А я предупреждал…

Предупреждал, что шутки кончились. А мне не верили. Вчера на сайте Минэкономразвития  появился законопроект о внесении изменений в КоАП РФ, подготовленный Минкомсвязи, и предусматривающий повышение штрафов и увеличение срока давности привлечения к ответственности за нарушение законодательства о защите персональных данных. Проект делит статью 13.11 КоАП на две части, вводя особо строгие наказания для рецидивистов. Штраф за нарушение установленного законодательством РФ порядка обработки персональных данных предполагается увеличить в 10 раз для граждан - с 300-500 руб. до 3000-5 000 руб., и в 50 раз  для должностных лиц – с 500-1000 руб. до 30 000-50 000 руб., и для юрлиц – с 5 000-10 000 руб. до 200 000-500 000 руб. Не забыты и индивидуальные предприниматели – для них предусмотрено наказание в размере от 30 000 до 50 000 руб.

Рецидивистам (тем, кто был ранее подвергнут наказанию за аналогичное правонарушение) придется еще хуже. Для должностных лиц предусмотрена дисквалификация на срок до 1 года, а для юридических лиц – штраф в размере от 500 000 до 1 000 000 руб.

Другим важным новшеством является возможная передача полномочий по возбуждению дел об административных правонарушениях по статье 13.11 КоАП от органов прокуратуры должностным лицам Роскомнадзора. При этом им же предполагается передать полномочия по рассмотрению дел данной категории или их передаче на рассмотрение судье.

Срок давности привлечения к ответственности за правонарушения по этой же статье может быть увеличен с 3-х месяцев до 1 года со дня совершения правонарушения.

Естественно, законопроект разработан по результатам правоприменительной практики Роскомнадзора (кто бы сомневался!), направлен на оптимизацию и повышение эффективности контрольно-надзорной деятельности и реализует положительный международный опыт защиты прав субъектов.

Правда, ничего нового про субъектов я там так и не увидел. Но близорук, извините, с 1-го класса начальной школы. По-прежнему, КоАП никакой разницы в наказаниях за самое распространенное нарушение, выявляемое надзорным органом – «несоблюдение требований по информированию работников, осуществляющих обработку персональных данных без использования средств автоматизации, о факте обработки ими персональных данных, обработка которых осуществляется без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки» и утечку миллионов смс-сообщений с сайта сотового оператора или сведений о закупках в секс-шопе предусматривать не будет. Не довел до кадровика под роспись, что личное дело и трудовая книжка содержат персданные работника два раза подряд – милости просим на годик на скамейку штрафников. Рулить компанией будет нельзя, только офисным работником подрабатывать.

Естественно, все это является «необходимым элементом приведения ответственности за нарушения в области защиты персональных данных к европейским нормам» (так в пояснительной записке). А к чему же еще? Действующая редакция КоАП признана фактором, препятствующим эффективному контролю и надзору за обработкой этих самых персданных, а также принципу неотвратимости наказания – в 2011 году прокуратурой возбуждены административные производства лишь в 1/6 части случаев предоставления материалов Роскомнадзором.

Учитывая еще одну инициативу Минкомсвязи – подготовку проекта постановления Правительства РФ «Об утверждении Положения о государственном контроле и надзоре за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных», переводящего на новый уровень положения Административного регламента Роскомнадзора, в том числе предусматривающего внеплановые проверки по основаниям, не предусмотренным 294-ФЗ, жизнь у операторов (т.е. всех без исключения юрлиц и индивидуальных предпринимателей) станет скоро значительно веселее. Но станет ли легче субъекту? Пока не видно, почему это могло бы случиться.

Управление рисками как основа безопасности

Обычно такие посты проходят как пятничные. Но, учитывая длительность и частоту выходных дней в последнюю декаду, неизбежно появляется мысль про втягивание в рабочий процесс.

Итак, на фото - классическая модель построения безопасности на основе грамотного управления рисками. Налицо все признаки - оценка исходной обстановки, союзников и противников, выбор места и времени, передача части рисков и принятие остаточных. 

Удачи в новом рабочем цикле!

Проблемы реализации требований законодательства о персональных данных в кредитно-финансовых учреждениях и пути их преодоления

Выполнение требований законодательства в области персональных данных по-прежнему остается для кредитно-финансовых учреждений головной болью и предметом постоянных усилий.

В рамках сотрудничества с партнером нашего агентства – компанией «Код безопасности» подготовлена и опубликована статья о проблемах реализации требований законодательства о персональных данных в кредитно-финансовых учреждениях и путях их преодоления.

Несмотря на то, что статья достаточно большая по объему, в ней из-за формата и ограниченности жанра, конечно, затронуты только некоторые вопросы. Детально проблемы, а главное – пути и рекомендации по их решению рассматриваются на моих авторских семинарах для банковских структур.

Согласие на обработку и передачу банком персданных как камень преткновения

Исходя из практики работы нашего агентства, одним из наиболее сложных для банков вопросов по-прежнему остаются определение правовых оснований для обработки персональных данных, необходимость получения согласия конкретных категорий субъектов, а также возможность предоставления и передачи персональных данных банком иным лицам.

Новая редакция статьи 6 ФЗ-152 «О персональных данных» существенно расширила основания для обработки персональных данных без согласия субъекта, к которым теперь отнесено исполнение договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, а также заключение договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

Однако наличие большого количества самых различных категорий субъектов, с которыми у банка договоров нет, но персональные данные которых обрабатываются, по-прежнему создает проблемы. При детальном анализе оказывается, что кроме собственно работников и клиентов, банк обрабатывает сведения о более чем 20 категориях субъектов. К ним относятся:

·         родственники работников,

·         акционеры,

·         учредители,

·         аффилированные с банком лица,

·         лица, вносящие денежные средства на счет вкладчика,

·         лица, осуществляющие от имени клиента распоряжения о перечислении и выдаче средств со счета,

·         залогодатели,

·         лица, имеющие право управления транспортным средством, приобретаемым в кредит,

·         держатели дополнительных платежных карт,

·         лица, от чьего имени осуществляется оплата коммунальных и иных платежей,

·         получатели денежных переводов,

·         лица, имеющие право пользования банковскими ячейками,

·         представители и работники контрагентов и клиентов банка,

·         получатели и плательщики по счетам и т.д.

Список этот можно продолжать достаточно долго.

Все эти категории субъектов не являются сторонами договора с банком, и правомерность обработки их персональных данных должна быть обоснована оператором.

При этом очень часто встает неизбежный вопрос о выполнении нормы ФЗ-152 в части уведомления субъекта о начале обработки персональных данных банком, когда данные получены не от самого субъекта. С одной стороны, банк в большинстве случаев вроде бы обязан это сделать, исходя из нормы, установленной ст.18, с другой, он связан требованиями о соблюдении банковской тайны и той же ст.18, допускающей не уведомлять субъекта, если предоставление ему сведений нарушает права и законные интересы третьих лиц, в частности – клиента банка.

