Изменения в законодательстве о персональных данных: почему 14, а не 23 или 17?

Принятый Думой 26 апреля сразу во втором и третьем чтении после почти 8-летнего нахождения под сукном и подписанный 7 мая 2013 г. Президентом Федеральный закон № 99-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона “О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных” и Федерального закона “О персональных данных”» в конечном итоге оказался не очень похож на тот, который прошел первое чтение.

Первоначально предполагалось, что изменения будут внесены в 23 закона, в конечно варианте таковых оказалось чуть больше половины – 14 (в том порядке, как они расположены в законе):

●      «О прокуратуре Российской Федерации»

●      «Об актах гражданского состояния»

●      «О негосударственных пенсионных фондах»

●      «О государственной дактилоскопической регистрации в Российской Федерации»

●      «О государственной социальной помощи»

●      «О государственном банке данных о детях, оставшихся без попечения родителей»

●      Трудовой кодекс Российской Федерации

●      Гражданский процессуальный кодекс Российской Федерации

●      «О системе государственной службы Российской Федерации»

●      «О связи»

●      «О лотереях»

●      «О государственной гражданской службе Российской Федерации»

●      «О муниципальной службе в Российской Федерации»

●      «Об образовании в Российской Федерации».

Какие законы в конечную редакцию не попали? Список тоже очень интересный:

●      «О Федеральной службе безопасности»

●      «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»

●      Воздушный кодекс Российской Федерации

●      «О воинской обязанности и военной службе»

●      «О статусе военнослужащих»

●      Кодекс Российской Федерации об административных правонарушениях

●      «Об электронной цифровой подписи»

●      «Об обязательном страховании гражданской ответственности владельцев транспортных средств»

●      «Об основных гарантиях избирательных прав и права на участие в референдуме граждан Российской Федерации»

●      «Об инвестировании средств для финансирования накопительной части трудовой пенсии в Российской Федерации»

●      "О выборах депутатов Государственной Думы Федерального Собрания Российской Федерации"

●      «О выборах Президента Российской Федерации»

●      «О Государственной автоматизированной системе Российской Федерации "Выборы"».

А вот изменения в этих законах, попавших в итоговый документ, при первом чтении вообще не рассматривались:

●      «О государственной социальной помощи»

●      Гражданский процессуальный кодекс Российской Федерации

●      «О муниципальной службе в Российской Федерации»

●      «Об образовании в Российской Федерации».

Можно достаточно долго и подробно рассуждать  на тему, почему это произошло, как отличаются первоначальные предложения от принятых в законе и к чему это ведет, но времени и места для этого нет. Детально с последствиями принятия закона будем разбираться на курсах и семинарах, ближайший из которых пройдет в Учебном центре «Информзащита» 27-28 мая.

Все внесенные изменения я бы разделил на три основных части:

1)    локальные, касающиеся ограниченной группы субъектов, и не влияющие на деятельность основной массы операторов;

2)    уточняющие нормы специальных законов;

3)    носящие принципиально новый характер и изменяющие условия обработки персональных данных.

К первой группе относятся корректировки законов о прокуратуре, о системе государственной службы, о государственной гражданской службе, о муниципальной службе, об актах гражданского состояния, которые уточняют конкретные нормы доступа к персональным данным для соответствующих категорий служащих и их обработки.

Ко второй группе я бы отнес изменения в закон о дактилоскопической регистрации. Однако изменения эти минимальны (теперь прямо сказано, что дактилоскопическая информация – это биометрические персональные данные, и сообщено об обязанности обеспечивать их безопасность и об ответственности за нарушения требований закона, как будто это прямо не вытекает из существовавших уже норм). А вот противоречия в основаниях для обязательной обработки дактилоскопии между частью 2 ст.11 ФЗ «О персональных данных» и ст.9 закона о дактилоскопической регистрации никак не устранены. Жаль, а можно было. Сюда же попадают и изменения в закон «О государственном банке данных о детях, оставшихся без попечения родителей».

Во вторую группу включаю очень полные и подробные новые нормы закона «О лотереях», регламентирующие обработку персданных участников. Чувствуется уверенная рука лоббистов!

