Подкаст про 152 ФЗ

 Добрый день, коллеги. Предлагаю Вашем вниманию свой подкаст. В свежих выпусках я рассказываю о Федеральном законе "О персональных данных". Комментирую, выделяю важные моменты, рассматриваю закон с точки зрения специалиста по защите информации. 

Внимание! Подкаст выражает исключительно мое мнение по поводу положений закона.

Ссылка на мой подкаст

ФЗ 152 "О персональных данных". Ссылка. Статьи 1-3

ФЗ 152 "О персональных данных". Ссылка. Статьи 4-6

Ссылка. Объединенный выпуск. Статьи 1-6

По вопросам сотрудничества и приобретения моих книг (электронных):

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova 

Аудит ИСПДн

Добрый день, коллеги! Выкладываю таблицу с вебинара в текстовом виде для удобства. Первая колонка - что проверяем в начале проверки, вторая колонка - проверяем во вторую очередь, третья колонка - мои примечания для вас. 

Также на вебинаре я поделилась фрагментом своего платного Чек-листа: Создаем систему защиты персональных данных с нуля. Вы можете скачать его бесплатно.

Хорошего дня!

По вопросам сотрудничества и приобретения моих книг (электронных):

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova 

Проверяем в первую очередь	Стоит обратить внимание на	Примечание
Комплектность пакета документов	Своевременное внесение изменений в документы	Нужно предварительно составить полный перечень.
Листы ознакомления (подписи!)	Своевременное переознакомление	Ознакомление при трудоустройстве, при выходе нового документа, при обнаружении инцидентов и т.д. Ведем реестр.
Наличие согласий на обработку	Соответствие формы согласия	Проверяем досконально по п. 4 ст. 9 ФЗ 152.
Наличие политики обработки ПДн	Соответствие политики обработки ПДн закону	Рекомендации Роскомнадзора https://rkn.gov.ru/personal-data/p908/
Назначено ли ЛОООПДн	Назначены ли другие ответственные лица	За организацию обработки отвечает руководитель уровня заместителя директора и т.п., обычно отдельно  назначают ответственных за безопасность ПДн (ИБ), за обработку данных сотрудников (кадры), за обработку данных клиентов (фронт-офис).
Наличие уведомления об обработке	Своевременное внесение изменений в уведомление	Ищем полное соответствие обработки на бумаге и в жизни.
Определен ли порядок работы с СКЗИ	Актуальность документации на СКЗИ	Сертификаты, лицензии, списки лиц, правила работы – все имеет значение.
Наличие журналов	Правильное ведение журналов	Проверяем подписи, корректные даты, заполнение всех полей согласно внутренним требованиям.
Есть ли правила доступа пользователей	Настройки прав доступа	Тестируем. Заходим под пользователем и пытаемся сделать что-то запрещенное.
Организовано ли хранение носителей	Соответствие правил хранения на практике и на бумаге	Бумага, флешки, диски, сейфы, шкафы, замки на шкафах, хранение на столах в открытом виде, хранение в незапертых ящиках – изучаем досконально.
Соответствует ли документам размещение ОТСС	Размещение ВТСС	Проверяем соответствие физического размещения ИСПДн схемам помещений, в которых ведется обработка.
Проводится ли оценка вреда субъектам	Адекватность оценки вреда субъектам	Требований со стороны закона пока нет.

Межблогерский вебинар. Аудит процессов обработки и защиты персональных данных

Добрый день, коллеги! Завтра будет ровно год, как мы с Сергеем Борисовым начали проект Межблогерский вебинар. Мы провели уже 7 мероприятий по следующим темам:

1. Вебинар по защите персональных данных.
2. Угрозы БДУ vs Меры защиты
3. Новогодний межблогерский вебинар. Ответы на проблемные вопросы ИБ.
4. Средства криптографической защиты. Вопросы и ответы.
5. Проверки в области персональных данных.
6. Уничтожение и удаление персональных данных.
7. Персональные данные в медицине.

Записи можно посмотреть у Сергея Борисова или здесь.