Ситуация усугубляется еще больше, когда вопрос касается двух таких способов обработки, как предоставление и передача банком персональных данных иным лицам. Наиболее яркий пример столкновения различных точек зрения на допустимость такой передачи и ее принципиальную возможность даже при наличии согласия субъекта – уступка прав требования просроченной задолженности по кредиту (цессия). С одной стороны, ст.382 Гражданского кодекса допускает  передачу другому лицу права (требования), принадлежащего кредитору, без согласия должника, а, с другой, ст.388 не допускает возможности уступки требования по обязательству без согласия должника, если личность кредитора имеет для должника существенное значение.

По мнению Роспотребнадзора, например, такая уступка прав требования долга коллекторским агентствам, деятельность которых не регулируется законом и которые не являются участниками потребительского рынка, не допустима даже при наличии на это согласия заемщика в договоре, а само включение такого положения в договор уже нарушает права потребителя и влечет административную ответственность. Иной точки зрения придерживается Минэкономразвития, подготовившее законопроект «О деятельности по взысканию просроченной задолженности», и арбитражные суды, далеко не всегда находящиеся на стороне Роспотребнадзора. С судами общей юрисдикции, рассматривающими вопрос о взыскании невозвращенных кредитов, ситуация вообще особая.

Положение банков существенно ухудшают также b многочисленные жалобы их клиентов в различные органы - от прокуратуры до Роскомнадзора, на привлечение коллекторских агентств к взысканию просроченной задолженности, которые нередко приводят к проведению внеплановых проверок банка.

Эти и многие другие специфические вопросы соблюдения законодательства о персональных данных (например, такие непростые, как отнесение данных к биометрическим, трансграничная передача или вопросы передачи персональных данных на архивное хранение, судебная практика рассмотрения споров, связанных с персональными данными) будут рассмотрены на семинаре, который я буду проводить в Школе финансового мониторинга и контроля «ФКД консалт» 28-29 мая.

Семинар состоит из двух модулей, первый из которых предназначен для тех, кто только «вкатывается» в тематику персональных данных, например, назначен в юридическом лице ответственным за организацию их обработки, и будет интересен не только банкам, но и многим другим организациям, осознавшим необходимость выполнения законодательства. Второй модуль рассматривает специфические банковские проблемы, в том числе поставленные перед Консультационным центром Ассоциации российских банков, в подготовке информационных писем которого в качестве эксперта я принимал участие. Семинар проводится как очно, так и заочно, что позволяет его слушателям выбрать наиболее подходящий для них вариант. Благодаря транслируемому через Интернет вебинару те, кто не смогут приехать в Москву, также примут участие в мероприятии.

Традиционно семинар предусматривает живое обсуждение материала с его участниками, имеющими возможность и задавать вопросы, и высказывать свою точку зрения на рассматриваемые проблемы.

Можно ли защитить права обладателя секретов производства, не устанавливая режим коммерческой тайны?

Вы действительно знаете ответ на этот вопрос?

Практика показывает, что большинство представителей бизнеса считает, что на него можно дать положительный ответ. Постоянно сталкиваюсь с перечнями конфиденциальной, служебной, внутренней инфомации, информации ограниченного доступа и инфомации для внутреннего пользования. Все эти перечни формируются комерческими организациями и предусматривают использование широкого спектра ограничительных грифов и пометок «Конфиденциально», «Строго конфиденциально», «Для служебного пользования», «Из здания не выносить» и т.д.

На вопрос о правовом основании ограничения доступа, отличии служебной информации от информации, составляющей коммерческую тайну, ответ в большинстве случаев получить невозможно. Еще большее недоумение вызывает вопрос, а зачем ограничен доступ к тому, что названо служебной или внутренней тайной, и каковы последствия нарушения требования конфиденциальности в отношении нее работником, контрагентом или представителем органа власти. Спонтанный ответ: «Уволим к чертовой матери», при этом ссылкой на конкретную статью Трудового кодекса он никогда не обосновывается.

Разъснения про возможность ограничения доступа к информации только на основании федеральных законов и в случаях, ими предусмотренных, вызывают оторопь собеседника и встречный вопрос: «Это что, я и доступ к информации запретить не могу?».

Коллеги из служб безопасности и юридических департаментов! Давайте вместе бороться с правовой неграмотностью и правовым нигилизмом! Давайте читать решения судов и делать выводы. Давайте обосновывать позицию, а не прибегать к эмоциям. Пользы будет больше.  

Шутки кончились

Похоже, правоприменение ФЗ-152 «О персональных данных» вступает в принципиально новую стадию. Штрафы от полумиллиона рублей и больше еще неизвестно когда введут (а что введут – сомнений нет, зайдите на сайт Госдумы и посмотрите предложения по корректировке КоАП), а жить надо сегодня.

И вот в последнее время появились весьма интересные инициативы надзорных органов по наказанию операторов персональных данных, «не вписавшихся» в закон.

Тон задала прокуратура г.Уфы, которая проверила некие ООО «Исток-Сервис» и ООО «Инфорсер», занимающиеся оказанием справочно-консультационных услуг при отделе государственного технического осмотра и регистрации автомототранспортных средств ГИБДД УМВД России по г.Уфа. То, что эти два общества осуществляли обработку персональных данных без лицензии на деятельность по технической защите информации, и не принимали предусмотренных федеральным законодательством мер организационного, технического характера по защите персональных данных клиентов, удивления не вызывает. Прокуратура с полным основанием посчитала, что это может повлечь нарушение конституционных прав граждан на неприкосновенность частной жизни. А вот выводы оказались совсем неожиданные. 

Можно было бы предположить, что нарушителей, как обычно, привлекут к ответственности по ст.13.11 КоАП «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)», поскольку, как отмечено, мер по защите персональных данных они не принимали. Или по ст.13.13 «Незаконная деятельность в области защиты информации» за занятие видами деятельности в области защиты информации без получения в установленном порядке специального разрешения (лицензии), если такая лицензия в соответствии с федеральным законом обязательна. Ну, или уж по ст.19.20 за осуществление деятельности, не связанной с извлечением прибыли, без специального разрешения (лицензии). Последняя статья самая суровая и допускает наложение на юрлиц штрафа размером до 250 тысяч рублей или административное приостановление деятельности на срок до 90 суток.

И городская прокуратура направила в Октябрьский районный суд г. Уфы исковые заявления о приостановлении и признании незаконной деятельности ООО «Исток-Сервис» и ООО «Инфорсер» по обработке и хранению персональных данных. Основания для этого в весьма пространном пресс-релизе почему-то не указываются, но, похоже, речь идет именно о ст.19.20, поскольку ни 13.11, ни 13.13 приостановку деятельности не предусматривает в принципе.

