официальных разъяснениях, ни в судебной практике нам обнаружить не удалось. В соответствии с данным подходом, если фотография работника не используется для установления его личности, такая обработка под действие ст. 11 Закона N 152-ФЗ не подпадает.
В то же время не вызывает сомнений, что фотография передает физиологические особенности человека и наряду с иными сведениями о нем может служить идентификации личности. Поэтому действия работодателя (иного лица) в отношении фотографий работников (клиентов и т.п.) при определенных условиях могут быть отнесены к обработке иных (не биометрических) персональных данных. Косвенное подтверждение этому выводу можно обнаружить и в судебной практике (смотрите, к примеру, апелляционное определение СК по гражданским делам Пензенского областного суда от 24.04.2018 по делу N 33-1318/2018).
Так, в рассматриваемой ситуации организация не будет использовать фотографии сотрудников для определения их личности, но предполагает разместить фотографии в открытом доступе — на корпоративном сайте в сети Интернет. Изображения при этом предполагается дополнить справочной информацией, включающей фамилию, имя, отчество сотрудника, год рождения. Учитывая, что при таких обстоятельствах любой посетитель сайта сможет соотнести изображения с прямо определенными субъектами (конкретными работниками), действия работодателя по размещению фотографий работников на сайте организации следует признать распространением персональных данных.
*(2) Примером такого случая являются нормы ч. 3.3 ст. 32 Федерального закона от 12 января 1996 г. N 7-ФЗ «О некоммерческих организациях», п. 10 приложения к Порядку предоставления информации государственным (муниципальным) учреждением, ее размещения на официальном сайте в сети Интернет и ведения указанного сайта (утверждены приказом Минфина РФ от 21 июля 2011 г. N 86н), в силу которых государственные и муниципальные учреждения обязаны размещать на сайте сведения о руководителях учреждений.

Читайте так же:
Бизнес по вывозу мусора

© ООО «НПП «ГАРАНТ-СЕРВИС», 2021. Система ГАРАНТ выпускается с 1990 года. Компания «Гарант» и ее партнеры являются участниками Российской ассоциации правовой информации ГАРАНТ.

Распространение персональных данных: что должен знать кадровик

Изменения, внесенные в Федеральный закон № 152-ФЗ «О персональных данных», вызвали у кадровиков шквал вопросов. И это не удивительно: толкуют закон по-разному, информация на профессиональных интернет-сайтах противоречивая, а официальных разъяснений пока нет.

Что можно считать распространением персональных данных в кадровой работе? Когда следует получать у работников согласие о распространении их данных? Какова форма этого согласия?

Ответы на эти и многие другие вопросы вы найдете в нашей статье.

КОГДА ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ЯВЛЯЕТСЯ РАСПРОСТРАНЕНИЕМ

Изменения в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» (в ред. от 30.12.2020; далее — Федеральный закон № 152-ФЗ) были направлены на защиту тех персональных данных (далее — ПД), которые раньше назывались общедоступными. Именно об этом написано в пояснительной записке к Федеральному закону № 519-ФЗ[1]. Законодатель отметил, что общедоступные ПД также нуждаются в охране, поскольку третьи лица бесконтрольно используют данные с сайтов.

Чтобы понять, что закон подразумевает под термином «распространение» ПД, надо обратиться к ст. 3 Федерального закона № 152-ФЗ, где даны определения основным понятиям:

обработка персональных данныхлюбое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Можно сделать следующие выводы:

1. Передача ПД может осуществляться путем их распространения, предоставления или открытием доступа к ним.

2. Распространение ПД — это один из видов передачи данных, при котором ПД раскрываются неопределенному кругу лиц.

3. Термины «распространение», «предоставление» не являются синонимами, поскольку имеют разное определение в законе.

Эти выводы очень важны, поскольку позволяют четко разделить, когда происходит распространение (данные видит неограниченный круг лиц), а когда предоставление (данные получают строго определенные лица).

Например, является ли предоставление ПД работника в банк для оформления зарплатной карты или передача данных работника для покупки билета на самолет распространением его ПД? Нет, не является, потому что эти данные предоставляются строго ограниченному кругу лиц. Их не сможет увидеть больше никто, кроме работников банка или специалистов по оформлению билетов.

Читайте так же:
Можно ли привлечь к ответственности 15-летних хулиганов?

Если все так очевидно, то почему мнения юристов и консультантов так противоречивы?