12 августа в 18:00 по московскому времени пройдет наш 8й Межблогерский вебинар "Аудит процессов обработки и защиты персональных данных". 

На этот раз спикеров будет пятеро:

1. Сергей Борисов, УЦСБ.

2. Ксения Шудрова, RISC.

3. Татьяна Плотникова, независимый эксперт.

4. Максим Лагутин, Б-152.

5. Сергей Городилов, АСПЕКТ СПб.

Такого количества экспертов у нас ещё не было! Будет жаркая дискуссия!

Всех ждём!

У нас бесплатно и без рекламы!

Во время вебинара разыграем кружку за лучший вопрос (фото прилагается).

Событие на Timepad 

Не переживайте, ссылка на сам вебинар придет чуть позже.

По вопросам сотрудничества и приобретения моих книг (электронных):

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova 

Судебная практика. Персональные данные. Медицина

Добрый день, коллеги! Знаю, что многим неудобно вытаскивать информацию из видеозаписи вебинара, поэтому прилагаю выборку судебной практики в текстовом формате.
Источник: https://sudrf.ru/.

Дело 1

Кратко: ФГУП «Аптека №…» ФМБА России не представило в Енисейское управление Роскомнадзора уведомление об обработке персональных данных, поскольку предприятие фактически уже не осуществляло свою деятельность и принимались меры к его ликвидации.

Доводы суда: ФГУП осуществляет розничную торговлю лекарственными средствами в аптеках, осуществляет обработку персональных данных (фамилия, имя, отчество, адрес) субъектов персональных данных (клиентов), а также сотрудников (их родственников), при оформлении трудовых отношений, учредителей общества. Следовательно, ФГУП «Аптека №…» является оператором персональных данных.

Результат: штраф 3000 рублей.

Дело 2

Кратко: Пациент подделал лист нетрудоспособности, чтобы оправдать свой прогул перед работодателем.

Доводы суда: В журнале не было записи о регистрации больничного листа. Процедура выдачи больничного: пациент приносит паспорт и требование от врача, медрегистратор берет паспорт, журнал, заполняет корешок, печатает листок, пациент расписывается в получении листка, забирает паспорт, листок нетрудоспособности с печатью учреждения, который несет врачу. Выдача листка нетрудоспособности без требования врача и паспорта пациента невозможна, поскольку медрегистратор сверяет фамилию, имя, отчество с паспортом и требованием врача.

Результат: штраф пациенту 30000 рублей.

Дело 3

Кратко: Управлением Роскомнадзора по Вологодской области при проведении проверки в «Вологодской детской городской поликлинике №» были выявлены нарушения установ­ленного законом порядка сбора, хранения, использования, распространения персональных данных. материалы проверки были переданы в прокуратуру. В поликлинике обрабатываются персональные данные следующих категорий субъектов: работников, пациентов (законных представителей) и контрагентов.

Доводы суда:

•                  форма согласия на обработку персональных данных работников для размещения на доске почета и форма согласия на обработку персональных данных работников на перевод их персональных данных в категорию общедоступных содержат неполные сведения;

•                  информирование лиц, допущенных к обработке персональных данных о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки не осуществляется.

Результат: предупреждение.

Дело 4

Кратко: заместителю главного врача поступил адвокатский запрос о предоставлении сведений о том, состоит ли на учете у врача-кардиолога несовершеннолетний X. Так как был предоставлен ордер о предоставлении интересов в органах гос. власти, гос. учреждениях и организациях, на основании указанных документов, она получила сведения у врача-кардиолога и предоставила ответ на адвокатский запрос с указанием диагноза.

Доводы суда: Согласно ст. 13 Федерального закона N 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» с письменного согласия гражданина или его законного представителя допускается разглашение сведений, составляющих врачебную тайну, другим гражданам, в том числе должностным лицам, в целях медицинского обследования и лечения пациента, проведения научных исследований, их опубликования в научных изданиях, использования в учебном процессе и в иных целях. Согласие получено не было.

Результат: штраф 500 рублей.