Второй звоночек с весьма характерным звуком в те же последние дни марта раздался в Ярославле. Дело тоже обычное до зевоты. Местный агент МТС, как водится, оформил договор и симку на подставное лицо, настоящий владелец использованного паспорта об этом узнал, нажаловался в Роскомнадзор, который по жалобе организовал проверку (основания для этого – отдельная история), ну, и привлек, как положено, но не агента, а оператора – ОАО «МТС», который, как отмечено в акте, «не обеспечил внесение в базу данных достоверной информации об абоненте, не убедившись в личном предъявлении им документа, удостоверяющего личность, не заключил договор в письменной форме», и, самое главное, не обеспечил возможности получения сами понимаете кем информации об абоненте из базы данных для проведения оперативно-розыскных мероприятий.

Естественно, по факту выявленных нарушений составлен протокол об административном правонарушении, в данном случае – по основаниям, предусмотренным ч.3 ст.14.1 КоАП РФ «Осуществление предпринимательской деятельности с нарушением условий, предусмотренных специальным разрешением (лицензией)». Поскольку речь шла о персональных данных, к 14.1 добавлены еще и упоминавшаяся ранее ст.13.11, а также ст.13.14 «Разглашение информации с ограниченным доступом» - видимо, персональных данных того самого пострадавшего, на имя которого продали симку. Но эти две статьи – в ведении прокуратуры, куда и ушли протоколы.

А вот за нарушение ст.14.1 (дело-то идет о СОРМе!), помимо предписания об устранении выявленных нарушений, оператор сотовой связи получил предупреждение о приостановлении действия лицензии на предоставление услуг связи. А это вам не 5-10 тысяч рублей штрафа.

По поводу агентов, продающих сотовые контракты по копиям чужих паспортов, а то и без них, Дума уже озаботилась, приняв к рассмотрению законопроект с новой статьей КоАП 13.11.1 «Предоставление недостоверной информации о гражданах (персональных данных) оператору персональных данных», предусматривающей штраф до 300 тысяч рублей.

Глядишь, скоро и время инициативы Роскомнадзора подойдет, о которой 1 марта на Консультационном совете рассказал заместитель руководителя надзорного органа Р.В.Шередин. Предусматривается увеличение срока давности при привлечении к ответственности по ст.13.11 КоАП с 3 месяцев до 1 года, передача Роскомнадзору полномочий по возбуждению административных дел по этой статье и повышение максимального размера штрафа по этой статье с 10 до 500 тысяч рублей.

Во вторник у меня на семинаре по персданным учился руководитель одной организации. Привела его ко мне неожиданная активность местного участкового полицейского, который стал регулярно захаживать в офис и интересоваться, как там идет обработка персональных данных и не нарушается ли чего.

Интерес к теме растет повсеместно.

По лезвию бритвы: между privacy и исключительными правами

Любой интеллектуальный продукт, который создается в современном мире, создается на компьютере. Для многих компаний результат интеллектуальной деятельности - практически все, что у них есть.

Работодатель платит деньги. Работник работает. И работодателю хотелось бы знать, над чем он работает и как. И кто, кроме заплатившего, пользуется полученными результатами. Современные технологии позволяют это сделать достаточно просто. Есть системы, контролирующие работу с почтой, интернет-мессенджерами, доступ в интернет, a при желании – и вообще любые действия пользователя компьютера, звонки по сотовому и стационарному телефону, отправку факсов и многое другое.

Сделать это довольно легко. Но вот допустимо ли? Как провести грань между конституционными правами на неприкосновенность частной жизни, личную тайну, тайну переписки (в том числе электронной), телефонных переговоров и правами работодателя контролировать использование предоставленных работнику средств производства, результаты оплаченной работы и соблюдение своих исключительных прав на результаты интеллектуальной деятельности, полученные за свои же деньги?

Законодатели за двадцать лет творчества в парламенте новой России ничего внятного по этому поводу не сказали. Продекларировав в Гражданском кодексе исключительное право работодателя на служебные секреты, созданные работником в рамках трудовых обязанностей или по заданию работодателя, вопросы ведения личной переписки на рабочем месте и использования средств коммуникаций они аккуратно обошли. А грань между правом на приватность и правами работника, если и существует, по толщине не превосходит лезвие бритвы, по которому и приходится проходить тем, для кого секреты производства – главный, хотя и нематериальный актив.

За пределами России единства взглядов на эту проблему тоже нет. В континентальной Европе мощные и авторитетные профсоюзы работодателям развернуться на поприще контроля категорически не позволяют, и системы контроля и предотвращения утечек – DLP (Data Loss или Leak Prevention или Protection) там редки почти как волки в европейских лесах. Англоязычные страны, в первую очередь – США и Великобритания, на проблему смотрят несколько иначе, ставя во главу угла интересы бизнеса, из чьего кармана оплачивается рабочее время, веб-серфинг и обмен электронными сообщениями.

В США периодически к ответственности привлекаются работодатели, не обеспечившие контроля за использование средств коммуникации и допустившие рассылку по корпоративной почте информации дискриминирующего, оскорбительного или экстремистского характера. Еще проще взгляды на проблему в Азии и Латинской Америке. Там пока проблема примата личного над общественным не стоит. Работодатель платит – и заказывает музыку. Любую, которую любит.

Россия, как обычно, где-то посередине. В некоторых компаниях вопрос мониторинга действий сотрудников даже не поднимается и не рассматривается, где-то контролируется вся переписка, фактически перекрыт доступ к большинству ресурсов интернета, в опен-спейсе – видеокамеры, а на входе – системы контроля доступа учета рабочего времени.

И вот уже отечественный производитель этих самых DLP систем доводит до широкой общественности результаты операции по предотвращению переманивания конкурентом ценного работника, проведенной с перлюстрацией электронной почты.

Есть у этой проблемы и другая сторона. Российские арбитражные суды отказывают в защите компаниям, пострадавшим от кражи коммерческой тайны  своими или уже бывшими работниками. Наличие технической возможности использования почтового ящика работника, через который произошел слив информации, администраторами или службой безопасности, создают у судов «неразрешимые сомнения» в виновности ответчика.

Если специальных средств контроля и логирования нет  – доказать правоту будет невозможно при всей кажущейся очевидности вопроса о бессмысленности «подставы» уволившегося вместе с клиентской базой бывшего коммерческого директора.

Представляется, что тем, кому есть что защищать в этой хрупкой нематериальной сфере интеллектуальной деятельности, принимать меры контроля так или иначе придется. Открыто говоря об этом работникам, документально регламентируя порядок и степень вмешательства, получая подтверждаемое согласие работников на чтение служебной переписки. И делая еще много чего – не будем забывать, что у электронного письма есть получатель или отправитель, а в телефонном разговоре – второй собеседник, которые предупрежденными и согласившимися на это работниками могут и не являться.

