Вопрос-Ответ

Действительно, в соответствии с п.5 ст.86 ТК «работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности», но, обратите внимание, «за исключением случаев, предусмотренных настоящим Кодексом или иными федеральными законами». В соответствии со ч.1 ст.9 ФЗ-152, «Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе … Согласие на обработку персональных данных может быть отозвано субъектом персональных данных». Выражение согласия в заявлении в бухгалтерию как раз и является случаем, предусмотренным законодательством. Часть 1 ст.10 ФЗ-152 сведения о членстве в профессиональном союзе не относятся к специальным категориям персональных данных и их наличие не является основанием изменения класса ИСПДн.

Передача персональных данных работников регламентируется федеральным законом о персональных данных и Трудовым кодексом РФ. Так, по статье 88 главы 14 ТК РФ при передаче персональных данных работника работодатель должен не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами.

Официального документа, описывающего однозначную идентификацию субъекта ПД, не существует.

Если на веб-сайте вводится не ник, а ФИО, то вместе с датами рождения, адресами и телефонами это будет являться персональными данными.

Соответственно, владельцы таких интернет-форумов, интернет-магазинов и т.п. будут являться операторами ИСПДн. Например, «Одноклассники.Ру» уже зарегистрировались в реестре Роскомнадзора, как операторы персональных данных.

В соответствии с приказом ФСТЭК N 58 от 05.02.2010 г.
«Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных» сертификация СЗИ по НДВ осуществляется только для ИСПДн 1 класса. Сертификация должна проводиться в соответствии с упомянутым Вами РД "Защита от НСД к информации. Часть 1.Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей". И сертифицировать надо СЗИ или те модули ПО, которые выполняют функции СЗИ. А поводу изменений – действовать надо примерно так, как происходит при сертификации продуктов Microsoft, когда патчи, сервиспаки и т.п. подвергаются исследованиям и поступают к заказчику только после проверки сертификационной лабораторией со знаком соответствия на дистрибутиве.

Существование таких сайтов незаконно. Обращаться с жалобами можно в Россвязькомнадзор, Прокуратуру и/или МВД России с заявлением о нарушении ваших гражданских прав, гарантированных Конституцией (Статья 24: Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются), а также о совершении владельцами сайта преступления, предусмотренного статьей 137 УК РФ «Нарушение неприкосновенности частной жизни»: Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации и/или правонарушения, предусмотренного статьей 13.11 КоАП РФ «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)».
Надо стразу сказать, что добиться установления личностей виновных и их наказания в силу особенностей размещения информации в Интернете будет крайне сложно.

Порядок хранения носителей персональных данных вне автоматизированных систем определяется Постановлением Правительства РФ от от 15 сентября 2008 г. № 687

Для типовой, также как и для специальной ИСПДн необходимо составлять модель угроз, это прописано напрямую в Постановлении Правительства РФ №781. Другое дело, что для специальной ИСПДн такая модель угроз является основополагающей. На основании такой модели проводится классификация специальной ИСПДн и проектируется система технической защиты. Модель угроз для обоих типов ИСПДн разрабатывается на основании методических документов ФСТЭК «Базовая модель угроз ПДн…» и «Методика определения актуальных угроз безопасности ПДн…», а при применении криптографических средств защиты или построении подсистемы безопасности ИСПДн на основании требований ФСБ – в соответствии с документами ФСБ России.

Согласно разъяснениям, которые давали представители ФСТЭК России, отнесение ИСПДн к тому или иному классу на основании формальных признаков как раз и означает, что регуляторы оценивают последствия инцидентов с персональными данными для таской системы, как «значительные негативные», «негативные» или «незначительные негативные». Поэтому дополнительное раскрытие терминов не требуется.

Если открыть Постановление №504 «О лицензировании деятельности по технической защите конфиденциальной информации», то п.2 определяет:
«Под технической защитой конфиденциальной информации понимается комплекс мероприятий и (или) услуг по ее защите от несанкционированного доступа, в том числе и по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней».
Как видно, это могут быть как услуги, так и комплекс мероприятий, что, несомненно, относится к деятельности собственной организации.

Давайте по порядку – с конца.
Общедоступными в пределах организации объявить, конечно, нельзя. В законе дано такое определение общедоступных данных: это «персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности».
Их вообще объявить нельзя. Можно и нужно получить согласие работника на перевод части его персональных данных (например, как у Вас - ФИО, должности, раб.номера телефона, раб. E-Mail) в категорию общедоступных. Такая возможность прямо определена законом: в ст.8 сказано «1. В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, предоставленные субъектом персональных данных».
Содержание письменного согласия на перевод данных в категорию общедоступных определено часью 4 ст.9 Федерального закона.

Давайте рассуждать. Информация в СКУД предназначена исключительно для идентификации личности в целях предоставления или не предоставления доступа на территорию и в помещения. Значит, категория персданных – третья, коэффициент ХНПД = 3 (обрабатываются персональные данные субъектов персональных данных в пределах конкретной организации). Значит, система – типовая, класс К3. Для защиты персональных данных должны приниматься меры, определенные для класса К3 с учетом особенностей функционирования (распределенность сети, подключение к интернет, разграничение прав доступа и др.).
Никаких дополнительных мер защиты в информационных системах биометрических персональных данных не предусматривается.

Вне зависимости от заданных оператором свойств безопасности для всех систем должен быть назначен класс от первого до четвертого. А для специальных систем при определении класса необходимо исходить из объема обрабатываемых персональных данных и угроз безопасности.

