Что означает снижение качества личного контроля за персональными данными

Массовые коммуникации

Регистрация СМИ
Лицензирование деятельности в сфере телевизионного и радиовещания
Выдача разрешений на распространение продукции зарубежных периодических печатных изданий на территории Российской Федерации
Контрольная и надзорная деятельность в сфере СМИ
Контрольная и надзорная деятельность в сфере телерадиовещания
Контрольная и надзорная деятельность в сфере электронных коммуникаций
Общественный совет на Экспертный совет по массовым коммуникациям
Реестры
Федеральная конкурсная комиссия по телерадиовещанию
Деятельность по исполнению Федерального закона от 29 декабря 2010 г. N 436-ФЗ «О защите детей от информации, причиняющей вред их здоровью и развитию»
Уведомление о получении редакцией средства массовой информации, вещателем или издателем денежных средств от иностранных источников
Комиссия по отбору уполномоченной организации по обеспечению распространения в сети Интернет общероссийских обязательных общедоступных телеканалов и телеканалов, получивших право на осуществление эфирного цифрового наземного вещания с использованием позиций в мультиплексах на всей территории Российской Федерации
Комиссия по отбору уполномоченной организации по исследованию объема аудитории
Общественный контроль
Перечень информационных ресурсов, регулярно распространяющих недостоверную информацию

Разрешительная деятельность в сфере связи
Лицензирование деятельности в области оказания услуг связи
Контроль и надзор
Реестры
Карта покрытия магистральных автодорог
Карты покрытия территории Российской Федерации услугами подвижной радиотелефонной связи в стандарте GSM 900-1800
Расчет и взимание платы за использование радиочастотного спектра
Реквизиты для оплаты госпошлины за связь, внесения платы за использование радиочастотного спектра для пользователей всех федеральных округов
Качество связи
Заключения по системам фильтрации трафика
Ввоз РЭС и ВЧУ
Противодействие легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения (ПОД/ФТ/ФРОМУ)
Почтовая связь
Перечень отечественных социально значимых информационных ресурсов, при доступе к которым услуги связи по передаче данных и по предоставлению доступа к информационно-телекоммуникационной сети «Интернет» оказываются абоненту — гражданину Российской Федерации без взимания платы

Персональные данные

Защита прав субъектов персональных данных
Портал персональных данных
Консультативный совет
Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»

Информационные технологии

Контроль и надзор
Реестр федеральных государственных информационных систем
Данные по государственным информационным системам, информационным системам, автоматизированным системам, банкам данных, реестрам и регистрам, находящимся в ведении Роскомнадзора и подведомственных организаций
Участникам межведомственного взаимодействия

Отчеты о проведенных мероприятиях Роскомнадзора по повышению уровня информированности граждан о мерах, направленных на переход к предоставлению государственных услуг в электронной форме
Обратная связь

Учет интернет-рекламы

Профилактика коронавирусной инфекции
О Роскомнадзоре
- Положение о Роскомнадзоре
- Полномочия Роскомнадзора
- Руководство
  - Руководитель Роскомнадзора Андрей Юрьевич Липов
  - Заместитель руководителя Роскомнадзора Владимир Викторович Логунов
  - Заместитель руководителя Роскомнадзора Вадим Алексеевич Субботин
  - Заместитель руководителя Роскомнадзора Олег Александрович Терляков
  - Заместитель руководителя Роскомнадзора Милош Эдуардович Вагнер
  - Положения об Управлениях Роскомнадзора
  - Состав Коллегии
  - Положение о Коллегии
  - Регламент Коллегии
  - Годовое расширенное заседание коллегии Роскомнадзора 28 апреля 2014 г.
  - Расширенное совещание Роскомнадзора 23 декабря 2013 года
  - Расширенное заседание коллегии Роскомнадзора 14 мая 2013 года
  - Расширенное заседание коллегии Роскомнадзора 21 декабря 2012 года
  - Расширенное заседание коллегии Роскомнадзора 15 май 2012 года
  - Расширенное заседание коллегии Роскомнадзора 14 декабря 2011 года
    - Протокол заседания
    - Тезисы доклада Заместителя руководителя Роскомнадзора А.И. Катулевского на расширенном заседании Коллегии Роскомнадзора на тему: «О задачах Роскомнадзора по организации работы в сфере связи на 2011 год и среднесрочную перспективу». ( Москва, 12 мая 2011 года)
    - Протокол заседания Коллегии Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций
    - Экспертный совет по массовым коммуникациям при Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций
    - Консультативный совет при уполномоченном органе по защите прав субъектов персональных данных
      - Сообщения о заседаниях Консультативного совета
      - Планы работы Консультативного совета
      - Правовые основания деятельности Консультативного совета при уполномоченном органе по защите прав субъектов персональных данных
      - Молодежная палата Консультативного совета при Уполномоченном органе по защите прав субъектов персональных данных
      - Единый портал государственных услуг: оказание услуг в электронном виде
      - Бюджет для граждан
      - Референтные группы Роскомнадзора
      - Опрос об удовлетворенности качеством поиска и получения требуемой информации посредством сайта Роскомнадзора
      - Рейтинг публикации органами государственной власти информации в формате открытых данных
      - План по реализации Концепции открытости
        
        Архив
        
        Положение, регламент, кодекс этики
        
        Состав Общественного совета при Роскомнадзоре
        
        Планы и отчеты
        
        Протоколы и повестки заседаний
        
        за 2021 год
        
        за 2022 год
        
        Новости Роскомнадзора
        
        Региональные новости
        
        Подписка на новости
        
        О пресс-службе (контакты)
        
        Публикации
        
        Интервью
        
        Публичные доклады
        
        Выходные данные
        
        Поступление на государственную службу
        
        Перечень вакантных должностей
        
        Конкурс на вакантные должности
        
        Архив
        
        Общие вопросы
        
        Поступление на службу
        
        Кадровый резерв
        
        Прохождение службы
        
        Профессиональное развитие
        
        Пенсионное обеспечение служащих
        
        Иные вопросы
        
        Планы проверок
        
        План и показатели деятельности
        
        Прогноз социально-экономического развития Российской Федерации
        
        План снижения объемов и количества объектов незавершенного строительства
        
        Результаты деятельности Роскомнадзора
        
        Отчет об исполнении федерального бюджета
        
        Результаты проверок
        
        Мониторинг качества финансового менеджмента территориальных органов Роскомнадзора
        
        Рассмотрение жалоб на предоставление государственных услуг
        
        Планы мероприятий («дорожные карты») по развитию конкуренции
        
        Федеральная конкурсная комиссия по телерадиовещанию
        
        О Федеральной конкурсной комиссии по телерадиовещанию
        
        Конкурсы на получение права осуществлять наземное эфирное вещание с использованием конкретных радиочастот
        
        О проведении процедуры выбора обязательных общедоступных телеканалов субъектов Российской Федерации
        
        О проведении процедуры выбора муниципального обязательного общедоступного телеканала
        
        Аукцион на право получения лицензий на осуществление деятельности в области оказания услуг связи с использованием радиочастотного спектра в полосах радиочастот 791-798,5 МГц и 832-839,5 МГц на территории города федерального значения Севастополь
        
        Принято решение о проведении открытых торгов в форме аукциона на право получения лицензий на оказание услуг подвижной радиотелефонной связи, услуг передачи данных и на оказание телематических услуг связи с использованием радиоэлектронных средств сетей связи стандарта LTE и последующих его модификаций в полосах радиочастот 453-457,4 МГц и 463-467,4 МГц
        
        Аукцион № 2/2015 на право получения лицензий на оказание услуг подвижной радиотелефонной связи, услуг передачи данных и на оказание телематических услуг связи с использованием радиоэлектронных средств сетей связи стандарта LTE и последующих его модификаций в полосах радиочастот 2570-2595 МГц, 2595-2620 МГц
        
        Аукцион на право получения лицензии на осуществление деятельности в области оказания услуг связи с использованием радиочастотного спектра в полосах радиочастот 1710-1785 МГц и 1805-1880 МГц
        
        Конкурс на право получения лицензий на оказание на территории Российской Федерации услуг связи с использованием РЭС в сетях связи стандарта LTE и последующих его модификаций в полосе радиочастот 791-862 МГц
        
        Конкурсы на право оказания услуг фиксированного беспроводного широкополосного доступа в диапазоне 3400-3450 МГц и 3500-3550 МГц
        
        Конкурсы на право оказания услуг связи стандарта GSM
        
        Конкурсы на право оказания услуг связи в сетях мобильного беспроводного доступа в диапазоне 2300-2400 МГц. (февраль-март 2010 г.)
        
        Конкурсы на право оказания услуг связи стандарта GSM (октябрь-ноябрь 2007 г.)
        
        Положение о Роскомнадзоре
        
        Административные регламенты
        
        Федеральные законы
        
        Подзаконные и ведомственные нормативные акты
        
        Организация деятельности
        
        Указы Президента Российской Федерации
        
        Акты Правительства Российской Федерации
        
        Акты Министерства связи и массовых коммуникаций Российской Федерации
        
        Акты Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций
        
        Федеральные законы
        
        Акты Правительства Российской Федерации
        
        Акты Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации и иных органов исполнительной власти
        
        Акты Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций
        
        Акты Правительства Российской Федерации
        
        Акты Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации и иных органов исполнительной власти
        
        Акты Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций
        
        Акты Президента Российской Федерации
        
        Акты Правительства Российской Федерации
        
        Акты Министерства цифрового развития, связи и массовых коммуникаций и иных органов исполнительной власти
        
        Акты Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций
        
        Акты Президента Российской Федерации
        
        Акты Правительства Российской Федерации
        
        Акты Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций
        
        Акты Правительства Российской Федерации
        
        Акты Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций
        
        Проекты регламентов
        
        Проекты нормативных правовых актов Роскомнадзора
        
        Законопроекты
        
        Сопровождение проектов нормативных правовых актов
        
        Судебная практика за 2023 год
        
        Судебная практика за 2022 год
        
        Судебная практика за 2021 год
        
        Судебная практика за 2020 год
        
        Судебная практика за 2019 год
        
        Судебная практика за 2018 год
        
        Судебная практика за 2017 год
        
        Судебная практика за 2016 год
        
        Судебная практика за 2015 год
        
        Судебная практика за 2014 год
        
        Судебная практика за 2013 год
        
        Судебная практика за 2012 год
        
        за 2013 год
        
        за 2014 год
        
        за 2015 год
        
        за 2016 год
        
        за 2017 год
        
        за 2018 год
        
        за 2019 год
        
        за 2020 год
        
        за 2021 год
        
        Перечень в сфере связи
        
        Перечень нормативных правовых актов, непосредственно регулирующих проведение проверок
        
        Перечень нормативных правовых актов, устанавливающих обязательные требования к осуществлению деятельности юридических лиц и индивидуальных предпринимателей в сфере связи
        
        Перечень нормативных правовых актов, устанавливающих обязательные требования к осуществлению деятельности юридических лиц и индивидуальных предпринимателей в сфере законодательства о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма
        
        Перечень нормативных правовых актов, непосредственно регулирующих проведение проверок
        
        Перечень актов, содержащих обязательные требования, соблюдение которых оценивается при проведении мероприятий по контролю при осуществлении контроля (надзора) за соблюдением законодательства Российской Федерации о средствах массовой информации
        
        Перечень актов, содержащих обязательные требования, соблюдение которых оценивается при проведении мероприятий по контролю при осуществлении государственного контроля и надзора за соблюдением законодательства в сфере телевизионного вещания и радиовещания
        
        Перечень нормативных правовых актов, непосредственно регулирующих проведение проверок
        
        Перечень нормативных правовых актов, устанавливающих обязательные требования к осуществлению деятельности юридических лиц и индивидуальных предпринимателей за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных
        
        Перечень правовых актов, содержащих обязательные требования, в сфере информационных технологий
        
        Перечень нормативных правовых актов, непосредственно регулирующих проведение проверок
        
        Нормативные правовые и иные акты в сфере противодействия коррупции
        
        Федеральные законы, указы Президента Российской Федерации, постановления Правительства Российской Федерации, международные правовые акты
        
        Архив
        
        Архив
        
        Методические рекомендации
        
        Методические рекомендации по разработке и принятию организациями мер по предупреждению и противодействию коррупции
        
        Архив
        
        Информация о доходах государственных гражданских служащих за 2021 год
        
        Информация о доходах государственных гражданских служащих за 2020 год
        
        Информация о доходах государственных гражданских служащих за 2019 год
        
        Информация о доходах государственных гражданских служащих за 2018 год
        
        Информация о доходах государственных гражданских служащих за 2017 год
        
        Информация о доходах государственных гражданских служащих за 2016 год
        
        Информация о доходах государственных гражданских служащих за 2015 год
        
        Информация о доходах государственных гражданских служащих за 2014 год
        
        Информация о доходах государственных гражданских служащих за 2013 год
        
        Информация о доходах государственных гражданских служащих за 2012 год
        
        Информация о доходах государственных гражданских служащих за 2011 год
        
        Информация о доходах государственных гражданских служащих за 2011 год
        
        Информация о доходах государственных гражданских служащих за 2010 год
        
        Информация о доходах государственных гражданских служащих за 2009 год
        
        Сведения о планируемом проведении заседания Комиссии
        
        Заседания комиссии по соблюдению требований к служебному поведению и урегулированию конфликта интересов, и о принятых комиссией решениях
        
        Архив
        
        Как Вы оцениваете работу, проводимую отделом государственной службы и кадров Управления организационной работы Роскомнадзора, на который возложена ответственность за работу по профилактике коррупционных и иных правонарушений в центральном аппарате Роскомнадзора, в 2013 году?
        
        Как Вы оцениваете работу, проводимую отделом государственной службы и кадров Управления организационной работы Роскомнадзора, на который возложена ответственность за работу по профилактике коррупционных и иных правонарушений в центральном аппарате Роскомнадзора, в 2014 году?
        
        Как Вы оцениваете работу, проводимую отделом государственной службы и кадров Управления организационной работы Роскомнадзора, на который возложена ответственность за работу по профилактике коррупционных и иных правонарушений в центральном аппарате Роскомнадзора, в 2015 году?
        
        Как Вы оцениваете работу, проводимую отделом государственной службы и кадров Управления организационной работы Роскомнадзора, на который возложена ответственность за работу по профилактике коррупционных и иных правонарушений в центральном аппарате Роскомнадзора, в 2016 году?
        
        Как Вы оцениваете работу, проводимую отделом государственной службы и кадров Управления организационной работы Роскомнадзора, на который возложена ответственность за работу по профилактике коррупционных и иных правонарушений в центральном аппарате Роскомнадзора, в 2017 году?
        
        Как Вы оцениваете работу, проводимую подразделением по противодействию коррупции Роскомнадзора в 2018 году?
        
        Как Вы оцениваете работу, проводимую подразделением по противодействию коррупции Роскомнадзора в 2019 году?
        
        Как Вы оцениваете работу, проводимую подразделением по противодействию коррупции Роскомнадзора в 2020 году?
        
        Как Вы оцениваете работу, проводимую подразделением по противодействию коррупции Роскомнадзора в 2021 году?
        
        Как Вы оцениваете работу, проводимую подразделением по противодействию коррупции Роскомнадзора в 2022 году?
        
        Общественная электронная приемная Роскомнадзора
        
        Обзор обращений граждан
        
        Часто задаваемые вопросы
        
        Контроль и надзор в сфере массовых коммуникаций
        
        Разрешительно-лицензионная деятельность в сфере связи
        
        Защита прав субъектов персональных данных
        
        Контроль и надзор в сфере связи
        
        Порядок подачи жалобы на оказание услуги связи
        
        Подключение платных контентных (дополнительных) услуг
        
        Скорость доступа к сети Интернет
        
        Услуги почтовой связи
        
        Размещение и эксплуатация РЭС
        
        Перенесение абонентского номера
        
        Ошибочное пополнение баланса телефона
        
        Отчеты руководителей федеральных государственных унитарных предприятий и федеральных государственных бюджетных учреждений
        
        Сообщения о реорганизации предприятий РЧС
        
        Информация о среднемесячной заработной плате руководителей, их заместителей и главных бухгалтеров
        
        Размеры нормативных затрат федерального государственного бюджетного учреждения
        
        Задачи и функции подведомственных предприятий и учреждений
        
        Cтатистическая информация
        
        Другие сведения
        
        Опрос общественного мнения
        
        Территориальные управления
        
        Карта сайта
        
        Алфавитный указатель
        
        Сформировать обращение
        Электронная экспедиция
        Обратная связь ↗
        Часы работы
        Пн-Чт 8:30-17:30
        Пт 8:30-16:15
        +7 495 983-33-93
        
        Портал персональных данных
        
        Горячая линия для СМИ
        
        Информация о ходе рассмотрения заявок на присвоение частот
        
        Защита прав субъектов персональных данных
        
        Ответы на вопросы в сфере защиты прав субъектов персональных данных
        
        1. Что такое Уполномоченный орган по защите прав субъектов персональных данных и на кого возложена реализация этих функций?
        
        В настоящее время, в соответствии с постановлением Правительства от 16 марта 2009 г. № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций» данная функция возложена на Роскомнадзор.
        
        К полномочиям Роскомнадзора, в том числе, относится осуществление федерального государственного контроля (надзора) за обработкой персональных данных, обращение в суд с исковыми заявлениями в защиту прав субъектов персональных данных и неопределенного круга лиц, привлечение к административной ответственности лиц, виновных в нарушении Федерального закона «О персональных данных», рассмотрение жалоб и обращений по вопросам, связанным с обработкой персональных данных, ведение реестра операторов, осуществляющих обработку персональных данных, ограничение доступа к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных.
        
        2. Кто может являться оператором персональных данных?
        
        В соответствии п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.
        