Важно еще и не переходить разумные и этические границы. Не стал бы я организовывать прослушку телефона, даже и служебного. Нельзя запретить работнику пользоваться им в личных целях. Забота о здоровье больного ребенка важнее установленных правил. Но знать об этом работодателю вовсе не надо.

Здравый смысл, уважение к личности работника и защита своих прав, предоставленных законами – непростые и не всегда дружащие между собой поводыри для работодателя, создавшего почву для инноваций и ожидающих отдачи от них.

ФЗ-152: требования к государственным и муниципальным органам определены

В соответствии с частью 3 ст.18прим ФЗ «О персональных данных» Постановлением Правительства Российской Федерации от 21.03.2012 № 211 утвержден «Перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами».

Постановление опубликовано на сайте Правительства и появилось в «Консультанте».

Читать придется внимательно, но есть несколько моментов, бросающихся в глаза даже при беглом прочтении. Разделю их на несколько групп, по своему усмотрению, конечно.

Революционное. Похоже, в недрах регуляторов появилось нечто принципиально новое, касающееся обезличивания персональных данных.

В Перечне мер по этому поводу сразу три новшества.

(1) Подпункт з) пункта 1 Перечня требует осуществлять обезличивание персональных данных, обрабатываемых в информационных системах персональных данных государственных и муниципальных органов, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ, в соответствии с требованиями и методами, установленными уполномоченным органом по защите прав субъектов персональных данных. Ждем нового документа от Роскомнадзора, который наконец-то раскроет секрет, что такое обезличивание.

Подпункт б) того же пункта 1 обязывает утвердить (2) правила работы с обезличенными данными и (3) перечень должностей служащих государственного или муниципального органа, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных.

Крепко задумался. Каких таких особых правил требует работа с обезличенными данными, которые нельзя соотнести с конкретным субъектом, и зачем ограничивать к ним доступ, формируя перечень должностей? Это «ж-ж-ж» неспроста…

Неожиданное. В тексте документа появилось принципиально новое понятие - оператор информационной системы персональных данных. И только в случае, если гос- или муниципальный орган является оператором этой системы, на него возлагается принятие правовых, организационных и технических мер по обеспечению безопасности персональных данных, выполнение установленных Правительством Российской Федерации требований к защите персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных. В ФЗ-152 это - прямая обязанность оператора персональных данных, неразрывно связанного с определением целей обработки. Чтобы это значило? Чем отличается оператор персданных от оператора системы? Не сигнал ли это к давно обсуждаемому переводу государственных и муниципальных систем в облака, где ответственность за выполнением мер безопасности переложат на провайдера?

Предписано утверждать типовую форму согласия на обработку персональных данных служащих государственного или муниципального органа. Государственные служащие в соответствии с ФЗ «О государственной гражданской службе Российской Федерации» при поступлении на службу заключают государственный контракт, а муниципальные служащие, в соответствии с ФЗ «О муниципальной службе в Российской Федерации», поступают на службу на условиях трудового договора в соответствии с трудовым законодательством с учетом некоторых особенностей.

В соответствии со ст.6 ФЗ-152 согласия субъекта, имеющего договор с оператором  (в том числе трудовой), на обработку персональных данных оператору не требуется. Означает ли требование Перечня о наличии типовой формы согласия служащего на обработку персданных, что государственный контракт и трудовой договор муниципального служащего договорами в понятиях ФЗ-152 не являются? Интересно, будем разбираться.

Вызывающее задумчивость. Перечень локальных актов, издаваемых оператором, весьма велик. Из текста вроде бы следует, что надо принимать как самостоятельные все указанные документы. Многовато получается. Правила обработки персональных данных в гос- и муниципальных органах теперь должны устанавливать процедуры, направленные на выявление и предотвращение нарушений законодательства и определять для каждой цели обработки персональных данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований. Т.е. фактически дается структура локального акта оператора. С высокой вероятностью она начнет транслироваться на всех остальных операторов. Проще, наверное, при разработке документов ориентироваться именно на эту структуру. 
Постановлением предусмотрено уведомление уполномоченного органа по защите прав субъектов персональных данных об обработке (намерении осуществлять обработку) персональных данных и наличие исключений для такого уведомления, установленных Федеральным законом «О персональных данных». Учитывая, что отношения госслужащего с органом власти не рассматриваются, как трудовые, а у гос- и муниципальных органов нет договоров с субъектами, оснований для исключение не видно никаких.  Будем смотреть, какие гос- и муниципальные органы под исключения подпадут и почему.

Ожидаемое. Закреплено требование о разработке перечней обрабатываемых персональных данных, отсутствующее в законе, но вполне естественное, если исходить как из его буквы, так и из духа. Списки допущенных к обработке персданных лиц предусмотрено формировать не поименно, а по должностям, как во всех действующих положениях органов госвласти.

Окончательно легализовано Постановление Правительства № 687 про неавтоматизированную обработку, весьма перпендикулярное к новой редакции ФЗ-152. Ожидаемо, но грустно.

В общем, вопросов новый документ вызывает много. И ситуация с правоприменением не проясняется. Будем ждать и смотреть.

Биометрические персональные данные. Я все сказал. Но это не точка

«Хао! Я все сказал!» - про биометрические персональные данные. Все, что думал. Все что хотел. Но на этой неделе пост про биометрию неожиданно стал самым читаемым из моих постов за все время существования блога. И самым обсуждаемым. В копилку аргументов, что считать, а что не считать этими самыми биометрическими персональными данными, добавляю несколько относительно свежих примеров.

На сайте Управления Роскомнадзора по Республике Татарстан на простой вопрос «Является ли снимок веб-камерой биометрическими данными?» дается сложный ответ. Привожу его почти полностью, он того стоит: «Описанный Вами пример - это не автоматическая идентификация. Для того, чтобы она таковой стала, на рабочем месте сотрудника банка нужно поставить систему распознавания лиц, в которую, нужно загрузить данные биометрии (фотографию), соответствующую ГОСТу. Тогда система автоматически будет считывать лица клиентов банка, распознавать и идентифицировать их. Сотрудником банка веб-камерой делается снимок, изображение сверяется с владельцем документа (удостоверяющего личность – паспорта, водительского удостоверения и т.п.), с целью аутентификации (подтверждения), т.е. всё, что касается собственно личности. Идентификации в Вашем случае не происходит. В данном случае снимок веб-камерой биометрическими данными не является (снимок не соответствует ГОСТу)».

Я, если честно, не знаю, где в законе написано про автоматическую идентификацию. Про использование данных для установления личности субъекта, которое подробно и описывается в ответе – читал и понял. И про ГОСТ ничего в законе я тоже не нашел.