Не могу выполнить Вашу просьбу о ссылке на нормативные документы. Их нет.
Форма Т-2 –категория 2, персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию. Исходите из целей обработки и здравого смысла. Телефонный справочник или СКУД – категория 3, информация именно для идентификации, исходя из цели обработки.

Не вижу необходимости закрывать окна, просто монитор должен стоять так, чтобы его не просматривали посетители. Почему режим теряет смысл – искренне не понимаю.

В связи с появлением приказа ФСТЭК N 58 от 05.02.2010 г. «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных» и отменой двух методических документов из «4-х книжия» аттестация ИСПДн более не является обязательной.

Приказ ФСТЭК N 58 от 05.02.2010 г. «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных» зарегистрирован в Минюсте и опубликован в СМИ, поэтому он является абсолютно открытым и легитимным.

5 марта 2010г в СМИ был опубликован приказ ФСТЭК N 58 от 05.02.2010 г.
«Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных». В связи с этим с 15 марта два из четырех методических документа ФСТЭК («Основные мероприятия» и «Рекомендации») были отменены.

Не очень понятна Ваша логика. И закон, и нормативные документы требует применения технических и организационных мер. Только оргмерами выполнить все требования невозможно. В документах ФСТЭК и ФСБ содержится перечень механизмов безопасности и требования к их функциональности, необходимые для использования в системе того или иного класса для нейтрализации тех или иных угроз. Какими нетехническими мерами можно, как Вы пишите, «обеспечить безопасность персональных данных», я не знаю.

С 15 марта 2010г необходимо руководствоваться приказом ФСТЭК N 58 от 05.02.2010 г.
«Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных». В нем обязательность аттестации ИСПДн не прописана.

Если у Вас более 100 000 клиентов – то да. Приказ ФСТЭК/ФСБ/Мининформзсвязи от 13.02 2008 № 55/86/20 «Об утверждении порядка проведения классификации ИСПДн», открытый, опубликован.

В постановлении идет речь о том, что даже если носители с персданными вышли из ИСПДн (распечатаны), а дальше обрабатываются человеком (форма 2-НДФЛ, например), именно эта обработка не считается автоматизированной. И для обработки таких выданных из ИСПДН документов и выдвигаются требования.
А ИСПДн как было надо защищать, так надо и дальше.

Это надо смотреть не в Федеральном законе «О персональных данных».
Логика такая: ФЗ «О лицензировании отдельных видов деятельности» требует лицензирования деятельности по технической защите информации (ст.17, часть 1 п.11). В соответствии с Постановлением Правительства № 504 2006 г. «О лицензировании деятельности по технической защите конфиденциальной информации» (п.2), «под технической защитой конфиденциальной информации понимается комплекс мероприятий и (или) услуг по ее защите от несанкционированного доступа, в том числе и по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней».
Далее – Указ Президента № 188 1997 г. В нем к сведениям конфиденциального характера отнесены персданные.
Таким образом, уже и без закона о персданных все обрабатывающие их организации, строго говоря, должны были иметь лицензию.

С 15 марта 2010г никакие – в связи с вступлением в силу приказа ФСТЭК N 58 от 05.02.2010 г. «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных».

А нет у меня никаких мыслей. Подобный подход полностью противоречит трехстороннему приказу, но согласован одним из трех регуляторов. Комментирование его действий – вне моей компетенции. С этим вопросом надо обратиться непосредственно во ФСТЭК.

С точки зрения порядка обработки персональных данных совершенно не имеет значения, уволен работник или нет. Поэтому при подсчете количества субъектов, чьи персональные данные обрабатываются в ИСПДн, уволенные работники учитываются точно также, как и имеющие действующие трудовые договоры.

На вопрос о статусе студента при классификации ответить невозможно, потому что приказ трех ведомств понятием статуса субъекта не оперирует. А вот отнесение всей информации о преподавателях, сотрудниках и студентах к персональным данным в пределах конкретной организации представляется очень разумным, что позволяет присвоить, как и Вы и предлагаете, коэффициенту Хнпд значение «3»

Исходя только из указанной информации определить класс не получится. Согласно приказу № 55/ 86/ 20 О порядке проведения классификации ИСПДн, класс информационных систем определяется оператором исходя из категории персональных данных, их объема. Также определяется принадлежность информационной системы к типовым или специальным в зависимости от характеристик безопасности (требования конфиденциальности, целостности, доступности). К тому же на основе актуализированной модели угроз класс может быть пересмотрен.
Что касается программы 1С, то она сама по себе не классифицируется, так как может содержать совершенно различные данные, в том числе не относящиеся к персональной информации.

Согласно закону №-152 персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.
А исходя из порядка классификации информационных систем персональных данных, ИСПДн, в которых обрабатываются сведения о здоровье, должны быть отнесены к классу «К1, специальная».

Согласно Приказу №55/86/20 Об утверждении порядка проведения классификации ИСПДн, специальные информационные системы
— информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий). Такое определение вполне подходит под Ваше описание информационной системы.

Надо руководствоваться, в том числе, целями обработки. Перечень персональных данных работника присутствует в личной карточке работника по форме № Т-2, согласно этому документу, также должны указываться сведения о составе семьи. Можно порекомендовать определить объем ПДн, равный персональным данным в пределах конкретной организации, что позволит снизить класс ИСПДн.

Согласно документам ФСТЭК сначала проводится классификация информационных систем, а для специальных систем должна быть разработана модель угроз, на основании которой требования по защите ИСПДн могут быть скорректированы по сравнению с типовыми.
Модель угроз разрабатывается на основе документа ФСТЭК «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных» с применением «Методики определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных».