        Обязанности оператора установлены гл. 4 Федерального закона «О персональных данных», которые операторы исполняют независимо от включения в реестр операторов, осуществляющих обработку персональных данных, который ведет Роскомнадзор.
        
        3. Что включает в себя понятие конфиденциальности?
        
        Конфиденциальность включает в себя обязанность не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
        
        Например, управляющие компании, размещая сведения о должниках (собственниках помещений многоквартирного дома) в подъезде дома, на сайте управляющей компании, обязаны получить соответствующее согласие субъекта персональных данных в целях исключения нарушения требований конфиденциальности.
        
        4. В каких случаях оператор вправе осуществлять обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных?
        
        В соответствии ч. 1 ст. 22 Федерального закона «О персональных данных» оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных. Исключение составляют случаи, предусмотренные ч. 2 указанной статьи, при обработке персональных данных:
        
        включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
        
        в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
        
        обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
        
        5. Распространяются ли требования Федерального закона «О персональных данных» на юридическое лицо иностранного государства?
        
        В отношении обработки персональных данных действует принцип экстерриториальности, который заключается в том, что на иностранных лиц, обрабатывающих персональные данные российских граждан на основании договора, соглашения или согласия на обработку персональных данных, распространяются требования Федерального закона «О персональных данных».
        
        К таким случаям относится обработка персональных данных российских пользователей социальных сетей на основании пользовательских соглашений.
        
        Кроме того, необходимо отметить, что юридическое лицо иностранного государства, являясь оператором, обязано при сборе персональных данных, в том числе посредством сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.
        
        6. Является ли веб-сайт информационной системой обработки персональных данных?
        
        В случае, если посредством веб-сайта осуществляется сбор и последующая обработка персональных данных, то в указанном случае веб-сайт будет являться информационной системой персональных данных.
        
        7. Как документально оформить факт уничтожения персональных данных субъекта?
        
        С 1 марта 2023 года вступает в силу приказ Роскомнадзора № 179 об утверждении Требований к подтверждению уничтожения персональных данных, в с которым в случае если обработка персональных данных осуществляется оператором без использования средств автоматизации, документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является акт об уничтожении персональных данных. В случае если обработка персональных данных осуществляется оператором с использованием средств автоматизации, документами, подтверждающими уничтожение персональных данных субъектов персональных данных, являются акт об уничтожении персональных данных, соответствующий требованиям, содержащимся в пунктах 3 и 4 указанных Требований, и выгрузка из журнала регистрации событий в информационной системе персональных данных (http://publication.pravo.gov.ru/Document/View/0001202211290008).
        
        Оцените содержание раздела:
        
        Низкое Ниже среднего Среднее Выше среднего Высокое Оценить
        
        Защита персональных данных в России
        
        Требования к защите персональных данных регулируются законами:
        
        Закон о персональных данных №152-ФЗ,
        
        149 («Об информации«),
        
        249 («О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля«).
        
        Ст. 26 закона «О банках и банковской деятельности» — Согласно ст. 26 закона «О банках и банковской деятельности» к банковской тайне относится информация об операциях, счетах и вкладах клиентов и корреспондентов. По российскому законодательству кредитная организация гарантирует тайну банковского счета и банковского вклада, операций по счету и сведений о клиенте.
        
        С 1 сентября 2015 года в России вступило в силу положение, обозначенное законом ФЗ-242, которое обязывает операторов персональных данных обрабатывать и хранить персональные данные россиян с использованием баз данных, размещенных на территории РФ. В связи с тем, что отдельные термины и формулировки, использованные в данном положении, допускают различные толкования, Минкомсвязи подготовило разъяснения к нему. Перечень разъяснений доступен по ссылке.
        
        Хронология событий
        
        2023
        
        Разработан инструмент проверки эффективности защиты персональных данных
        
        Эксперты Ассоциации больших данных (АБД), в которую входят крупнейшие российские ИТ-компании, разработали концепцию стандарта защиты данных, который предназначен для оценки эффективности работы службы информационной безопасности у операторов персональных данных. Документ представляет собой свод оценочных критериев и метрик, позволяющих сделать вывод об эффективности организационных и управленческих процессов обеспечения защиты информации операторов персональных данных. Причем концепция предусматривает прозрачный механизм добровольной оценки соответствия оператора ИСПДн специально разработанной методике, которая позволяет в рамках общественного контроля оценивать качество работы службы безопасности оператора.
        
        Методология оценки
        
        Концепция предусматривает несколько этапов проверки службы ИБ оператора ПДн: внутренний аудит, внешняя валидация результатов аудита и плановая самопроверка процессов обеспечения безопасности, которая должна проводиться не реже, чем раз в год. Кроме того, в случае реализации значимого инцидента или серьезной модернизации ИСПДн предусмотрен внеплановый аудит. Собственно, существенной новацией является валидация результатов внутреннего аудита, которая должна проводиться внешним, не аффилированным с компанией аудитором. Концепция предусматривает, что в качестве подобного аудитора могут выступать специальные компании, которые будет представлять результаты верификации в АБД или другую общественную организацию.
        
        Следует отметить, что внутренний аудит процедурно похож на категорирование, предусмотренное Постановлением №127 в рамках закона №187-ФЗ «О безопасности КИИ РФ». Также создается комиссия для оценки, также проводится анализ всех компонентов, процессов и систем, также предусмотрено моделирование угроз и также результаты самопроверки передаются организатору, в роли которого может выступать как АБД, так и другие общественные организации. Куда интереснее предлагаемая далее процедура валидации полученных результатов. В документе описано четыре этапа такой валидации: внешний аудит, анализ защищенности (внешний или внутренний, инструментальный или документарный), социотехническое тестирование для оценки осведомленности и киберучения. До этого этапа развитие законодательства в рамках безопасности КИИ еще не дошло. Максут Шадаев на TAdviser SummIT — о вызовах в цифровизации госсектора, давлении китайских ИТ-поставщиков и перспективах ИИ
        
        Внешний аудит проверяет качество реализации следующих компонент корпоративной защиты данных:
        
        Руководство системой организации защиты информации;
        
        Подразделение по защите информации;
        
        Положение об организации защиты информации;
        
        Планирование мероприятий по защите информации;
        
        Определение негативных последствий;
        
        Моделирование угроз безопасности информации;
        
        Контроль услуг внешних поставщиков;
        
        Регламент правил управления доступом;
        
        Аутентификация доступа к информационным системам организации;
        
        Управление учетными записями;
        
        Выявление и оценка уязвимостей;
        
        Управление обновлениями безопасности;
        
        Инвентаризация информационных ресурсов;
        
        Управление изменениями конфигурации;
        
        Мониторинг информационной безопасности;
        
        Реагирование на инциденты безопасности;
        
        Действия в нештатных ситуациях;
        
        Информирование и обучение персонала;
        
        Безопасность приложений и программного обеспечения;
        
        Установка межсетевого экрана;
        
        Отсутствие на периметре уязвимостей;
        
        Отсутствие уязвимостей в ПО и ПАК самой ИСПДн;
        
        Очистка входящего сетевого трафика от аномалий;
        
        Проверка вложений в электронные письма;
        
        Установка средств антивирусной защиты;
        
        Планы по тестированию на проникновение.
        
        Каждый из этих пунктов при правильной реализации дает при аудите по одному баллу. Причем обучение персонала проверяется в том числе и с помощью социотехнического тестирования или киберучений, а отсутсвие уявимостей – с помощью внешнего аудита (пентеста). Далее для категории персональных данных №1 (в соответствии с законом №152 «О безопасности ПДн») устанавливается допустимый минимальный уровень в 6 баллов, для категории №2 – 10, в категории №3 – 14 и в категории №4 – 18.
        
        Критерии эффективной работы службы безопасности оператора в привязке к категориям его персональных данных
        
        Операторами аудита могут стать экспертные группы, куда войдут специалисты как самих компаний, так и профильных сторонних организаций, но специалисты компании, где аудит проводиться, свою компанию проверять не могут. По тем направлениям, где итоговая оценка аудита окажется ниже рекомендованной, компании будут работать над повышением эффективности защиты. Участники АБД намерены завершить работу над концепцией и подписать стандарт в течение ближайших месяцев.
        
        Роль Концепции
        
        Документ устанавливаются четкие и, главное, измеримые критерии оценки для работы службы информационной безопасности оператора персональных данных, которые могут показать насколько компания старается обеспечить защиту своих персональных данных, причем с указанием направлений для дальнейшего совершенствования процесса обеспечения защиты. Документ может оказаться полезным не только для защиты персональных данных, но он имеет возможность стать модельным для организации процесса аудита и других значимых цифровых систем: КИИ, АСУ ТП, государственных ИС.
        
        Ужесточение требований к разработчикам защиты данных
        
        Федеральная служба по техническому и экспортному контролю (ФСТЭК) разработала проект указа президента, который устанавливает правила защиты информации в российских организациях, а также закрепляет создание государственной организационной системы защиты информации. Соответствующий документ, как пишет «Коммерсантъ», был опубликован 23 января 2023 года.
        
        Проект положения о государственной системе защиты информации определяет состав, направления работы системы, а также требования к организации защиты информации ограниченного доступа и общедоступной информации, обладателями которой являются Россия, российский регион или муниципальное образование. Как отмечается в пояснительной записке, целью этого является формирование организационной системы, которая работает на основе общих правил на всех уровнях.
        
        ФСТЭК ужесточает требования к разработчикам защиты данных
        
        Приказ также закрепляет шесть категорий участников системы, в том числе органы безопасности — ФСТЭК и ФСБ, организации, имеющие полномочия на сертификацию средств защиты, и компании, оказывающие услуги в области защиты государственной информации.
        
        Речь идет не обо всех участниках рынка, а о тех, кто работает с государственной информацией, что в документе называется «информацией, обладателями которой являются РФ и ее субъекты», пояснил газете глава аналитического центра Zecurion Владимир Ульянов. По его словам, требования будут распространяться на подрядчиков по обеспечению безопасности ГИС.
        
        При этом источник издания отметил, что к январю 2023 года почти все ИБ-компании в России работают либо напрямую с госсектором, либо с организациями, которые имеют дел с информацией, конечным обладателем которой является государство. Указ расширяет перечень объектов, для которых сертификация и аттестация становятся обязательными, указал собеседник. [1]
        
        2022
        
        Суды взыскали более 50 млн рублей штрафов за нарушения с персональными данными
        
        В 2022 году российские суды выписали по искам Роскомнадзора штрафы на более чем 50 млн рублей за нарушения при работе с персональными данными. Об этом замглавы ведомства Милош Вагнер сообщил в начале марта 2023 года.
        
        Российские суды выписали более 50 млн рублей штрафов за нарушения, связанные с персональными данными
        
        По словам Вагнера, в 2022 году заблокировано свыше 110 сайтов, работающих с полным неисполнением российского законодательства. В реестр нарушителей попали сервисы интернет-«пробива», мобильные приложения сбора данных из телефонных книг, справочники жителей с адресами и телефонами, сайты со сведениями о частной жизни людей, отметил он.
        
        В целом в 2022 году Роскомнадзор провел 91 внеплановую проверку компаний на предмет соблюдения законодательства о персональных данных. Из них 78 проводились по признакам утечек персональных данных, и в 87% эти утечки подтвердились.
        
        Он также отметил, что в 2022 году суды удовлетворили 95% исков, подготовленным Центром правовой помощи гражданам в цифровой среде, который в 2021-м создал Роскомнадзор. С момента создания к его юристам обратилось более 2500 граждан из разных регионов страны. Основная тема обращений — неправомерная обработка персональных данных заявителей, которая происходит без их ведома или согласия. Таких обращений в центр – более 52%, сообщил Милош Вагнер. [2]
        
        Мишустин утвердил новые правила в сфере трансграничной передачи персональных данных
        
        В январе 2023 года премьер-министр Михаил Мишустин подписал постановление, которым утвердил «правила принятия решения о запрещении или об ограничении трансграничной передачи персональных данных уполномоченным органом по защите прав субъектов персональных данных и информирования операторов о принятом решении». Документ, вступающий в силу 1 марта 2023 года, предполагает следующие нововведения:
        
        Михаил Мишустин
        
        Название иностранного государства, в отношении которого предлагается принять решение о запрете или об ограничении трансграничной передачи персональных данных (ПД);
        
        Описание обстоятельств, свидетельствующих о необходимости принятия такого решения, а также указание норм законодательства РФ, послуживших основанием для вынесения представления;
        
        Заключение о содержании решения, которое предлагается для принятия по итогам рассмотрения представления;
        
        Сведения об операторе, которому предлагается запретить или ограничить трансграничную передачу ПД – наименование юридического лица, ФИО физлица, идентификационный номер налогоплательщика, номера телефонов, почтовые адреса и e-mail. Кроме того, представление должно содержать дату, с которой трансграничная передача должна быть запрещена или ограничена
        
        Ранее Минцифры РФ подготовило еще два проекта, регламентирующих порядок передачи персональных данных за рубеж. Согласно первому, устанавливаются условия и случаи запрещения или ограничения передачи данных российских граждан за рубеж в целях защиты их нравственности, здоровья, прав и интересов.
        
        Во втором проекте министерство предложило установить случаи, при которых операторам, осуществляющим трансграничную передачу персональных данных, не требуется уведомлять об этом Роскомнадзор, а также случаи, при которых не применяются решения о запрещении или об ограничении трансграничной передачи персональных данных.
        
        Минцифры поддержало введение тюремных сроков за кражу и продажу персональных данных
        
        Минцифры поддержало введение тюремных сроков за кражу и продажу персональных данных. Об этом стало известно в середине декабря 2022 года.
        
        Минцифры поддержало введение тюремных сроков за кражу и продажу персональных данных
        
        Документ предусматривает введение штрафов от 300 тыс. до 2 млн рублей и лишение свободы на срок до шести лет.
        
        В Минцифры пояснили, что в некоторых случаях нарушителям грозит до 10 лет тюремного срока, например, если незаконное обращение с личными данными привело к тяжким последствиям, было совершено с использованием служебного положения или было организовано группой лиц.
        
        В ведомстве добавили, что, если целенаправленные действия злоумышленника привели к утечке значимых объёмов данных или если публикация чувствительных данных может представлять вред для конкретных людей — ответственность наступит вне зависимости от занимаемой должности.
        
        В мае 2022 года глава Роскомнадзора Андрей Липов говорил, что готовится законопроект о введении уголовной ответственности за продажу украденных персональных данных.
        
        Глава комитета Госдумы по информационной политике, информационным технологиям и связи Александр Хинштейн в июле 202 года заявлял, что ответственность должны нести не только те, кто допустил утечки персональных данных, но и те, кто осуществляет незаконный оборот персональных данных, и, возможно, те, кто пользуется этими данными, заведомо осознавая их противоправный характер.
        
        Хинштейн уточнял, что уголовную ответственность за утечки следует ввести и для госслужащих. По его словам, речь идет о случаях, когда утечка привела к причинению тяжкого вреда здоровью или летальному исходу. [3]
        
        Роскомнадзор запретит передавать данные Meta и другим запрещенным зарубежным организациям
        
        Роскомнадзор будет запрещать передачу персональных данных российским компаниям в случае отправки сведений за границу запрещенным в России или нежелательным организациям. Среди них — Meta (в РФ объявлена экстремистской компанией, ее деятельность запрещена) Об этом 15 сентября 2022 года пишет «Коммерсантъ» со ссылкой на разработанные Минцифры документы.
        
        Операторы персональных данных с 1 марта 2023 года должны будут сообщать Роскомнадзору о намерении выполнить трансграничную передачу. Но после принятия новых поправок Роскомнадзор сможет ограничивать трансграничную передачу данных, в том числе после заявлений от ФСБ, Минобороны и МИД. Такие меры принимаются для защиты экономических и финансовых интересов РФ.
        
        Роскомнадзор будет запрещать передачу персональных данных российским компаниям в случае отправки сведений за границу запрещенным в России
        
        Источник газеты на рынке онлайн-сервисов, представители которого критиковали исходный вариант поправок, говорит, что не ожидает сложностей в связи с новыми нормами.
        
        По словам управляющего партнера Enterprise Legal Solutions Юрия Федюкина, пользователи соцсетей выступают субъектами персональных данных, а не операторами их передачи. Когда человек передает Meta собственные персональные данные, поправки и подзаконные акты не создают рисков ответственности, пояснил он.
        
        Взаимодействие с Meta несет риски в первую очередь для профессиональных пользователей ее соцсетей — блогеров, рекламных агентств и владельцев магазинов,— а также для «пользователей, выражающих свою политическую позицию», говорит руководитель практики интеллектуальной собственности юридической фирмы DRC Владимир Ожерельев. По мнению гендиректора Института исследований интернета Карена Казаряна, риски для физических и юридических лиц, которые будут просто в частном порядке регистрироваться на Facebook и Instagram, не возникнут. В то же время эксперт считает, что проекты Минцифры еще могут быть доработаны, поскольку «пока неясно, как применять их на практике». [4]
        
        Минцифры, ФСБ и ФСТЭК займутся аудитом защищенности данных в российских компаниях
        
        В конце августа 2022 года стало известно о том, что Минцифры, ФСБ и ФСТЭК займутся аудитом защищенности данных в российских компаниях, являющихся операторами персональных данных (ПД).
        
        Как пишут «Ведомости», к концу августа 2022 года требования к защите данных, регламентируемые приказами ФСБ и ФСТЭК, зачастую не успевают обновлять в связи с появлением новых киберугроз. Предполагается, что ежегодный добровольный аудит защищенности данных будет способствовать более активному инвестированию компаний в системы информационной безопасности.
        
        Минцифры, ФСБ и ФСТЭК займутся аудитом защищенности данных
        
        Как сообщил источник издания, аудит мог бы проводиться аккредитованными государством компаниями, которые занимаются информационной безопасностью.
        