Дело 5

Кратко: X были оказаны медицинские услуги в «Областном лечебно-реабилитационном центре» но основании договора возмездного оказания услуг. Затем Х обратилась к ответчику с заявлением об отзыве своего согласия на обработку персональных данных. В прекращении обработки персональных данных X было отказано, в связи с тем, что срок хранения медицинской документации, содержащей, в том числе персональные данные, не истек.

Доводы суда: Медицинская карта стационарного больного является основным первичным медицинским документом больного, проходящего лечение, и заполняется на каждого пациента при обращении за медицинской помощью в лечебное учреждение. Сведения, содержащиеся в медицинской карте, необходимы для составления отчетности по всем видам и формам, которые установлены для медицинских организаций и которую они обязаны предоставлять в сроки и в объеме, определенные уполномоченным федеральным органом исполнительной власти. В этих целях медицинские организации обязаны обеспечивать ведение, учет и хранение медицинской документации, сроки хранения первичной медицинской документации, в частности медицинской карты, учреждений здравоохранения составляет 25 лет (письмо Минздрава России от 07.12.2015 года № 13-2/1538 «О сроках хранения медицинской документации»).

Результат: жалоба оставлена без удовлетворения.

Дело 6

Кратко: В МБУЗ были выявлены поддельные записи о диспансеризации.

Доводы суда: Гражданин дает согласие на обработку и использование персональных данных пациента. На пациента заводится медицинская карта амбулаторного больного, куда вклеиваются согласие гражданина на медицинское вмешательство и на обработку персональных данных. Результаты осмотров врачами и исследований, проведенных во время диспансеризации, вносятся врачом или участковой медсестрой в медицинскую карту амбулаторного больного. На основе сведений о прохождении гражданином диспансеризации медицинским работником - врачом заполняется «Карта учета диспансеризации (профилактических медицинских осмотров)». После оформления карт учета диспансеризации 1 и 2 этапов врач направляет карту учета диспансеризации в отделение статистики, где оператор вносит информацию из карты учета диспансеризации в программу. В конце каждого месяца формируется сводный файл со всеми оконченными случаями диспансеризации. Данная информация направляется в ТФОМС для оплаты. После этого ТФОМС переводит опосредованно через страховые компании денежные средства на счет МБУЗ.

Результат: штраф 30000 рублей.

Винсент Ван Гог. Урожай. Источник

По вопросам сотрудничества и приобретения моих книг (электронных):

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova 

Персональные данные в медицине. Межблогерский вебинар

Коллеги, добрый вечер! Завтра в 15:00 по московскому времени пройдет 7-й Межблогерский вебинар на тему "Персональные данные в медицине". Спикеров будет четверо:

• Сергей Борисов, УЦСБ
• Ксения Шудрова, RISC
• Мария Пономарева, ГК "Аудиторы корпоративной безопасности"
• Максим Марченко, Минздрав Краснодарского края

Также за помощь в подготовке спасибо Дмитрию Семененко!

Ссылка на регистрацию

RISC в очередной раз предоставляет приз за самый интересный вопрос, который мы разыграем среди слушателей. 

Знаете, когда приближается вебинар, я жду его как праздника. Готовлюсь несколько дней, а в день мероприятия уже сосредоточена только на ожидании. Так как живу в Красноярске (точнее рядом с ним), то это всегда вечер, а иногда уже и ночь. Вечер, комната, ноутбук, стакан воды. Вроде бы сидишь один, а тебя слышат десятки, иногда сотни специалистов буквально из всех уголков нашей большой страны. В чат пишут из Иркутска, из Саранска, из Москвы, из Санкт-Петербурга. Вопросы, вопросы, за каждым целая история, практический опыт, насущная проблема. Слушатели дополняют наши доклады, делятся опытом. Может быть вы смотрели фильм "Рок-волна"? Вот такие чувства я испытываю. 

Под каждую тему мы ищем гостя, которому есть что сказать. У нас уже побывали: Андрей Мозговой, Алексей Мунтян, Павел Коростелев - это настоящие профессионалы своего дела. Большое спасибо им за то, что нашли время на подготовку и участие в наших вебинарах. Как здорово, что на энтузиазме можно сделать качественное мероприятие!