Практика же правоприменения идет своим путем. К позиции краснодарских коллег: «ОАО «ОТП Банк» не было представлено письменное согласие гр. А. на обработку его биометрических персональных данных, обработка которых осуществляется ОАО «ОТП Банк» путем предоставления копии паспорта гр. А. при заполнении заявления на получение потребительского кредита», невзирая на мнение центрального аппарата и коллег из Татарстана, примкнули инспекторы из Марий Эл: «При снятии ксерокопии паспорта гражданина они [сотрудники «МПБ Идельбанк»], не получив его согласия, изготовили с паспорта копию его фотографического изображения. Обработка этих персональных данных без согласия гражданина запрещена законом».

И они не одиноки. Считают фотографию биометрическим персональными данными в Управлении Роскомнадзора по Приморскому краю, Владимирской области , похоже (точно утверждать не могу), - в области Ивановской.

И про ГОСТ ни в одном из актов-предписаний – ни гу-гу.

Ничего не буду комментировать. Думайте и решайте сами.

И считайте это еще одной иллюстрацией к проблеме выработки единого подхода к применению законодательства в странах с непрецедентной правовой системой.

О государственных электронных услугах: стало ли легче их потребителю?

Электронные государственные услуги – дело хорошее. Сидишь себе у компа, и, не отрывая одно место от другого, решаешь все сложные проблемы – справки там получаешь или анкеты заполняешь, чтобы потом, в назначенное время, только подойти и забрать результат.

Если все, конечно, работает. И если справку, полученную в электронном виде, потом кто-нибудь примет. Но, скорее всего, не примет никто. Печати на ней нет и подписи. А чтобы разобрать электронную подпись (информацию в электронной форме, которая присоединена к другой информации в электронной форме и которая используется для определения лица, подписывающего информацию), надо не очки надевать, а использовать средство электронной подписи, которое понимает формат, используемый при подписании. У разных производителей он разный. Ну, и так далее. Об этом – в сюжете телеканала «Утро России»

(или здесь).

А в качестве наглядной иллюстрации – порядок предоставления уведомлений в Роскомнадзор. В данном случае – в Управление по Приморскому краю. Можно, конечно, и в электронном виде представить. Но! Как разъясняет надзорный орган «Обработка уведомления, поданного через портал, начинается только после того, как в Управление Роскомнадзора по Приморскому краю поступает распечатанная с портала и подписанная оператором бумажная версия уведомления (при распечатке на уведомлении выводится уникальный номер уведомления и ключ)».

И к чему тогда электронные услуги, если для потребителя услуг ничего не меняется? Бумагу с подписью несите! 

Опубликовано Постановление Правительства о лицензировании деятельности по ТЗКИ

В Российской газете и Российской бизнес-газете опубликовано широко обсуждавшееся специалистами новое Постановление Правительства № 79 "О лицензировании деятельности по технической защите конфиденциальной информации".

Плач Миноса и Минотавра на стене лабиринта, или Тайны в законе о госуслугах

Если бы критский царь Минос и его незаконный приемыш Минотавр могли читать российские законы, выгнали бы они в шею своего Дедала и не ждали, пока он сварганит себе крылья и улетит с сыночком сам, бросили бы водить по лабиринту невинных семь пар, сели на стену и горько заплакали от зависти. 

Потому как разобраться в наших законах – это вам не по лабиринту, да еще с нитью Ариадны, бродить.

В рамках одного проекта разбирался с вопросами охраны конфиденциальности различного рода сведений при оказании государственных услуг, в первую очередь – электронных. Т.е. вникал в «одиозный», как пишут православные борцы с ним, Федеральный закон № 210-ФЗ «Об организации  предоставления государственных и муниципальных услуг».

Чтобы не быть голословным, для начала – цитата, полная, без купюр, части 5 ст.7 закона. Прочитайте внимательно:

«5. Для обработки информации, которая связана с правами и законными интересами заявителя, доступ к которой ограничен федеральными законами, за исключением персональных данных и сведений, составляющих государственную и налоговую тайну, и которая имеется в распоряжении органов, предоставляющих государственные услуги, органов, предоставляющих муниципальные услуги, иных государственных органов, органов местного самоуправления либо подведомственных государственным органам или органам местного самоуправления организаций, участвующих в предоставлении предусмотренных частью 1 статьи 1 настоящего Федерального закона государственных и муниципальных услуг, такими органами и организациями в целях представления указанной в настоящей части информации в орган, предоставляющий государственную услугу, орган, предоставляющий муниципальную услугу, либо подведомственную государственному органу или органу местного самоуправления организацию, участвующую в предоставлении государственных и муниципальных услуг, предусмотренных частью 1 статьи 1 настоящего Федерального закона, либо многофункциональный центр на основании межведомственных запросов таких органов или организаций для предоставления государственной или муниципальной услуги по запросу заявителя требуется получение согласия заявителя. Согласие может быть получено и представлено как в форме документа на бумажном носителе, так и в форме электронного документа».

Вы все поняли? Точно? А теперь прочитайте еще раз, еще более внимательно, и опять все. Понимание совпало? Я вам завидую. У меня с первого раза никак не получается.

Итак, коротко и по-русски, что понял я.

Для оказания конкретному гражданину государственной или муниципальной услуги, в случаях, если это оказание требует получения информации от другого органа власти (управления) информации, доступ к которой ограничен федеральными законами, или передачи такой информации, необходимо получить от заявителя конкретно выраженное согласие на обработку (в том числе передачу от одного органа другому в рамках межведомственного обмена) такой информации. Этого не требуется в трех случаях: когда обрабатываемые в рамках услуги сведения являются персональными данными, составляют государственную или налоговую тайну.

Такими сведениями ограниченного доступа при оказании госуслуг могут быть, например, тайна усыновления, врачебная тайна, банковская тайна, тайна переписки, тайна завещания и другие, неправомерный доступ к которым преследуется по закону.

А что с персданными, гостайной и тайной налоговой? Про гостайну в этом законе – ни слова, но это и не страшно. Мы про нее все знаем из закона «О государственной тайне» и понимаем, что она обрабатывается по особым, созданным специально для нее правилам. Вот и хорошо, одной проблемой меньше.

С персданными немного сложнее. По этому поводу есть две части той же статьи.