        По данным газеты, Минцифры выступает за то, чтобы компании активнее инвестировали в системы информбезопасности, в этом контексте и обсуждается предложение о ежегодном добровольном аудите защищенности данных. Как отмечается, обсуждаемый добровольный аудит как раз может рассматриваться как смягчающее обстоятельство и быть подтверждением мер защиты данных.
        
        По словам источника издания, такой аудит могли бы проводить аккредитованные государством компании, занимающиеся информационной безопасностью, например, Positive Technologies, «Лаборатория Касперского» или Group-IB.
        
        При этом будет ли такой аудит заменять обязательные требования анализа состояния информационной безопасности в компании или он будет производиться на основании обязательных требований ФСБ и ФСТЭК, собеседники «Ведомостей» не уточнили.
        
        Ранее сообщалось, что до 1 июля 2022 года, 58 ключевых государственных корпораций должны были провести оценку уровня защищенности своих информационных систем от киберугроз. Для оценки компании могли привлекать любые профильные организации, сертифицированные ФСТЭК и ФСБ. [5]
        
        В России запретили принудительно собирать биометрию
        
        6 июля 2022 года Госдума в третьем (окончательном) чтении приняла поправки к закону «О персональных данных», разработанные группой депутатов во главе с главой комитета Госдумы по информационной политике Александром Хинштейном. Одна из инициатив предполагает запрет на принудительный сбор и обработку биометрических данных. Подробнее здесь.
        
        Минцифры согласовало законопроект о штрафах для бизнеса за утечки данных
        
        В конце мая 2022 года Министерство цифрового развития, связи и массовых коммуникаций РФ согласовало законопроект о штрафах бизнеса за утечки персональных данных клиентов. Наказание предполагает наложение штрафа в 1% от годового оборота компании и возможное увеличение до 3% в случае попытки предпринимателей скрыть инцидент.
        
        Как пишет «Коммерсантъ», разработка инициативы могла быть ускорена из-за громких утечек данных, о которых стало известно в первые месяцы 2022 года.
        
        Минцифры согласовало законопроект о штрафах для бизнеса за утечки данных
        
        В Минцифры считают, что только многомиллионные оборотные штрафы за утечки персональных данных российских пользователей смогут заставить компании усилить безопасность и механизмы хранения информацией.
        
        Как рассказал «Коммерсанту» источник на рынке кибербезопасности, персональные данные обрабатывают как крупные ИТ-компании и банки, так и небольшой бизнес (например, из сферы услуг), который редко тратит деньги на информационную безопасность. Если организация не вкладывается в защиту информации, оперативно провести расследование будет значительно сложнее. Часто в таких случаях компания узнает об утечке из СМИ или соцсетей, отметил эксперт центра продуктов Dozor компании «РТК-Солар» Алексей Кубарев.
        
        Комитет Госдумы по информполитике поддерживает введение оборотных штрафов за утечку персональных данных.
        
        По его мнению, принятие такого законопроекта заставит бизнес вкладывать больше средств в развитие своих систем информбезопасности.
        
        Для оперативной установки факта утечки и последующего расследования компании потребуется соответствующее программное обеспечение, добавил глава отдела аналитики «СерчИнформ» Алексей Парфентьев. [6]
        
        В России принят закон о штрафах за незаконный сбор персональных данных при покупке товаров и услуг
        
        19 мая 2022 года Госдума РФ приняла закон о штрафах за незаконный сбор персональных данных при покупке товаров и услуг. Поправки вносятся в статью 14.8 Кодекса об административных правонарушениях, автором инициативы стало Правительство РФ.
        
        Штрафы вводятся за отказ заключить с потребителем договор, если он не желает предоставить дополнительные персональные данные. Исключением станут случаи, когда представление персональных данных является обязательным в соответствии с законодательством или непосредственно связано с исполнением договора.
        
        В России принят закон о штрафах за незаконный сбор персональных данных при покупке товаров и услуг
        
        Для должностных лиц сумма штрафа составит от 5 тыс. о 10 тыс. рублей, а для юридических лиц — от 30 тыс. до 50 тыс. рублей.
        
        Как пояснил председатель Госдумы Вячеслав Володин, был установлен запрет принуждать потребителей к предоставлению персональных данных, когда действующее законодательство этого не требует. Кроме того, в законе «О защите прав потребителей» был закреплен перечень недопустимых условий договора, ущемляющих права потребителя. К таким условиям отнесены, например, оказание дополнительных услуг за плату без согласия потребителя, ограничение права выбора способа и формы оплаты.
        
        Ранее премьер-министр Михаил Мишустин отмечал, что «зачастую людей принуждают указывать избыточные персональные данные при любых покупках», при том «даже в тех случаях, когда по закону это совсем не обязательно». В связи с этим и был принял закон о штрафах за необоснованный сбор персональных данных с покупателей.
        
        Как сообщил при обсуждении законопроекта член Комитета Госдумы по государственному строительству и законодательству Дмитрий Вяткин, ко второму чтению документа поступило две поправки, которые носят юридико-технический характер. Их парламентарии решили поддержать.
        
        Закон вступит в силу с 1 сентября 2022 года. [7]
        
        В России принят закон, запрещающий продавцам отказывать клиентам в обслуживании без предоставления персданных
        
        20 апреля 2022 года Государственная дума в третьем (окончательном) чтении приняла закон, запрещающий продавцам отказывать клиентам в обслуживании без предоставления персональных данных. Документ инициирован Правительством РФ и вносит правки в закон «О защите прав потребителей».
        
        Закон, который должен вступить в силу 1 сентября 2022 года, запрещает продавцам, исполнителям и владельцам агрегаторов отказывать в заключении и исполнении договора потребителю, который отказался предоставить свои персональные данные. При этом исключение составят случаи, предусмотренные законодательством или исполнением этого договора. В то же время потребитель будет вправе запросить объяснение причины отказа и его правовые основания.
        
        20 апреля 2022 года Государственная дума в третьем (окончательном) чтении приняла закон, запрещающий продавцам отказывать клиентам в обслуживании без предоставления персональных данных.
        
        Поправки, как утверждают их создатели, разработаны в целях пресечения недобросовестного поведения на потребительском рынке, в том числе выражающегося в принудительном или необоснованном сборе персональных данных потребителей для целей, не связанных с заключением или исполнением договора.
        
        Изменения, вносимые законом, соответствуют руководящим принципам ООН для защиты интересов потребителей, которые в числе принципов добросовестной деловой практики называют защиту личной информации и использование механизмов получения согласия на сбор и использования личных данных потребителей, а также рекомендациям совета Организации экономического сотрудничества и развития (ОЭСР) по защите прав потребителей в электронной торговле от 24 марта 2016 года, в соответствии с которыми компании должны защищать конфиденциальность потребителя, гарантируя, что их практика в отношении сбора и использования потребительских данных является законной, прозрачной и справедливой. [8]
        
        В Роскомнадзоре назвали лучший способ уберечься от утечек персональных данных
        
        Чтобы снизить риски неправомерного доступа к персональным данным, нужно как можно меньше персональные данные где-то оставлять, заявил заместитель руководителя Роскомнадзора Милош Вагнер на пресс-конференции, приуроченной к Международному дню защиты персональных данных 28 января.
        
        В Роскомнадзоре советуют соотносить риски и пользу от сервисов, которым предоставляются персональные данные (фото — Известия/Павел Бедняков)
        
        Надо задумываться о том, так ли вам нужен новый сервис, которым пользуются все окружающие, так ли вам нужно получить ту или иную услугу, которая требует предоставления большого объёма данных. Каждый раз надо задаваться вопросом, насколько то, что вы получаете взамен, перевешивает риск возможной компрометации, который существует всегда, отметил Милош Вагнер.
        
        Присутствовавший на пресс-конференции Владимир Бенгин, директор департамента обеспечения кибербезопасности Минцифры, посоветовал завести отдельный телефон, который бы использовался для рекламы, скидочных карт и т.д. Он также отметил, что чем крупнее площадка, тем более трепетно она будет относиться к персональным данным, «за редким исключением».
        
        А рекомендация от Роскомнадзора с точки зрения операторов персональных данных – в первую очередь задумываться о том, можно ли осуществлять их бизнес-процессы, вообще не собирая данные. Если это невозможно, если, например, есть требования законодательства по идентификации клиентов, то нужно задуматься, насколько можно было бы для этого воспользоваться доверенными сервисами вроде портала госуслуг. Он не предполагает, что данные копируются или переносятся к внешним операторам, но при этом обеспечивает достаточную идентификацию, пояснил Милош Вагнер.
        
        Ежегодно в Роскомнадзор поступает порядка 40 тыс. жалоб, связанных с персональными данными, рассказал заместитель руководителя ведовства. В основном жалуются на три категории операторов персональных данных: интернет-сайты, организации, осуществляющие управление жилым фондом, а также банки и иные организации финансовой сферы.
        
        2021
        
        Где посадки? Советник президента РФ и Наталья Касперская предлагают судить по УК и штрафовать на миллиарды за утечки персданных
        
        Советник президента РФ, председатель Совета при президенте по развитию гражданского общества и правам человека Валерий Фадеев выступает за ужесточение наказания за утечки персональных данных. За них надо привлекать по статьям УК и вводить штрафы, которые исчисляются миллиардами рублей, заявил он 16 декабря 2021 года [9] .
        
        Утечки персональных данных – это кража, ст. 158 УК РФ, полагает Фадеев. Иногда это результат деятельности хакеров, но, похоже, что в большинстве случаев в этом замешаны мелкие сотрудники самих организаций, где хранятся персональные данные, которые их воруют и продают злоумышленникам.
        
        Есть также ст. 293 УК РФ (Халатность), которую можно было бы применять к начальнику, руководителю сотрудника, совершившего кражу, полагает Валерий Фадеев: «значит, этот руководитель допустил кражу, это называется `халатность`». Эти две указанные статьи надо применять в случае с утечками персональных данных.
        
        Необходимо пересматривать и размеры штрафов за подобные инциденты.
        
        Он привел аналогию с ситуацией в сфере экологии, где ранее за нанесенный ущерб были установлены незначительные штрафы, а потом их подняли, и уже были инциденты, где штрафы за ущерб окружающей среде исчислялись миллиардами.
        
        Наталья Касперская считает, что нужно корректировать Уголовный кодекс (фото — должны быть реальные сроки за утечку массовых данных)
        
        Глава разработчика DLP-решений InfoWatch Наталья Касперская по итогам изучения правоприменительной практики в России за 2020 год, связанной с утечками данных, привела сумму в 1 млн рублей, как максимально назначенный штраф для юридического лица, а для физического лица – 50 тыс. рублей. Речь идёт о штрафах по КоАП в области персональных данных.
        
        Утечки персональных данных – одна из ключевых проблем в области прав граждан в цифровом пространстве, и они приняли массовый характер. Это касается и России, и всего мира. Наталья Касперская говорит, что за последний год количество утечек выросло колоссально, а суммы денег, украденных мошенниками со счетов, исчисляются десятками миллиардов рублей. Как и Фадеев, Касперская отметила, что посадок при этом не наблюдается.
        
        Надо сказать, что подобные громкие заявления могут в итоге оказаться не только словами: ведется работа, направленная на усиление защиты персональных данных и прав российских граждан в цифровом пространстве. И вопрос находится «на карандаше» у президента Владимира Путина и в центре внимания правительства. Валерий Фадеев напомнил, что есть поручение президента по итогам ежегодной встречи по правам человека в декабре 2020 года о создании цифрового кодекса, где были бы тщательно прописаны проблемы, связанные с правами и свободами, и предлагались бы решения. На встрече в декабре 2021 года президент подтвердил свою серьезную озабоченность проблемой персональных данных и их утечек.
        
        Была сформирована временная рабочая группа по подготовке концепции по защите прав и свобод человека и гражданина в цифровом пространстве РФ, в которую входят члены СПЧ и приглашенные эксперты из органов публичной власти, Института государства и права РАН и других организаций, тесно взаимодействует с правительством по поручению президента. У истоков создания временной рабочей группы стоит, в том числе, предприниматель и инвестор Игорь Ашманов, который является членом СПЧ.
        
        По словам Ашманова, одним из основных авторов этой концепции, которая к августу была сдана в правительство и ушла в администрацию президента, является Виктор Наумов, «самый продвинутый цифровой юрист нашей страны», который защищает интересы всех западных цифровых платформ в России, за исключением Yahoo.
        
        По состоянию на декабрь, концепция прошла рассмотрение в правовом управлении, в экспертном управлении администрации президента, ФСБ тоже прислала свои замечания, и теперь документ на рассмотрении в Совете безопасности РФ. Если в итоге президент одобрит концепцию, далее начнётся работа юристов над цифровым кодексом, пояснил Игорь Ашманов.
        
        ФСБ назвала данные, за сбор которых можно стать иноагентом
        
        В конце сентября 2021 года Федеральная служба безопасности (ФСБ) России перечислила данные, за сбор которых можно стать иностранным агентом. Это не гостайна и несекретная информация. Подробнее здесь.
        
        Путин ввел штрафы за распространение данных о силовиках
        
        Президент России Владимир Путин подписал закон о наказании за публикацию данных силовиков. Соответствующий документ 11 июня 2021 года был опубликован на официальном интернет-портале правовой информации.
        
        Как пишет «Коммерсантъ», за распространение сведений о работниках силовых структур будут штрафовать до 300 тыс. рублей. Вводится ответственность за распространение сведений о сотрудниках прокуратуры, МВД, СКР, ФСБ, Росгвардии, таможенных органов и других ведомств, а также военнослужащих и судей. Штрафы предусмотрены за публикацию персональных данных силовиков «в связи с осуществлением ими служебной деятельности или выполнения такими лицами общественного долга». Наказывать будут также за распространение сведений об их близких.
        
        Владимир Путин ввел штрафы за распространение данных о силовиках
        
        Штрафы за распространение информации о силовиках:
        
        для физлиц — 20–40 тыс. руб.;
        
        для должностных лиц — 50–100 тыс. руб.;
        
        для индивидуальных предпринимателей — 100–200 тыс. руб.;
        
        для юрлиц — 200–300 тыс.
        
        Изменения будут внесены в УК РФ о незаконном получении и разглашении сведений, составляющих коммерческую, налоговую или банковскую тайну (статья 183 УК РФ) и о разглашении сведений о мерах безопасности в отношении должностного лица (статья 320 УК РФ).
        
        Кроме того, закон ужесточает наказание за незаконное разглашение или использование, сбор сведений, составляющих коммерческую, налоговую и банковскую тайну (ст. 183 УК РФ), повышая максимальный срок принудительных работ или лишения свободы за данное правонарушение с трех до четырех лет. При этом без изменений сохраняются санкции в виде штрафа до 1 млн рублей или в размере дохода осужденного за период до двух лет, лишения права на занятие определенных должностей и занятия определенной деятельностью на срок до трех лет и исправительных работ на срок до двух лет. [10] [11]
        
        В России принят закон о 10-кратном увеличении штрафов за разглашение персональных данных
        
        19 мая 2021 года Госдума в третьем (окончательном) чтении приняла закон о существенном повышении штрафов за разглашение персональных данных. Так, граждане, нарушившие этот закон, будут платить до 5-10 тыс. рублей вместо прежних 0,5-1 тыс. рублей.
        
        Размер наказания для должностных лиц вырос с 4-5 тыс. рублей до 40-50 тыс. рублей. Также поправками вводится ответственность для юридических лиц — штраф от 100 тыс. до 200 тыс. рублей.
        
        В России принят закон о 10-кратном увеличении штрафов за разглашение персональных данных
        
        Принятый закон также предусматривает увеличение штрафов за разглашение сведений о мерах безопасности, которые применяются в отношении сотрудников правоохранительных или контролирующих органов, а также их близких. Теперь они могут достигать:
        
        до 70 тыс. рублей для граждан;
        
        до 500 тыс. рублей для должностных лиц. Им также будет грозить дисквалификация на срок до трёх лет;
        
        до 500 тыс. рублей для юрлиц.
        
        Кроме того, незаконные сбор, передача, распространение и доступ к персональным данным судей, прокуроров, следователей, сотрудников органов внутренних дел и ряда силовых ведомств в связи с исполнением ими профессионального или общественного долга, данных об их близких повлекут штраф для граждан от 20 тыс. до 40 тыс. рублей. Для должностных лиц штраф составит от 50 тыс. до 100 тыс. рублей с возможной дисквалификацией на срок до трех лет, для индивидуальных предпринимателей — от 100 тыс. до 200 тыс. рублей, для юридических лиц — от 200 тыс. до 300 тыс. рублей.
        
        В пояснительной записке к законопроекту говорится, что причиной его появления стала расширяющаяся практика несанкционированного опубликования сведений о фактах, событиях и обстоятельствах частной жизни сотрудников правоохранительных органов. По мнению авторов, целями таких действий «зачастую являются не воспрепятствование служебной деятельности сотрудников правоохранительных органов, а иные устремления (корысть, месть, пиар и т. п.)». [12]
        
        Путин поручил кабмину ускорить усиление защиты персональных данных россиян
        
        Как стало известно 26 апреля 2021 года, президент России Владимир Путин поручил Правительству РФ ускорить работу по усилению защиты персональных данных граждан.
        
        Ответственным за выполнение назначен премьер-министр Михаил Мишустин. Соответствующий доклад должен быть представлен до 1 июля 2021 года.
        
        Владимир Путин поручил кабмину ускорить усиление защиты персональных данных россиян
        
        Незадолго до этого поручения Владимир Путин призвал заняться вопросами защиты персональных данных граждан. Он отмечал, что особенно востребованы рекомендации профессионалов о том, как развивать цифровые сервисы, «предотвращая риски нарушения прав людей на конфиденциальность, на неприкосновенность частной жизни, на свободу выражения мнений».
        