А сколько мы получаем слов благодарности после вебинаров! Очень приятно быть полезными! Я очень благодарна всем нашим слушателям за интерес к проекту. Все, что мы с Сергеем Борисовым делаем на межблогерском вебинаре - добровольно, бесплатно, субъективно и основано на личном опыте. Мне кажется, такие мероприятия нужны сообществу. Еще раз спасибо! Всех ждем завтра!

И у нас появился информационный партнер (в телеграм - @ohmyeventbot):

По вопросам сотрудничества и приобретения моих книг (электронных):

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova 

Судебная практика. Персональные данные. СКЗИ

Источник: ГАС "Правосудие"

Дело 1

В г. Йошкар-Ола, 2016 г. директор ООО «<...>» привлечена к административной ответственности по ч. 1 статьи 13.13 КоАП РФ, ей назначено административное наказание в виде штрафа в размере 2000 рублей.

ООО предоставляло услуги по составлению и предоставлению в налоговые и иные государственные органы деклараций по налогам и сборам с использованием системы электронного документооборота «СБиС++» и средства криптографической защиты информации «КриптоПро CSP» (версия 3.6) без лицензии.

Дело 2

В г. Казань, 2018 г. ООО Охранное агентство «» признано виновным в совершении административного правонарушения, предусмотренного ч.2 ст.13.12 КоАП РФ, и ему назначено наказание в виде административного штрафа в размере ? рублей.

Программное обеспечение «КриптоПро», установленное на ПЭВМ, имеет просроченный сертификат ФСБ России, а антивирусное средство не входит в список средств защиты и информации, разрешенных ФСБ России.

Дело 3

В г. Краснодаре в 2019 г. госжилинспекция признана НЕвиновной в совершении административного правонарушения, предусмотренного ч. 6 ст. 13.12 КоАП РФ.

• Не установлен уровень защищенности персональных данных в ИСПДн;
• Не определены угрозы безопасности персональных данных при их обработке в ИСПДн;
• Не утверждены правила доступа в спецпомещения в рабочее и нерабочее время, а также в нештатных ситуациях;
• Не утвержден перечень лиц, имеющих право доступа в спецпомещения.

Дело 4

В г. Сургут юрисконсульт признана НЕвиновной в совершении административного правонарушения, предусмотренном ч.6 ст. 13.12 КоАП РФ.

Данные юрисконсульта вписаны карандашом в план мероприятий и состав комиссии, что нельзя признать правомерным, поскольку с данными документами она не ознакомлена, изменения в состав комиссии и в план мероприятий официально не вносились.

Дело 5

В г. Владивосток в 2018 г. главный специалист сектора информационной безопасности университета признана НЕвиновной в совершении административного правонарушения, предусмотренном ч.6 ст. 13.12 КоАП РФ.

• Главный специалист был назначен ответственным за организацию обработки персональных данных приказом до официального введения в действие СЭД, которая в этот период могла являться лишь базой данных, но не средством официального централизованного доведения документов.
• Главный специалист не подчиняется напрямую ректору.

Дело 6

В г. Смоленске в 2017 г. признан виновным в совершении административного правонарушения, предусмотренного ч.6 ст. 13.12 КоАП РФ, и ему назначено административное наказание в виде административного штрафа в размере ? руб.

Обмен персональными данными при их обработке в информационной системе осуществлялся без применения средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства в области обеспечения безопасности информации.

Дело 7

• В г. Владикавказ в 2017 г. директор филиала УФПС должностное лицо был признан виновным в совершении административного правонарушения, предусмотренного ч. 6 ст. 13.12 КоАП РФ с назначением административного наказания в виде штрафа в размере ?.
• Не аттестована ГИС.