В части 4 статьи 7 написано, что органам и организациям, предоставляющим госуслуги, для обработки персональных данных, в том числе для передачи  в другие органы и организации в целях предоставления услуги, а также регистрации субъекта персональных данных на едином портале государственных и муниципальных услуг и на региональных порталах государственных и муниципальных услуг не требуется получение согласия заявителя как субъекта персональных данных в соответствии с требованиями статьи 6 Федерального закона № 152-ФЗ "О персональных данных". Но вот засада. В п.4 части 1 ст.6 152-ФЗ про регистрацию на региональных порталах государственных и муниципальных услуг нет ни слова, там только – про единый портал. Зато в статье 9 того же 152-ФЗ содержится поручение Правительству определить порядок получения в форме электронного документа согласия субъекта персональных данных на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, которого, в соответствии со ст.6, не нужно вовсе. Это первое.

И второе. Кто и как проведет грань между персональными данными (любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)) и иными данными, доступ к которым ограничен федеральными законами – врачебной, банковской и прочим тайнам, о которых речь шла выше? Когда согласие нужно, а когда нет? Ну, например, при предоставлении предусмотренных частью 6 ст.7 справок, заключений и иных документов, выдаваемых организациями, входящими в государственную, муниципальную или частную систему здравоохранения. Это персональные данные или врачебная тайна? То же самое – про остальные сведения ограниченного доступа, относящиеся к определенному или определяемому  субъекту. Вопрос на засыпку ко всем юристам, читающим мой блог.

Вторая статья закона про персональные данные – еще веселее. В части 3 установлено, что в случае, если для оказания государственной или муниципальной услуги необходимо представление документов и информации об ином лице, не являющемся заявителем, заявитель дополнительно представляет документы, подтверждающие наличие согласия указанных лиц или их законных представителей на обработку персональных данных указанных лиц, а указанные документы могут быть представлены в том числе в форме электронного документа. Второй вопрос на засыпку – как это представить в электронном виде? Ответа пока не видно.

А теперь, и про налоговую тайну. Это – в части 5 ст.7. Опять-таки, если коротко и по-русски, все органы, участвующие в предоставлении услуг, в том числе – налоговые, предоставляют друг другу информацию, которая относится к налоговой тайне, без согласия субъекта. И это не является разглашением налоговой тайны. Результат – весьма занятный. Зайдите на сайт налоговой инспекции по адресу https://service.nalog.ru/debt/. Зная фамилию, имя, ИНН (рассчитывать на конфиденциальность этих сведений трудно) и регион проживания (субъект РФ, даже не домашний адрес), о задолженности гражданина перед налоговиками можно узнать все. Как-то это не очень вяжется с соблюдением тайны частной жизни.

В заключение. Не вводя в дефиниции закона в статье 2 понятия «базовых государственных информационных ресурсов», закон далее активно им оперирует, предоставляя участникам системы оказания государственных и муниципальных услуг неограниченные возможности обмена информацией, необходимой для ведения этих самых базовых ресурсов. Опять перевожу на русский. Без вашего согласия любая информация, включенная в базовые ресурсы, установленные Правительством РФ и высшими органами государственной власти субъектов Федерации, будет представляться держателям  ресурсов в рамках межведомственного обмена. В том числе – отнесенная к налоговой тайне и персональным данным. Что из этого может получиться, я писал в посте про Базовый регистр населения города Москвы.  И отказаться от размещения сведений о вас в этих ресурсах вы никак не можете.

Обещанный рецепт напоследок. Для чтения законов. Делайте это с маркером в руках, выделяя главные слова. Тогда вы узнаете много нового, скрытого в потоке терминов, используемых в законе. В том числе о себе, своих правах и обязанностях.

Доколе, Каталина, мы будем жить без служебной тайны?

В середине первого века до нашей эры (до Р.Х.) Цицерон в своей речи осаживал честолюбивого Луция Сергия Каталину: «Доколе, Каталина, будешь ты злоупотреблять терпением нашим?». Почему-то именно это вспомнилось после прочтения в «Ведомостях» о том, что вице-премьер «Сечин выступил за тайну собственной переписки».

Действительно, утечки информации из органов государственной власти, о которых идет речь в статье, а тем более из Правительства РФ – не только не допустимы, но и крайне опасны, вызывая резонанс в общественном сознании. Если можно там – то почему нельзя нам?

 Вот только приводимые изданием слова вице-премьера «Зачастую такая переписка имеет различные грифы, ограничивающие ее открытое использование, а предавать ее огласке указания не давалось» вызывают некоторое недоумение.

С грифами государственной тайны все понятно – разглашение ее составляет уголовное преступление, преследуется по закону и недопустимо ни при каких обстоятельствах. А вот какие еще грифы имелись ввиду? 

Если речь идет про перекочевавший в нашу капиталистическую действительность из советского прошлого гриф «Для служебного пользования» (ДСП), то с ним все совсем не просто. Понятие служебной тайны исчезло из Гражданского кодекса 1 января 2008 г. вместе со ст.139. Определенная в ней коммерческая тайна перекочевала в четвертую часть Гражданского кодекса РФ, а про служебную тайну забыли.

Ситуация усугубляется тем, что Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» в ст.3 вторым по значимости принципом правового регулирования отношений, возникающих в сфере информации, информационных технологий и защиты информации определяет возможность установления ограничений доступа к информации только федеральными законами, что подтверждается и ст.5 того же закона: «Информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа)».

А закона-то про служебную тайну и нет. Внесенный в думу в декабре 2004 года, раскритикованный Правительством еще в 2006 году, законопроект, после почти семи лет бесславных попыток рассмотрения, 2 декабря 2011 года был окончательно отклонен и снят с повестки дня законодателей.

В заключении Правительства были очень правильные слова: «Необходимость комплексного законодательного регулирования института служебной тайны не вызывает сомнений, поскольку законодательство содержит лишь отдельные положения, регламентирующие получение, использование, распространение и обеспечение доступа к сведениям, составляющим служебную тайну». Но развития они никакого не получили.

Между тем установленная законодательством норма о возможности ограничения доступа к информации только федеральными законами для органов государственной власти и местного самоуправления была подтверждена и в Федеральном законе от 09.02.2009 № 8-ФЗ «Об обеспечении доступа к информации о деятельности государственных органов и органов местного самоуправления». Статья 5 недвусмысленно устанавливает два императива:

1. Доступ к информации о деятельности государственных органов и органов местного самоуправления ограничивается в случаях, если указанная информация отнесена в установленном федеральным законом порядке к сведениям, составляющим государственную или иную охраняемую законом тайну.

2. Перечень сведений, относящихся к информации ограниченного доступа, а также порядок отнесения указанных сведений к информации ограниченного доступа устанавливается федеральным законом.

Т.е. требования к ограничению доступа к информации о деятельности органов власти, которая, судя по статье в «Ведомостях», утекала из Правительства, ужесточены – федерального закона мало, для органов власти должен быть еще и перечень таких сведений, установленный законом. И, наверное, это очень правильно: современным требованием, родившимся с развитием демократии, с одной стороны, и электронного правительства – с другой,  является максимальная открытость и прозрачность системы управления, а ограничения должны быть обоснованными и разумными.