        Также российский лидер добавил, что вопросы, которые связаны с защитой персональных данных, согласно социологическим опросам, очень беспокоят людей.
        
        В рамках инвестиционного форума «Россия зовет» в 2020 году Владимир Путин заявлял, что Россия не намерена внедрять запретительные меры в киберпространстве и думает над тем, как обеспечить защиту персональных данных при цифровизации.
        
        Он также отмечал, что цифровизация экономики и жизни страны является важной сферой, в частности, в вопросах защиты персональных данных. [13]
        
        Гайд от ARinteg: Как просто решить вопрос отчетности по №152 ФЗ «О защите персональных данных»
        
        Что нужно, чтобы закрыть вопрос по требованиям ФЗ-152 «О защите персональных данных»? Заучивать обязанности «оператора» наизусть, ставить дедлайны по сдачи документации (которую нужно составлять) и помечать красным цветом в календаре 12-часовой рабочих день ускоренной подготовки перед проверкой «сверху». Или можно по-другому?
        
        Минцифры запретит телеком-операторам продавать данные абонентов без их согласия
        
        В конце марта 2021 года стало известно о новых мерах защиты персональных данных, которые были разработаны Министерством цифрового развития, связи и массовых коммуникаций РФ. Согласно предложенным ведомством поправкам в закон о персональных данных, операторы связи не смогут продавать информацию о своих абонентах без их согласия.
        
        Как сообщает «РИА Новости» со ссылкой на пресс-службу Минцифры, разрешение человека понадобится не только на использование сведений о нем, но и на их обезличивание.
        
        Минцифры намерено запретить телеком-операторам продавать данные абонентов без их согласия
        
        Поправками также предлагается наделить органы государственной власти полномочиями по предоставлению отечественным ИТ-компаниям доступ к обезличенным персональным данным из государственных информационных систем. Органы власти будут получать обезличенные данные от операторов персональных данных исключительно для осуществления государственных функций.
        
        Минцифры заверило, что каждый случай, когда от бизнеса потребуются какие-либо данные, будет рассматриваться отдельно. Решение будут принимать в том числе с учётом объёма будущей нагрузки на бизнес по обезличиванию данных и подготовки необходимых дата-сетов.
        
        Ранее Рабочая группа «Нормативное регулирование» АНО «Цифровая экономика» предложила исключить из документа норму, по которой бизнес должен безвозмездно предоставлять обезличенные данные россиян государству. Также в АНО назвали избыточным требование о получении отдельного согласия от пользователей на обезличивание. Как сообщил источник газеты, правительство запросило позицию «Цифровой экономики», поскольку именно АНО инициировало законопроект. [14]
        
        Минцифры приравнивает обезличенные данные к персональным
        
        Глава Министерства цифрового развития Максут Шадаев подписал законопроект, определяющий порядок обработки обезличенных данных. В скором времени его внесут в правительство. Об этом 12 марта 2021 года написали «Ведомости» со ссылкой на замминистра цифрового развития Олега Иванова.
        
        Предполагается, что теперь оператор не сможет использовать какую-либо дополнительную информацию, которая помогает определить принадлежность персональных данных конкретному субъекту. Будет запрещено в дополнение к обезличенным данным передавать третьим лицам информацию, которая позволит идентифицировать конкретного человека. Под запретом окажется деобезличивание данных, за исключением тех случаев, когда необходимо защитить жизнь или здоровье человека. Таким образом, обезличенные данные приравняют к персональным.
        
        Минцифры намерено приравнять обезличенные данные к персональным
        
        По словам Олега Иванова, новые требования к обращению обезличенной информации вызваны тем, что уже к марту 2021 года доступны технологии, позволяющие деобезличивать данные и определять по ним конкретного человека.
        
        Законопроектом предлагается внести в федеральное законодательство изменения, которые в значительной степени устраняют разницу в правоотношениях, возникающих при сборе, обработке и использовании персональных и обезличенных данных, сообщил «Ведомостям» управляющий партнер юридической фирмы Enterprise Legal Solutions Юрий Федюкин.
        
        В АНО «Цифровая экономика» пояснили, что документ содержит избыточные требования к идентификации субъекта персональных данных: прежняя его версия предусматривала возможность получить согласие на обработку персональных данных с использованием электронной почты или телефонного номера, а нынешняя – что пользователь должен указать ФИО для получения тех или иных услуг. [15]
        
        2020
        
        Госдума приняла закон, запрещающий распространять персональные данные граждан без их согласия
        
        Госдума приняла в третьем, окончательном чтении закон о запрете распространения персональных данных граждан без их специального согласия. В законе (N1057337-7) прописана процедура обязательного согласования на обработку персональных данных россиян любым оператором данных. Об этом стало известно 23 декабря 2020 года.
        
        Документ запрещает получение согласия на обработку персональных данных по умолчанию и при бездействии их владельца, отмечает «Интерфакс». Соглашение на обработку таких общедоступных данных должно содержать информацию об их владельце и самом операторе, категории принимаемых данных и цели их обработки, срок действия согласия и перечень сайтов, на которых общедоступные персональные данные оператору разрешается публиковать.
        
        В соглашении также может быть прописан запрет на передачу данных «неограниченному кругу лиц» и обработку ими персональных данных. При этом оператор не может отказаться от предложенных запретов и условий, прописанных в данной инициативе. Владелец данных также имеет право в любой момент отозвать свое согласие, после чего оператор обязан приостановить их использование.
        
        Принятые поправки также обязывают всех лиц, осуществлявших обработку данных гражданина, «предоставить доказательства законности их последующего распространения или иной обработки» в случае, если такие данные оказались в открытом доступе вследствие правонарушения или обстоятельств непреодолимой силы. Кроме того, ко второму чтению законопроекта автор заменил понятие «общедоступные персональные данные» формулировкой «разрешенные для распространения данные». Как отмечается в пояснительной записке к законопроекту, инициатива направлена против неконтролируемого сбора опубликованных в интернете персональных данных для использования в целях, не соответствующих цели изначальной публикации. Документ был внесен в Госдуму в ноябре 2020 года членом думского комитета по информационной политике, информационным технологиям и связи Антоном Горелкиным [16] .
        
        В России разработан новый протокол безопасного обмена персональными данными
        
        НПК «Криптонит» 29 июня 2020 года сообщила TAdviser, что ее ученые и специалисты разработали протокол безопасности «ИКС». Данный протокол безопасности позволит передавать персональные данные от пользователя сервису только лишь в форме зашифрованного пакета данных — «блоба» (от англ. Binary Large Object, BLOB — массив двоичных данных). Каждый блоб может быть проверен и заверен инспектором персональных данных, который подтвердил информацию о пользователе. В качестве инспектора может, например, выступать государственный орган (например, налоговая служба или пенсионный фонд) или коммерческая структура (например, банк или страховая компания). Подробнее здесь.
        
        Исследования
        
        2023: 75% компаний не выполняют требования закона о персональных данных
        
        1 марта 2023 года компания К2 Интеграция сообщила о проведении опроса среди предприятий на тему реализации требований федерального закона «О персональных данных». Оказалось, что 75% компаний еще не выполнили положения закона, начавшие действовать в сентябре 2022 года. Подробнее здесь.
        
        2022
        
        Только 4% компаний полностью подготовились к реализации обновленных требований законодательства о персональных данных
        
        1 сентября 2022 года вступила в силу первая часть требований Федерального закона от 14.07.2022 № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных». В связи с этим компания КРОК провела опрос на тему готовности российских компаний к изменениям. В опросе приняли участие более 100 российских компаний из различных отраслей экономики. Об этом Крок сообщил 1 сентября 2022 года.
        
        Результаты опроса КРОК показали, что на конец августа 2022 года лишь 4% компаний полностью адаптировали процессы обработки персональных данных к новым требованиям. 28% опрошенных ответили, что успели подготовиться частично. Более 20% организаций не планируют в ближайшее время проводить работы по внедрению мер для соответствия 266-ФЗ.
        
        Результаты исследования подтвердили тезис о том, что не все компании относят себя к операторам ПДн. Например, 17% опрошенных заявили, что их организация не отправляла уведомление о начале обработки персональных данных, так как не являются операторами. При этом подавляющее большинство респондентов (70%) ответили, что необходимо вводить штрафы за утечки ПДн.
        
        В большинстве опрошенных компаний (39%) ответственным за обработку персональных данных является руководитель по информационной безопасности. В 27% организаций за это отвечает руководитель подразделения по управлению персоналом. Часть опрошенных заявили, что в их компаниях были созданы специальные должности, например – руководитель направления по работе с персональными данными.
        
        Одним из наиболее важных требований в соответствии 266-ФЗ является то, что с 1 сентября 2022 года все операторы персональных данных должны внести изменения в договоры с лицами, осуществляющими обработку ПДн по их поручению, сократить сроки реагирования на запросы субъектов ПДн, изменить в свои локальные нормативные акты в части обработки персональных данных. На начало сентября 2022 года, по результатам исследования, 17% организаций не ведут и не контролируют реестр лиц, которым поручают обработку ПДн.
        
        В связи с этим эксперт КРОК рекомендует организациям реализовать ряд шагов, которые позволят адаптироваться к последним требованиям законодательства. Во-первых, проверить наличие и разместить Политику обработки ПДн на сайте организации. Во-вторых, необходимо провести ревизию внутренней документации: осуществить пересмотр договоров-оснований для обработки ПДн субъектов, договоров на поручение обработки персональных данных и локальных нормативных актов в области обработки и защиты ПДн. В-третьих, наладить взаимодействие с Роскомнадзором и проверить необходимость и обеспечить подключение ГосСОПКА. Наконец, начать проведение ревизии трансграничных потоков передачи персональных данных и оценку мер по защите данных иностранными контрагентами.
        
        92% пользователей Рунета не беспокоит вопрос передачи персональных данных третьим лицам
        
        2 февраля 2022 года компания-разработчик антивирусных решений ESET поделилась итогами исследования, которое провела чтобы определить, как жители страны относятся к сбору и передаче персональных данных на сайтах и в приложениях.
        
        На первом этапе исследования эксперты выяснили, знают ли респонденты, что такое пользовательское соглашение. Ответы разделились практически поровну: 51% опрошенных заявили — они точно понимают, что такое пользовательское соглашение и зачем оно нужно, другие 49% поделились, что слышали о пользовательском соглашении вскользь или вовсе не знают о нем.
        
        Российские интернет-юзеры лишь изредка прочитывают до конца предложенные им договоры: об этом заявили 81% участников исследования. Еще 13% совсем не изучают пользовательские соглашения в сети.
        
        На втором этапе исследования эксперты ESET узнали мнение россиян об использовании персональных данных в сети. Оказалось, что 40% участников опроса отрицательно относятся к сбору персональных данных, потому что не верят в конфиденциальность этого процесса. 38% респондентов выразили нейтралитет: им все равно, будут ли собирать и передавать информацию о них.
        
        При этом каждый пятый (22%) пользователь одобряет сбор персональных данных и считает, что это улучшает user experience и развивает качество приложений и сайтов.
        
        92% участников опроса не беспокоит, если данные о них передаются третьим лицам — они не стараются покинуть сайт или приложение, в пользовательском соглашении которого обозначена такая функция.
        
        2019: Защита персональных данных вызывает беспокойство у бизнеса
        
        17 января 2020 года стало известно, что чаще всего российский бизнес сталкивается со спамом. Это отметили в опросе, проведенном Eset, 65% респондентов. На втором месте – вредоносное ПО, 47%. 22% опрошенных сообщили, что их компании становились жертвами фишинговых атак, 21% пострадали от DDoS-атак и 35% — от шифраторов. 54% опрошенных волнует безопасность баз контактов, сведений о клиентах и партнерах, 55% считают, что в особой защите нуждается финансовая информация. Подробнее здесь.
        
        2018
        
        Максимальная сумма ущерба по делу об утечке информации составила 14 млн рублей
        
        28 января 2020 года стало известно о том, что экспертно-аналитический центр ГК InfoWatch опубликовал первый отчет о судебной практике по делам, связанным с утечками информации ограниченного доступа. Исследование проводилось в целях выявления основных и наиболее очевидных проблем правоприменения в области защиты информации. Согласно результатам исследования, каждое четвертое дело заканчивается вынесением реального или условного срока, а максимальная сумма ущерба по делу об утечке информации, подтвержденная решением российского суда в 2018 году, составляет 14 млн рублей.
        
        Как сообщалось, значительная часть дел об утечках конфиденциальной информации, рассматривалась по правилам уголовного судопроизводства (69,1%). Правда, только в результате рассмотрения менее 5% всех дел суд назначил нарушителю реальный срок заключения. Ещё примерно 21% дел завершились условными сроками, а в более чем 30% случаев вынесены различные виды штрафов. Каждое четвертое дело приводит только к увольнению нарушителя. Только 8,6% дел были прекращены за примирением сторон.
        
        Злоупотребление доступом к конфиденциальной информации представляет более половины судопроизводств (59,5%). Второе и третье место занимают разглашение и неправомерный доступ (24,5% и 16% соответственно). Основными мотивами осуществления преступных действий являются корысть (83,6%) и месть (16,4%). Более 70% утечек, которые легли в основу судебного производства, произошло из-за неправомерных действий сотрудников коммерческих и некоммерческих организаций и всего 20% утечек случилось в результате действий внешних злоумышленников.
        
        рассказал Андрей Арсентьев, руководитель отдела аналитики и спецпроектов ГК InfoWatch
        
        По мнению аналитиков, основными причинами для «примитивных» злоупотреблений в сотовом ритейле и клиентских офисах банков являются низкая зарплата рядового персонала, информационная безграмотность и недостатки в работе служб информационной безопасности.
        
        Около 1/3 всех случаев утечек конфиденциальной информации, рассмотренных судами, приходится на высокотехнологичные компании (ИТ, ИБ, телеком, интеграция и т.д.) . Значительную долю в судебных делах об утечках занимают нарушения в промышленных и транспортных организациях – 14,1%. Было отмечено, что в высокотехнологичных компаниях доля дел, рассмотренных по правилам уголовного судопроизводства, составляет 96%.
        
        Универсальными типами скомпрометированной информации для всех отраслей можно считать персональные данные и сведения, составляющие коммерческую тайну (64,6%). Они ожидаемо преобладают в распределении утечек по типу данных.
        
        Авторы исследования отмечают, что судебная практика по делам об утечках информации складывается скорее в пользу обладателей информации, нежели наоборот. На январь 2020 года основные проблемы вызывает несогласованность между регулятивным и охранительным законодательством. Это результат быстро развивающейся информационной среды, за которой не успевает охранительное законодательство.
        
        рассказал Сергей Хайрук, главный аналитик ГК InfoWatch
        
        По словам специалистов Экспертно-аналитического центра ГК InfoWatch, большую часть противоправных действий сотрудников в отношении конфиденциальных данных можно было бы предотвратить с помощью сочетания организационных и технических мер, включающих в себя, например, запрет мобильных устройств с фото(видео)камерой на рабочих местах, запрет применения личных (или недоверенных) облачных сервисов и личной электронной почты, а также контроль соблюдения этих правил путем применения автоматизированных средств.
        
        24% утечек конфиденциальной информации из государственных и коммерческих компаний сопряжены с мошенническими действиями
        
        25 июня 2019 года компания InfoWatch сообщила, что в России около 24% утечек конфиденциальной информации из государственных и коммерческих компаний сопряжены с мошенническими действиями. Уровень фрода на основе украденных из российских компаний данных почти в три раза выше, чем в мире. Примерно 80% подобных инцидентов в России связаны с действиями руководителей и сотрудников. В половине инцидентов мошенничество совершается на основе данных из бумажных источников. Наиболее часто случаи фрода отмечаются в банковском секторе и компаниях сферы связи. Подробнее здесь.
        
        2017: Клиентские базы страховых компаний доступны на теневом рынке
        
        Согласно результатам исследования аналитического центра «МФИ Софт» за сентябрь 2017 года, уже 5,6 млн записей данных клиентов страховых компаний обнаружены на черном рынке, их можно приобрести на открытых пиратских форумах. Актуальность данных самая свежая — 2016-2017 годы. При этом две трети всех предложений касаются автострахования — вероятно, клиенты КАСКО/ОСАГО ценятся в первую очередь конкурирующими страховыми компаниями. Вместе с этим, предложения баз автостраховок обновляются быстрее всех — некоторые продавцы предлагают обновление на ежемесячной основе.
        
        Стоимость баз данных
        
        Базы страховых компаний — одни из самых дорогих и востребованных на рынке информации. На «черном рынке» представлены базы данных разных объемов — от нескольких сотен клиентов до десятков и сотен тысяч. Стоимость одного контакта в небольшой, но актуальной базе может достигать 10 рублей, в то время как в крупных базах она падает до 0,001 рублей. Купить такую базу может каждый по цене от 250 до 40 тыс. рублей. На стоимость влияют такие параметры как количество контактов, актуальность и полнота данных. Наиболее часто встречающийся ценник — 3500 руб, с размером базы до 60 тыс. записей, указали в «МФИ Софт».
        
        Географический охват
        
        Чуть менее половины предложений о продаже составляют базы страховых компаний Московской области (41% от исследованных предложений). Базы Ленинградской области — на втором месте (21%). Порядка 26% баз охватывают всю Россию. Предложения баз данных, охватывающих только один нестоличный город или регион, встречаются в единичных случаях (12%). В 59% случаев базы содержат полные данные о клиентах, включающие не только персональную информацию, но и данные об автомобиле, историю страховых сделок, копии документов.
        