Третья группа включает изменения в закон о негосударственных пенсионных фондах, достаточно радикально решающие вопросы получения согласия субъектов персональных данных и передачи их обработки третьим лицам, я об этом достаточно подробно уже писал ранее.

Такого же уровня и значимости изменения внесены и в закон «О связи», освобождающие оператора связи от обязанности получать согласие абонента на передачу его данных иным лицам с целью заключения и исполнения договора.

К этой же группе я отношу изменения в закон «О государственной социальной помощи», наделяющие орган, осуществляющий ведение Федерального регистра лиц, имеющих право на получение государственной социальной помощи (Пенсионный фонд Российской Федерации), полномочиями по определению правил ведения регистра и доступа к информации в нем.

И сюда же, в третью группу, я бы включил и изменения в Трудовой кодекс. Они кажутся минимальными и техническими, но отмена ст.85, определяющей понятие персональных данных работника, представляется весьма неудачной и даже опасной.  В утратившей силу статье обработка персональных данных работодателем четко ограничивалась трудовыми отношениями и конкретным работником, применение же расширительного толкования определения из 152-ФЗ ничего, кроме головной боли, операторам не добавит.

Новая часть ст.29 Гражданского процессуального кодекса наделяет субъекта персональных данных правом подавать иски о защите прав, в том числе о возмещении убытков и компенсации морального вреда по месту жительства истца, что также весьма важно, учитывая количество нарушений, приходящихся на область интернет-коммерции. Вот только активного использования этого права в стране пока не наблюдается.

Отдельного пояснения заслуживают изменения в закон «Об образовании». Уточняя часть 4 ст.98 в части порядка формирования и ведения федеральной информационной системы, региональных информационных систем в системе образования, закон исключает из этой статьи все нормы, предусматривавшие возможность обработки персданных в рамках ЕГЭ без согласия участвующих в процессе субъектов. Это изменение можно было бы только приветствовать, но при одном условии – если бы в нем, наконец, появилась норма, ясно и четко говорящая о том, что для реализации возложенных законом на образовательное учреждение функций и полномочий не требуется получения согласия участников процесса обучения на обработку их персональных данных, необходимых для этого. Очевидно, что школа не может работать без персданных учеников, их родителей и законных представителей. Всем очевидно. Кроме законодателей. И школы, детские сады, колледжи и вузы который год собирают какие-то бессмысленные и нарушающие права граждан согласия на обработку.

Подводя итоги этого обзора, который, к сожалению, не получился коротким, пора ответить на вопрос, вынесенный в заголовок. Отвечаю. А не почему. Просто так получилось. У нас более сотни законов и 250 постановлений Правительства, так или иначе регулирующих обработку персональных данных. Исправили (да и то фрагментарно) 14. Нашлись силы, которые добились изменения именно в них. На остальные, видимо, «толкачей» не объявилось. И когда теперь появятся – неизвестно.

Особого внимания заслуживает тот факт, что внесенные изменения все-таки не коснулись Кодекса об административных правонарушениях, ужесточения наказания не произошло, новых составов правонарушений не появилось, а функции по привлечению нарушителей к ответственности инспекторам Роскомнадзора не переданы. Я отношу это к традиционным для Думы сдержкам и компенсациям. Жизнь некоторым операторам упрощена, изменения сделаны – пока можно ограничиться и этим.

Между тем изменения, и гораздо более серьезные, давно нужны. Несоответствие 152-ФЗ и других законов в части получения согласия субъектов, в том числе – на передачу третьим лицам, а также информирования субъектов о начале обработки данных, полученных от других лиц, коллизии с банковской и врачебной тайной, невозможность реализации своих полномочий без обработки персданных в некоторых видах деятельности и отсутствие оснований их обрабатывать в статьях 6,10, 11 и 12 закона «О персональных данных» требуют регулирования именно законами. И противоречивая практика правоприменения лишь обостряет эти проблемы.