Появилась робкая надежда. Может быть теперь, когда к теме служебной тайны повернулись лицом высшие должностные лица,  закон и появится? И станет ясно, в каких случаях пресловутый гриф ДСП может проставляться на документах и что с такими документами с точки зрения защиты надо делать. А вот требования не создавать электронных копий документов, содержащих сведения ограниченного доступа, представляется … ну, не современным, что ли. Представить себе работников аппарата Правительства, макающих перьевые ручки в чернильницы и пишущих от руки документы с потенциально охраняемой информацией сложно. Хотя не так давно, в 1983 году, в кабинете на Старой площади я подписывал обязательство хорошо себя вести в первой загранкомандировке именно перьевой ручкой, макая ее в чернильницу. Но все-таки прошло уже 30 лет. Наверное, лучше бы принять закон и урегулировать наконец отношения. В том, что служебная тайна есть, мало кто сомневается. Вот только никто сегодня не может точно знать, что это. Пока нет закона. И это очень плохо.

 Ждем законопроекта, но уже от Правительства?

О мифах, стереотипах и менталитете

Британия - место, связанное в сознании многих россиян с большим количеством устоявшихся стереотипов, вбитых в наши неокрепшие головы еще в детском возрасте. Абсолютно все знают про британскую погоду – туманную, дождливую и промозглую в любое время года. В Британии мой дом – всегда моя крепость. Британцы чопорны, высокомерны и говорят с хорошим английским произношением, не признавая другие языки.

Регулярно приезжая сюда по разным делам в течение последнего десятка лет, ни разу не нашел подтверждения ни одному из этих мифов. Приходилось бывать на островах в самое разное время, отнюдь не самое благоприятное с метеорологической точки. Если британская погода – плохая, московская никакой градации в разумных выражениях вообще не поддается. Вот и в этот раз в феврале Лондон встретил нас плюс шестнадцатью градусами, умеренным мягким солнцем и цветущими гиацинтами, нарциссами, подснежниками в Сент-Джеймсском парке. На лавочках загорали студенты в футболках, а по улицам спешили офисные барышни в строгих костюмах и элегантных туфлях. А на Корнуоле серферы ловили длинную гольфстримовскую волну, часами не вылезая из воды. В феврале.

Поездив по дорогам сельской Англии, насмотрелись и на дома-крепости. Сельские домики, разбросанные на значительном расстоянии друг от друга, с огромными окнами до пола и символическими заборчиками до колена или без них. Приятели, живущие в центре Лондона, у которых заночевали после длительных разговоров, утром попросили захлопнуть на смешные замочки двери в солидную квартиру и в общий подъезд.

Чопорные незнакомые англичане в любимом нашем пабе, в субботний вечер забитом не просто под завязку, а значительно выше нее, своими салфетками протирали столик, на котором освободили нам места под стаканы с гиннесом. и старательно произносили русские слова, которые учили в детстве.

Шоком для россиянина, особенно современного, становится посещение подземного бункера Уинстона Черчилля под правительственными зданиями рядом с Даунинг-стрит, куда в праздничный день Советской армии нас повели деловые партнеры. Аристократ с вековыми корнями, из этих самых, из Мальборо, спал, как и остальные герцоги, маршалы и главнокомандующие, в период массированных бомбежек Лондона под солдатским одеялом и с фаянсовым ночным горшком под кроватью в комнате. Его супруге, как первой даме, в наспех приспособленном под работу правительства и ставки бомбоубежище были предоставлены невиданные привилегии - покрывало с розовыми цветочками вместо хорошо знакомого тем, кто постарше, грубого серо-зеленого одеяла, и скромное кресло в спальне (по совместительству – рабочий кабинет) вместо стандартного стула.

Король Эдвард VII в начале прошлого века хотел купить себе под резиденцию симпатичный дворец на берегу озера в Ирландии, продававшийся после смерти владельца. Каких-то 70 комнат с 33 спальнями. Но запрошенная с учетом личности покупателя цена была признана неприемлемо высокой для королевской семьи. Дворец существенно дороже купил промышленник. Не поверите – себе, а не королю. И ни продавцу, ни покупателю за это ничего не было.

Ну, и про профессиональное в заключение и про разницу в менталитете. Знакомый топ-менеджер одного из крупнейших мировых банков, работающий в Лондоне, рассказывал про отношение к аутсорсерам. Оказывается, аутсорсеров надо беречь, холить и лелеять, постоянно работая над повышением их лояльности. Потому как они, в силу особых отношений с заказчиками, допущены к самому святому, к самому тайному, о котором и в самом банке почти никто не знает. Поэтому хорошо бы его (аутсорсера, а не заказчика),периодически приглашать на финалы «Формулы-1» в разных городах мира, на центральные матчи где-нибудь на стадионе Уэмбли или на премьеру в венской опере. Заодно снимать ему номер в соответствующем уровню мероприятия отеле. За счет заказчика, конечно. А вот билеты на самолет покупать нельзя. Это не комильфо, на коммерческий подкуп смахивает, а не выражение признательности за многолетнюю лояльность. Серьезный аутсорсер никогда за счет заказчика первым классом не полетит. Он себя уважает.

Мифы и стереотипы иногда могут завести далеко в сторону от реальности, а воспитанный ими  менталитет сыграть злую шутку. Может оказаться, что модель поведения, созданная посконным и домотканым этим самым менталитетом, безнадежно устарела. И лучше ее менять.

С профессиональным праздником!

Я не знаю, почему этот праздник называют «мужским днем». Я не знаю, почему в этот день или накануне девочки в детском саду поздравляют мальчиков, а ребятишки, откосившие от армии, откупоривают в офисах теплое пиво и поздравляют друг друга. Я не могу их поздравить, потому что в этот день – не с чем.

Я поздравляю тех, кто служил, кто носил форму и вышагивал по плацу, тех, кто его любил, и тех, кто этот плац ненавидел. Кто стрелял – в реальной обстановке, на стрельбище или в тире, даже если это противно их убеждениям. Кто честно оттрубил свои 45 календарных или год срочной. Кому это было сложно, но, сжав челюсти, он отдал свой долг своим согражданам и своей Родине, дотянув до законного дембеля или оргштатных мероприятий. Тех, кто мерз на севере, жарился на юге и «просиживал штаны» в штабах, институтах и «учреждениях Минобороны», и пусть те, кто так считают, попробуют просидеть хотя бы пару этих штанов. У каждого из них было свое дело, и называлось оно «служба в армии и на флоте». Не в МВД, не в КГБ и не в ФСБ, не в пожарной охране и не в спасателях. У них свои профессиональные праздники, и они честно и с достоинством поздравляют друг друга и принимают поздравления, когда эти праздники приходят.