        Риски для клиентов и компаний
        
        По оценкам «МФИ Софт», риск для пользователя услуг страховой компании в случае утечки варьируется от получения спама до крупного мошенничества с собственностью, так как данные могут представлять интерес для криминальных структур. Для самих страховых компаний кроме прямой потери клиентов крупные утечки чреваты потерей репутации и санкциями со стороны регуляторов по факту нарушения закона 152-ФЗ «О персональных данных». Такие прецеденты в отрасли уже были зафиксированы в 2012 году.
        
        Источники утечек
        
        Как выяснили исследователи, информация о клиентах страховых компаний утекает не на этапе сбора, а из информационных систем. Состав базы данных часто указывает на источник утечки, в некоторых случаях может указывать даже на отдел внутри компании (при понимании, на каком бизнес-процессе запись обогащается теми или иными данным), однако установить владельца самой информационной системы достаточно затруднительно. Так как данные могут поступать как непосредственно от страховых компаний, так и из других информационных систем — ГИБДД, единая база РСА и т.д.
        
        Основным поставщиками данных внутри компаний являются страховые агенты, также встречаются утечки, спровоцированные системными администраторами. Нередко встречается на торговых площадках предложение об аренде удалённого доступа в ИС страховых компаний (например, партнёрские порталы), через которые можно делать выгрузки по клиентам.
        
        Высокий спрос на страховые базы данных на черном рынке формирует все новые и все более актуальные предложения со стороны инсайдеров, которые нередко работают на заказ.
        
        Рекомендации
        
        Для сохранности данных и предотвращения утечек аналитики «МФИ Софт» рекомендуют страховым компаниям более тщательно контролировать легитимность доступа к своим базам данных внутри организации, обращать внимание на массовые выгрузки из систем хранения информации и на аномальные действия привилегированных пользователей, а также контролировать уязвимости используемых СУБД.
        
        2016: Персональные данные миллионов россиян уже на «черном» рынке
        
        По результатам исследования «Черный рынок баз данных» аналитического центра «МФИ Софт» за ноябрь 2016 года, объем рынка нелегальных баз данных в России — больше 30 млн рублей, если перевести на количество записей частных лиц – получается больше 1,2 млрд. Всего за несколько часов поиска в интернете можно найти базы данных клиентов крупных банков, страховых компаний и онлайн-казино.
        
        Как оказалось, на пиратских форумах и порталах особенно распространены данные клиентов финансовых организаций – 34%, а также заказчиков крупных интернет-магазинов – 19%, брокеров -18% и операторов связи – 6%.
        
        В рамках исследования были обнаружены базы клиентов 18 крупных российских банков — среди них есть представители ТОП-10 крупнейших российских банков, а также базы популярных микрофинансовых организаций. К таким базам высокий уровень интереса у различного рода мошенников, в том случае, если база обогащена информацией по счетам. Почти каждая десятая запись (8% обнаруженных данных) в украденной базе может с высокой вероятностью повлечь за собой тяжелые негативные последствия — например, использоваться для подделки кредитных договоров, махинаций с недвижимостью, банковским мошенничеством или более тяжелым последствиям. Еще один вариант развития событий — оформление кредитов на паспортные данные пользователей банковских услуг и перепродажа базы коллекторам. В продаваемой базе можно найти полные контактные данные лица, с его паспортными данными, текущим местом проживания, выпиской по банковским счетам и перечислением имущества, информацией о налогах и штрафах.
        
        Сколько стоят персональные данные на черном рынке?
        
        В последние годы стоимость персональных данных сильно обесценилась. Как показало исследование 134 баз данных, находящихся в свободной продаже на черном рынке, средняя стоимость одного контакта для баз рассылок составляет 2 копейки. Наибольшей ценностью обладают базы страховых компаний – цена записи достигает 10 рублей при средней цене в 2,73 рубля, данные клиентов банков оцениваются в среднем по 0,28 рубля за запись. По сути, каждый пользователь интернета может купить такую базу, одни из праздного любопытства, другие — для наживы.
        
        Что содержится в серых базах данных и чем это грозит?
        
        Базы данных могут содержать не только имена и контакты пользователей услуг, но и все документы, от паспортных данных и водительского удостоверения до номеров банковских карт и счетов с указанием сумм депозитов. Есть даже базы по направлениям деятельности, например, базы руководителей служб безопасности, базы директоров по регионам и другие не менее интересные варианты.
        
        В лучшем случае такие базы покупают для спам-рассылок и обзвона с предложениями услуг. Чуть менее часто базы данных на черном рынке скупают мошенники в целях совершения финансовых махинаций. По паспортным данным с помощью социальной инженерии можно получить доступ к карточным счетам пользователя и выводить с них средства, а также шантажировать владельцев этих данных или оформить на них кредит в микрофинансовой организации.
        
        Источники утечки баз данных
        
        В ответе за утечку данных пользователей – владельцы баз, так как это прямое нарушение ФЗ-152 «О персональных данных». Но часто они сами даже не подозревают, что их базы были украдены, и узнают об этом только после громких инцидентов. Согласно выборке «МФИ Софт», базы данных попадают на черный рынок четырьмя путями: злонамеренный инсайд – 78%, взлом – 2%, недобросовестность (целенаправленное распространение данных клиентов на коммерческой основе) – 13%, парсинг (сбор и структурирование данных из открытых источников) – 7%. Из чего следует – что главная проблема российских компаний – это утечка баз данных через сотрудников.
        
        phonenumber.to: 137,090,136 скомпрометированных учетных записей в базе
        
        Как обеспечить безопасность?
        
        Организациям, осуществляющим обработку персональных данных для того, чтобы избежать нарушений, необходимо провести ряд мероприятий, которые включают в себя следующие работы:
        
        направление уведомления об обработке персональных данных в контролирующий орган, Роскомнадзор;
        
        разработка формы и получение согласия каждого субъекта на обработку его персональных данных (согласие должно содержать собственноручную подпись субъекта (либо его цифровую подпись));
        
        документально описание информационных систем обработки персональных данных (назначение, состав данных, правовые основания для их обработки), а также обозначение круга лиц, работающих с персональными данными и имеющими к ним доступ;
        
        разработка ряда нормативных документов, описывающих модели угроз и средства защиты от них персональных данных;
        
        обеспечение защиты персональных данных техническими (программными, аппаратными) и организационными методами;
        
        прохождение необходимых проверок для подтверждения соответствия систем защиты персональных данных требованиям законодательства.
        
        Для успешного проведения данных работ необходимо, во-первых, назначить сотрудника, ответственного за вопросы защиты персональных данных, во-вторых, для всех ресурсов и подсистем, содержащих персональные данные, определить их статус, и, наконец, определить способы и сроки обработки данных, а также сроки хранения».
        
        В первую очередь, самый действенный и не затратный подход к хранению персональных данных — это хранение их в обезличенной форме. Необходимо максимально обобщать, обезличивать информацию, отказываться от избыточной — таким образом можно просто не бояться умышленной или случайной утечки информации — она не будет представлять практически никакой ценности для злоумышленников. Кстати, законодательство Соединенных Штатов, рекомендует для обеспечения безопасности персональных данных именно такой подход. Конечно, это палка о двух концах. Такой подход, несомненно, снижает потребность в защите данных, однако значительно затрудняет возможность их обработки.
        
        Операторы персональных данных сейчас в большинстве своем отказались от работ по обеспечению информационной безопасности. Закон будет меняться, в этом есть необходимость и об этом есть свидетельства, так что вкладывать средства в реализацию формальных требований безотносительно их важности довольно расточительно.
        
        В неоднозначной ситуации находятся и компании, занимающиеся производством продуктов для защиты персональных данных. В поисках решений, которые позволят, с одной стороны, удовлетворить регуляторов, с другой — заказчиков, и, наконец, не остаться в проигрыше, они приходят к тому, что перестройка устоявшейся модели системы защиты персональных данных неизбежна.
        
        При этом четко прослеживается разница между компаниями-лидерами в своей области и фирмами-подголосками. Последние, в большинстве своем, быстро переориентировались на соответствие требованиям закона. Спектр предлагаемых ими услуг расширился такими предложениями, как помощь в получении лицензии, проведение обследования и классификации информационной системы, консультационная поддержка. Нашлись умельцы и по способам обхождения закона — широко разошлась статья под названием «Пять сравнительно легальных способов сопротивления ФЗ-152».
        
        Куда интереснее, что думают о нововведении представители серьезных компаний, занимающихся защитой информации. Многие вендоры начали активную доработку своих решений, задавшись вопросом о том, соответствуют ли они требованиям регуляторов. Другие же пока не спешат со столь кардинальными мерами, ожидая дальнейших изменений в законодательстве. Однако ключевым моментом по мнению многих компаний является формирование культуры защиты персональных данных. Так, например, Алексей Сабанов, заместитель генерального директора компании Aladdin считает, что №152-ФЗ прививает культуру информационной безопасности в обществе и на всех уровнях российского бизнеса. Александр Шарамок, представитель компании «Ортикон» придерживается мнения, что ситуация с защитой персональных данных улучшится, если будет создана прозрачная правовая и нормативно-техническая база и в обществе сформируется культура защиты персональных данных, первые шаги к чему он также видит в законе №152-ФЗ «О персональных данных».
        
        Все же, кроме совершенствования технических мер безопасности, компаниям непременно нужно уделить внимание методологической составляющей. Уже сейчас многие компании предлагают своим клиентам построение модели угроз безопасности персональных данных. Кроме того, помощь в определении типа информационной системы, информационная поддержка по вопросам лицензирования и прохождения проверок, нахождение способов снижения класса обрабатываемых данных — все это уже потихоньку начинает занимать свою нишу на рынке услуг по защите информации и, в дальнейшем, будет только развиваться [17] .
        
        Обезличивание персональных данных
        
        Требование законодательства по обезличиванию данных
        
        Обезличивание персональных данных должно обеспечивать не только защиту от несанкционированного использования, но и возможность их обработки. Для этого обезличенные данные должны обладать свойствами, сохраняющими основные характеристики обезличиваемых персональных данных [18] .
        
        Свойства обезличенных данных
        
        полнота (сохранение всей информации о конкретных субъектах или группах субъектов, которая имелась до обезличивания);
        
        структурированность (сохранение структурных связей между обезличенными данными конкретного субъекта или группы субъектов, соответствующих связям, имеющимся до обезличивания);
        
        релевантность (возможность обработки запросов по обработке персональных данных и получения ответов в одинаковой семантической форме);
        
        семантическая целостность (сохранение семантики персональных данных при их обезличивании);
        
        применимость (возможность решения задач обработки персональных данных, стоящих перед оператором, осуществляющим обезличивание персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ (далее — оператор, операторы), без предварительного деобезличивания всего объема записей о субъектах);
        
        анонимность (невозможность однозначной идентификации субъектов данных, полученных в результате обезличивания, без применения дополнительной информации).
        
        Типичные подходы к обезличиванию данных
        
        Данные не обезличиваются (использование NDA с подрядчиками)
        
        После обезличивания теряются особенности данных (чрезмерное маскирование данных)
        
        После обезличивания теряется связанность данных
        
        Нет единого инструмента для обезличивания данных
        
        Обезличиваются только данные согласно документации приложения
        
        Одинаковые политики по деперсонализации данных для различных задач
        
        На деперсонализацию данных требуется значительное время
        
        После изменения источников (например, после установки патчей) требуется значительное время на изменение процессов деперсонализации
        
        Обезличивание наиболее критичных данных в режиме реального времени
        
        Какие данные нужно маскировать в реальном времени?
        
        Данные VIP клиентов
        
        Контактная информация
        
        Финансовая информация
        
        Коммерческая тайна
        
        Любая другая чувствительная информация
        
        Информация, к которой имеют доступы разные группы пользователей
        
        Правила защиты персональных данных руководителя компании
        
        Применяйте надежную многофакторную аутентификацию
        
        Кража персональных данных – одна из наиболее опасных и часто встречающихся угроз в области защиты информации. Она является причиной взлома в четырех из пяти случаев Verizon. Отчет об утечке данных 2013. Таким образом, для доступа в персональную систему не достаточно ввести имя пользователя и пароль. Для защиты персональных данных необходимо применять надежную аутентификацию. Например, одним из оптимальных решений будет двухфакторная аутентификация, в рамках которой необходимо дважды подтвердить свою личность: при помощи удостоверения – токена, смарт-карты, мобильного приложения, а также при помощи ввода секретного пароля . В будущем, возможно, будет введен дополнительный биометрический фактор, при котором для подтверждения личности сотрудника могут потребоваться отпечатки его пальцев.
        
        Зашифруйте конфиденциальные электронные адреса и файлы
        
        Электронная почта является наиболее важным инструментом коммуникации внутри любой организации, ей пользуются как руководители, так и другие сотрудники компаний. Чтобы защитить электронную почту, необходимо использовать специальную сертифицированную программу, которая позволяет шифровать отдельные файлы или сообщения таким образом, что только конкретный получатель, обладающий ключом, сможет получить доступ к зашифрованной информации. Также необходимо четко вести базу контактов, чтобы информация случайным образом не попала неверному адресату.
        
        Установите правила соблюдения информационной безопасности для руководителей
        
        Безусловно, все вышеперечисленные рекомендации будут работать при условии дополнительных вложений со стороны руководства компании. В этой ситуации необходимы посредники, которые смогут провести необходимый тренинг для руководителя и расскажут все основные правила обеспечения информационной безопасности. Данная практика поможет изменить поведение руководителя и мотивирует сотрудников брать пример с руководства.
        
        Деятельность киберпреступников активизируется, и любая организация должна задуматься о защите корпоративных данных. Во многих компаниях обеспечение информационной безопасности – это обязательная мера, которую необходимо соблюдать по требованию регуляторов, но вопрос безопасности данных руководителей компаний по-прежнему остается отрытым и требует специального подхода, который обеспечит защиту информации и, в то же время, не затронет мобильный образ жизни руководителя.
        
        Смотрите также
        
        GDPR (Регламент Евросоюза о персональных данных)
        
        Европейская стратегия в области данных
        
        Регулирование персональных данных в РФ
        
        Закон о персональных данных №152-ФЗ
        
        Обработка персональных данных в России
        
        Защита персональных данных в России
        
        Защита персональных данных в странах мира
        
        Расценки пользовательских данных на рынке киберпреступников
        
        Кодекс этики использования данных
        
        IDX: Датамания
        
        Примечания
        
        ↑Органы информгосбезопасности ФСТЭК ужесточает требования к разработчикам защиты данных
        
        ↑Суды в 2022 году взыскали более 50 млн рублей штрафов за нарушения с персональными данными
        
        ↑Минцифры поддержало введение уголовной ответственности за кражу и продажу персональных данных
        
        ↑Личным данным предстоят метарства
        
        ↑Минцифры, ФСБ и ФСТЭК займутся аудитом защищенности данных
        
        ↑ [ https://www.kommersant.ru/doc/5379590 Утечки возьмут в оборот]
        
        ↑За незаконный сбор персональных данных при покупке товаров и услуг будут введены штрафы
        
        ↑приняла закон о защите покупателей от необоснованного сбора личных данных
        
        ↑ЦИФРОВАЯ ТРАНСФОРМАЦИЯ: ЗАЩИТА ПРАВ ГРАЖДАН
        
        ↑Путин ввел штрафы за распространение информации о силовиках
        
        ↑Федеральный закон от 11.06.2021 № 206-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»
        
        ↑Вырастут административные штрафы за разглашение данных ограниченного доступа
        
        ↑Перечень поручений по итогам совещания с членами Правительства
        
        ↑Минцифры разработало новые меры по защите персональных данных
        
        ↑Обезличенные данные приравняют к персональным
        
        ↑Госдума приняла закон, запрещающий распространять персональные данные граждан без их согласия
        
        ↑Закон о персональных данных касается всех
        
        ↑ *Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) от 5 сентября 2013 г. N 996 г. Москва «Об утверждении требований и методов по обезличиванию персональных данных»
        
        Что означает снижение качества личного контроля за персональными данными
        
        8 июля 2006 года
        
        14 июля 2006 года
        
        (в ред. Федеральных законов от 25.11.2009 N 266-ФЗ,
        
        от 27.12.2009 N 363-ФЗ, от 28.06.2010 N 123-ФЗ,
        
        от 27.07.2010 N 204-ФЗ, от 27.07.2010 N 227-ФЗ,
        
        от 29.11.2010 N 313-ФЗ, от 23.12.2010 N 359-ФЗ)
        
        (см. Обзор изменений данного документа)
        
        Глава 1. ОБЩИЕ ПОЛОЖЕНИЯ
        
        Статья 1. Сфера действия настоящего Федерального закона
        
        1. Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее — государственные органы), органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами (далее — муниципальные органы), юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.
        
        2. Действие настоящего Федерального закона не распространяется на отношения, возникающие при:
        
        1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;
        
        2) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;
        
        3) обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с деятельностью физического лица в качестве индивидуального предпринимателя;
        
        4) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну;
        
        5) предоставлении уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22 декабря 2008 года N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации».
        
        (п. 5 введен Федеральным законом от 28.06.2010 N 123-ФЗ)
        
        Статья 2. Цель настоящего Федерального закона
        
        Целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
        
        Статья 3. Основные понятия, используемые в настоящем Федеральном законе
        
        В целях настоящего Федерального закона используются следующие основные понятия:
        
        1) персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;
        
        2) оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных;
        
        3) обработка персональных данных — действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных;
        
        4) распространение персональных данных — действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;
        
        5) использование персональных данных — действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц;
        
        6) блокирование персональных данных — временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи;
        
        7) уничтожение персональных данных — действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных;
        
        8) обезличивание персональных данных — действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;
        
        9) информационная система персональных данных — информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;
        
        10) конфиденциальность персональных данных — обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания;
        
        11) трансграничная передача персональных данных — передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства;
        
        12) общедоступные персональные данные — персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.
        