Защита «на глазок»

Михаил Емельянников, управляющий партнер агентства «Емельянников, Попова и партнеры», — о ситуации вокруг Постановления Правительства РФ № 1119

Николай Смирнов, «Директор информационной службы», № 01, 2013

В но­яб­ре 2012 года всту­пи­ло в силу По­ста­нов­ле­ние Пра­ви­тель­ства РФ № 1119 «Об утвер­ждении тре­бо­ва­ний к за­щи­те пер­со­наль­ных дан­ных при их об­ра­бот­ке в ин­фор­ма­ци­он­ных си­сте­мах пер­со­наль­ных дан­ных». Со­глас­но его тре­бо­ва­ни­ям, опе­ра­то­ру пред­ла­га­ет­ся са­мо­сто­я­тель­но опре­де­лить тип угроз без­опас­но­сти пер­со­наль­ных дан­ных, ак­ту­аль­ных для ин­фор­ма­ци­он­ной си­сте­мы. В по­ста­нов­ле­нии при­ве­де­ны три типа угроз, два из ко­то­рых свя­за­ны с на­ли­чи­ем недо­ку­мен­ти­ро­ван­ных воз­мож­но­стей в ПО. Про­ком­мен­ти­ро­вать из­ме­не­ния и ре­ак­цию на них со сто­ро­ны рос­сий­ско­го биз­не­са мы по­про­си­ли Ми­ха­и­ла Еме­льян­ни­ко­ва, управ­ля­ю­ще­го парт­не­ра кон­сал­тин­го­во­го агент­ства «Еме­льян­ни­ков, По­по­ва и партнеры».

Что но­во­го при­внес­ло По­ста­нов­ле­ние № 1119 в пра­во­вой ланд­шафт РФ?

По­ста­нов­ле­ние при­внес­ло, к со­жа­ле­нию, очень много неожи­дан­но­го. Во-пер­вых, оно по­ка­за­ло, что от­вет­ствен­ным струк­ту­рам можно не вы­пол­нять тре­бо­ва­ния фе­де­раль­но­го за­ко­на и не раз­ра­ба­ты­вать в со­от­вет­ствии с ним под­за­кон­ные акты, а пе­ре­кла­ды­вать ре­ше­ние про­блем на биз­нес. Как из­вест­но, имен­но го­су­дар­ствен­ные ор­га­ны и обя­за­ны со­здать пра­ви­ла, вы­пол­няя ко­то­рые, сле­ду­ет со­блю­дать закон.

Кроме того, об­на­ру­жи­лось, что каж­дый за­ве­ду­ю­щий дет­са­дом, глав­врач или ди­рек­тор ма­га­зи­на долж­ны от­лич­но по­ни­мать, что такое неде­кла­ри­ро­ван­ные воз­мож­но­сти си­стем­но­го и при­клад­но­го про­грамм­но­го обес­пе­че­ния. В за­ви­си­мо­сти от этого по­ни­ма­ния и оцен­ки уров­ня воз­мож­но­стей по­тен­ци­аль­но­го взлом­щи­ка ком­пью­те­ров им пред­ла­га­ет­ся при­ни­мать ре­ше­ния, по­рож­да­ю­щие для вве­рен­ной ор­га­ни­за­ции юри­ди­че­ские последствия.

Что еще пе­чаль­нее, был на­пи­сан до­ку­мент, опре­де­ля­ю­щий по­ря­док за­щи­ты от при­ду­ман­ных ре­гу­ля­то­ра­ми угроз, но не на­зван ни один спо­соб за­щи­ты от них, что опять-та­ки пе­ре­кла­ды­ва­ет про­бле­му на того, кто дол­жен до­ку­мент исполнять.

Как свя­за­но По­ста­нов­ле­ние № 1119 с Фе­де­раль­ным законом

№ 152-ФЗ «О пер­со­наль­ных дан­ных»? И как его вы­пол­не­ние от­ра­зит­ся на тех пред­при­я­ти­ях, ко­то­рые уже по­ста­ра­лись при­ве­сти свои ин­фор­ма­ци­он­ные си­сте­мы в со­от­вет­ствие с су­ще­ство­вав­ши­ми ранее требованиями?

