Справочник цод роскомнадзор

152-ФЗ. ЦОДы, базы данных и уведомления о них

Справочник цод роскомнадзор

Согласно изменениям, внесенным в Федеральный закон 152-ФЗ Федеральным законом от 21.07.2014 N 242-ФЗ, уведомление, направляемое в Роскомнадзор должно содержать: 10.

1) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;
До недавнего времени данное требование не дублировалось ни в Административном регламенте Роскомнадзора, ни в формах соответствующих Уведомлений (их две — для подачи в бумажном и в электронном виде — и как ни странно они различны). Но поскольку закон-есть-закон (изменения 152-ФЗ, требующие указывать местонахождение БД с ПДн вступили в силу этим летом), то логично, что Роскомнадзор требовал с операторов указывать эти данные в уведомлении. И естественно это вызывало трудности у операторов, поскольку на вопрос что и где нужно указывать ответить никто не мог.

Но все меняется и Минсвязи выпустило Приказ от 28 августа 2015 г. N 315 (ссылки в pdf, текстовом виде).

Согласно Приказу вносятся изменения в Административный регламент — пункты 46 (данные, вносимые в реестр) и 54 (данные, указываемые в Уведомлении) дополняются следующим: Сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации.
Соответственно меняется и форма Уведомления (она приведена в приложении к Приказу). И вот тут начинается интересное. Напомним, что согласно текущей редакции 152-ФЗ: 3. Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения: Уведомление должно содержать следующие сведения: 1) наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) категории персональных данных; 4) категории субъектов, персональные данные которых обрабатываются; 5) правовое основание обработки персональных данных; 6) перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных; 7) описание мер, предусмотренных статьями 18.1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств; 7.1) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты; 8) дата начала обработки персональных данных; 9) срок или условие прекращения обработки персональных данных; 10) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки; 10.1) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации; То есть Уведомление:

  1. может направляться либо в бумажном, либо в электронном виде;
  2. закон не делает разницы по составу предоставляемой информации между обоими вариантами.

И если мы посмотрим на бумажную форму Уведомления, то добавился абзац, в котором нужно указать страну, адрес местонахождения базы данных, наименование информационной системы (базы данных). Кстати, если посмотреть в текст 152-ФЗ, то информационная система персональных данных это: совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
Даже не говоря о том, что персональные данные могут быть не только в составе баз данных — баз данных может быть множество (и это логично), но вот указать согласно форме уведомления нужно одну. Почему так? Загадко. Но перейдем к электронной форме Уведомления. После трансграничной передачи данных идет раздел, описывающий сведения о базе данных. Но это по заголовку. А по тексту требуется описать адрес ЦОДа! Сразу вопрос — все перешли в облака? Что писать, если ЦОД не используется? Заполним форму Несмотря на предложение выбрать из справочника — никакого справочника нет. Данные вводятся вручную Если не указать явно, что используется собственный ЦОД, то появляется запрос на указание данных о владельце ЦОДа: Естественно ничего подобного по Административному регламенту не требуется: 46. В Реестр вносятся следующие сведения: 46.1. Регистрационный номер. 46.2. Наименование (фамилия, имя, отчество), адрес Оператора. 46.3. Адреса филиалов (представительств) Оператора (при наличии). 46.4. Дата направления Уведомления. 46.5. Цель обработки персональных данных. 46.6. Категории персональных данных. 46.7. Категории субъектов, персональные данные которых обрабатываются. 46.8. Правовое основание обработки персональных данных. 46.9. Перечень действий с персональными данными, общее описание используемых Оператором способов обработки персональных данных. 46.10. Описание мер, предусмотренных статьями 18.1 и 19 Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств. 46.11. Фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты. 46.12. Сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки. 46.12.1. Сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации 46.13. Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации. 46.14. Дата начала обработки персональных данных. 46.15. Срок или условие прекращения обработки персональных данных. Еще одно отличие электронной формы от бумажной — возможность (необходимость?) указания всех баз данных (ЦОДов в формулировке электронного Уведомления), которые есть в организации. Ни в вышеупомянутом Приказе (и в утвержденной им формой уведомления), ни в законе подобного требования нет.

Помимо общей информации, требуемой в бумажной форме, здесь нужно указывать куда больше сведений и каждой базе данных — причем согласно форме одна база соответствует одной ИС Требуется ли в связи со вступлением в силу этих уведомлений направлять уведомление? Согласно Закону: 7. В случае изменения сведений (ранее поданных в Роскомнадзор)… а также в случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений или с даты прекращения обработки персональных данных.
То есть Закон четко говорит, что уведомлять не нужно. Согласно закону по новой форме нужно подавать данные только тем операторам, которые будут отправлять свое первое уведомление после 1-го декабря 2015-го года (дата вступления в силу изменений в Уведомлении) или на крайний случай и тем, кто отправляет уведомления после вступления в силу изменений в Законе.