Моне. Завтрак на траве. Источник

По вопросам сотрудничества и приобретения моих книг (электронных):

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova 

Судебная практика. Уничтожение и удаление ПДн

Добрый день, коллеги! У меня накопилось довольно много интересных примеров судебной практики, которые были собраны при написании статей и подготовке к вебинарам. Знаю, что не всем удобно искать информацию в видеозаписи, поэтому начинаю публиковать краткое содержание интересных судебных решений. Все решения взяты из  ГАС "Правосудие" .

Московская область

Кратко: ФИО1 обратился в суд с иском к ООО «УК …» о возложении обязанности по удалению персональных данных, прекращении обработки распространения, персональных данных, уничтожения персональных данных из документов и архивов компании.

Доводы суда: от истца поступило ходатайство об отказе от требований в связи с тем, что основные требования исполнены ответчиком, - удалены все статьи с сайта ответчика, упоминающие и порочащие его имя.

Результат: производство по делу прекращено.

Иркутск

Кратко: ФИО1 обратился в суд с иском к УГИБДД ГУ МВД России по Иркутской области о признании незаконным решения, выразившегося в отказе удалить из электронных баз данных Федеральной информационной системы ГИБДД сведения о совершении административных правонарушений.

Доводы суда: подразделения ГИБДД МВД Российской Федерации, в соответствии со ст. 9 Федерального закона № 196-ФЗ «О безопасности дорожного движения» и Постановлением Правительства РФ № 508 «О порядке государственного учета показателей состояния безопасности дорожного движения» ведут постоянный государственный учет показателей состояния безопасности дорожного движения по количеству нарушителей правил дорожного движения, административных правонарушений и преступлений против безопасности дорожного движения.

Истечения срока, хранения административных материалов, а также срока, в течение которого лицо считается подвергнутым административному наказанию, не является основанием для исключения сведений в отношении административного истца из электронных баз данных Федеральной информационной системы ГИБДД.

Решение: отказать в удовлетворении требований.

Свердловская область

Кратко: ФИО1 обратился в суд с исковым заявлением к ООО МФК «…» о защите прав субъекта персональных данных, о признании действий по передаче задолженности неправомерными, признании кредитного договора недействительным, обязании отозвать задолженность, удалить информацию как о недобросовестном заемщике, взыскании компенсации морального вреда.

Представитель ООО МФК «…» сообщила ФИО1, что указанная задолженность образовалась в результате дистанционного оформления договора займа по интернету неустановленным лицом, предоставившим данные его паспорта.

Мировое соглашение:

Ответчик отказывается от предъявления к истцу каких-либо требований и вносит в кредитную историю изменения, а также производит компенсационную выплату в размере 10 000 рублей.

Москва

Кратко: ФИО1 обратилась в суд с иском к ответчикам ГБОУ школа №, Роскомнадзору о признании незаконной передачи персональных данных, обязании удалить персональные данные, обязать устранить нарушения закона.

Директор ГБОУ школа № после увольнения истца внесла запись в персональные данные истца «не рекомендовано к принятию на работу», которые находятся в электронном архиве в сервере «облачные кадры», созданном Департаментом образования. При устройстве на новую работу, истцу стало известно, что работодатели отказывают ей в приеме на работу по причине наличия данной записи в сервере.

Доводы суда: в графе "Рекомендации" в системе "АС Облачные кадры" сотрудник отдела кадров по указанию директора образовательной организации вправе заполнить поле "Рекомендации" значением "Да" для рекомендации увольняющегося сотрудника другим работодателям, или выбрать значение "Нет" при прочих обстоятельствах, в том числе об отсутствии рекомендаций в отношении работника от работодателя. Доказательств, свидетельствующих о том, что данная отметка является отрицательным отзывом о работе истца и влечет нарушение ее трудовых прав, в материалах дела не имеется.

Решение: в исковых требованиях отказано.

Салехард

Кратко: ФИО1 обратился в суд с иском к Арбитражному суду Ямало-Ненецкого автономного округа о признании действий работников Арбитражного суда в части размещения в сети Интернет на сайте kad.arbit.ru судебных актов, содержащих персональные данные, незаконными, о возложении обязанности удалить из сети Интернет сведения о персональных данных и гарантировать не использование персональных данных без получения его письменного согласия.