Закон и по­ста­нов­ле­ние свя­за­ны очень четко: по­ста­нов­ле­ние раз­ра­бо­та­но в со­от­вет­ствии с тре­бо­ва­ни­я­ми части 3 ст.19 за­ко­на. Вот толь­ко преду­смот­рен­ный за­ко­ном учет воз­мож­но­го вреда субъ­ек­ту пер­со­наль­ных дан­ных, а также вида де­я­тель­но­сти, при осу­ществ­ле­нии ко­то­ро­го об­ра­ба­ты­ва­ют­ся пер­со­наль­ные дан­ные, в по­ста­нов­ле­нии от­ра­же­ния никак не нашел. Тре­бо­ва­ния же к за­щи­те пер­со­наль­ных дан­ных, ко­то­рые ука­за­ны в по­ста­нов­ле­нии, никак не могут ней­тра­ли­зо­вать, сни­зить или ком­пен­си­ро­вать угро­зы, свя­зан­ные с на­ли­чи­ем неде­кла­ри­ро­ван­ных воз­мож­но­стей при при­зна­нии ак­ту­аль­ны­ми угроз пер­во­го и вто­ро­го типа.

Если опе­ра­тор вы­пол­нил меры по тех­ни­че­ской за­щи­те в со­от­вет­ствии с утра­тив­шим силу Постановлением № 781 от 2007 года, При­ка­зом ФСТЭК № 58 и ме­то­ди­че­ски­ми до­ку­мен­та­ми ФСБ, при­знав для себя ак­ту­аль­ны­ми угро­зы толь­ко тре­тье­го типа, де­лать ему прак­ти­че­ски ни­че­го не при­дет­ся. Речь будет идти лишь о до­ра­бот­ке нор­ма­тив­ной до­ку­мен­та­ции, за­мене акта клас­си­фи­ка­ции ин­фор­ма­ци­он­ных систем пер­со­наль­ных дан­ных на акт вы­бо­ра типа ак­ту­аль­ных угроз и оцен­ку уров­ня за­щи­щен­но­сти. Воз­мож­но, по­тре­бу­ет­ся под­пра­вить част­ную мо­дель ак­ту­аль­ных угроз в со­от­вет­ствии с ожи­да­е­мы­ми до­ку­мен­та­ми ФСБ и ФСТЭК. При­ня­тых мер за­щи­ты в аб­со­лют­ном боль­шин­стве слу­ча­ев ока­жет­ся вполне достаточно.

А вот если ак­ту­аль­ны­ми будут при­зна­ны угро­зы пер­во­го и вто­ро­го типа, что де­лать, се­год­ня не знает, на­вер­ное, никто, вклю­чая ав­то­ров по­ста­нов­ле­ния правительства.

В целом по­ста­нов­ле­ние об­лег­чи­ло или услож­ни­ло жизнь ком­па­ний — опе­ра­то­ров пер­со­наль­ных дан­ных? Какие у него плюсы и ми­ну­сы с точки зре­ния ком­па­ний, вы­нуж­ден­ных ему следовать?

Этого пока нель­зя ска­зать даже пред­по­ло­жи­тель­но. Струк­ту­ра по­ста­нов­ле­ния пред­по­ла­га­ет обя­за­тель­ное при­ня­тие для его ис­пол­не­ния фе­де­раль­ны­ми и ре­ги­о­наль­ны­ми ор­га­на­ми ис­пол­ни­тель­ной вла­сти, Бан­ком Рос­сии, ФСБ и ФСТЭК це­ло­го па­ке­та до­ку­мен­тов. Без этих до­ку­мен­тов по­ста­нов­ле­ние, со­дер­жа­щее массу от­сы­лоч­ных норм, ра­бо­тать не сможет.

Со­мне­ний нет, что ФСБ и ФСТЭК такие до­ку­мен­ты при­мут. А вот что может за­ста­вить это сде­лать фе­де­раль­ные ор­га­ны ис­пол­ни­тель­ной вла­сти, осу­ществ­ля­ю­щие функ­ции по вы­ра­бот­ке го­су­дар­ствен­ной по­ли­ти­ки и нор­ма­тив­но-пра­во­во­му ре­гу­ли­ро­ва­нию, — ни закон, ни по­ста­нов­ле­ние от­ве­тов не со­дер­жат. Непо­нят­но и что де­лать тем опе­ра­то­рам, у ко­то­рых нет ор­га­нов, ре­гу­ли­ру­ю­щих де­я­тель­ность «в уста­нов­лен­ной сфере».