Я поздравляю Вас, коллеги, «сапоги» и «пиджаки», курсанты, «прошедшие славный путь» до полковников, и салабоны, не менее славным путем ставшие дедами, с нашим профессиональным праздником, какие бы названия не придумывали ему власть предержащие и не зависимо от того, была ли выиграна битва 23 февраля 1918 года, или этот день придумали. Мы этот день не назначали. Мы делали свое дело и имеем право этим гордиться, независимо от того, что об этом думают те, кто мыслит иначе.

С Праздником.  Здоровья Вам, сил и удачи. И простого человеческого счастья, того, которое каждый из нас считает таковым. Хотя бы немного. Мы его заслужили.

Особые, персональные поздравления тем, кто сменил армейские и флотские погоны на мифическую в России должность «офицера по информационной безопасности». Говорят, за нами будущее – поля сражение перемещаются в кибер-пространство. Хотелось бы другого будущего, без этих полей. Но будем реалистами.

С праздником! И успехов Вам!  

Врачу, исцелися сам

Вы поверите дерматологу, лицо которого покрыто сыпью и струпьями? Пойдете к стоматологу, от которого надо отойти на пару метров, чтобы не чувствовать запаха его зубов?

Извините за натурализм, но иные аналогии не приходят в голову, когда приходится знакомиться с документами компаний, особенно выплеснувшихся на рынок информационной безопасности в последние годы и продвигающих свои услуги на поляне, расчищенной государственным регулированием.

Иногда хочется найти руководителя или владельца компании и приватно сообщить ему: «Юрист твой – враг твой». Неграмотность в вопросах, которыми занимается компания, где такой юрист работает, может свести на нет все усилия специалистов, затраченные на пресейл. Например, в договоре на оказание услуг по защите информации ограниченного доступа компания-исполнитель предлагает заказчику принять на себя ответственность за охрану конфиденциальности сведений, указанных в договоре. Хотелось бы только понять, зачем это заказчику, и какие именно тайны исполнителя надо строго хранить?

Или исполнитель настаивает на обязательстве обоюдно защищать конфиденциальную информацию. Принесшей на рынок знания и навыки своих консультантов компании-исполнителю неплохо бы разобраться с законодательством и выяснить, что понятия конфиденциальной информации нет ни в одном законе, а исполнитель, судя по определению, предлагаемому в договоре, относит к таковой исключительно сведения, составляющие, в соответствии с формальными признаками, коммерческую тайну, но тщательно этого термина избегает (видимо, потому, что режима коммерческой тайны не установил или установить не умеет).

В коммерческом предложении на выполнение работ по персональным данным упорно отстаивается тезис об обязательности получения письменного согласия субъекта на любую обработку персданных и обещается научить заказчика способам получения «правильного» согласия на все случаи жизни. Почитать ФЗ-152 и выяснить, что согласие – всего лишь одно из одиннадцати законных оснований обрабатывать персональные данные, новоявленным консультантам некогда, поскольку надо деньги зарабатывать. Как и некогда выяснить, что в законе «О персональных данных» всего пять случаев получения согласия в письменной форме, а в остальных ситуациях оно должно быть просто доказываемым. Любым разумным способом.

В предложении на построение системы защиты коммерческой тайны говорится об обязательности аттестации информационной системы заказчика как финального аккорда всей работы «по приведению в соответствие», хотя аттестовать можно только объект информатизации, и для коммерческой тайны этого вовсе не требуется, да, и если говорить честно, невозможно в принципе. Но положение Гостехкомиссии аж 1994 года читать в лом, да и не выгодно – на аттестации можно нарубить еще денег.

Менеджер по продажам, приехавший вместе с инженером «ломать» заказчика на установку антивирусов производства компании А, упорно «не замечает», что на принесенных ими ноутбуках в трее свернут значок антивируса производителя Б. Чего, спрашивается, тогда толкаете А?

Инженер, настаивающий на обязательности установки для удаленного доступа в систему заказчика только сертифицированного клиента системы криптографической защиты, в ходе демонстрации втыкает в свой ноут токен, поднимает https и на голубом глазу демонстрирует эффективность использования продвигаемого решения.

Представитель вендора, убеждающий  применять шифрование дисков на мобильных устройствах, выносимых за пределы охраняемой территории, приходит на встречу с планшетом, на котором записаны все параметры предлагаемого решения, внутренние цены, типовые договора и особые условия поставки, с которыми он периодически сверяется, продвигая предложение. Естественно, без всякого их расшифрования.

И так до бесконечности.

У продвинутых заказчиков, которых с каждым годом становится все больше, вслед за Станиславским из груди невольно рвется «Не верю!». Но они на переговорах тактично и воспитанно молчат. Только не надо удивляться, что коммерческое предложение не принято, а проект договора возвращен после вроде бы успешных переговоров с категорическим отказом обсуждать работу в дальнейшем. Помешали сыпь на лице дерматолога и перекошенный костюм модного портного.

Лицензирование ТЗКИ усложнит жизнь операторам персональных данных

© Коллаж РИА Новости

Вышедшее недавно постановление правительства РФ о лицензировании деятельности по технической защите конфиденциальной информации (ТЗКИ) закрепило необходимость лицензирования технической защиты персональных данных, даже если это данные собственных сотрудников компании.

09/02/201219:15

МОСКВА, 9 фев - Digit.ru. Вышедшее недавно постановление правительства РФ о лицензировании деятельности по технической защите конфиденциальной информации (ТЗКИ) закрепило необходимость лицензирования технической защиты персональных данных, даже если это данные собственных сотрудников компании, говорят опрошенные Digit.ru эксперты.

"Из Постановления Правительства однозначно вытекает, что даже установка антивирусной программы на компьютер пользователя в офисе компании является лицензируемым видом деятельности, если на этом компьютере хранится и обрабатывается информация, доступ к которой ограничен федеральным законом", - говорит Михаил Емельянников, управляющий партнер Консалтингового агентства "Емельянников, Попова и партнеры".

До сих пор с момента вступления в силу Федерального закона "О персональных данных" четкого ответа на этот вопрос не существовало.

При условии жесткого применения указанных норм рынок может вырасти за счет более частого обращения компаний к лицензиатам. "Однако такой вариант событий представляется маловероятным, так как все эти нормы существовали, фактически, и раньше, но на практике карательные меры применялись крайне редко", - считает Емельянников.

Кроме того, к видам деятельности, подлежащих лицензированию, добавились установка, монтаж, испытания и ремонт средств защиты. По мнению Сергея Вихорева, заместителя генерального директора компании "ЭЛВИС-ПЛЮС", этот пункт вызовет много нареканий и вопросов. "Скорее всего, в этой связи чаще будут обращаться к лицензиатам за помощью в подготовке системы к эксплуатации и периодическому контролю", - говорит Вихорев.