Банковскую систему практически невозможно отнести к типовой, поскольку в Приказе «трех» есть четкое определение типовой ИСПДн:
«Типовые информационные системы - информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных».
А если нужно обеспечить еще и защиту целостности данных, то это будет уже специальная система, независимо от категории обрабатываемых данных:
“Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий)”.
Сложно представить банковскую систему, данные которой не требовалось бы защищать от изменения, блокирования или уничтожения.

Помимо этого, в том же Приказе «трех» сказано:
«К специальным информационным системам должны быть отнесены:
информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;
информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы».
Если на основании персональных данных, обрабатываемых в Вашей банковской системе, принимаются указанные выше решения (например, отказ в выдаче кредита), то это также повод для объявления системы специальной.

Одни только ФИО не позволяют однозначно идентифицировать студента, так же как и одна комбинация шифр+курс+группа, поэтому по отдельности такие данные могли бы быть отнесены к 4 категории, как обезличенные персональные данные. Но всё вместе, ФИО + шифр + курс + группа (да еще и название ВУЗа явно где-то присутствует), позволяет однозначно определить студента. Наверняка именно для этого такая комбинация и используется. Так что это персональные данные 3 категории.

Такой набор данных можно было бы отнести к 4 категории персональных данных, то есть общедоступных, поскольку эти данные вывешиваются на всеобщее обозрение в виде списков около каждого деканата. Но формально для этого требуется письменное согласие от каждого студента на открытое размещение его ПДн в общедоступных местах (около деканата или на сайте).

В требованиях по обеспечению безопасности ПД при их обработке в ИСПДн есть четкий регламент – разные ИСПДн должны быть отделены друг от друга межсетевыми экранами. В случае если у Вас все базы данных находятся в одном сегменте сети, то они все будут являться подсистемами единой ИСПДн. И будут классифицироваться по максимальному классу ИСПДн, входящей в состав общей. Другими словами, если у Вас 2 базы данных (подсистемы), классифицированных по классу К2 ИСПДн, и одна – классифицированная по классу К1 ИСПДн, то и вся общая единая ИСПДн будет соответствовать классу К1 с соответствующими требованиями по защите.
С другой стороны, в федеральном законе №152 «О персональных данных» есть статья 5 «Принципы обработки персональных данных», один из которых звучит как
«недопустимость объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных». Соответственно, нужно определить цели создания Ваших баз данных и, если для отдельных баз они будут несовместимы, то придется производить сегментирование и отделять их друг от друга.

Такие данные можно отнести к персональным данным, если кроме ФИО представителя есть еще хоть какие-нибудь данные, облегчающие его идентификацию. Если Вы сможете доказать, что данные общедоступные (а обязанность доказывать это лежит на операторе ПД), то такая система будет классифицироваться как К4.

Такая система относится к ИСПДн класса К3 и требует точно такого же обращения, как и все остальные. Вам необходимо будет разработать нормативные документы, а также выполнить требования ФСТЭК по защите однопользовательской ИСПДн класса К3. Плюс, домашний ПК директора наверняка имеет выход в интернет, что требует также дополнительной защиты. Стоит обдумать вариант с бумажным ведением кадрового учета (хотя бы декларативно).

Ответ очень простой – К3. Это классическая типовая система, где Хпд=3, поскольку данные только идентифицируют личность, а Хнпд=2, т.к. количество обрабатываемых записей – от 1000 до 100000.

Как Вы понимаете, всё, что у нас есть – это Приказ ФСБ/ФСТЭК/МинСвязи от 13 февраля 2008 года N 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных». Весь вопрос в трактовке. Мы понимаем это так. Возьмем, к примеру, любую анкету. Идентифицировать субъекта можно по его ФИО + паспортные данные, или по ФИО+ адрес и год рождения (тогда это категория 3 ПДн). Все остальное, сведения об образовании, о местах работы, о размерах заработка, номера телефонов, других документов – все это дополнительная информация о субъекте (категория 2 ПДн). Иными словами мы подходим к вопросу категоризирования данных с точки зрения необходимости и достаточности. Если каких-то данных достаточно для идентификации субъекта и они остро необходимы для такой идентификации = категория 3. Всё, что идет сверху – дополнительная информация и категория 2.

Любую комбинацию типа ФИО + номер одного из указанных документов, я бы отнес к категории 3, поскольку такая комбинация во-первых - уникальна, а во-вторых – однозначно идентифицирует субъекта. Любой из этих номеров, конечно же, уникален, но без ФИО никак человека не идентифицирует. Для идентификации понадобится база данных, содержащая список таких номеров и привязанные к ним ФИО. А вот если комбинация будет ФИО+ номер + еще номер, то это уже 2 категория персональных данных.

Если данные касаются работников одного предприятия (организации), систему можно относить к типовым класса К3, поскольку целями обработки является идентификация работников и никакой дополнительной информации, кроме позволяющих определить нужное лицо и вступить с ним в контакт, в корпоративном телефонном справочнике нет.