Мо­де­ли по­ве­де­ния опе­ра­то­ров на се­го­дняш­ний день при­мер­но одни и те же — при­знать ак­ту­аль­ны­ми угро­зы толь­ко тре­тье­го типа (не свя­зан­ные с ис­поль­зо­ва­ни­ем зло­умыш­лен­ни­ком неде­кла­ри­ро­ван­ных воз­мож­но­стей) и за­щи­щать­ся по ми­ни­му­му. Су­ще­ству­ю­щие до­ку­мен­ты никак та­ко­му пути не препятствуют.

Спецкурс для кадровика: персональные данные и коммерческая тайна

Вчерашнее бурное обсуждение Постановления Правительства от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» сначала на вебинаре, а потом на блоге и его зеркалах показало, что интерес к теме – огромный, а с пониманием того, что надо делать – несколько хуже. Проходило обсуждение в основном со знающими людьми в этой области – специалистами по информационной безопасности и ИТ, вынужденно занимающимися данной проблематикой.

Между тем, есть еще одна очень большая группа специалистов, для которой вопросы, связанные с персональными данными – предмет постоянной заботы, а часто – и головной боли. Это работники кадровых подразделений и юристы огромного количества предприятий и организаций.

Специально для них несколько лет назад мы вместе с Учебным центром «Информзащита» запустили однодневный учебный курс «Информационная безопасность для специалиста кадровой службы».

Помимо тематики персональных данных, на курсе рассматриваются вопросы охраны объектов интеллектуальной собственности, в первую очередь – секретов производства, регулирование их в трудовых договорах, в том числе – с руководителями предприятий, а также виды ответственности работников за разглашение и иное неправомерное использование охраняемой законом тайны. На реальных судебных примерах будут проанализированы трудовые споры, связанные с увольнением по части 6 ст.81 ТК РФ (разглашение охраняемой законом тайны или персональных данных другого работника), привлечение бывших работников к уголовной ответственности по ст.183 УК РФ (незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну).

В завершающей части курса рассматриваются вопросы государственного контроля и надзора в области персональных данных, регулирования надзорной деятельности Федеральным законом № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» и административными регламентами надзорных органов.

И конечно, доступным и понятным языком мы расскажем о новом Постановлении Правительства № 1119, вступившем вчера в силу и уже наделавшем столько шума.

Курс – редкий, ближайший состоится 26 ноября в Учебном центре «Информзащита». Приходите. Присылайте своих коллег и работать подразделениям безопасности совместно с юридической и кадровой службами предприятия будет проще и эффективнее.

Постановление Правительства № 1119 по полочкам

Руки, давно тянувшиеся к клавиатуре по поводу нового шедевра нормативного регулирования, уже отбиты до костей. Больше сдерживать себя и терпеть не удается. Придется написать. Тем более, что сегодня Постановление от 01.11.2012 № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", которое отменяет Постановление от 17.11.2007  № 781 вступает в силу. Семь дней со дня опубликования истекают.

Если честно, реакция коллег из профессионального сообщества на новое постановление, фактически определяющего систему построения технической безопасности обработки персональных данных в информационных системах, меня не просто удивила, а, скорее, озадачила. Части, и немалой, оно понравилось, поскольку не содержит, по их мнению, ничего принципиально нового, и гайки дальше не закручивает, а количество требований по сравнению с ПП-781 даже уменьшается. Другая часть коллег документ ругает, но очень обще, в основном за отсутствие конкретики.

У меня о требованиях сложилось несколько иное мнение, я кратко высказывал его на сегодняшнем вебинаре, проводившемся нашим агентством совместно с компанией «Код Безопасности», и количество вопросов, поступивших по этому поводу, окончательно подтолкнуло меня к написанию этого поста.

Для того, чтобы систематизировать свое видение, я придумал несколько полочек, по которым свою оценку документа и разложу. Извините, букв будет много. Очень. Слова тщательно подбирал, так что категория читающих может быть и 0+.