В определениях опубликованы его персональные данные: фамилия, имя, отчество и сведения о его доходах по основному месту работы. Считает, что своими действиями работники арбитражного суда ЯНАО подвергают его жизнь и жизнь его близких опасности, так как сведениями, имеющимися в свободном доступе могут воспользоваться криминальные структуры, и он может быть подвергнут преступному посягательству, в связи с чем вынужден проживать не по месту регистрации.

Доводы суда: поскольку административный истец не является участником судебного разбирательства, содержание в размещенных в сети Интернет судебных актах сведений о его персональных данных нарушают его права, а потому подлежат изъятию.

Решение: удалить из сети Интернет сведения о персональных данных административного истца и гарантировать не использование персональных данных административного истца без получения его письменного согласия, удовлетворить.

Тыва

Кратко: ФИО1 обратился в суд с иском к ООО «(социальная сеть)» о возложении обязанности удалить персональные данные, содержащиеся на интернет-сайтах, запрещении обработки персональных данных, компенсации морального вреда.

Размещены следующие персональные данные истца и его ребенка: 1) фамилия, имя, отчество истца; 2) фамилия, имя, отчество ребенка истца, дата рождения ребенка истца; 3) фотографии с изображением ребенка истца; 4) фотографии с изображением истца. При этом, истец не давал согласия (ни письменного, ни устного) на обработку, включая распространение, персональных данных истца и ребенка истца.

Доводы суда: ООО «(социальная сеть)» осуществляет обработку только таких персональных данных, которые сам пользователь добровольно предоставляет администрации сайта о себе при регистрации на сайте в рамках взаимодействия между пользователем и администрацией, не осуществляет обработку персональных данных в составе информации, размещенной пользователями сайта на своих персональных страницах, страницах сообществ, не осуществляет модерацию пользовательского

контента, что подтверждается Правилами пользования Сайтом социальной сети.

Решение: обязать ответчика удалить персональные данные.

Ростов-на-Дону

Кратко: ФИО1 обратился в суд с исковым заявлением к Ассоциации «Банкротств…», Коллегия Адвокатов Удмуртии об обязании удалить информацию в сети Интернет, взыскании компенсации морального вреда.

Он, набрав свою фамилию, имя и отчество в сети Интернет, обнаружил, что 26.11.2015г. на странице сайта «Яндекс», Ассоциацией «Банкротств…», Коллегия Адвокатов Удмуртии размещена информация, касающаяся его и деятельности его ранее учрежденной и возглавляемой им организации ООО «…». Разрешение на размещение указанной информации в сети Интернет, он и его организация ООО «…» не давали. Размещенные сведения порочат его деловую репутацию, а также негативно сказываются на его профессиональной деятельности. В январе 2018г. он пытался устроиться на работу юрисконсультом, однако ему было отказано в трудоустройстве.

Доводы суда: На указанном публичном Интернет - ресурсе были без соответствующего согласия размещены персональные данные истца, а именно: фамилия, имя, отчество истца, которые с учетом иных размещенных данных, позволяют отнести размещенную информацию именно к истцу. 

При обращении истца к ответчику с требованием удалить его персональные данные, в нарушение ст. 21 ФЗ "О персональных данных", ответчиком это сделано не было, в связи с чем, суд приходит к выводу о признании действий ответчика по распространению и разглашению персональных данных истца, включающих в себя фамилию, имя, отчество, незаконными, нарушающими права на обеспечение конфиденциальности собираемых и обрабатываемых персональных данных.

Решение: информацию с сайта удалить, ответчику возместить моральный вред – 5000 рублей, государственная пошлина – 600 рублей.

Ренуар. Лодка на Сене. Источник

По вопросам сотрудничества и приобретения моих книг:

Вконтакте: https://vk.com/shudrova

Facebook: https://www.facebook.com/profile.php?id=100001253566519

telegram: @KseniaShudrova

instagram: @boyarinya_marshmelova 

Книга электронная! Стоимость - 100 р.