Аттестация – один из видов подтверждения соответствия, и порядок ее проведения определяется специальным документом ФСТЭК, не предусматривающим выполнение этих работ никаким другими организациями, кроме имеющих специальную аккредитацию. Если у Вашей компании аккредитации в качестве органа по аттестации нет, выполнить ее Вы не можете. В то же время надо отметить, что в Приказе ФСТЭК от 05.02.2010 г. № 58 «ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ О МЕТОДАХ И СПОСОБАХ ЗАЩИТЫ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ» вообще не требует проведения аттестации или сертификации ИСПДн (любых классов)

Здесь нужно четко понимать, какой именно вид деятельности имеется ввиду. В самом крайнем случае потребуется получение всех указанных лицензий

Положение о лицензировании деятельности по технической защите конфиденциальной информации устанавливает требование наличия в штате соискателя лицензии специалистов, имеющих высшее профессиональное образование в области технической защиты информации либо высшее или среднее профессиональное (техническое) образование и прошедших переподготовку или повышение квалификации по вопросам технической защиты информации; из чего можно сделать вывод, что специалистов должно быть от двух человек и более.

С 15 марта 2010г в связи с вступлением в силу приказа ФСТЭК N 58 от 05.02.2010 г. «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных» аттестация более не входит в число обязательных процедур.

Этот вопрос надо отразить в аттестате соответствия, оговорив, какие случаи внесения изменений требуют дополнительных исследований и испытаний, а какие - нет

Нет, такого требования в законе нет. Вот если компания захочет встраивать в свою программу механизмы защиты информации, требования к которым выдвигаются ФСТЭК, а затем сертифицировать такую программу, лицензия понадобится.

1) Лицензию получать нужно. п.2 ст.1 ФЗ № 128 говорит лишь о том, что порядок лицензирования деятельности на рынке ценных бумаг определяется не этим, а другим законом. А лицензирование деятельности по техзащите конфиденциальной информации касается всех организаций, независимо от видов их основной деятельности.
2) Да
3) Нет

Обязательному лицензированию, в соответствии со ст.17 ФЗ-128 «О лицензировании отдельных видов деятельности», подлежит, помимо всего:
• предоставление услуг в области шифрования информации (ФСБ);
• деятельность по распространению шифровальных (криптографических) средств (ФСБ);
• деятельность по техническому обслуживанию шифровальных (криптографических) средств (ФСБ);
• деятельность по технической защите конфиденциальной информации (ФСТЭК);

А в соответствии с п.2 Постановления Правительства РФ №504 «О лицензировании деятельности по технической защите конфиденциальной информации»:
«Под технической защитой конфиденциальной информации понимается комплекс мероприятий и (или) услуг по ее защите от несанкционированного доступа, в том числе и по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней.»
Таким образом, если Вы защищаете с помощью VPN информацию, отнесенную к конфиденциальной, то Вы осуществляете деятельность по технической защите конфиденциальной информации, подлежащую лицензированию ФСТЭК.
Что касается лицензий в области шифрования, то тут нужно разбираться с условиями предоставления Вами услуги по шифрованию канала, с регламентом обслуживания Вами криптографических средств, с длиной ключа шифрования и т.п. В самом серьезном случае Вам могут понадобиться все три указанных лицензии ФСБ.

Если система охранного видеонаблюдения ведет исключительно запись изображения на объекте, никак не идентифицируя людей на этих записях и не привязана к какой-либо информационной системе, в которой хранятся данные о людях на записи, то к персональным данным такие записи не относятся. И, соответственно, ПО системы видеонаблюдения не обязано отвечать требованиям ФСТЭК к средствам защиты информации в ИСПДн.

Если есть привязка к спискам посетителей и возможность идентификации, то тогда это будет относиться к персональным данным и система видеонаблюдения должна быть сертифицирована на отсутствие НДВ в случае отнесения ИСПДн к классу к1.

Может, но только в том случае, если он аккредитован во ФСТЭК в качестве аттестационного органа.

В связи с отменой с 15 марта 2010г соответствующих документов ФСТЭК данный вопрос теряет актуальность.

Если персональные данные вводятся на Вашем личном компьютере, то их обработка попадает под определение обработки персональных данных физическими лицами исключительно для личных и семейных нужд, и, если при этом не нарушаются права субъектов персональных данных, действия ФЗ на такую обработку не распространяются.
Если же речь идет об удаленном пользователе ИСПДн, на такой компьютер распространяются все требования законодательства.

Это не моя логика, это логика законодательства. На мой взгляд, в нормативных документах ФСТЭК для обладателей нераспределенных ИСПДн третьего класса сделаны некоторые послабления, связанные как с размером ущерба от неправомерных действий с персданными, так и с количеством операторов, эксплуатирующих подобные системы. В разумные сроки всем им лицензировать свою деятельность просто нереально.

Фраза в законе о кредитных организациях означает, что лицензирование основной деятельности банков регулируется не этим законом, а другим (О банках и банковской деятельности). Такие исключения есть и по другим направлениям – связь, защиты гостайны и др. А в части технической защиты для всех отраслей правила одинаковы и определяются ФЗ «О лицензировании отдельных видов деятельности».

Можем порекомендовать такой способ. Данные по уволенным сотрудникам перенести в архивное хранение, тем самым выведя их из под действия закона о персональных данных. В таком варианте можно будет снизить класс системы до к3.

Согласно ФЗ-152 обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных (соискателей). Также операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных.

Именно так. Можно еще сказать, что согласие является недействительным, так как не соответствует требованиям закона. Стоит отметить, что согласно ст.9 закона о персональных данных субъект дает согласие на обработку своей волей и в своем интересе, но обязанность предоставить доказательство получения согласия субъекта возлагается на оператора.

Сведения о сотрудниках организации содержатся в личной карточке по форме № Т-2, утвержденной Госкомстатом РФ. Эта форма, в том числе, предусматривает наличие сведений о родственниках сотрудника.
Мы считаем, что обрабатываемые в кадровой системе данные о родственниках не переводит ИСПДн в класс К2.

