Регистрация оператора персональных данных внутреннего пользования
Регистрация в качестве оператора персональных данных – обязательная процедура для всех юридических лиц и ИП, которые собирают и используют конфиденциальные сведения о гражданах. На этой странице описан порядок уведомления Роскомнадзора и представлен перечень документов, необходимых для организации информационной безопасности.
Дата актуализации:
2020-02-10
Полезная информация
Деятельность любой организации неизбежно подразумевает обработку персональных данных в информационной системе (ИСПДн). Каждое предприятие, использующее конфиденциальную информацию о сотрудниках, клиентах, партнерах и других физлицах, обязано пройти регистрацию в качестве оператора персональных данных.
Порядок хранения и защиты персональных данных
Организация защиты конфиденциальных сведений проходит в несколько этапов:
- Проверка начальных работ по обработке персональных данных (ревизия локальной нормативной базы, анализ информационных потоков ПДн и ИСПДн в целом, выявление недостатков и угроз безопасности информационной системы, внесение предложений по исправлению недостатков, улучшению систем защиты персональных данных).
- Разработка нормативной базы по защите ПДн. Данный этап включает в себя классификацию ИСПДн и регистрацию в качестве оператора персональных данных в Роскомнадзоре.
- Проектирование системы защиты ПДн – выбор способов, мер и классов средств защиты ПДн, разработка технической документации на создание СЗПДн, а также разработка конкретных мероприятий по защите информации в каждой конкретной ИСПДн.
- Внедрение СЗПДн – ввод в действие систем защиты ПДн и настройка существующих средств защиты ИСПДн.
- Оценка соответствия ИСПДн, в рамках которой проводятся оценочные испытания ИСПДн и выдается соответствующий Аттестат.
Регистрации в качестве оператора персональных данных в Реестре Роскомнадзора является частью общего процесса организации обработки и защиты ПДн.
Этапы регистрации оператора ИСПДн в Роскомнадзоре
Регистрация оператора ИСПДн включается в себя следующие этапы:
- Разработка и принятие нормативной базы по обработке и защите ПДн.
- Заполнение формы уведомления о намерении осуществлять обработку персональных данных на сайте территориального органа Роскомнадзора.
- Отправка уведомления в информационную систему Уполномоченного органа по защите прав субъектов персональных данных.
- Печать заполненной формы с подписями.
- Направление распечатанной формы уведомления в соответствующий территориальный орган Роскомнадзора по месту регистрации оператора.
Предлагаем вам составить документы, необходимые для регистрации в качестве оператора персональных данных, с помощью нашего онлайн-сервиса. На этой странице представлены акты, инструкции, положения, журналы, уведомления и другие документы.
С этим шаблоном часто используют:
- Информационное письмо о внесении изменений в сведения в реестре операторов, осуществляющих обработку персональных данных
- Согласие на передачу персональных данных третьим лицам
- Перечень персональных данных, подлежащих защите в ИСПДн
- Сведения, составляющие персональные данные
- Защита персональных данных в образовательных учреждениях
Регистрация оператора персональных данных внутреннего пользования
Регистрация оператора ИСПДн внутреннего пользования
Порядок действий
1.
Разработать пакет организационно - распорядительной документации
- Приказ о начале работ по защите персональных данных.
- Приказ о подразделении по защите персональных данных.
- Концепция информационной безопасности.
- Политика информационной безопасности.
- Приказ о проведении проверки ИСПДн.
- Акт о проведении проверки ИСПДн.
- Перечень, обрабатываемых ПДн.
- Положение по обработке и защите ПДн.
- Акт классификации ИСПДн.
- Уведомление Оператора ПДн в Роскомнадзор.
- Модели угроз к ИСПДн.
- План мероприятий по обеспечению безопасности ПДн.
- Порядок организации охраны, пропускного и внутриобъектового режима.
- Инструкция о мерах пожарной безопасности.
- Положение о разграничении прав доступа к обрабатываемым персональным данным.
- Инструкция администратора ИСПДн.
- Инструкция администратора безопасности.
- Инструкция пользователя при работе с ИСПДн.
- Инструкция пользователя по обеспечению безопасности обработки персональных данныx, при возникновении внештатных ситуаций.
- Порядок резервирования и восстановления работоспособности ТС и ПО, баз данных и СЗИ.
- План внутренних проверок состояния защиты ПДн.
- Журнал учета обращений субъектов ПДн.
- Перечень по учету применяемых средств защиты информации, носителей информации, а также эксплуатационной и технической документации к ним.
- Журнал обращений пользователей информационной системы к ПДн.
