3.5. Обезличивание персональных данных

Под обезличиванием персональных данных понимаются действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

6 сентября 2014 года издано постановление Правительства РФ № 911, которым внесены изменения в постановление Правительства РФ № 211 от 21.03.2012. Этим документом отменяется обязанность операторов –государственных и муниципальных органов осуществлять обезличивание персональных данных, обрабатываемых в информационных системах.

Практика правоприменения продемонстрировала, что обработка персональных данных в государственных и муниципальных информационных системах не всегда требует обезличивания информации. Необходимость применения указанной меры защиты возникает в исключительных случаях, которые установлены российским законодательством. К таким случаям относится необходимость органов государственной власти и местного самоуправления размещать в открытом доступе документы, содержащие персональные данные, например, обезличенные копии судебных актов.

Таким образом, большая часть информационных систем, содержащих персональные данные, не подвержены тем рискам безопасности персональных данных, на нейтрализацию которых направлен механизм обезличивания.

Подробное описание различных процедур обезличивания приведено в методических рекомендациях по применению приказа Роскомнадзора № 996, которые размещены на официальном сайте http://rkn.gov.ru/news/ rsoc/news23181.htm. Также в них рассмотрены вопросы организации обработки обезличенных данных.

3.6. Локальные акты по вопросам обработки персональных данных

Подробный перечень документов, необходимых при проверке оператора персональных данных, размещен на сайте управления Роскомнадзора:

- копия документа о назначении должностного лица или уполномоченного представителя, которое представляет интересы оператора при проведении проверки;

- организационно – штатная структурная схема юридического лица (до структурного подразделения);

- журнал учета проверок юридического лица или индивидуального предпринимателя, проводимых органами государственного контроля (надзора), органами муниципального контроля.

- уведомление об обработке персональных данных;

- письмо о внесении изменений в уведомление об обработке персональных данных (в случае возникновения изменений должно быть отправлено не позднее 10 рабочих дней с даты их возникновения);

- локальные акты, устанавливающие перечень обрабатываемых оператором персональных данных; документы, подтверждающие обработку заявленных оператором персональных данных (например, снимок экрана - в случае осуществления автоматизированной обработки персональных данных);

- письменное согласие субъектов персональных данных (в том числе работников) на обработку их персональных данных, составленное в соответствии с требованиями ст.9 ФЗ-152;

- документы (согласие субъектов на обработку их персональных данных, нормативные правовые акты), подтверждающие наличие полномочий у оператора на обработку специальных и биометрических категорий персональных данных, а также документы (локальные акты оператора), подтверждающие соблюдение требований законодательства РФ при обработке этих категорий персональных данных;

- локальные акты, определяющие перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ;

- приказ о назначении лиц, ответственных за организацию обработки персональных данных;

- локальные акты, регламентирующие порядок и условия обработки персональных данных, (положение об обработке и защите персональных данных, инструкции об автоматизированной и/или неавтоматизированной обработке персональных данных; листы ознакомления сотрудников, допущенных к обработке персональных данных без использования средств автоматизации, о факте обработке ими персональных данных и иных обстоятельствах, предусмотренных п.6 постановления Правительства № 687, приказ об утверждении мест хранения персональных данных, перечень мер, необходимых для обеспечения сохранности персональных данных и исключающего несанкционированный доступ к ним, перечень лиц, ответственных за реализацию указанных мер);

- локальные акты, устанавливающие порядок уничтожения, а также подтверждающие уничтожение оператором персональных данных субъектов персональных данных по достижении цели обработки (например, приказ о назначении комиссии по уничтожению персональных данных, акты об уничтожении материальных носителей персональных данных);

- описание помещений, в которых осуществляется обработка персональных данных: расположение, номера помещений; наличие охраны, режима обеспечения безопасности, оборудование помещений; общее количество рабочих мест, количество рабочих мест, на которых обрабатываются персональные данные; описание ЭВМ, носителей, на которых производится обработка персональных данных - наименование, заводской, инвентарный номер (ЭВМ, носителей персональных данных); наличие средств шифрования (криптозащиты); средств имитозащиты (аппаратные, программные, аппаратно-программные средства, системы и комплексы) - наименование, заводской, инвентарный номер;

- договоры оператора с третьими лицами, в случае, если оператор на основании такого договора поручает им обработку персональных данных (договор обязательного медицинского страхования работающих граждан; договоры, о зачислении денежных средств на счета физических лиц (работников оператора) в соответствии с реестрами, предоставляемыми на электронных носителях; договоры с медицинским учреждением о прохождении обязательного медицинского осмотра работающих граждан);

- документы, подтверждающие выполнение оператором мер, предусмотренных статьями 18.1 и 19 ФЗ-152 «О персональных данных»; документы, подтверждающие выполнение оператором при обработке персональных данных необходимых организационных мер для защиты персональных данных от неправомерного или случайного доступа к ним (подробнее рассматриваются в разделе 5 данного пособия);

- журналы учёта применяемых средств защиты информации, носителей персональных данных (ЭВМ, дискеты, флешки и т.п.); сертификаты средств защиты информации; приказ о составе комиссии по определению уровня защищенности ИСПДн; документальное оформление присвоения информационной системе соответствующего уровня защищенности (Акт определения уровня защищенности персональных данных); электронный журнал обращений пользователей ИСПДн на получение персональных данных; журнал проведения инструктажа по информационной безопасности, журнал учета мероприятий по контролю обеспечения защиты персональных данных; соответствующие документы организации охраны, режима обеспечения безопасности (приказы, другие документы);

- журнал учета обращений граждан (субъектов персональных данных), локальный нормативный акт, утверждающий форму и порядок ведения журнала обращений граждан;

- типовые формы документов, предполагающие или допускающие содержание персональных данных (заявления, анкеты и др.);

- локальные акты оператора, регламентирующие порядок хранения материальных носителей персональных данных (правила обработки персональных данных без использования средств автоматизации);

- журнал (реестр) для однократного пропуска субъекта персональных данных на территорию, на которой находится оператор (при наличии).

Многие из пунктов данного списка подразумевают предоставление нескольких дополнительных документов (регламенты, инструкции, журналы, списки и т.п.). К тому же данный перечень может быть уточнён в ходе проверки.

Все работники оператора, которых касаются инструкции или приказы, должны быть с ними ознакомлены (расписаться в листе ознакомления).