Согласие работника не требуется исходя из того, что в данном случае обработка персональных данных осуществляется в целях исполнения трудового договора в соответствии с п.2 ст.6 Закона №152-ФЗ «О персональных данных» и ст.88 гл.14 ТК РФ.

Можно, в том случае, если студенты – платные, и у ВУЗа есть договор на обучение (т.е. сведения получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных) или если обработка персданных – не автоматизированная (данные обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных – обработка ведется в соответствии с Законом об образовании)

Самым простым решением будет включение в договор об оказании услуг специального пункта, описывающего процедуру обработки персданных с выражение согласия клиента на такую обработку.
К сожалению, способов получения согласия клиентов на обработку персданных при заключении договоров публичной оферты закон не предусматривает. Как в этом случае оператор может подтвердить наличие согласия, пока неизвестно

Сведения о личности, составляющие государственную тайну, существуют. Это персональные данные определенных категорий государственных служащих, ученых, работающих по закрытой тематике, некоторых сотрудников правоохранительных органов, органов, осуществляющих разведывательную и контрразведывательную деятельность и др.

Если Вы обратили внимание, на последней церемонии вручения Государственных премий Российской Федерации 12 июня с.г., имя одного из лауреатов названо не было, и именно по этой причине. То же самое было и в прошлом году – один из лауреатов Госпремии в области науки и технологии остался неназванным. Как сказал президент РАН Юрий Осипов на церемонии объявления Госпремий: "Его имя закрыто, поскольку закрыты его исследования".

Не смотря на то, что действия по размещения биометрических персональных данных выполняются самим субъектом, оператор в дальнейшем производит их обработку (хранение, удаление в случае увольнения и т.п.) и организует к ним доступ. Поэтому, если к требованиям закона подходить строго формально, письменное согласие субъекта все равно нужно

Вы сами ответили на свой вопрос. Раз в данном случае Вы являетесь операторами ПД, обрабатываете ПД не своих сотрудников, и не являетесь оператором связи, то в случае автоматизированной обработки таких ПД Вы обязаны уведомить Роскомнадзор об обработке. Под использованием средств автоматизации подразумевается, в основном, компьютерная обработка. Нюансы есть, но они незначительны. Если Вы храните базу своих клиентов на компьютере (например в электронной таблице или бухгалтерской программе), или, например, в записной книжке своего рабочего сотового телефона, то это уже является автоматизированной обработкой персональных данных и подлежит уведомлению Роскомнадзора. Без использования средств автоматизации – на бумаге. В журналах, заполняемых от руки, в рукописных списках.
Необходимость уведомления об обработке ПД, в Вашем случае, также будет зависеть от того, в каком объеме ПД представителей юр.лиц Вы запрашиваете и каких именно представителей. Например, если запрашиваются данные руководителя, учредителя или глав.бухгалтера юр.лица, то эти данные являются общедоступными (т.к. они содержатся в едином государственном реестре юр.лиц) и, в этом случае, можно ПД обрабатывать без уведомления (п. 4 ст.22 ФЗ О персональных данных).

Посторонними считаются лица, не имеющие права постоянного или разового входа в помещение. Поэтому больные, конечно, могут присутствовать при обработке персональных данных в кабинете врача. А вот оставлять включенными (незаблокированными) компьютеры при выходе из помещений персонала, конечно, нельзя.

К сожалению, вопрос использования вэб-форм для сбора персональных данных российским законодательством никак не регулируется. В соответствии с частью 3 ст.9 Федерального закона «Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных, …, возлагается на оператора». При заполнении сведений на сайте доказать, что это делал субъект «своей волей и в своем интересе», а не кто-то другой от его имени, скорее всего, не удастся. Вопрос требует разрешения в законодательном или подзаконном правовом акте. А пока, к сожалению, Вы можете это делать только на свой страх и риск.

Письменное согласие субъекта требуется только в конкретных, предусмотренных законом случаях. Допуск на территорию к ним не относится. Предоставляя свои данные, а тем более, документы, необходимые для получения разового пропуска, субъект выражает согласие на их обработку.

Должен Вас огорчить. По мнению специалистов, цифровое фото относится к биометрическим персональным данным.
Такие данные (цитирую закон) "могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных".
Это и есть ответ на Ваш вопрос – надо получить письменное согласие работника по форме, установленной ст.9 ФЗ.
С точки зрения защиты – надо выполнить все требования Постановления Правительства 781-2007 г. и документов ФСТЭК по безопасности обработки персданных.

Для этого согласие не нужно. В соответствии с частью 2 ст.6 ФЗ «О персональных данных», «Согласие субъекта персональных данных, предусмотренное частью 1 настоящей статьи, не требуется в следующих случаях:
1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
В данном случае в наличии и закон (ТК РФ), и договор (трудовой) с субъектом. См. ст.85 Трудового кодекса: «Персональные данные работника - информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника».
То же самое касается и передачи – в налоговую инспекцию, государственный пенсионный фонд, ФОМС данные передаются по соответствующим законам.
А вот на передачу в страховую компанию в системе добровольного страхования иди в негосударственный пенсионный фонд согласие, если подходить строго, уже нужно получать.

БД СНИЛС - История болезни, если в последней нет ФИО пациента, т.е. обезличенные ПД. Система специальная, класса К4.
БД ФИО – СНИЛС - категория 3, класс – от количества записей. Боюсь, однако, что только ФИО не хватит, будут полные тезки-однофамильцы.
Но проблема остается – рабочие станции врачей, где данные баз сводятся. У них – система специальная, класса К1.