        Статья 4. Законодательство Российской Федерации в области персональных данных
        
        1. Законодательство Российской Федерации в области персональных данных основывается на Конституции Российской Федерации и международных договорах Российской Федерации и состоит из настоящего Федерального закона и других определяющих случаи и особенности обработки персональных данных федеральных законов.
        
        2. На основании и во исполнение федеральных законов государственные органы в пределах своих полномочий могут принимать нормативные правовые акты по отдельным вопросам, касающимся обработки персональных данных. Нормативные правовые акты по отдельным вопросам, касающимся обработки персональных данных, не могут содержать положения, ограничивающие права субъектов персональных данных. Указанные нормативные правовые акты подлежат официальному опубликованию, за исключением нормативных правовых актов или отдельных положений таких нормативных правовых актов, содержащих сведения, доступ к которым ограничен федеральными законами.
        
        3. Особенности обработки персональных данных, осуществляемой без использования средств автоматизации, могут быть установлены федеральными законами и иными нормативными правовыми актами Российской Федерации с учетом положений настоящего Федерального закона.
        
        4. Если международным договором Российской Федерации установлены иные правила, чем те, которые предусмотрены настоящим Федеральным законом, применяются правила международного договора.
        
        Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
        
        Статья 5. Принципы обработки персональных данных
        
        1. Обработка персональных данных должна осуществляться на основе принципов:
        
        1) законности целей и способов обработки персональных данных и добросовестности;
        
        2) соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора;
        
        3) соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;
        
        4) достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
        
        5) недопустимости объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных.
        
        2. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
        
        Статья 6. Условия обработки персональных данных
        
        1. Обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
        
        2. Согласия субъекта персональных данных, предусмотренного частью 1 настоящей статьи, не требуется в следующих случаях:
        
        1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
        
        1.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
        
        (п. 1.1 введен Федеральным законом от 25.11.2009 N 266-ФЗ)
        
        2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
        
        3) обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
        
        4) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
        
        5) обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
        
        6) обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
        
        7) осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.
        
        3. Особенности обработки специальных категорий персональных данных, а также биометрических персональных данных устанавливаются соответственно статьями 10 и 11 настоящего Федерального закона.
        
        4. В случае, если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.
        
        Статья 7. Конфиденциальность персональных данных
        
        1. Операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
        
        2. Обеспечения конфиденциальности персональных данных не требуется:
        
        1) в случае обезличивания персональных данных;
        
        2) в отношении общедоступных персональных данных.
        
        Статья 8. Общедоступные источники персональных данных
        
        1. В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, предоставленные субъектом персональных данных.
        
        2. Сведения о субъекте персональных данных могут быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.
        
        Статья 9. Согласие субъекта персональных данных на обработку своих персональных данных
        
        1. Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе, за исключением случаев, предусмотренных частью 2 настоящей статьи. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.
        
        2. Настоящим Федеральным законом и другими федеральными законами предусматриваются случаи обязательного предоставления субъектом персональных данных своих персональных данных в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
        
        3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных, а в случае обработки общедоступных персональных данных обязанность доказывания того, что обрабатываемые персональные данные являются общедоступными, возлагается на оператора.
        
        4. В случаях, предусмотренных настоящим Федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись письменному согласию субъекта персональных данных на бумажном носителе признается согласие в форме электронного документа, подписанного электронной цифровой подписью или в случаях, предусмотренных федеральными законами и принятыми в соответствии с ними иными нормативными правовыми актами, иным аналогом собственноручной подписи. Письменное согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя:
        
        (в ред. Федерального закона от 27.07.2010 N 227-ФЗ)
        
        (см. текст в предыдущей редакции)
        
        1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
        
        2) наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;
        
        3) цель обработки персональных данных;
        
        4) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
        
        5) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
        
        6) срок, в течение которого действует согласие, а также порядок его отзыва;
        
        7) собственноручную подпись субъекта персональных данных.
        
        (п. 7 введен Федеральным законом от 27.07.2010 N 227-ФЗ)
        
        4.1. Порядок получения согласия субъекта персональных данных в форме электронного документа на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, определяется Правительством Российской Федерации.
        
        (часть 4.1 введена Федеральным законом от 27.07.2010 N 227-ФЗ)
        
        5. Для обработки персональных данных, содержащихся в согласии в письменной форме субъекта на обработку его персональных данных, дополнительного согласия не требуется.
        
        6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает в письменной форме законный представитель субъекта персональных данных.
        
        7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают в письменной форме наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
        
        Статья 10. Специальные категории персональных данных
        
        1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частью 2 настоящей статьи.
        
        2. Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если:
        
        1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
        
        2) персональные данные являются общедоступными;
        
        2.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
        
        (п. 2.1 введен Федеральным законом от 25.11.2009 N 266-ФЗ)
        
        2.2) обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года N 8-ФЗ «О Всероссийской переписи населения»;
        
        (п. 2.2 введен Федеральным законом от 27.07.2010 N 204-ФЗ)
        
        3) персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно;
        
        4) обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
        
        5) обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
        
        6) обработка персональных данных необходима в связи с осуществлением правосудия;
        
        7) обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством Российской Федерации;
        
        8) обработка персональных данных осуществляется в целях обязательного социального страхования в соответствии с федеральными законами о конкретных видах обязательного социального страхования.
        
        (п. 8 введен Федеральным законом от 29.11.2010 N 313-ФЗ)
        
        3. Обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.
        
        4. Обработка специальных категорий персональных данных, осуществлявшаяся в случаях, предусмотренных частями 2 и 3 настоящей статьи, должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка.
        
        Статья 11. Биометрические персональные данные
        
        1. Сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность (биометрические персональные данные), могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
        
        2. Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия, а также в случаях, предусмотренных законодательством Российской Федерации о безопасности, законодательством Российской Федерации об оперативно-розыскной деятельности, законодательством Российской Федерации о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию.
        
        (в ред. Федерального закона от 25.11.2009 N 266-ФЗ)
        
        (см. текст в предыдущей редакции)
        
        Статья 12. Трансграничная передача персональных данных
        
        1. До начала осуществления трансграничной передачи персональных данных оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных.
        
        2. Трансграничная передача персональных данных на территории иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с настоящим Федеральным законом и может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства.
        
        3. Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:
        
        1) наличия согласия в письменной форме субъекта персональных данных;
        
        2) предусмотренных международными договорами Российской Федерации по вопросам выдачи виз, международными договорами Российской Федерации об оказании правовой помощи по гражданским, семейным и уголовным делам, а также международными договорами Российской Федерации о реадмиссии;
        
        (в ред. Федерального закона от 25.11.2009 N 266-ФЗ)
        
        (см. текст в предыдущей редакции)
        
        3) предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя Российской Федерации, обеспечения обороны страны и безопасности государства;
        
        4) исполнения договора, стороной которого является субъект персональных данных;
        
        5) защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.
        
        Статья 13. Особенности обработки персональных данных в государственных или муниципальных информационных системах персональных данных
        
        1. Государственные органы, муниципальные органы создают в пределах своих полномочий, установленных в соответствии с федеральными законами, государственные или муниципальные информационные системы персональных данных.
        
        2. Федеральными законами могут быть установлены особенности учета персональных данных в государственных и муниципальных информационных системах персональных данных, в том числе использование различных способов обозначения принадлежности персональных данных, содержащихся в соответствующей государственной или муниципальной информационной системе персональных данных, конкретному субъекту персональных данных.
        
        3. Права и свободы человека и гражданина не могут быть ограничены по мотивам, связанным с использованием различных способов обработки персональных данных или обозначения принадлежности персональных данных, содержащихся в государственных или муниципальных информационных системах персональных данных, конкретному субъекту персональных данных. Не допускается использование оскорбляющих чувства граждан или унижающих человеческое достоинство способов обозначения принадлежности персональных данных, содержащихся в государственных или муниципальных информационных системах персональных данных, конкретному субъекту персональных данных.
        
        4. В целях обеспечения реализации прав субъектов персональных данных в связи с обработкой их персональных данных в государственных или муниципальных информационных системах персональных данных может быть создан государственный регистр населения, правовой статус которого и порядок работы с которым устанавливаются федеральным законом.
        
        Глава 3. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
        
        Статья 14. Право субъекта персональных данных на доступ к своим персональным данным
        
        1. Субъект персональных данных имеет право на получение сведений об операторе, о месте его нахождения, о наличии у оператора персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными, за исключением случаев, предусмотренных частью 5 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
        
        2. Сведения о наличии персональных данных должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.
        
        3. Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю оператором при обращении либо при получении запроса субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации.
        
        4. Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:
        
        1) подтверждение факта обработки персональных данных оператором, а также цель такой обработки;
        
        2) способы обработки персональных данных, применяемые оператором;
        
        3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
        
        4) перечень обрабатываемых персональных данных и источник их получения;
        
        5) сроки обработки персональных данных, в том числе сроки их хранения;
        
        6) сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.
        
        5. Право субъекта персональных данных на доступ к своим персональным данным ограничивается в случае, если:
        
        1) обработка персональных данных, в том числе персональных данных, полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
        
        2) обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данными;
        
        3) предоставление персональных данных нарушает конституционные права и свободы других лиц.
        
        Статья 15. Права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации
        
        1. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено.
        
        2. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи.
        
        Статья 16. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных
        
        1. Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных частью 2 настоящей статьи.
        
        2. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.
        
        3. Оператор обязан разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.
        
        4. Оператор обязан рассмотреть возражение, указанное в части 3 настоящей статьи, в течение семи рабочих дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения.
        
        Статья 17. Право на обжалование действий или бездействия оператора
        
        1. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
        
        2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
        
        Глава 4. ОБЯЗАННОСТИ ОПЕРАТОРА
        
        Статья 18. Обязанности оператора при сборе персональных данных
        
        1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 4 статьи 14 настоящего Федерального закона.
        
        2. Если обязанность предоставления персональных данных установлена федеральным законом, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные.
        
        3. Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если персональные данные являются общедоступными, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
        
        1) наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
        
        2) цель обработки персональных данных и ее правовое основание;
        
        3) предполагаемые пользователи персональных данных;
        
        4) установленные настоящим Федеральным законом права субъекта персональных данных.
        
        Статья 19. Меры по обеспечению безопасности персональных данных при их обработке
        
        1. Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
        
        (в ред. Федерального закона от 27.12.2009 N 363-ФЗ)
        
        (см. текст в предыдущей редакции)
        
        2. Правительство Российской Федерации устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.
        
        3. Контроль и надзор за выполнением требований, установленных Правительством Российской Федерации в соответствии с частью 2 настоящей статьи, осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.
        
        4. Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения.
        
        Статья 20. Обязанности оператора при обращении либо при получении запроса субъекта персональных данных или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных
        
        1. Оператор обязан в порядке, предусмотренном статьей 14 настоящего Федерального закона, сообщить субъекту персональных данных или его законному представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с ними при обращении субъекта персональных данных или его законного представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его законного представителя.
        
        2. В случае отказа в предоставлении субъекту персональных данных или его законному представителю при обращении либо при получении запроса субъекта персональных данных или его законного представителя информации о наличии персональных данных о соответствующем субъекте персональных данных, а также таких персональных данных оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 5 статьи 14 настоящего Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий семи рабочих дней со дня обращения субъекта персональных данных или его законного представителя либо с даты получения запроса субъекта персональных данных или его законного представителя.
        
        3. Оператор обязан безвозмездно предоставить субъекту персональных данных или его законному представителю возможность ознакомления с персональными данными, относящимися к соответствующему субъекту персональных данных, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет оператор, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О внесенных изменениях и предпринятых мерах оператор обязан уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы.
        
        4. Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение семи рабочих дней с даты получения такого запроса.
        
        Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, а также по уточнению, блокированию и уничтожению персональных данных
        
        1. В случае выявления недостоверных персональных данных или неправомерных действий с ними оператора при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки.
        
        2. В случае подтверждения факта недостоверности персональных данных оператор на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные и снять их блокирование.
        
        3. В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, — также указанный орган.
        
        4. В случае достижения цели обработки персональных данных оператор обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами, и уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, — также указанный орган.
        
        5. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных оператор обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных. Об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных.
        
        Статья 22. Уведомление об обработке персональных данных
        
        1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
        
        2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
        
        1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;
        
        2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
        
        3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
        
        4) являющихся общедоступными персональными данными;
        
        5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
        
        6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
        
        7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
        
        8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.
        
        3. Уведомление, предусмотренное частью 1 настоящей статьи, должно быть направлено в письменной форме и подписано уполномоченным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации. Уведомление должно содержать следующие сведения:
        
        1) наименование (фамилия, имя, отчество), адрес оператора;
        
        2) цель обработки персональных данных;
        
        3) категории персональных данных;
        
        4) категории субъектов, персональные данные которых обрабатываются;
        
        5) правовое основание обработки персональных данных;
        
        6) перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;
        
        7) описание мер, которые оператор обязуется осуществлять при обработке персональных данных, по обеспечению безопасности персональных данных при их обработке;
        
        8) дата начала обработки персональных данных;
        
        9) срок или условие прекращения обработки персональных данных.
        
        4. Уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления уведомления об обработке персональных данных вносит сведения, указанные в части 3 настоящей статьи, а также сведения о дате направления указанного уведомления в реестр операторов. Сведения, содержащиеся в реестре операторов, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, являются общедоступными.
        
        5. На оператора не могут возлагаться расходы в связи с рассмотрением уведомления об обработке персональных данных уполномоченным органом по защите прав субъектов персональных данных, а также в связи с внесением сведений в реестр операторов.
        
        6. В случае предоставления неполных или недостоверных сведений, указанных в части 3 настоящей статьи, уполномоченный орган по защите прав субъектов персональных данных вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов.
        
        7. В случае изменения сведений, указанных в части 3 настоящей статьи, оператор обязан уведомить об изменениях уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений.
        
        Глава 5. КОНТРОЛЬ И НАДЗОР ЗА ОБРАБОТКОЙ ПЕРСОНАЛЬНЫХ
        
        ДАННЫХ. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ТРЕБОВАНИЙ
        
        НАСТОЯЩЕГО ФЕДЕРАЛЬНОГО ЗАКОНА
        
        Статья 23. Уполномоченный орган по защите прав субъектов персональных данных
        
        1. Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.
        
        2. Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение.
        
        3. Уполномоченный орган по защите прав субъектов персональных данных имеет право:
        
        1) запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию;
        
        2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий;
        
        3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;
        
        4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона;
        
        5) обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных и представлять интересы субъектов персональных данных в суде;
        
        6) направлять заявление в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о принятии мер по приостановлению действия или аннулированию соответствующей лицензии в установленном законодательством Российской Федерации порядке, если условием лицензии на осуществление такой деятельности является запрет на передачу персональных данных третьим лицам без согласия в письменной форме субъекта персональных данных;
        
        7) направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью;
        
        8) вносить в Правительство Российской Федерации предложения о совершенствовании нормативного правового регулирования защиты прав субъектов персональных данных;
        
        9) привлекать к административной ответственности лиц, виновных в нарушении настоящего Федерального закона.
        
        4. В отношении персональных данных, ставших известными уполномоченному органу по защите прав субъектов персональных данных в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных.
        
        5. Уполномоченный орган по защите прав субъектов персональных данных обязан:
        
        1) организовывать в соответствии с требованиями настоящего Федерального закона и других федеральных законов защиту прав субъектов персональных данных;
        
        2) рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений;
        
        3) вести реестр операторов;
        
        4) осуществлять меры, направленные на совершенствование защиты прав субъектов персональных данных;
        
        5) принимать в установленном законодательством Российской Федерации порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных;
        
        6) информировать государственные органы, а также субъектов персональных данных по их обращениям или запросам о положении дел в области защиты прав субъектов персональных данных;
        
        7) выполнять иные предусмотренные законодательством Российской Федерации обязанности.
        
        6. Решения уполномоченного органа по защите прав субъектов персональных данных могут быть обжалованы в судебном порядке.
        
        7. Уполномоченный орган по защите прав субъектов персональных данных ежегодно направляет отчет о своей деятельности Президенту Российской Федерации, в Правительство Российской Федерации и Федеральное Собрание Российской Федерации. Указанный отчет подлежит опубликованию в средствах массовой информации.
        
        8. Финансирование уполномоченного органа по защите прав субъектов персональных данных осуществляется за счет средств федерального бюджета.
        
        9. При уполномоченном органе по защите прав субъектов персональных данных создается на общественных началах консультативный совет, порядок формирования и порядок деятельности которого определяются уполномоченным органом по защите прав субъектов персональных данных.
        
        Статья 24. Ответственность за нарушение требований настоящего Федерального закона
        
        Лица, виновные в нарушении требований настоящего Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.
        
        Глава 6. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
        
        Статья 25. Заключительные положения
        
        1. Настоящий Федеральный закон вступает в силу по истечении ста восьмидесяти дней после дня его официального опубликования.
        
        2. После дня вступления в силу настоящего Федерального закона обработка персональных данных, включенных в информационные системы персональных данных до дня его вступления в силу, осуществляется в соответствии с настоящим Федеральным законом.
        
        3. Информационные системы персональных данных, созданные до 1 января 2011 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 июля 2011 года.
        
        (часть 3 в ред. Федерального закона от 23.12.2010 N 359-ФЗ)
        
        (см. текст в предыдущей редакции)
        
        4. Операторы, которые осуществляют обработку персональных данных до дня вступления в силу настоящего Федерального закона и продолжают осуществлять такую обработку после дня его вступления в силу, обязаны направить в уполномоченный орган по защите прав субъектов персональных данных, за исключением случаев, предусмотренных частью 2 статьи 22 настоящего Федерального закона, уведомление, предусмотренное частью 3 статьи 22 настоящего Федерального закона, не позднее 1 января 2008 года.
        