- Акт уничтожения съемных носителей.
- Согласие субъекта на обработку ПДн.
2.
Разработать технические меры по защите персональных данных
3.
Ввести в эксплуатацию разработанные технические меры по защите персональных данных
4.
Направить Уведомление о намерении осуществлять обработку в Роскомнадзор
- Внесение сведений об Операторе в реестр, осуществляется в течение 30 дней, с даты поступления уведомления.
- Размещение информации о внесении сведений об Операторе в Реестр на сайте Роскомнадзора, не позднее 3 дней, с даты подписания приказа.
| Это все, что необходимо выполнить в рамках процедуры для условий, указанных вами в опросном листе. |
|||
|
Осталось: • заполнить и распечатать документы, • последовательно выполнить инструкцию. |
|||
Нормативная документация
- Статья 22 ФЗ № 152-ФЗ от 27.07.2007г. « О персональных данных» (далее по тесту – Закон)
- Статья 19 Закона
- Постановление Правительства РФ от 1 ноября 2012 г. N 1119 " Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных".
- Приказ Федеральной службы по техническому и экспортному контролю, Федеральной службы безопасности Российской Федерации, Министерства информационных технологий и связи Российской Федерации от 13.02.2008 г. №55/86/20 «Об утверждении порядка проведения классификации информационных систем персональных данных».
- Положение о методах и способах защиты информации в информационных системах персональных данных, утвержденное приказом ФСТЭК России от 5 февраля 2010 г. N 58.
- Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утв. ФСТЭК России 14 февраля 2008 г.)
п. 4 - обязательно это нужно делать каждому юр. лицу или ИП, если он предполагает обработку перс данных сотрулников и клиентов?
мы компания, которая создала и обсуживает систему где присутствуют персональные данные клиентов заказчика, набор этих документов нам не подходит, больше подходит когда работадатель данные сотрудников своих обрабатывает, но то же не совсем.
Здравствуйте! есть несколько вопросов по настройке шаблонов. 1) Скажите
пожалуйста, как настроить шаблоны системы ИСПДн, чтобы классифицировать
систему под актуальные угрозы 1 типа и необходимость обеспечения 1-го
уровня
защищенности. Будут ли в этом случае, предлагаемые шаблоны согласованы между собой? 2.) Возможно ли предзаполнение всех документов системы (28
документов) первоначально вводимыми данными (наименование юр. лица,
категории персональных данных), или требуется их вводить каждый раз при
заполнении отдельного документа системы?
Уточните, пожалуйста, какой минимально возможный уровень защищенности ПДн можно оформить на базе Ваших шаблонов? (мы заинтересованы в минимизации расходов на систему. обрабатываться будут ПДн работников и контрагентов. Специальные категории ПДн и биометрические данные не обрабатываем)
Здравствуйте!
Мы заинтересованы использовать механизм ведения и учёта заданий
в рамках трудовых обязанностей своих работников, путём регистрации учётной
записи (личного кабинета) с именем работника (имя пользователя) и
предоставления уникальных идентификатора (логина) и пароля к данной записи, как
рекомендуется в Вашем шаблоне «Регламент интеллектуальной собственности», п.
6.2.
При этом, в п. 6.4 упомянутого Регламента интеллектуальной
собственности указывается, что все адреса корпоративной электронной почты и все
логины или имена пользователей в Программных инструментах указываются в особом
внутреннем документе, утверждаемом Генеральным директором Общества, который
обновляется и доводится до сведения всех сотрудников Общества по мере
необходимости, т.е. данные раскрываются другим лицам.
Просим разъяснить следующие вопросы:
1.) относятся ли к персональным данным (и если да, то к
какой категории), данные учётной записи (личного кабинета) с именем работника
(именем пользователя) и уникального идентификатора (логина) и пароля работника
во внутренней системе Оператора, адрес электронной почты работника во
внутренней системе Оператора?
2.) если такие данные относятся к персональным данным, то будут
ли особенности использования их в Ваших шаблонах по ИСПДн (не повлечет ли это
необходимости приобретения криптографических средств защиты и т.п.)?
Здравствуйте! Согласно законодательства не надо уведомлять регулятора при обработке персональных данных, обрабатываемых в соответствии с трудовым законодательством. А как быть с кандидатами, не принятыми на работу? Их данные остались, мы их имеем право хранить без уведомления регулятора? Например, если кандидат не выдержал испытательный срок(здесь очевидные трудовые отношения). Или, к примеру, даже не был допущен к испытанию? Просто эти данные нам сегодня не нужны, а завтра мы подняли анкету, пригласили человека и трудоустроили. Будет ли это диспозиция 86 статьи ТК в части "обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве" и соответственно может осуществляться без ведома регулятора?