Простого ответа на этот вопрос нет. Какие-то документы могут быть общими для обеих систем, например, положение об обработке данных и их защите, например. А остальное зависит от того. Как Вы организуете защиту. Если вашу ИС Вы рассматриваете как единую систему, ей должен быть присвоен высший класс ИСПДн (в данном случае – К2), и все мероприятия, в том числе – разработка нормодоков, могут выполняться для единой системы. Если Вы рассматриваете эти системы как две разные, независимые, они должны быть разделены сертифицированными межсетевыми экранами, и защищаться могут по-разному, в зависимости от класса. Тогда у Вас будет два акта классификации, две модели угроз, два описания системы защиты и т.п.

Действительно, деятельность по разработке и (или) производству средств защиты конфиденциальной информации, осуществляемая юридическими лицами и индивидуальными предпринимателями, является лицензируемой (п.10 ст.17 ФЗ «О лицензировании отдельных видов деятельности»). Порядок получения лицензий установлен постановлением Правительства Российской Федерации от 31 августа 2006 г. № 532. Поскольку Ваше ПО реализует функции защиты информации в соответствии с требованиями, установленными ФСТЭК России, что предполагается подтвердить соответствующим сертификатом, лицензия нужна. Альтернативным вариантом является кооперация с лицензиатом ФСТЭК, который взял бы на себя часть работ, связанных с реализацией в продукте требований безопасности.
Если партнеры будут проектировать информационные системы и внедрять продукты, решая при этом вопросы защиты конфиденциальных сведений, лицензия на ТЗКИ нужна и им. Если же защита конфиденциальных сведений в проектируемой системе в состав работ не входит, можно обойтись и без лицензии.

СКЗИ являются одним из средств, если невозможно обеспечить защиту ПДн другими средствами, то нужно использовать криптографию, например, шифровать трафик в открытом канале.

Надо строить модель нарушителя в соответствии с методическими документами ФСБ, и в зависимости от модели и возможностей нарушителя принимать решение о необходимости шифрования.
При этом необходимо учитывать требование п.8. того же Постановления Правительства РФ № 781:
«Размещение информационных систем, специальное оборудование и охрана помещений, в которых ведется работа с персональными данными, организация режима обеспечения безопасности в этих помещениях должны обеспечивать сохранность носителей персональных данных и средств защиты информации, а также исключать возможность неконтролируемого проникновения или пребывания в этих помещениях посторонних лиц».

Поскольку, например, для ноутбука, используемого вне периметра безопасности сети, эти требования выполнить нельзя, остается одно - шифровать диск с персональными данными.

Законодательство определяет исчерпывающий перечень случаев, когда граждане обязаны представляться и называть свою фамилию, иногда – имя и должность (например, военнослужащие при обращении друг к другу или сотрудники милиции – при обращении к гражданам), а также случае, когда представляются персональные данные в более полном объеме (прием на работу, оказание услуг и другие). Во всех остальных случаях гражданин сам принимает решение, представляться ему или нет. Заставить его это сделать нельзя (кроме опять-таки оговоренных выше случаев). В тоже время относить ФИЛО к категории личной тайнфы я бы не стал – какая же это тайна, если вы раскрываете ее на каждом шагу?

Да, согласно статье 8 закона о персональных данных в целях информационного обеспечения могут создаваться общедоступные источники персональных данных. Вопрос в том, готовы ли будут дать свое согласие субъекты персональных данных.

В соответствии с законом, персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация. Поэтому свободное распространение персональных данных возможно при отнесении их к категории общедоступных, с согласия субъекта, или в случае обезличивания данных.

Для определения актуальных угроз нужно воспользоваться документом ФСТЭК «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных». Также стоит ознакомиться с документом «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных». С этих документов не так давно был снят гриф «Для служебного пользования» и Вы можете найти их в разделе "Законодательство" на нашем сайте («Базовая модель» доступна пока в виде выписки, в которой отсутствует информация по ПЭМИН).

Использовать электронные архивы легитимно при условии адекватной защиты персональных данных, хранящихся в электронной базе данных. Также при передаче персональных данных на хранение или обработку в третью организацию должны быть получены гарантии обеспечения конфиденциальности информации от этой организации.

Успеваемость студентов относится к персональным данным и размещать их в открытом доступе нельзя, но возможно организовать доступ с использованием персонального логина и пароля.

Под объемом обрабатываемых персональных данных понимается количество субъектов персональных данных, персональные данные которых обрабатываются в информационной системе. Проверить можно по количеству записей в базе данных, содержащей ПДн.

Вы написали, что «оператор ПДн не обеспечивает техническую защиту ПДн…, а только эксплуатирует ИСПДн и поддерживает ее штатное функционирование.»
Но в соответствии с требованиями Постановления Правительства Российской Федерации от 16 августа 2006 г №504 «О лицензировании деятельности по технической защите конфиденциальной информации», «под технической защитой конфиденциальной информации понимается комплекс мероприятий и (или) услуг по ее защите от несанкционированного доступа, в том числе и по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней.»
Здесь ключевая фраза – «комплекс мероприятий и (или) услуг». Эксплуатация и поддержка также являются деятельностью по ТЗКИ, следовательно, получать лицензию необходимо.

Ответственность за обеспечение безопасности обработки персональных данных возлагается на оператора-владельца ИСПДн или уполномоченное лицо, обрабатывающее персональные данные в интересах оператора. В этом случае требования обеспечения безопасности должны быть отражены в договоре между оператором и уполномоченным лицом.

Да, безусловно, все это – персональные данные.