Полагаем, что законодатели сами несколько запутали ситуацию, применяя в п. 12 ст. 10.1 Федерального закона № 152-ФЗ все термины, характеризующие передачу ПД:

Извлечение из Федерального закона № 152-ФЗ

12. Передача (распространение, предоставление, доступ)[2] персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных.

Из этого некоторые специалисты делают некорректные выводы:

• все виды передачи ПД (в т. ч. их представление в ПФР, соцстрах, налоговую инспекцию) с 01.03.2021 обязательно должны сопровождаться получением от работника согласия на распространение его ПД;

• все данные о работнике, которые использует работодатель, должны быть включены в согласие, а работник сам отметит, к каким ПД он разрешает доступ, какие можно предоставлять, а какие — распространять.

Славинская мнение автора

ОБ ИЗМЕНЕНИИ ТЕКСТА СОГЛАСИЯ НА ОБРАБОТКУ ПД

В связи со всеми нововведениями возникает вопрос: надо ли что-либо изменять в тексте «старых» согласий на обработку ПД работников? Думаем, что текст согласия пересмотреть все же следует, обратив внимание на следующие моменты:

Корректируем текст согласия

Согласие на обработку ПД работников необходимо получать, только если работодатель собирает, обрабатывает и хранит данные, которые не связаны с исполнением трудового договора (фотография, адрес личной электронной почты и т. п.) То есть такие ПД, которые Трудовой кодекс РФ требовать у работника не обязывает.

Вопрос в тему

Соответственно, если работодатель обрабатывает только обязательную информацию, установленную в ст. 65 ТК РФ и в разделах личной карточки формы № Т-2, согласие на обработку ПД работников может отсутствовать. Именно такие разъяснения ранее давал Роскомнадзор[3].

РАСПРОСТРАНЯЕТ ЛИ РАБОТОДАТЕЛЬ ПД СВОИХ РАБОТНИКОВ?

Перефразируем вопрос: раскрывает ли работодатель ПД работников неопределенному кругу лиц? Многие скажут: «Нет, не раскрывает». Но спешить с ответом не стоит.

Что такое раскрытие «неопределенному кругу лиц»? Это значит, что любой человек может свободно увидеть какие-либо ПД, они специально не скрыты. А к ПД закон относит практически любую информацию о работнике: Ф. И. О., должность, телефон, адрес, размер зарплаты, дату рождения, адрес личной электронной почты, личный телефонный номер, фото- и видеоизображение и пр.).

Извлечение из Федерального закона № 152-ФЗ

1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)[4];

В настоящее время практически каждая компания каким-либо образом представлена в Интернете:

• у нее есть свой сайт или страничка в социальной сети;

• она включена в каталоги предприятий или организаций города;

• зарегистрирована на торговых площадках или сайтах-агрегаторах. И на каждом ресурсе есть какие-либо сведения о работниках: контакты с указанием должностей, видеоролики и фото с участием работников.

В офисах на досках объявлений размещают поздравления с днем рождения, фотографии лучших работников или фотоотчеты о мероприятиях, графики дежурств или какие-либо списки. И конечно, почти в каждом офисе на кабинетах есть таблички с указанием должностей и фамилий начальников или специалистов.

Откройте страницу 3 нашего журнала. Справа указаны фамилия и инициалы шеф-редактора, его заместителя, научного редактора, должности и фамилии авторов статей. Любой человек может видеть эти ПД.

Если ПД работников может увидеть любой человек, который откроет журнал, зайдет в помещение организации или на ее сайт в Интернете, то распространение ПД имеет место.

Вопрос в тему 2

В соответствии с изменениями в законодательстве у каждого работника, чьи ПД находятся на всеобщем обозрении, следует взять согласие на распространение его персональных данных. Однако из этого правила есть исключение: получать согласие не требуется, если обязанность размещать ПД работников в сети Интернет предусмотрена законодательством РФ [5] .

[1] Федеральный закон от 30.12.2020 № 519-ФЗ «О внесении изменений в Федеральный закон "О персональных данных"».

[2] В извлечении выделено автором.

[3] Разъяснения Роскомнадзора от 14.12.2012 «Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве» (https://clck.ru/UCN2Q; далее — Разъяснения от 14.12.2012).

[4] Пункт 1 ч. 1 ст. 3 Федерального закона № 152-ФЗ.

[5] Разъяснения от 14.12.2012, п. 15 ст. 10.1 Федерального закона № 152-ФЗ.