Здравствуйте. Пакет документов по обработке данных разработан для работников или контрагентов?
А заполнять документы нужно онлайн или после скачивания просто в ВОРДЕ?
Здравствуйте! Если вы обрабатываете ПДн своих сотрудников или клиентов, то защитить их нужно обязательно. Нужно разработать правильный комплекс локальных нормативных актов, представленных в процедуре, а также обеспечить технические меры, если обработка осуществляется в автоматизированном или частично автоматизированном режиме, и организационные. Исключение касается только подачи уведомления в Роскомнадзор для регистрации в качестве оператора персональных. Все эти исключения прописаны в статье 22 п.2 152-ФЗ. Самые часто встречающиеся исключения - это обработка ПДн сотрудников в рамках трудового законодательства, обработка ПДн клиентов в рамках исполнения договора (например, чтобы поставить товар клиенту нужно знать его адрес, данные паспорта).
Здравствуйте! Согласно п. 2 ст. 3 Закона № 152-ФЗ, под оператором персональных данных понимается, в частности, юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных. Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона № 152-ФЗ).Таким образом, если при выполнении Вами работ по обслуживанию сайта Вы осуществляете какое-либо одно или совокупность действий перечисленных выше, - согласно закону Вы являетесь оператором персональных данных, со всеми вытекающими отсюда обязанностями. Закон не делает исключений для тех операторов, которые не осуществляли сбор ПДн непосредственно от субъектов, а получили ПДн от другого оператора. Оператор – тот, кто осуществляет обработку, т.е. любое лицо, осуществляющее хотя бы одно из указанных в ст. 3 ФЗ № 152 действий с ПДн. И в таком случае рекомендуем придерживаться процедуры: http://www.freshdoc.ru/zashita_personalnyh_dannyh/procedury/registracija_operatora_ispdn_vnutrennego_polzovanija/.Благодарим Вас за использование сервиса!
Здравствуйте! Вам необходимо ответить на вопросы опросного листа в левой части страницы – пакет необходимых документов сформируется автоматически. Если введенное в каком-либо документе значение – идентично для другого документа в общем пакете, то оно автоматически заполниться в этом документе. Шаблоны документов подойдут для обеспечения 1-го уровня защищенности ПД. Обращаем Ваше внимание на то, что помимо разработки документации, необходимо также разработать и внедрить технические меры защиты. Состав и содержание таких «базовых» мер определен в приказе ФСТЭК № 21 от 18 февраля 2013 г. «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».Благодарим за использование нашего сервиса!
см. ответ ниже
Здравствуйте!Персональными данными является любая информации, позволяющая безошибочно идентифицировать физическое лицо (по смыслу ФЗ от 27.07.2006 N 152-ФЗ "О персональных данных"). В данном случае, отдельно взятые адреса корпоративной электронной почты и логины или имена пользователей являются персональными данными работников, которые необходимы работодателю в связи с трудовыми отношениями, что само по себе не влечет за собой особенностей применения специального режима защиты (с учетом соблюдений требований, установленных главой 14 ТК РФ). Рекомендуем Вам ознакомиться с процедурой, расположенной по ссылке: http://www.freshdoc.ru/zashita_personalnyh_dannyh/procedury/organizacija_obrabotki_i_zashity_informacii_pd/. Благодарим за использование нашего сервиса!
Здравствуйте. Работодатель вправе без уведомления Роскомнадзора обрабатывать персональные данные кандидатов на должности, сохранять их резюме, формируя как бумажную, так и электронную базу соискателей, если имеется их письменное согласие. Данный вывод основан на том, что согласно п.1 ч. 2 ст. 22 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», без уведомления уполномоченного органа может производиться обработка данных, обрабатываемых в соответствии с трудовым законодательством.Персональные данные соискателей могут храниться в базе у работодателя, если на то дано письменное согласие кандидата и указан срок такого хранения. Что касается бывших работников (как не выдержавших испытание), полагаем, что если ТК РФ или иными законами на работодателя не возлагается обязанность обрабатывать данные бывших работников, то такая обработка должна осуществляться только с уведомлением Роскомнадзора (если отсутствуют иные основания для обработки персональных данных без подачи уведомления, например, обработка персональных данных без использования средств автоматизации). Рекомендуем уточнить этот вопрос в уполномоченном органе. Благодарим за ваше обращение.