В соответствии с п.2 «Порядка проведения классификации ИСПДн» Оператор может и должен сделать это самостоятельно.
Сертифицированные специалисты могут только помочь советом и опытом, но акт классификации должен быть подписан руководителем юридического лица.

Начнем с того, что в кадровой системе Вашей компании хранятся, скорее всего, ПДн сотрудников исключительно Вашей компании. Другими словами ПДн субъектов в пределах одной организации. Тогда неважно, что сотрудников больше 1000, объем обрабатываемых данных все равно будет иметь значение Xнпд=3.
Категория обрабатываемых данных в кадровой системе Xпд=2, что в итоге дает класс ИСПДн равный К3.
Согласно указанной статье ФЗ, Вы имеете право не уведомлять Роскомнадзор об обработке ПДн сотрудников Вашей организации, но это не снимает с Вас обязанностей по защите этих ПДн и по получению лицензии на техническую защиту конфиденциальной информации.

Определить типовая ли система или специальная, а также грамотно ее классифицировать можно с помощью «Порядка проведения классификации ИСПДн», утвержденного совместным Приказом Минсвязи, ФСТЭК и ФСБ №55/86/20 от 13 февраля 2008 года. Класс кадровой ИСПДн сильно зависит от состава обрабатываемых персональных данных, от субъектов, чьи данные обрабатываются в ИСПДн (только штатные сотрудники или еще и фрилансеры, студенты, аутсорсеры), а также от объема (количества субъектов ПДн в базе). Например, если в Вашей ИСПДн обрабатывается более 1000 записей различных категорий сотрудников (не только штатных), то система скорее всего будет классифицироваться как ИСПДн 2 класса и появится требование к ее аттестации.
Проводить аттестационные испытания могут только специальные компании, аккредитованные ФСТЭК. Судя по списку на сайте ФСТЭК, такие компании в Новосибирске есть.
Стоимость сильно зависит от множества переменных и может быть рассчитана только на основании подробной информации о количестве и составе информационных систем, обрабатывающих ПД в Вашей организации.

Если речь идет о доверенности на сотрудников Вашей организации, то дополнительное согласие не нужно. Если же речь идет о третьих лицах, то в случае автоматизированной обработки данных, содержащихся в доверенности (хранение списков получателей в базе на компьютере и т.п.), согласие необходимо получать. Причем удобнее это сделать отдельным документом.

Да, безусловно, все требования закона в полной мере распространяются и на Вашу организацию. Вопрос о классе системы можно решить только после детального анализа ИСПДн, количества обрабатываемых там записей и раскрытия того, что скрывается за «И т.д.». Очевидно, что речь идет как минимум о категории 2 персональных данных (идентифицирующие субъекта и позволяющие получить о нем дополнительную информацию), в зависимости от количества записей класс системы может быть любой от первого до третьего (но точно не четвертый), а в зависимости от того, что скрывается за «и т.д.» и какие требования Вы предъявляете к информационной системе, она может быть типовой или специальной.

Если исходить из требований ФЗ-152 «О персональных данных» (ст.14), то Вы обязаны предоставить информацию об обрабатываемых Вами персональных данных только субъекту этих данных, либо его законному представителю. Более того, в предоставленных Субъекту данных не должно содержаться персональных данных, относящихся к другим субъектам.
В той же статье указано, что запрос на предоставление таких данных должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе, и собственноручную подпись субъекта персональных данных или его законного представителя.
Тем более, как коммерческая компания, вы не обладаете полномочиями ЗАГС по определению родственных связей и не можете свидетельствовать об этом.

Специального разрешения на пересылку СНИЛС в законодательстве нет. Если по открытым каналам связи будет пересылаться исключительно страховой номер (СНИЛС), а не содержимое лицевого счета, то к персональным данным отнести его будет невозможно.
Если же речь идет о СНИЛС + содержимое лицевых счетов, то согласно Федеральному закону от 01.04.1996 N 27-ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования" (ст. 6, п. 8), все сведения, содержащиеся в индивидуальных лицевых счетах застрахованных лиц, относятся к категории конфиденциальной информации в соответствии с законодательством Российской Федерации.

В действующем законодательстве нет прямых указаний на то, что принцип открытости судебного разбирательства распространяется на возможность опубликования ПДн без согласия субъекта. Зато есть ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации» от 22.12.2008 №262-ФЗ, вступающий в силу 01.07.2010, в котором сказано (ст.5), что «Доступ к информации о деятельности судов ограничивается, если указанная информация отнесена в установленном федеральным законом порядке к сведениям, составляющим государственную или иную охраняемую законом тайну». Персональные данные относятся к охраняемой законом тайне. В том же законе, есть статья 15 (Особенности размещения в сети Интернет текстов судебных актов), в которой четко сказано, что «3. При размещении в сети Интернет текстов судебных актов, вынесенных судами общей юрисдикции, за исключением текстов судебных актов, подлежащих в соответствии с законом опубликованию, в целях обеспечения безопасности участников судебного процесса из указанных актов исключаются персональные данные, <…>. Вместо исключенных персональных данных используются инициалы, псевдонимы или другие обозначения, не позволяющие идентифицировать участников судебного процесса.».

Далее, ст. 65 Федерального закона № 229-ФЗ от 02.10.2007 «Об исполнительном производстве» гласит:
«1. В случае отсутствия сведений о месте нахождения должника по исполнительным документам, содержащим требования <…> о взыскании алиментов, <…> судебный пристав-исполнитель по своей инициативе или по заявлению взыскателя выносит постановление о розыске должника, которое утверждается старшим судебным приставом. <…>
3. В случаях, предусмотренных частью 1 настоящей статьи, розыск должника-гражданина и розыск ребенка осуществляются органами внутренних дел. <…>».
Таким образом, розыск должников-граждан является компетенцией органов внутренних дел, а не службы судебных приставов.