Полочка первая. Соответствие закону. Выпуск в свет ПП-1119 является прямым требованием пунктов 1 и 2 части 3 ст.19 новой редакции 152-ФЗ «О персональных данных». Именно это позволяет мне очень резко оценить состояние дел на этой полочке. Постановление Правительства закону не соответствует. Закон предписывал определить уровни защищенности и требования к ним в зависимости от пяти факторов:

·         возможного вреда субъекту персональных данных,

·         объема обрабатываемых персональных данных,

·         содержания обрабатываемых персональных данных,

·         вида деятельности, при осуществлении которого обрабатываются персональные данные,

·         актуальности угроз безопасности персональных данных.

Виды деятельности, и, что особенно важно, вред субъекту в принятом документе вообще отсутствуют как квалифицирующие признаки. В п.7 Требований оператору  «совсем не гуманно», по другому сказать не могу, предлагается самостоятельно определить тип угроз безопасности персональных данных, актуальных для информационной системы, с учетом оценки возможного вреда, руководствуясь несуществующими пока документами ФСБ и ФСТЭК. Т.е. зав.детсадом или начальник отдела автоматизации трубопрокатного завода (поскольку заниматься подобными проблемами в подобных организациях больше просто некому) будут оценивать вред от разглашения данных персонала, воспитуемых, посетителей и их родственников. При полном отсутствии в стране методических наработок по этой проблеме. Тот, кто хоть немного сталкивался с подобными вопросами, знает, что проблема определения размера вреда при нарушении гражданских прав является одной из самых сложных в юриспруденции и судопроизводстве. Но, видимо, вспомнив классический постулат о возможностях каждой кухарки, авторы решили, что решить проблему можно краудсорсингом. Операторов-то по оценке Роскомнадзора – порядка семи миллионов. Глядишь, чего и наизобретают. Классический пример перекладывания проблемы с одной головы на другую, сами знаете, каких.

С видами деятельности тоже засада. Принимая во внимание, что новая редакция закона не оставляет места для отраслевых стандартов работы с персональными данными, учитывать эти самые виды придется одним только способом – придумывая для них дополнительные к изобретенным ФСБ и ФСТЭК угрозы безопасности, что, собственно, и прописано в частях 5 и 6 той же статьи 19 закона. Точка. Только определить новые угрозы, а не предусмотреть какие-либо послабления, подобные тем, что в свое время согласовал со ФСТЭКом Минздрав в своих методических документах.

Полочка вторая. Методология. Полочка самая …плохо повешенная. Так как в методологии – самые главные, ключевые проблемы документа. Объявляя главными угрозами, неминуемо ведущими к установлению высших уровней защищенности (см. таблицу 1), недекларированные (недокументированные) возможности в системном и прикладном программном обеспечении, Требования не предлагают вообще никаких методов и способов их нейтрализации. Ибо такими способами может быть только проверка этого самого ПО на отсутствие закладок и прочих вредных привычек. А этого от операторов, во всяком случае в ПП-1119 никто не требует.

Таблица 1

Тип ИСПДн	Сотрудники оператора	Количество субъектов	Тип актуальных угроз
			1	2	3
ИСПДн-С	Нет	> 100 000	УЗ-1	УЗ-1	УЗ-2
	Нет	< 100 000	УЗ-1	УЗ-2	УЗ-3
	Да
ИСПДн-Б			УЗ-1	УЗ-2	УЗ-3
ИСПДн-И	Нет	> 100 000	УЗ-1	УЗ-2	УЗ-3
	Нет	< 100 000	УЗ-1	УЗ-3	УЗ-4
	Да
ИСПДн-О	Нет	> 100 000	УЗ-2	УЗ-2	УЗ-4
	Нет	< 100 000	УЗ-2	УЗ-3	УЗ-4
	Да

Лечиться от логических бомб, бэк-доров и иной нечисти предлагают старыми проверенными методами - клистиром с патефонными иголками и гипсованием непереломанных конечностей. См. таблицу 2.