А. Н. Славинская,
специалист по кадрам

Материал публикуется частично. Полностью его можно прочитать в журнале «Кадровые решения» № 5, 2021.

Как собирать персональные данные пользователей на сайте, не нарушая закон

Многие из нас постоянно регистрируются на разных ресурсах в Сети, подписываются на рассылки, заполняют формы и оставляют комментарии. Все эти действия так или иначе подразумевают сбор персональных данных. Мы расскажем, как обрабатывать персональные данные пользователей сайта и при этом избежать серьёзных нарушений и штрафов.

Если вы собираете данные пользователей из России, то основной документ, на который нужно полагаться — Федеральный закон № 152-ФЗ «О персональных данных». Давайте разберёмся, в чём его суть и как организовать сбор персональных данных законным путём.

Что такое персональные данные?

В соответствии с определением вышеупомянутого закона: «Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных)».

То есть, к персональным данным (далее ПД) можно отнести: ФИО, дату рождения, телефон, адрес, ИНН, сведения о работе, ссылки на аккаунты в соцсетях или личный сайт и другую подобную информацию.

Читайте так же:
Индексация пенсии пенсионеру, живущему в Германии

На любые данные найдётся тот, кто их обрабатывает — то есть делает все те вещи, которые описаны в соглашениях на обработку ПД (вы наверняка это знаете, если когда-нибудь читали подобные документы). А именно сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение. Человек, обрабатывающий ПД, называется оператором персональных данных. Он несёт ответственность за незаконную обработку ПД и может быть как юридическим, так и физическим лицом.

Вас можно считать оператором персональных данных, если на вашем сайте есть формы:

  • подписки на рассылку;
  • регистрации личного кабинета;
  • заявки или обратной связи;
  • системы онлайн-чата или онлайн-консультанта;
  • размещения комментариев.

Обратите внимание, что не все данные являются персональными сами по себе, но их совокупность позволяет им приобрести такой статус. Например, если пользователь укажет только своё имя, то этого явно не хватит для идентификации его личности. А вот имя и e-mail уже дают более полноценное определение. В то же время такие сведения, как номер телефона или ИНН, сами по себе уже являются ПД, так как при наличии доступа к соответствующей базе данных они позволяют получить полную информацию о человеке.

Поэтому определить, являетесь ли вы оператором ПД, можно в зависимости от того, какие именно данные вы собираете через формы обратной связи на сайте.

Что делать, если я обрабатываю ПД у себя на сайте?

Собирая информацию о пользователях, вы можете задаться вопросом: «Как обрабатывать ПД, чтобы избежать штрафных санкций?». Сущесвтует ряд условий обработки персональных данных для сайта. Вам необходимо:

  1. Установить защищённый протокол передачи персональных данных на сайте (SSL-сертификат). В выборе сертификата вам поможет хостинг-провайдер: например в REG.RU базовый SSL-сертификат можно получить даже бесплатно.
  2. Составить политику конфиденциальности и разместить её на сайте.
  3. Спрашивать согласие посетителей на обработку их ПД.
  4. Уведомить Роскомнадзор, что вы собираете персональные данные.

На всякий случай подчеркнём, что нужно выполнить все эти шаги. Пройдёмся по каждому из пунктов.

SSL-сертификат

SSL-сертификат — стандарт безопасности для обмена данными между сайтом и пользователем. Главное преимущество SSL-сертификата — зашифрованное соединение, которое защищает трафик, не давая перехватить его и использовать оставленные на сайте персональные данные в мошеннических целях.

Критически важно перейти на протокол SSL всем сайтам, где есть информация первой и второй категории (подробнее о категориях информации можно узнать здесь). Это, например, данные банковских карт, логины и пароли от аккаунтов, формы с указанием полного имени и адреса и прочее.

Политика конфиденциальности

Составляя политику конфиденциальности, обратите внимание на принципы обработки персональных данных. В ней необходимо указать следующую информацию:

  1. Наименование оператора обработки персональных данных. Если сайт принадлежит ИП или просто физическому лицу — указать ФИО, если юридическому лицу — название компании и ИНН.
  2. Адрес оператора: юридический (для юридических лиц) или фактический (для физических лиц).
  3. Список собираемых данных: ФИО, почта, телефон, файлы-cookies, паспортные данные и другое. Список должен быть максимально полным и подробным.
  4. Цель сбора данных. Обязательно укажите, для чего будут использоваться ПД. Собирайте только необходимые данные.
  5. Сроки обработки данных. Персональные данные после их использования по назначению подлежат удалению. Их обработка возможна только в течение ограниченного времени.
  6. Факт привлечения третьих лиц к обработке данных. Сюда относятся также различные партнёрские программы, например партнёрская программа REG.RU. Если вы приводите новых клиентов в другую компанию, то она является третьим лицом, которое будет обрабатывать ПД.
  7. Свои контактные данные. В реквизитах политики конфиденциальности укажите контакты, по которым с вами можно связаться. Такая информация будет полезна для ваших клиентов, если они захотят удалить или изменить свои персональные данные.
  8. Меры обеспечения безопасности данных. Расскажите клиентам, что их персональные данные хранятся на защищённых серверах, располагающихся на территории России (да, по закону хранить данные российских граждан можно только на серверах, находящихся в РФ).

Посетители вашего сайта должны иметь возможность беспрепятственно ознакомиться с политикой конфиденциальности, поэтому мы советуем разместить её в футере каждой страницы.

Согласие на обработку персональных данных

В соответствии с законом «О персональных данных» пользователь должен самостоятельно решать, предоставлять ли вам свои данные, и давать согласие на их обработку. При этом согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Сделайте чекбокс с уведомлением о том, что клиент соглашается на обработку ПД и ознакомлен с политикой конфиденциальности (не забудьте дать на неё ссылку). Посетитель сайта должен самостоятельно поставить галочку в чекбоксе, и делать это за него мы не рекомендуем.

Но есть ряд случаев, когда согласие на обработку ПД можно получить и другим способом. К ним относится, например, подписание договора, одной из сторон которого является пользователь.

Уведомление Роскомнадзора

Закон «О персональных данных» гласит, что вам необходимо уведомить Роскомнадзор о сборе и обработке персональных данных посетителей вашего сайта. Сделать это можно через специальную форму.

Но есть и исключения, когда уведомлять Роскомнадзор не обязательно. Среди них, например, обработка общедоступной информации (то есть той, которую пользователь сделал доступной для неопределённого круга лиц, например данные о себе, опубликованные на личном сайте или в открытом профиле социальной сети) или данных, включающих в себя только ФИО.

Читайте так же:
Как реагировать на извещение налогового органа?

Выводы

1. Персональные данные — это любая информация, по которой можно прямо или косвенно определить человека.

2. Если вы обрабатываете ПД — подключите к сайту SSL-сертификат, разместите политику конфиденциальности и уведомите Роскомнадзор.

3. У посетителей сайта необходимо брать согласие на обработку персональных данных — разместите под формой ввода данных соответствующую строку с чекбоксом и ссылкой на политику конфиденциальности.

4. Храните персональные данные людей, проживающих в РФ, на серверах, располагающихся на территории России.

Как соблюсти требования 152-ФЗ, защитить персональные данные своих клиентов и не наступить на наши грабли

По российским законам любая компания, работающая с личными данными своих пользователей в России, становится оператором ПДн, хочет она того или нет. Это накладывает на нее ряд формальных и процедурных обязательств, которые не каждый бизнес может или хочет нести самостоятельно.

Как показывает практика – совершенно правильно не хочет, потому что эта область знаний еще настолько новая и не обкатанная на практике, что сложности и вопросы возникают даже у профессионалов. Сегодня мы расскажем о том, как реализовывали проект под хранение персональных данных для нашего заказчика и с какими неочевидными сложностями столкнулись.

Как мы помогали защитить данные по 152-ФЗ

В начале 2019 года к нам обратилась компания ООО «Смарт-Сервис», разработчик платформы для управления сервисным обслуживанием HubEx и приложения для обмена контактами myQRcards.

Первое решение позволяет автоматизировать процесс обслуживания оборудования в самых разных областях – от настройки кофемашин и кондиционеров в офисных помещениях до ремонта газовых турбин. Второе – онлайн-конструктор для создания электронных визитных карточек на базе QR-кодов.


Онлайн-визитка myQRcards.

Обе системы хранят и обрабатывают данные пользователей, подпадающие под классификацию «персональных» в соответствии с 152-ФЗ. В этом случае закон диктует ряд ограничений к системам хранения таких персональных данных для того, чтобы обеспечить требуемый уровень их защищенности и исключить риск несанкционированного доступа с целью хищения или неправомерного использования.