22 статья 152-ФЗ почитали. Но поскольку не со всеми соискателями, ПДн которых мы собираем, мы вступаем в трудовые отношения(принимаем на испытание или хотя бы приглашаем на собеседования), Роскомнадзор уведомлять все-таки надо в этом случае
Здравствуйте. Обработка персональных данных соискателей тоже ведется в рамках трудового законодательства. Согласно позиции Четвертого арбитражного апелляционного суда, основание, предусмотренное п.1 ч. 2 ст. 22 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», распространяется и на деятельность по подбору персонала (Постановление от 07.02.2018 N 04АП-127/2018 по делу N А19-17054/2017). Это связано с тем, что трудовое законодательство регулируется не только Трудовым кодексом РФ, но и иными нормативными актами. Так, Федеральным законом от 19.04.1991 N 1032-1 "О занятости населения в Российской Федерации" предусмотрено, что работодатели содействуют политике занятости, в частности, путем трудоустройства. Полагаем, что письменного согласия соискателя на хранение определенных его данных в течение оговоренного в согласии срока будет достаточно для соблюдения законности в данной сфере. Уведомлять Роскомнадзор нет необходимости. Тем не менее, во избежание споров, рекомендуем все же уточнить этот вопрос в уполномоченном органе. Благодарим за ваше обращение.
Спасибо! Почитал судебное решение. Вопрос скользкий. Это судебное решение говорит о том, что позиция Роскомнадзора-уведомлять, но АС Иркутской области вместе с апелляцией встали на сторону юрлица. Учитывая известность позиции Роскомнадзора встанет ли АС нашего региона на нашу сторону неизвестно. Поэтому-таки направили письмо с вопросом.
Здравствуйте. Благодарим за ваш отклик. Было бы интересно и полезно увидеть итог вашего обращения на странице нашего обсуждения. С уважением, компания FreshDoc.
Я обязательно отпишусь, как они ответят! Ваши советы очень помогли мне в выработке правовой позиции по этому вопросу)
Написал. Как Вы думаете что ответили? Ни-че-го! То есть конечно, ответили, но ни о чем. Суть письма сводится к тому, что решать вам подавать уведомление или нет. Я хотел добиться, чтобы на случай проверки у меня был их ответ, но не получилось. А прикрываться решением суда другой области.. У нас пока что не англо-саксонская правовая система, а континентальная и для меня основной вывод из мотивировочной части решения суда, это видение Роскомнадзора, а встанет ли наш краевой суд на нашу стороу, как встал в Иркутске неизвестно
Здравствуйте. Спасибо за ваш отклик. Наличие ответа Роскомнадзора не является гарантированной защитой от привлечения к ответственности. Для суда мнение ведомства, каково бы оно ни было, также не имеет решающего значения. Рекомендуем составить свое мотивированное мнение, и по возможности, заручиться подходящими ко случаю судебными актами. С уважением, компания FreshDoc.
В любом случае хоть Уведомление, хоть нет, а требования статей 18.1, 19 ФЗ-152 обязан исполнять любой оператор при обработке ПДн: назначать ответственное лицо, разрабатывать и утверждать политику и положение о ПДн и т.д. Тем более, Роскомнадзор проводит Плановые проверки в отношении всех операторов, а не только в отношении включенных в реестр Роскомнадзора по Уведомлению
Здравствуйте.
Да, принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных ФЗ от 27.07.2006 № 152-ФЗ "О персональных данных", возлагается на оператора ПДн в независимости от наличия/отсутствии его в реестре операторов (направления в Роскомнадзор уведомления). При этом для выполнения требований, предусмотренных ст. 22 ФЗ от 27.07.2006 № 152-ФЗ "О персональных данных", оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, в противном случае ему грозит штраф, предусмотренный ст. 19.7 КоАП РФ.
Здравствуйте. Круг субъектов персональных данных установлен в разделе 3 «Персональные данные, обрабатываемые в ИСПДн» Положения об обработке и защите персональных данных, которое входит в пакет документов и находится по ссылке https://www.freshdoc.ru/?oid=7086347. В нем, в частности, установлено, что обрабатываются данные следующих субъектов: сотрудники Оператора; акционеры/учредители Оператора, лица связанные с сотрудниками, акционерами, учредителями (дети, в отношении которых выплачиваются алименты, жены, и т.д.); клиенты (потребители услуг Оператора); индивидуальные предприниматели - контрагенты Оператора; клиенты организаций, контрагентов Оператора (обслуживание корпоративных клиентов). Также установлено, что данный перечень может пересматриваться. Благодарим вас за обращение.
Заполнить документы можно прямо на сайте.
а как?
Открываете Список документов, выбираете документ и вводите значения в поля ввода (обозначены серым цветом).