Но это формально. По факту традиционно все будет решаться позицией на местах — и прецеденты уже имеются.

Начальник отдела по защите прав субъектов персональных данных и надзора в сфере информационных технологий Управления Роскомнадзора по Алтайскому краю и Республике Алтай Жданов А.П. прямо и четко сказал, что они (это управление и отдел в частности) считают, что ч. 7 ст. 22 152-ФЗ распространяется и на ситуацию с добавление в ч. 3 ст 22 новый пунктов вообще и расположении БД в частности. Т.е. они при проверках будут считать нарушение не подачу Информационного письма о внесении изменений…
И последнее. О собственно базах данных. Что это такое — определения нет. Но есть позиция Роскомнадзора

(подробнее тут). То есть под понятие базы данных попадет любой упорядоченный список данных — хоть в текстовом файле. Соответственно заполняя электронное уведомление нужно указать все места расположения всех упорядоченных массивов информации. Для всех офисов, ЦОДов и субподрядчиков. Благо пока не требуют указывать адреса личных (BYOD!) и домашних компьютеров.

Подведем итоги:

  1. Уведомления бумажное и электронное существенно отличаются.
  2. Согласно 152-ФЗ персональные данные могут быть только в составе баз данных.
  3. Что есть база данных — определения нет, но скорее всего толковаться будет как неким образом упорядоченная информация, сохраненная в электронном виде.
  4. Указывать нужно места хранения только баз данных для граждан РФ. В принципе понятно, откуда взялось это требование — оно родилось на волне требований о переносе мест обработки персональных данных в Россию. Но войдя в закон — оно стало выглядеть странно — мы не заинтересованы в защите данных граждан и подданных иных стран? Отсюда же кстати возникли и базы данных — борьба шла за перенос из зарубежных ЦОДов. Но опять же войдя в закон это стало источником странностей.
  5. Не определено, что есть месторасположение. С какой точностью нужно указывать согласно закону — с точностью до страны или дома? Лично мне не понятно, зачем государству знать все места расположения всех персональных данных (да — согласно букве закона — с точностью до последнего мобильного на любой момент времени, если на нем хранится упорядоченная информация).
  • персональные данные
  • роскомнадзор

Источник: https://habr.com/ru/post/273657/

Справочник цод роскомнадзор

Справочник цод роскомнадзор

  • Указывать нужно места хранения только баз данных для граждан РФ.

В России и странах СНГ популярность подобных центров пока что невысока, но за рубежом они считаются выгодными.

Практически в любой компании существует база данных для оптимизации рабочего процесса.

Эта база может храниться в разном виде, и доступ к ней должен быть бесперебойным. Однако различные факторы, например, временное отсутствие электричества, или же программный сбой, могут повлиять на скорость обработки данных, или вовсе временно ограничить доступ к информации.

Виды

Центры обработки данных бывают двух видов.

  1. Локальный. В таком случае помещение с группой серверов находится в частной собственности и под частным контролем.

И вот тут начинается интересное.

Напомним, что согласно текущей редакции 152-ФЗ:

3.

Еще одно отличие электронной формы от бумажной — возможность (необходимость?) указания всех баз данных (ЦОДов в формулировке электронного Уведомления), которые есть в организации. Ни в вышеупомянутом Приказе (и в утвержденной им формой уведомления), ни в законе подобного требования нет.

Помимо общей информации, требуемой в бумажной форме, здесь нужно указывать куда больше сведений и каждой базе данных — причем согласно форме одна база соответствует одной ИС

Требуется ли в связи со вступлением в силу этих уведомлений направлять уведомление? Согласно Закону:

7.

Центры обработки должны адаптироваться под условия бизнеса, быть надежными и успешно справляться с огромными объемами поступающей информации.

  • Расшифровка
  • Отличие от базы данных
  • Виды
  • Цели
  • Что такое дата центр при обработке личных сведений?
  • Что такое уведомление о месте нахождения и как указать адрес?

Расшифровка

ЦОД расшифровывается как Центр обработки данных. Многие до сих пор не знают, что это такое. Между тем, он представляет собой целый комплекс, предназначенный для хранения серверов и оборудования и обеспечивающий их бесперебойную работу.

Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации: Разработано и утверждено Положение по обработке персональных данных в ПАО «Челябэнергосбыт», приказами определены лица ответственные и допущенные к обработке персональных данных в ПАО «Челябэнергосбыт», приказом определены места хранения носителей, содержащих персональные данные, обеспечивается раздельное хранение материальных носителей, содержащих персональные данные, разработано и утверждено Положение о работе с персональными данными в информационной системе персональных данных, назначено должностное лицо, ответственное за обеспечение безопасности персональных данных в информационной системе. Несанкционированный доступ к базам персональных данных исключён. Не контролируемое проникновение или пребывание посторонних лиц в помещениях, где ведётся обработка персональных данных, исключено.

Срок или условие прекращения обработки персональных данных.

Еще одно отличие электронной формы от бумажной — возможность (необходимость?) указания всех баз данных (ЦОДов в формулировке электронного Уведомления), которые есть в организации. Ни в вышеупомянутом Приказе (и в утвержденной им формой уведомления), ни в законе подобного требования нет.

Помимо общей информации, требуемой в бумажной форме, здесь нужно указывать куда больше сведений и каждой базе данных — причем согласно форме одна база соответствует одной ИС

Требуется ли в связи со вступлением в силу этих уведомлений направлять уведомление? Согласно Закону:

7. В случае изменения сведений (ранее поданных в Роскомнадзор)… а также в случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений или с даты прекращения обработки персональных данных.

Эта организация разработала систему Tier, определяющую уровень надежности и отказоустойчивости ЦОД.

Сертификация эксплуатационных процессов начала проводиться относительно недавно, и всего в мире соответствующие документы имеются только у пяти ЦОД — все они находятся за пределами России.

Рисунок 1. В России организацией Uptime Institute сертифицированы (по уровню Tier III) только три центра обработки данных.

Информацию о сертифицированных объектах можно получить на сайте Uptime Institute (см. Рисунок 1)

Что такое ЦОДы

/ Статьи / 2016 / Стремительное развитие современных технологий приводит к неизбежному росту автоматизации большинства процессов не только на предприятиях различного уровня, но и в быту.

Условие окончания обработки ПДн» и в качестве условия указывается «Прекращение деятельности организации».

В разделе «Категории персональных данных» сначала отмечаем чекбоксами обрабатываемые категории, а потом в поле «Другие категории персональных данных, не указанных в данном перечне» указываем те ПДн, которых в списке нет, причем лучше это сделать раздельно для различных категорий субъектов, например: «Другие категории ПДн работников: [перечень ПДн работников].

Согласно изменениям, внесенным в Федеральный закон 152-ФЗ Федеральным законом от 21.07.2014 N 242-ФЗ, уведомление, направляемое в Роскомнадзор должно содержать: 10.

1) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации; До недавнего времени данное требование не дублировалось ни в Административном регламенте Роскомнадзора, ни в формах соответствующих Уведомлений (их две — для подачи в бумажном и в электронном виде — и как ни странно они различны).
Чаще всего такие центры располагаются в крупных зданиях и включают серверы крупных компаний.

Сейчас услуги дата-центра популярны и среди молодых компаний, инвесторами которых выступают иностранцы.

Другие категории ПДн клиентов: [перечень ПДн клиентов].

В разделе «Категории субъектов, персональные данные которых обрабатываются» указываем еще раз перечень категорий лиц, чьи данные у нас хранятся или обрабатываются, например: «Сотрудники, соискатели на вакантные должности, контрагенты, клиенты». В общем еще раз повторяем то, что уже указали в предыдущем пункте.

В поле «Перечень действий с персональными данными» проще всего процитировать определение обработки ПДн из 152-ФЗ: «сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение».

Важно

ФЗ распространяется и на ситуацию с добавление в ч. 3 ст 22 новый пунктов вообще и расположении БД в частности. Т.е. они при проверках будут считать нарушение не подачу Информационного письма о внесении изменений… И последнее. О собственно базах данных. Что это такое — определения нет.

Но есть позиция Роскомнадзора

(подробнее тут). То есть под понятие базы данных попадет любой упорядоченный список данных — хоть в текстовом файле. Соответственно заполняя электронное уведомление нужно указать все места расположения всех упорядоченных массивов информации. Для всех офисов, ЦОДов и субподрядчиков.

Перечень действий с персональными данными, общее описание используемых Оператором способов обработки персональных данных. 46.10. Описание мер, предусмотренных статьями 18.

1 и 19 Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств. 46.11.

Фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты.

46.12.

Внимание

Сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки. 46.12.1.

Сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации 46.13.

Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации.

46.14. Дата начала обработки персональных данных. 46.15.

Следующий раздел один из самых сложных и непонятных.

Источник: https://yuridicheskaya-kompaniya-n1.ru/spravochnik-tsod-roskomnadzor

Юрист Андреев
Добавить комментарий