        27 июля 2006 года
        
        О ВНЕСЕНИИ ИЗМЕНЕНИЯ
        
        В СТАТЬЮ 25 ФЕДЕРАЛЬНОГО ЗАКОНА «О ПЕРСОНАЛЬНЫХ ДАННЫХ»
        
        10 декабря 2010 года
        
        15 декабря 2010 года
        
        Внести в часть 3 статьи 25 Федерального закона от 27 июля 2006 года N 152-ФЗ «О персональных данных» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2009, N 52, ст. 6439) изменение, изложив ее в следующей редакции:
        
        «3. Информационные системы персональных данных, созданные до 1 января 2011 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 июля 2011 года.».
        
        Настоящий Федеральный закон вступает в силу с 1 января 2011 года.
        
        23 декабря 2010 года
        
        О ВНЕСЕНИИ ИЗМЕНЕНИЙ
        
        В СТАТЬЮ 1 ФЕДЕРАЛЬНОГО ЗАКОНА «О ПЕРСОНАЛЬНЫХ ДАННЫХ»
        
        И СТАТЬЮ 15 ФЕДЕРАЛЬНОГО ЗАКОНА «ОБ ОБЕСПЕЧЕНИИ ДОСТУПА
        
        К ИНФОРМАЦИИ О ДЕЯТЕЛЬНОСТИ СУДОВ В РОССИЙСКОЙ ФЕДЕРАЦИИ»
        
        18 июня 2010 года
        
        23 июня 2010 года
        
        Часть 2 статьи 1 Федерального закона от 27 июля 2006 года N 152-ФЗ «О персональных данных» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451) дополнить пунктом 5 следующего содержания:
        
        «5) предоставлении уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22 декабря 2008 года N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации».».
        
        Внести в статью 15 Федерального закона от 22 декабря 2008 года N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации» (Собрание законодательства Российской Федерации, 2008, N 52, ст. 6217) следующие изменения:
        
        1) часть 3 изложить в следующей редакции:
        
        «3. При размещении в сети Интернет текстов судебных актов, вынесенных судами общей юрисдикции, за исключением текстов судебных актов, подлежащих в соответствии с законом опубликованию, в целях обеспечения безопасности участников судебного процесса из указанных актов исключаются персональные данные, кроме фамилий и инициалов истца, ответчика, третьего лица, гражданского истца, гражданского ответчика, осужденного, оправданного, лица, в отношении которого ведется производство по делу об административном правонарушении, секретаря судебного заседания, рассматривавших (рассматривавшего) дело судей (судьи), а также прокурора, адвоката и представителя, если они участвовали в судебном разбирательстве. Вместо исключенных персональных данных используются инициалы, псевдонимы или другие обозначения, не позволяющие идентифицировать участников судебного процесса.»;
        
        2) часть 5 дополнить пунктом 8 следующего содержания:
        
        «8) разрешаемым в порядке статьи 126 Гражданского процессуального кодекса Российской Федерации.».
        
        Настоящий Федеральный закон вступает в силу с 1 июля 2010 года.
        
        N 123-ФЗ 28 июня 2010 года N 123-ФЗ
        
        О ВНЕСЕНИИ ИЗМЕНЕНИЙ
        
        В СТАТЬИ 19 И 25 ФЕДЕРАЛЬНОГО ЗАКОНА
        
        «О ПЕРСОНАЛЬНЫХ ДАННЫХ»
        
        16 декабря 2009 года
        
        25 декабря 2009 года
        
        Внести в Федеральный закон от 27 июля 2006 года N 152-ФЗ «О персональных данных» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451) следующие изменения:
        
        1) в части 1 статьи 19 слова «, в том числе использовать шифровальные (криптографические) средства,» исключить;
        
        2) часть 3 статьи 25 изложить в следующей редакции:
        
        «3. Информационные системы персональных данных, созданные до 1 января 2010 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2011 года.».
        
        Настоящий Федеральный закон вступает в силу со дня его официального опубликования.
        
        27 декабря 2009 года
        
        О ВНЕСЕНИИ ИЗМЕНЕНИЙ
        
        В СТАТЬИ 19 И 25 ФЕДЕРАЛЬНОГО ЗАКОНА
        
        «О ПЕРСОНАЛЬНЫХ ДАННЫХ»
        
        16 декабря 2009 года
        
        25 декабря 2009 года
        
        Внести в Федеральный закон от 27 июля 2006 года N 152-ФЗ «О персональных данных» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451) следующие изменения:
        
        1) в части 1 статьи 19 слова «, в том числе использовать шифровальные (криптографические) средства,» исключить;
        
        2) часть 3 статьи 25 изложить в следующей редакции:
        
        «3. Информационные системы персональных данных, созданные до 1 января 2010 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2011 года.».
        
        Настоящий Федеральный закон вступает в силу со дня его официального опубликования.
        
        N 363-ФЗ 27 декабря 2009 года
        
        25 ноября 2009 года N 266-ФЗ
        
        О ВНЕСЕНИИ ИЗМЕНЕНИЙ
        
        В ФЕДЕРАЛЬНЫЙ ЗАКОН «О ПЕРСОНАЛЬНЫХ ДАННЫХ» ПО ВОПРОСАМ
        
        РЕАЛИЗАЦИИ МЕЖДУНАРОДНЫХ ДОГОВОРОВ РОССИЙСКОЙ ФЕДЕРАЦИИ
        
        11 ноября 2009 года
        
        18 ноября 2009 года
        
        Внести в Федеральный закон от 27 июля 2006 года N 152-ФЗ «О персональных данных» (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451) следующие изменения:
        
        1) часть 2 статьи 6 дополнить пунктом 1.1 следующего содержания:
        
        «1.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;»;
        
        2) часть 2 статьи 10 дополнить пунктом 2.1 следующего содержания:
        
        «2.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;»;
        
        3) часть 2 статьи 11 после слов «без согласия субъекта персональных данных» дополнить словами «в связи с реализацией международных договоров Российской Федерации о реадмиссии,»;
        
        4) в пункте 2 части 3 статьи 12 слова «а также международными договорами Российской Федерации об оказании правовой помощи по гражданским, семейным и уголовным делам» заменить словами «международными договорами Российской Федерации об оказании правовой помощи по гражданским, семейным и уголовным делам, а также международными договорами Российской Федерации о реадмиссии».
        
        N 266-ФЗ 25 ноября 2009 года
        
        ПРАВИТЕЛЬСТВО РОССИЙСКОЙ ФЕДЕРАЦИИ
        
        от 17 ноября 2007 г. N 781
        
        ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ
        
        ОБ ОБЕСПЕЧЕНИИ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ
        
        ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ
        
        В соответствии со статьей 19 Федерального закона «О персональных данных» Правительство Российской Федерации постановляет:
        
        1. Утвердить прилагаемое Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных.
        
        2. Федеральной службе безопасности Российской Федерации и Федеральной службе по техническому и экспортному контролю утвердить в пределах своей компетенции в 3-месячный срок нормативные правовые акты и методические документы, необходимые для выполнения требований, предусмотренных Положением, утвержденным настоящим Постановлением.
        
        от 17 ноября 2007 г. N 781
        
        ОБ ОБЕСПЕЧЕНИИ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ
        
        ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ
        
        1. Настоящее Положение устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, представляющих собой совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации (далее — информационные системы).
        
        Под техническими средствами, позволяющими осуществлять обработку персональных данных, понимаются средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах.
        
        2. Безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий.
        
        Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе информационные технологии. Технические и программные средства должны удовлетворять устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации.
        
        Для обеспечения безопасности персональных данных при их обработке в информационных системах осуществляется защита речевой информации и информации, обрабатываемой техническими средствами, а также информации, представленной в виде информативных электрических сигналов, физических полей, носителей на бумажной, магнитной, магнитно-оптической и иной основе.
        
        3. Методы и способы защиты информации в информационных системах устанавливаются Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в пределах их полномочий.
        
        Достаточность принятых мер по обеспечению безопасности персональных данных при их обработке в информационных системах оценивается при проведении государственного контроля и надзора.
        
        4. Работы по обеспечению безопасности персональных данных при их обработке в информационных системах являются неотъемлемой частью работ по созданию информационных систем.
        
        5. Средства защиты информации, применяемые в информационных системах, в установленном порядке проходят процедуру оценки соответствия.
        
        6. Информационные системы классифицируются государственными органами, муниципальными органами, юридическими или физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных (далее — оператор), в зависимости от объема обрабатываемых ими персональных данных и угроз безопасности жизненно важным интересам личности, общества и государства.
        
        Порядок проведения классификации информационных систем устанавливается совместно Федеральной службой по техническому и экспортному контролю, Федеральной службой безопасности Российской Федерации и Министерством информационных технологий и связи Российской Федерации.
        
        7. Обмен персональными данными при их обработке в информационных системах осуществляется по каналам связи, защита которых обеспечивается путем реализации соответствующих организационных мер и (или) путем применения технических средств.
        
        8. Размещение информационных систем, специальное оборудование и охрана помещений, в которых ведется работа с персональными данными, организация режима обеспечения безопасности в этих помещениях должны обеспечивать сохранность носителей персональных данных и средств защиты информации, а также исключать возможность неконтролируемого проникновения или пребывания в этих помещениях посторонних лиц.
        
        9. Возможные каналы утечки информации при обработке персональных данных в информационных системах определяются Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в пределах их полномочий.
        
        10. Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор или лицо, которому на основании договора оператор поручает обработку персональных данных (далее — уполномоченное лицо). Существенным условием договора является обязанность уполномоченного лица обеспечить конфиденциальность персональных данных и безопасность персональных данных при их обработке в информационной системе.
        
        11. При обработке персональных данных в информационной системе должно быть обеспечено:
        
        а) проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;
        
        б) своевременное обнаружение фактов несанкционированного доступа к персональным данным;
        
        в) недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;
        
        г) возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
        
        д) постоянный контроль за обеспечением уровня защищенности персональных данных.
        
        12. Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:
        
        а) определение угроз безопасности персональных данных при их обработке, формирование на их основе модели угроз;
        
        б) разработку на основе модели угроз системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего класса информационных систем;
        
        в) проверку готовности средств защиты информации к использованию с составлением заключений о возможности их эксплуатации;
        
        г) установку и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией;
        
        д) обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;
        
        е) учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;
        
        ж) учет лиц, допущенных к работе с персональными данными в информационной системе;
        
        з) контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;
        
        и) разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений;
        
        к) описание системы защиты персональных данных.
        
        13. Для разработки и осуществления мероприятий по обеспечению безопасности персональных данных при их обработке в информационной системе оператором или уполномоченным лицом может назначаться структурное подразделение или должностное лицо (работник), ответственные за обеспечение безопасности персональных данных.
        
        14. Лица, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения служебных (трудовых) обязанностей, допускаются к соответствующим персональным данным на основании списка, утвержденного оператором или уполномоченным лицом.
        
        15. Запросы пользователей информационной системы на получение персональных данных, включая лиц, указанных в пункте 14 настоящего Положения, а также факты предоставления персональных данных по этим запросам регистрируются автоматизированными средствами информационной системы в электронном журнале обращений. Содержание электронного журнала обращений периодически проверяется соответствующими должностными лицами (работниками) оператора или уполномоченного лица.
        
        16. При обнаружении нарушений порядка предоставления персональных данных оператор или уполномоченное лицо незамедлительно приостанавливают предоставление персональных данных пользователям информационной системы до выявления причин нарушений и устранения этих причин.
        
        17. Реализация требований по обеспечению безопасности информации в средствах защиты информации возлагается на их разработчиков.
        
        В отношении разработанных шифровальных (криптографических) средств защиты информации, предназначенных для обеспечения безопасности персональных данных при их обработке в информационных системах, проводятся тематические исследования и контрольные тематические исследования в целях проверки выполнения требований по безопасности информации. При этом под тематическими исследованиями понимаются криптографические, инженерно-криптографические и специальные исследования средств защиты информации и специальные работы с техническими средствами информационных систем, а под контрольными тематическими исследованиями — периодически проводимые тематические исследования.
        
        Конкретные сроки проведения контрольных тематических исследований определяются Федеральной службой безопасности Российской Федерации.
        
        18. Результаты оценки соответствия и (или) тематических исследований средств защиты информации, предназначенных для обеспечения безопасности персональных данных при их обработке в информационных системах, оцениваются в ходе экспертизы, осуществляемой Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в пределах их полномочий.
        
        19. К средствам защиты информации, предназначенным для обеспечения безопасности персональных данных при их обработке в информационных системах, прилагаются правила пользования этими средствами, согласованные с Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в пределах их полномочий.
        
        Изменение условий применения средств защиты информации, предусмотренных указанными правилами, согласовывается с этими федеральными органами исполнительной власти в пределах их полномочий.
        
        20. Средства защиты информации, предназначенные для обеспечения безопасности персональных данных при их обработке в информационных системах, подлежат учету с использованием индексов или условных наименований и регистрационных номеров. Перечень индексов, условных наименований и регистрационных номеров определяется Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в пределах их полномочий.
        
        21. Особенности разработки, производства, реализации и эксплуатации шифровальных (криптографических) средств защиты информации и предоставления услуг по шифрованию персональных данных при их обработке в информационных системах устанавливаются Федеральной службой безопасности Российской Федерации.
        
        Политика обработки персональных данных
        
        1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана в целях реализации требований законодательства Российской Федерации в области обработки и обеспечения безопасности персональных данных.
        
        1.2. Политика распространяется на группу компаний Шлюмберже в России, под которой понимается группа юридических лиц, созданных и зарегистрированных по законодательству Российской Федерации, а также юридических лиц, созданных и зарегистрированных на территории иностранных государств, имеющих обособленные подразделения на территории Российской Федерации. Далее, для целей Политики, указанных выше, группа компаний Шлюмберже в России и каждая компания по отдельности именуются как «Шлюмберже».
        
        1.3. Положения Политики служат основой для разработки иных локальных нормативных актов Шлюмберже, регламентирующих вопросы обработки персональных данных в процессе деятельности на территории Российской Федерации. В группе компаний Шлюмберже на глобальном уровне могут быть внедрены технические и организационные меры по защите персональных данных, распространяющиеся на/ применяемые Шлюмберже в России, в той мере, в которой не противоречат российскому законодательству.
        
        1.4. Настоящий документ является общедоступным и подлежит размещению на официальном вебсайте Шлюмберже (Далее — «вебсайт»)
        
        1.5. Термины и определения, используемые в Политике, указаны в Приложении № 1.
        
        1.6. Правовые основания обработки персональных данных:
        
        · Трудовой кодекс Российской Федерации;
        
        · Федеральный закон от 27 июля 2006 г. № «О персональных данных»;
        
        · Указ Президента Российской Федерации от 06 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера»;
        
        · Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
        
        · Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
        
        · Иные применимые нормативные правовые акты Российской Федерации и нормативные документы уполномоченных органов государственной власти;
        
        · Локальные нормативные акты и иные документы, регламентирующие вопросы обработки персональных данных, действующие в группе компаний Шлюмберже;
        
        · Согласие субъектов персональных данных на обработку их персональных данных;
        
        · Договоры, заключаемые Шлюмберже с другими юридическими лицами, а также субъектами персональных данных.
        
        1.7. Обработка Шлюмберже персональных данных, в зависимости от eё целей, осуществляется:
        
        · C согласия субъектов персональных данных на обработку их персональных данных, если иное не предусмотрено законодательством Российской Федерации;
        
        · В целях исполнения законов Российской Федерации, международных договоров Российской Федерации, постановлений Правительства Российской Федерации и иных нормативных правовых актов Российской Федерации;
        
        · В целях исполнения или заключения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, в том числе в случае реализации Шлюмберже своего права на уступку прав (требований) по такому договору.
        
        2. Категории субъектов персональных данных и виды персональных данных
        
        2.1 Шлюмберже может осуществлять обработку персональных данных следующих категорий субъектов:
        
        · Кандидаты на трудоустройство, работники, бывшие работники Шлюмберже, а также родственники указанных лиц;
        
        · Физические лица, заключившие с Шлюмберже договоры гражданско-правового характера;
        
        · Представители / работники контрагентов Шлюмберже (юридических лиц), а также юридических лиц, намеревающихся приобрести товары или услуги Шлюмберже или предоставить товары или услуги для Шлюмберже;
        
        · Иные субъекты персональных данных (включая акционеров, участников юридических лиц, посетителей офисов, производственных баз и центров Шлюмберже).
        
        2.2. Виды обрабатываемых персональных данных определяются исходя из повседневной производственной и административно-хозяйственной деятельности Шлюмберже с учетом целей обработки персональных данных. В Приложении № 2 приведен примерный перечень персональных данных, которые могут обрабатываться Шлюмберже.
        
        3. Цели обработки персональных данных
        
        3.1 Выполнение требований законодательства Российской Федерации, локальных актов Шлюмберже;
        
        3.2 Исполнение судебных актов, актов других органов, должностных лиц, обязательных для исполнения;
        
        3.3 Осуществление видов деятельности, предусмотренных уставом, учредительными документами и иными локальными актами Шлюмберже;
        
        3.4 Подготовка и направление отчетности в государственные органы и иные уполномоченные организации в соответствии с требованиями законодательства;
        
        3.5 Реализация Шлюмберже прав и обязанностей работодателя в отношениях с работниками. Оказание содействия работникам в профессиональном развитии, продвижение по службе, учет и контроль рабочей нагрузки, качества выполнения работ. Формирование кадрового резерва.
        