Закон нужно соблюдать, но «Смарт-Сервис» не планировал развивать у себя внутри компетенции по защите ПДн. Поэтому сервисы и данные, которыми делились их пользователи, «переехали» в Linxdatacenter. «Смарт-Сервис» перенес серверные мощности рабочего окружения в отдельную защищенную сетевую зону нашего дата-центра, аттестованную в соответствии с заявленными в 152-ФЗ требованиями – так называемое «Защищенное облако».

КАК УСТРОЕНО ЗАЩИЩЕННОЕ ОБЛАКО

Любая информационная система, обрабатывающая персональные данные, должна удовлетворять трем основным требованиям:

  • доступ к серверам хранения и обработки данных должен производиться через VPN-канал с шифрованием согласно ГОСТ;
  • серверы хранения и обработки данных должны находиться под постоянным мониторингом антивирусной защитой на отсутствие уязвимостей;
  • СХД должен быть расположен в изолированных сетях.

Мы размещаем серверные мощности заказчика в отдельных зонах, удовлетворяющих требованиям 152-ФЗ, и помогаем получить заключение о соответствии.


Архитектура защищенной виртуальной инфраструктуры для ООО «Смарт Сервис».

Ход работ

Первично согласование работ было произведено в июне 2019 года, что можно считать датой начала проекта. Все работы должны быть производиться на «живом» окружении с тысячами запросов в день. Естественно, требовалось выполнить проект, не прерывая штатный режим работы обеих систем.

Поэтому был составлен и согласован четкий план действий, разделенный на 4 этапа:

  • подготовка,
  • миграция,
  • тестирование и проверка в реальных условиях,
  • включение систем мониторинга и ограничения доступа.

Самым сложным этапом, в котором могло «что-то пойти не так», была миграция. Изначально мы планировали проводить миграцию путем переноса виртуальных машин целиком. Это был самый логичный вариант, поскольку он не требовал вовлечения дополнительных ресурсов для переконфигурирования. Казалось бы, что может быть проще vMotion.

Нежданно-негаданно

Однако, как обычно бывает на проектах в относительно новой области, случилось то, чего не ждали.

Поскольку каждая виртуальная машина занимает 500 — 1 000 ГБ, копирование таких объемов даже в рамках одного дата-центра заняло около 3-4 часов на каждую машину. Как итог, мы не уложились в отведенное временное окно. Это произошло по причине физических ограничений дисковой подсистемы при переносе данных в vCloud.

Баг используемой версии vCloud не позволил организовать Storage vMotion в отношении виртуальной машины с разными типами дисков, поэтому диски пришлось менять. В результате перенести виртуальные машины получилось, но это заняло больше времени, чем планировалось.

Второй момент, который мы не предусмотрели, — ограничения по перемещению кластера БД (Failover Cluster MS SQLServer). В результате пришлось перевести кластер в работу с одним узлом и оставить его за рамками защищенной зоны.

Примечательно: по до сих пор непонятной причине в результате переноса виртуальных машин рассыпался кластер приложений, и его пришлось собирать заново.

В результате первой попытки мы получили неудовлетворительное состояние систем и вынуждены были заново браться за планирование и проработку вариантов.

Попытка №2

Проведя работу над ошибками, команда поняла, что правильнее будет все же дублировать инфраструктуру в защищенной зоне и скопировать лишь файлы с данными. Было принято решение не требовать от заказчика доплаты за дополнительные серверные мощности, которые пришлось развернуть для завершения миграции.

В результате, когда кластеры в защищенной зоне были полностью продублированы, миграция прошла без проблем.

Читайте так же:
Оплата проезда в отпуск матери и ребенку

Далее требовалось лишь разделить сети защищенной и незащищенной зон. Здесь обошлось несколькими незначительными перебоями в работе. Этап тестирования всей системы в защищенной зоне без какой-либо защиты удалось запустить в штатном режиме. Собрав положительную статистику работы системы в таком режиме, мы перешли к последнему этапу: запуску систем защиты и ограничению доступа.

Результативный исход и полезный урок

В итоге, совместными усилиями вместе с заказчиком удалось внести значительные изменения в существующую серверную инфраструктуру, что позволило повысить надежность и защищенность хранения ПДн, существенно снизить риски несанкционированного доступа к ним, получить аттестат выполнения требований к хранению — достижение, к которому пришли еще далеко не все разработчики аналогичного ПО.

Как защитить персональные данные своего ребенка и почему это важно

О персональных данных ребенка, их защите и работе с ними — в материале “Ъ”.