Таблица 2

Требования	Уровни защищенности
	1	2	3	4
Режим обеспечения безопасности помещений, где обрабатываются персональные данных	+	+	+	+
Сохранность носителей персональных данные	+	+	+	+
Перечень лиц, допущенных к персональным данным	+	+	+	+
СЗИ, прошедшие процедуру оценки соответствия	+	+	+	+
Должностное лицо, ответственное за обеспечение безопасности персональных данных в ИСПДн	+	+	+	-
Ограничение доступа к содержанию электронного журнала сообщений	+	+	-	-
Автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к персональным данным	+	-	-	-
Структурное подразделение, ответственное за обеспечение безопасности персональных данных	+	-	-	-

Каким образом использование сертифицированных межсетевых экранов и назначение ответственного подразделения (или ответственного лица) может помочь предотвратить воздействие операционной системы на обрабатываемые данные знают, видимо, только авторы.

Полочка третья. Терминология. А это – самая загадочная часть документа. Откуда появились «сотрудники оператора» и почему они не работники, правовой статус которых четко описан Трудовым кодексом – вопрос простой и очевидный. А вот что такое «электронный журнал сообщений» (п.15) и чем он отличается от «электронного журнала безопасности» (п.16), если отличается вообще – тайна есть великая. Я догадываюсь, что речь идет о логах. Логах чего? ОС? БД? Приклада? СЗИ? Всего вместе или чего-то в отдельности? Вопросы без ответов.

Постановление вводит отсутствующее в законе понятие информационной системы, обрабатывающей общедоступные персональные данные, и считает таковыми полученные только из общедоступных источников персональных данных, созданных в соответствии со ст.8 152-ФЗ.

А если они получены по-другому, например, если это сведения, подлежащие опубликованию и обязательному раскрытию, как сведения из ЕГРЮЛ и ЕГРИП, являющиеся общедоступными в соответствии с Федеральным законом о государственной регистрации юрлиц и индивидуальных предпринимателей. Или сведения об аффилированных лицах эмитента ценных бумаг. Или персональные данные кандидатов в депутаты, подлежащие опубликованию. Как быть с ними? Опять вопрос, не имеющий ответа.

Наконец, оценка соответствия. Термин, не имеющий пояснений применительно к СЗИ ни в одном акте, кроме закрытого Постановления № 330, продолжает кочевать по нормативной базе. Но даже если это Постановление оператор видел, понять, каким образом осуществляется оценка соответствия в ходе государственного контроля и надзора, ему не дано. И оценить последствия ожидания прихода контролера и его поведения при виде несертифицированных средств тоже. Ну, и не будем забывать, что в новой редакции закона нормативные правовые акты, касающиеся обработки персональных данных, подлежат официальному опубликованию.

Полочка четвертая. Применимость. Постановление может заработать в полном объеме только после принятия соответствующих актов ФСБ и ФСТЭК, предусмотренных ч.4 ст.19 152-ФЗ, а также федеральными органами исполнительной власти, осуществляющими функции по выработке государственной политики и нормативно-правовому регулированию в установленной сфере деятельности, органов государственной власти субъектов Российской Федерации, Банка России, органов государственных внебюджетных фондов, иных государственных органов в части определения актуальных угроз безопасности персональных данных (ч.5 ст.19 152-ФЗ, п.2 Требований), которые отсутствуют и неизвестно когда будут приняты. Оператору в этих условиях выполнить установленные требования практически невозможно. Возвращаюсь к заведующей детсадом и начальнику отдела автоматизации трубопрокатного завода. Кто объяснит первой, что такое «недекларированные возможности системного программного обеспечения» и по каким признакам она будет оценивать актуальность этой угрозы? Что может заставить второго эти угрозы признать для своего завода актуальными и взвалить на себя дополнительные проблемы? Как они будут оценивать вред, о котором писалось при разборе первой полочки? Подождем документов ФСБ и ФСТЭК. Что-то мне подсказывает, что просто так отказаться от нейтрализации недекларированных возможностей не удастся. Банки и телеком в конце концов с этим разберутся. А что делать остальным, не имеющим профильных специалистов и лицензий ФСБ/ФСТЭК – школам и вузам, больницам и поликлиникам, ЗАГСам и центрам занятости населения, и пр., и пр.? Ничего, кроме оторопи, подобный документ у них вызвать не может.

Резюме писать не буду. И так все ясно.