        3.6 Предоставления работникам и членам их семей дополнительных гарантий и компенсаций, в том числе негосударственного пенсионного обеспечения, добровольного медицинского страхования, медицинского обслуживания и других видов социального обеспечения;
        
        3.7 Осуществление пропускного и внутриобъектового режимов на объектах Шлюмберже и контрагентов, обеспечение сохранности имущества Шлюмберже. Защита жизни, здоровья и иных жизненно важных интересов субъектов персональных данных;
        
        3.8 Подтверждение личности представителей контрагентов или иных третьих лиц в целях обеспечения их безопасности, а также для защиты Шлюмберже и работников Шлюмберже от мошенничества, а также предотвращения любых незаконных действий, неавторизованных сделок, включая кибератаки, попытки совершения кражи персональных данных;
        
        3.9 Заключение, исполнение и прекращение договоров гражданско-правового характера, заключаемых Шлюмберже. Участие в тендерных процедурах, проводимых третьими лицами; проведение Шлюмберже мероприятий по выбору контрагентов, проведение переговоров, проверка благонадежности, кредитоспособности/платежеспособности контрагентов, соблюдения этики ведения бизнеса.
        
        3.10 Ведение бухгалтерского учета, проведение взаиморасчетов с контрагентами и работниками Шлюмберже;
        
        3.11 Формирование и ведение корпоративных информационных справочников, публикации на внутрикорпоративных сайтах, информационных досках, стендах и внутрикорпоративных системах, мобильных приложениях, содержащих персональные данные, предоставляемые субъектом персональных данных для обработки с его согласия;
        
        3.12 Направление сообщений или маркетинговых материалов, содержащих информацию о деятельности Шлюмберже, новых продуктах и сервисах; формирование списков потенциальных клиентов, отслеживание перспектив сбыта, проведение исследований рынка, опросов, оценка эффективности рекламных и маркетинговых кампаний и управление ими;
        
        3.13 Обработка запросов, заявлений, жалоб, поступающих от субъектов персональных данных, подготовка и направление ответов на них;
        
        3.14 Организация, проведение маркетинговых и коммерческих мероприятий, включая конференции, семинары и мастер-классы, оказание информационных услуг (далее — «мероприятия»); информирование о мероприятиях, направление приглашений и регистрация участников на такие мероприятия;
        
        3.15 Взаимодействие с инвесторами/партнерами;
        
        3.16 Управление продуктами и услугами, разработка новых продуктов и услуг, включая онлайн сервисы, мобильные приложения;
        
        3.17 Проведение внутренних расследований, аудитов, в целях обеспечения соблюдения действующих требований законодательства, договоров, внутренних правил Шлюмберже;
        
        3.18 Обеспечивание безопасности продуктов, услуг, онлайн-каналов, сетевых услуг, информационных ресурсов Шлюмберже;
        
        3.19 Хостинг, администрирование, техническая поддержка работы вебсайта; анализ и прогноз предпочтений пользователей вебсайта путем определения наиболее актуальных запросов, анализа действий Пользователей вебсайта, с целью улучшения качества работы вебсайта, предоставляемых услуг и информации.
        
        4. Права субъектов персональных данных и Шлюмберже
        
        4.1 Субъект персональных данных имеет право:
        
        4.1.1. Получать информацию, касающуюся обработки его персональных данных;
        
        4.1.2. Требовать уточнения своих персональных данных, их блокирования, уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее при предоставлении согласия на обработку персональных данных;
        
        4.1.3. Принимать предусмотренные законом меры по защите своих прав.
        
        4.2 Шлюмберже имеет право:
        
        4.2.1. Осуществлять обработку персональных данных в соответствии с законодательством Российской Федерации;
        
        4.2.2. Поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
        
        5. Условия обработки персональных данных
        
        5.1 Шлюмберже осуществляет обработку персональных данных на основе общих принципов, предусмотренных ст. 5 Федерального закона от 27.07.2006 № «О персональных данных» (далее — Федеральный закон «О персональных данных»), а также установленных локальными нормативными актами Шлюмберже.
        
        5.2 Обработка персональных данных ограничивается достижением конкретных и законных целей.
        
        5.3 Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки персональных данных, не должны быть избыточными по отношению к целям их обработки.
        
        5.4 При обработке персональных данных должны быть обеспечены точность, достаточность персональных данных, в необходимых случаях их актуальность по отношению к целям обработки.
        
        5.5 Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
        
        5.6 Информация, относящаяся к персональным данным, ставшая известной Шлюмберже, является конфиденциальной информацией.
        
        5.7 Хранение персональных данных осуществляется в течение срока, необходимого для целей обработки персональных данных или в течение срока, установленного применимым законодательством. Продолжительность срока хранения персональных данных может определяться продолжительностью отношении, сложившихся между Шлюмберже и субъектом персональных данных; сроками хранения, предусмотренными применимым законодательством; сроками, предусмотренными для защиты прав Шлюмберже, предоставленных законодательством (например сроки исковой давности, участие в судебных разбирательствах, административных проверок).
        
        5.8 Шлюмберже осуществляет обработку персональных данных с использованием средств автоматизации (электронные носители персональных данных, информационные системы, базы данных, мобильные приложения) и без использования средств автоматизации (бумажные носители персональных данных).
        
        5.9 Шлюмберже может собирать и обрабатывать персональные данные посредством информационно-телекоммуникационных сетей, включая Интернет, вебсайты и мобильные приложения.
        
        5.10 Шлюмберже может поручить обработку персональных данных другим лицам в соответствии с требованиями, предусмотренными Федеральным законом «О персональных данных».
        
        5.11 Для целей, указанных в настоящей политике или согласии на обработку персональных данных Шлюмберже может передавать персональные данные своим аффилированным лицам входящим в группу компаний Шлюмберже.
        
        5.12 Шлюмберже осуществляет трансграничную передачу персональных данных, в соответствии требованиями к осуществлению трансграничной передачи персональных данных, предусмотренными Федеральным законом «О персональных данных».
        
        5.13 Доступ к обрабатываемым персональным данным предоставляется только тем работникам Шлюмберже, которым он необходим в связи с исполнением ими своих должностных обязанностей.
        
        5.14 Персональные данные на бумажных носителях хранятся в закрываемых помещениях с ограниченным доступом, в шкафах или сейфах.
        
        5.15 Для достижения целей обработки персональных данных Пользователи сайтов и мобильных приложений Шлюмберже по своему усмотрению и желанию, могут предоставить через информационно-телекоммуникационную сеть Интернет свои персональные данные, перечень которых указан в соответствующих формах обратной связи. Для проверки данных, предоставленных через Интернет, Шлюмберже оставляет за собой право потребовать доказательства идентичности в онлайн или офлайн режимах.
        
        5.16 После предоставления своих персональных данных посредством заполнения формы на вебсайте, Пользователь может получить уведомление, подтверждающее, что его сообщение успешно отправлено. Пользователь может отозвать согласие на обработку его персональных данных путем направления письменного заявления способами, указанными в разделе 7 настоящей Политики.
        
        5.17 На вебсайте могут содержаться ссылки на другие интернет-ресурсы. Шлюмберже не несет ответственности за содержание, качество и политику безопасности этих интернет-ресурсов, а также за внедренные процедуры, направленные на защиту персональных данных. Наличие ссылок на интернет-ресурсы третьих лиц не означает, что Шлюмберже каким-либо образом одобряет или согласовывает применяемые на таком интернет-ресурсе способы по защите персональных данных и иной конфиденциальной информации.
        
        5.18 Специальные категории персональных данных могут подлежать обработке Шлюмберже в случаях, предусмотренных законодательством Российской Федерации с согласия субъекта персональных данных и для достижения законных целей.
        
        5.19 Шлюмберже может обрабатывать персональные данные, не относящиеся к категории специальных, однако позволяющие сделать определенные умозаключения в отношении персональных данных (например обработка данных о пищевых предпочтения или ограничениях участников на организуемых Шлюмберже мероприятиях). Такие персональные данные обрабатываются исключительно для достижения целей, в связи с которыми они были предоставлены субъектом персональных данных.
        
        6. Меры по обеспечению безопасности персональных данных при их обработке
        
        6.1 Шлюмберже принимает необходимые организационные и технические меры для защиты персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.
        
        6.2 Меры защиты, реализуемые Шлюмберже при обработке персональных данных, включают:
        
        · Принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных;
        
        · Создание необходимых условий для работы с материальными носителями и информационными системами, в которых обрабатываются персональные данные, в том числе оборудование системами безопасности и организация контроля доступа в помещения, в которых хранятся персональных данные, своевременное обновление программного обеспечения, установление паролей доступа работников Шлюмберже в информационные системы, в которых обрабатываются персональные данные;
        
        · Хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
        
        · Осуществление внутреннего контроля за соблюдением законодательства Российской Федерации при обработке персональных данных.
        
        7. Рассмотрение запросов/обращений субъектов персональных данных и их представителей
        
        7.1 Субъект персональных данных и его представитель может обратиться к Шлюмберже с запросом в отношении следующих вопросов: о предоставлении доступа к его персональным данным, предоставленным ранее Шлюмберже, о прекращении неправомерной обработки его персональных данных, устранении неточности в обрабатываемых персональных данных, об отзыве согласия на обработку персональных данных путем направления запроса в письменной форме или путем личного обращения.
        
        7.2 В случае выявления неправомерной обработки, выявления неточных персональных данных персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных Шлюмберже осуществляет или обеспечивает блокирование таких неправомерно обрабатываемых персональных данных на период проверки, если блокирование персональных данных не нарушает законодательство Российской Федерации.
        
        7.3 Сроки уточнения персональных данных, прекращения неправомерной обработки персональных данных, их уничтожения или обеспечения выполнения указанных действий предусмотрены Федеральным законом «О персональных данных».
        
        7.4 В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Шлюмберже в сроки, предусмотренные Федеральным законом «О персональных данных», прекращает их обработку или обеспечивает прекращение такой обработки, а также уничтожает персональные данные, если их сохранение не требуется в связи с исполнением Шлюмберже законодательства Российской Федерации.
        
        7.5 Содержание запроса должно соответствовать требованиям Федерального закона «О персональных данных.
        
        7.6 Шлюмберже может провести проверку полномочий лица, от которого поступил запрос в отношении персональных данных.
        
        7.7 Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами.
        
        7.8 Сроки предоставления информации относительно персональных данных или предоставление доступа к персональным данным, мотивированного отказа в предоставлении сведений или доступа к ним предусмотрены применимым законодательством, регулирующим обработку персональных данных.
        
        7.9 Запросы, указанные в настоящем Разделе 7, относительно обработки персональных данных с использованием инструментов информационно-телекоммуникационных сетей, включая вебсайты и мобильные приложения Шлюмберже, могут обрабатываться в соответсвии с отдельными процедурами использования соответствующих инструментов.
        
        8. Способы связи
        
        Субъекты персональных данных, представители уполномоченных органов, могут связаться с Шлюмберже по вопросам обработки персональных данных следующими способами:
        
        · Направив сообщение по электронной почте rca-marketing@slb.com. Не рекомендуется указывать данные банковских карт или иные специальные персональные данные в электронных сообщениях;
        
        · направив письменный запрос или путем личного обращения по адресу: Ленинградское шоссе, д.16 А, стр. 3.
        
        Приложения:
        
        1. Термины и определения
        
        2. Виды обрабатываемых персональных данных
        
        Приложение № 1 к Политике в отношении обработки персональных данных
        
        Термины и Определения
        
        1. «Персональные данные» — любая информация, относящаяся к прямо или косвенно определённому, или определяемому физическому лицу («субъекту персональных данных»);
        
        2. «Шлюмберже» (Оператор персональных данных, Оператор) — юридическое лицо группы компаний Шлюмберже в Российской Федерации, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Перечень юридических лиц группы компаний Шлюмберже в Российской Федерации указывается в пункте 1.2. Политики;
        
        3. «Обработка персональных данных» — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
        
        4. «Автоматизированная обработка персональных данных» — обработка персональных данных с помощью средств вычислительной техники;
        
        5. «Распространение персональных данных» — действия, направленные на раскрытие персональных данных неопределённому кругу лиц;
        
        6. «Предоставление персональных данных» — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц;
        
        7. «Трансграничная передача персональных данных» — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
        
        8. «Блокирование персональных данных» — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
        
        9. «Уничтожение персональных данных» — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
        
        10. «Обезличивание персональных данных» — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
        
        11. «Информационная система персональных данных» — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
        
        12. «Вебсайт» — интернет ресурс www.slb.ru, radius-s.ru и его поддомены; вебсайты компаний, входящих в группу компаний «Шлюмберже»;
        
        13. «Пользователь» — субъект персональных данных, предоставляющий персональные данные посредством информационно-телекоммуникационной сети «Интернет»;
        
        14. «Субъект персональных данных» — физическое лицо, которое прямо или косвенно определено с помощью персональных данных.
        
        15. «Мобильное приложение» — программное обеспечение, разработанное для использования на смартфонах, планшетах и других мобильных устройствах.
        
        Приложение № 2 к Политике в отношении обработки персональных данных
        
        1. Персональные данные, которые могут обрабатываться в отношении кандидатов на трудоустройство:
        
        фамилия, имя, отчество, дата рождения, место рождения, адрес регистрации, адрес пребывания или постоянного местонахождения, номер телефона или мобильного телефона (рабочий и личный), адрес электронной почты (рабочий и личный) и иная контактная информация, сведения о гражданстве, сведения о наличии электронной подписи, сведения о заграничном паспорте, сведения об участии в хозяйственной деятельности других юридических лиц; сведения о предпринимательской деятельности, семейное положение, сведения о наличии иждивенцев, несовершеннолетних детей, сведения о профессии, роде занятий, информация о прежнем работодателе, опыте работы, сведения об образовании, сведения о наличии военного билета; иные персональные данные, сообщаемые кандидатами в резюме, анкетах, сопроводительных письмах, биометрические данные (изображение субъекта).
        
        2. Персональные данные, которые могут обрабатываться при использовании вебсайта:
        
        Шлюмберже и подрядчики, которым переданы полномочия по обработке персональных данных и/или администрированию вебсайта могут осуществлять сбор и обработку персональных данных через интернет сайты, программы и мобильные приложения следующей информации: фамилия, имя, отчество, адрес электронной почты, мобильный телефон, почтовый адрес, IP адрес, место работы и занимаемая должность, информация о браузере и устройстве; данные об использовании приложения; информация, собранная с помощью файлов cookie, пиксельных тегов и других технологий и другая информация, не позволяющая непосредственно идентифицировать личность конкретного субъекта; сбор другой информации, не относящейся непосредственно к персональным данным.
        
        Обработка информации, получаемой через браузер или устройство: адрес управления доступом к мультимедиа (MAC), тип компьютера (Windows или Mac), разрешение экрана, наименование и версия операционной системы, производитель и модель устройства, язык, тип и версия интернет-браузера, наименование и версия приложений, используемых субъектом.
        
        Использование Cookies: в целях улучшения работы вебсайта и персонализации предоставляемых услуг, а также интерфейса вебсайта, Шлюмберже может использовать «cookies» при навигации по вебсайту.
        
        Файлы Cookies — это небольшие фрагменты информации, которые хранятся локально на компьютере пользователя и восстанавливаются сервером вебсайта при повторном возвращении на данный веб-сайт. Более подробные условия использования файлов Cookies предусмотрены в Условиях использования вебсайта (https://www.slb.ru/yuridicheskaya-informatsiya/).
        
        Посещая вебсайт, Пользователи дают Шлюмберже свое согласие на обработку информации, указанной в настоящем разделе.
        
        3. Персональные данные, которые могут обрабатываться в отношении представителей контрагентов Шлюмберже:
        
        Фамилия, имя отчество, дата рождения, место рождения, адрес регистрации, адрес пребывания или постоянного местонахождения, сведения об образовании, должности, паспортные данные, номер телефона или мобильного телефона (рабочий и личный), адрес электронной почты (рабочий и личный); должность; сведения о квалификации и наличии разрешений допусков на выполнение работ, сведения о наличии водительского удостоверения, сведения о наличии электронной подписи, биометрические данные (изображение субъекта).
        
        4. Персональные данные, которые могут обрабатываться в отношении работников и физических лиц, с которыми заключены договоры гражданско-правового характера.
        
        Фамилия, имя отчество, дата рождения, место рождения, адрес регистрации, адрес пребывания или постоянного местонахождения, номер телефона или мобильного телефона (рабочий и личный), адрес электронной почты (рабочий и личный) и иная контактная информация; сведения о членах семьи (в том числе для экстренной связи, а также для оформления полисов добровольного медицинского страхования или страхования жизни), страховой номер индивидуального лицевого счёта (страхового полиса), внутриорганизационные данные (должность, должностные обязанности, код позиции («job code»), продвижения по службе/смена работы, прямой руководитель, функциональный руководитель), идентификационные данные в информационных системах (логин, данные об учетных записях, идентификационные номера GIN; ID); сведения о присвоенных: классном чине федеральной службы, дипломатическом ранге, воинском или специальном звании запаса (в отставке), результаты медицинских осмотров работников; квалификационном разряде гос.службы (кем и когда присвоены), государственных наградах, иных наградах и знаках отличия (кем и когда награждены); сведения об участии в выборных представительных органах, общественных организациях, сведения о наличии судимости; об участии в войнах, военных конфликтах; классном чине федеральной службы, дипломатическом ранге, воинском или специальном звании запаса (в отставке), сведения о гражданстве, о заграничном паспорте; сведения о квалификации и наличии разрешений допусков на выполнение работ, сведения о наличии водительского удостоверения, паспортные данные, сведения о наличии электронной подписи, биометрические данные (изображение субъекта).
        
        Похожие публикации:
        
        Запрос котировок или аукцион в чем разница
        
        К какой категории споров относятся доменные споры
        
        Как вернуть билет на электричку
        
        Колония общего режима за какие преступления