Фото: Олег Харсеев, Коммерсантъ

Фото: Олег Харсеев, Коммерсантъ

Что такое персональные данные

Согласно федеральному закону от 27 июля 2006 года 152-ФЗ «О персональных данных» это любая информация, относящаяся к определенному или определяемому на основе такой информации физическому лицу (субъекту персональных данных). Персональные данные включают такую информацию, как ФИО, пол, дата и место рождения, место жительства, образование.

Возрастающая роль информационной сферы и внедрение автоматизированных технологий по обработке и передаче данных во все социальные сферы повышают уязвимость частной жизни ребенка и создают угрозы незаконного оборота персональных данных несовершеннолетних.

Заслуженный юрист России, доктор юридических наук Иван Соловьев:

«Формула «информация = деньги» была актуальна всегда, а в условиях сегодняшней нашей жизни особенно. Персональные данные человека относятся к такому виду информации, который всегда имеет цену и совершенно понятную капитализацию… Персональные данные детей здесь не исключение. Пол, возраст, имя, место жительства и обучения — вся эта информация является бесценной для тех структур, которые занимаются маркетинговыми исследованиями, изучают спрос, продвигают определенные группы товаров и услуг, ищут потребителей и формируют спрос. И это, пожалуй, наиболее безобидная группа интересантов.

Кроме них есть отдельные лица и структуры, которые накапливают персональные данные, преследуя противоправные и корыстные цели. Это может быть совершение мошеннических действий, вербовка в религиозные и экстремистские организации, а также различные структуры, ставящие своей целью нанесение вреда жизни и здоровью наших детей (группы смерти, геймеры, стримеры и др.)».

О работе с персональными данными ребенка

Ст. 9 закона «О персональных данных» предполагает согласие гражданина на обработку его персональных данных. Дети — несовершеннолетние граждане, поэтому согласно ч. 1 ст. 64 Семейного кодекса их права защищают родители и законные представители. Давая согласие, родитель подтверждает, что такая обработка является законной и не нарушает права ребенка. Также в любой момент можно отозвать ранее данное согласие на обработку, после отзыва согласия данные должны быть удалены.

Заслуженный юрист России, доктор юридических наук Иван Соловьев:

«Как правило, персональные данные наших детей запрашивают образовательные учреждения и организации здравоохранения. Как законные представители детей родители должны давать согласие на обработку этих данных. В связи с этим родитель имеет полное право запросить информацию о том, каков точный объем собираемых данных и будут ли они передаваться в другие организации. И если будут, то с какой целью. Кроме того, не стоит буднично и поверхностно относиться к процессу передачи персональных данных своего ребенка».

При даче согласия на обработку персональных данных ребенка эксперт советует обратить внимание на следующие детали:

— перечень персональных данных и сроки их хранения;

— цель и способы обработки персональных данных ребенка;

— способ уведомления родителя о факте обработки персональных данных;

— источник получения персональных данных ребенка;

— сведения о должностных лицах, которые получат право, а следовательно, доступ к персональным данным;

— сроки обработки персональных данных;

— способы защиты персональных данных.

Свое согласие на работу с личной информацией несовершеннолетнего ребенка родители должны выразить в письменном виде с обязательной собственноручной подписью.

Изображение ребенка в интернете

Изображение человека также относится к его персональным данным, поэтому использование фотографий всех граждан (в том числе детей) регулируется законом. Если фотография ребенка была опубликована в интернете без согласия родителей, они вправе обратиться с жалобой в прокуратуру, а если публикация фотографий причинила ребенку (или его представителям) нравственные страдания, родители могут обратиться в суд с иском о возмещении морального вреда.

Заслуженный юрист России, доктор юридических наук Иван Соловьев:

«В случае нарушения положений закона о персональных данных родитель может потребовать немедленного устранения нарушения, допущенного хранителем этих данных, а если это не принесет результата, то подготовить аргументированное заявление в органы прокуратуры. Они будут обязаны провести проверки и вынести меры прокурорского реагирования».

За публикацию фотографий детей в интернете без согласия родителей предусмотрена ответственность ст. 137 Уголовного кодекса РФ. В случае если суд признает вину, лицо, опубликовавшее фотографию, будет наказано штрафом в размере до 200 тыс. руб. или в размере зарплаты или другого дохода за период до 18 месяцев, либо обязательными работами на срок от 120 до 180 часов, либо исправительными работами на срок до одного года, либо арестом на срок до четырех месяцев.

голоса
Рейтинг статьи
Ссылка на основную публикацию