Требования к КСЗИ в области выполнения требований, регламентирующих обработку персональных данных

Для информационных систем 1 класса при многопользовательском режиме обработки персональных данных и разных правах доступа к ним пользователей применяются следующие основные методы и способы защиты информации:

• 1. Определение, документальное фиксирование и утверждение руководством организации цели обработки персональных данных.
• 2. Определение необходимости уведомления Уполномоченного органа по защите прав субъектов персональных данных об обработке персональных данных.
• 3. Для каждой цели обработки персональных данных определение, документальное фиксирование и утверждение руководством организации:
  • — объема и содержания персональных данных;
  • — сроков обработки, в том числе сроков хранения персональных данных;
  • — необходимости получения согласия субъектов персональных данных.
• 4. Проведение классификации персональных данных в соответствии со степенью тяжести последствий потери свойств безопасности персональных данных для субъекта персональных данных.

Выделены следующие категории персональных данных:

• — персональные данные, отнесенные в соответствии с Федеральным законом «О персональных данных"[5] к специальным категориям персональных данных;
• — персональные данные, отнесенные в соответствии с Федеральным законом «О персональных данных"[5] к биометрическим персональным данным;
• — персональные данные, которые не могут быть отнесены к специальным категориям персональных данных, к биометрическим персональным данным, к общедоступным или обезличенным персональным данным;
• — персональные данные, отнесенные в соответствии с Федеральным законом «О персональных данных"[5] к общедоступным или обезличенным персональным данным.
• 5. Осуществление передачи персональных данных организацией третьему лицу с согласия субъекта персональных данных. В том случае, если организация поручает обработку персональных данных третьему лицу на основании договора, существенным условием такого договора является обязанность обеспечения третьим лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.
• 6. Прекращение обработки персональных данных и уничтожение собранных персональных данных, если иное не установлено законодательством РФ, в следующих случаях и в сроки, установленные законодательством РФ:
  • — по достижении целей обработки или при утрате необходимости в их достижении;
  • — по требованию субъекта персональных данных или Уполномоченного органа по защите прав субъектов персональных данных
  • — если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
  • — при отзыве субъектом персональных данных согласия на обработку своих персональных данных, если такое согласие требуется в соответствии с законодательством РФ;
  • — при невозможности устранения оператором допущенных нарушений при обработке персональных данных.

Определение и документальное фиксирование порядка уничтожения персональных данных (в том числе и материальных носителей персональных данных).

• 7. Определение и документальное фиксирование порядка обработки обращений субъектов персональных данных (или их законных представителей) по вопросам обработки их персональных данных.
• 8. Определение и документальное фиксирование порядка действий в случае запросов Уполномоченного органа по защите прав субъектов персональных данных или иных надзорных органов, осуществляющих контроль и надзор в области персональных данных.
• 9. Для каждой ИСПДн организации определение и документальное фиксирование:
  • — цели обработки персональных данных;
  • — объема и содержания обрабатываемых персональных данных;
  • — перечня действий с персональными данными и способа их обработки.

Объем и содержание персональных данных, а также перечень действий и способы обработки персональных данных в соответствии целям обработки.

• 10. При обработке различных категорий персональных данных для каждой категории персональных данных рекомендуется использовать отдельный материальный носитель.
• 11. Определение и документальное фиксирования перечня (списка) работников, осуществляющих обработку персональных данных в ИСПДн либо имеющих доступ к персональным данным.

Возможно существование перечня (списка) в электронном виде при условии предоставления работникам прав доступа в ИСПДн только на основании распорядительного документа в документально зафиксированном в организации порядке.

Доступ работников организации к персональным данным и обработка персональных данных работниками организации осуществляется только для выполнения их должностных обязанностей.

• 12. Работники организации, осуществляющие обработку персональных данных в ИСПДн, информируются о факте обработки ими персональных данных, категориях обрабатываемых персональных данных, а также ознакомляются под роспись со всей совокупностью требований по обработке и обеспечению безопасности персональных данных в части, касающейся их должностных обязанностей.
• 13. Определение и документальное фиксирование порядка доступа работников организации и иных лиц в помещения, в которых ведется обработка персональных данных.
• 14. Определение и документальное фиксирование порядка хранения материальных носителей персональных данных, устанавливающего:
  • — места хранения материальных носителей персональных данных;
  • — требования по обеспечению безопасности персональных данных при хранении их носителей;
  • — работников, ответственных за реализацию требований по обеспечению безопасности персональных данных;
  • — порядок контроля выполнения требований по обеспечению безопасности персональных данных при хранении материальных носителей персональных данных.
• 15. При обработке персональных данных на бумажных носителях, в частности, при использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных,. соблюдаются требования, установленные «Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденным Постановлением Правительства РФ от 15сентября 2008 г. № 687[29].