В свою очередь, ст. 5 ФЗ «Об оперативно-розыскной деятельности» от 12.08.1995 №144-ФЗ гласит:
«Органам (должностным лицам), осуществляющим оперативно-розыскную деятельность, запрещается:
разглашать сведения, которые затрагивают неприкосновенность частной жизни, личную и семейную тайну, честь и доброе имя граждан и которые стали известными в процессе проведения оперативно-розыскных мероприятий, без согласия граждан, за исключением случаев, предусмотренных федеральными законами».

Ну и в заключение, в Федеральном Законе 118-ФЗ «О судебных приставах» есть статья 13 «Судебный пристав обязан использовать предоставленные ему права в соответствии с законом и не допускать в своей деятельности ущемления прав и законных интересов граждан и организаций».

На основании вышесказанного, мы полагаем, что публиковать сведения о неплательщиках алиментов на сайте службы судебных приставов без согласия субъектов ПДн (этих самых неплательщиков), нельзя.

В «Методике определения актуальных угроз…», касательно оценки опасности угроз написано (в нашем экземпляре на стр.11, а на стр. 10 идет оценка вероятности реализации угрозы), «При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения: низкая опасность…., средняя опасность…., высокая опасность….» в зависимости от возможного наступления негативных последствий для субъекта ПД. Таким образом, единственный способ не заблудиться в собственном субъективизме – не полагаться на мнение только одного человека, а проводить оценку коллегиально.

Можно дополнительно посоветовать от себя, обратить внимание на объем обрабатываемых ПДн и на их категорию. Если забыть на время, что система специальная, а по табличке категория/объем вычислить класс аналогичной типовой системы, то станет ясно, какой максимальный уровень опасности может быть у реализации угрозы такой ИСПДн. Например, Ваша специальная ИСПДн обрабатывает персональные данные 2 категории до 1000 записей (или только ПД сотрудников Вашей организации). Согласно Порядку классификации ИСПДн, типовая система, обрабатывающая такие данные в таком объеме классифицировалась бы по классу К3. А по определению в том же Порядке классификации «класс 3 (К3) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных». Если провести параллель на степень опасности для специальной ИСПДн, то в виду незначительных негативных последствий для субъектов ПД, то показатель опасности угрозы для ИСПДн в модели угроз такой специальной системы (категория данных 2, объем данных 3) не может быть выше «низкая опасность».

Нет, новый приказ ФСТЭК вообще не требует проведения аттестации ИСПДн (независимо от ее класса)

Как Вы правильно заметили, ограничение доступа к информации возможно только на основании федерального закона. Вы, конечно, можете поставить на документ гриф «конфиденциально» и ввести внутренний распорядок, но в таком случае ответственность за нарушение конфиденциальности может быть только дисциплинарной.

Правильно понимаете. Не могут по п.5 ст.5. Даже если изворачиваться и пытаться сузить понятие «система оплаты», выводя из него конкретные механизмы стимулирования и заложенные в них цифры, все равно отнести к КТ нельзя уже хотя бы потому, что Вы обязаны при приеме на работу знакомить кандидата с системой оплаты труда и стимулирования, при этом, не находясь с ним в трудовых отношениях, не можете требовать соблюдения конфиденциальности.
К персданным эти сведения нельзя относить точно, поскольку система стимулирования не связана с конкретной личностью, а закон говорит именно о физлице и личности.

Ситуация достаточно простая. Сведения о личных доходах, безусловно, являются конфиденциальной информацией. В совокупности с ФИО (с должностью, названием предприятия и даже без них) они вполне могут быть отнесены к персональным данным.
Теоретически они могут составлять и коммерческую тайну (прямого запрета в законах нет, за исключением некоммерческих и благотворительных организаций), но возникает проблема, о которой я говорил на курсах – возможность обращения с этими сведениями в режиме коммерческой тайны весьма сомнительна, поскольку каждый работник может получить на руки форму 2НДФЛ (сведения о налогооблагаемых доходах физических лиц) и делать с этой справкой что угодно, самостоятельно предоставляя ее кому угодно и как угодно. Т.е. режимные требования закона об учете передачи КТ третьим лицам выполнить невозможно. В тоже время обобщенные сведения о доходах персонала (по подразделениям, в целом по предприятию вполне могут быть отнесены к КТ, и, соответственно, передаваться в органы власти и другие организации (в частности, в налоговую инспекцию, пенсионный фонд) именно в режиме коммерческой тайны.
Вывод – по каждому работнику охранять в режиме защиты персданных, обобщенные – в режиме КТ (если надо и хочется)

Однозначный ответ на Ваш вопрос дает ст.12 ФЗ «О коммерческой тайне»:
1. Отношения между обладателем информации, составляющей коммерческую тайну, и его контрагентом в части, касающейся охраны конфиденциальности информации, регулируются законом и договором.
2. В договоре должны быть определены условия охраны конфиденциальности информации, в том числе в случае реорганизации или ликвидации одной из сторон договора в соответствии с гражданским законодательством, а также обязанность контрагента по возмещению убытков при разглашении им этой информации вопреки договору.
3. В случае, если иное не установлено договором между обладателем информации, составляющей коммерческую тайну, и контрагентом, контрагент в соответствии с законодательством Российской Федерации самостоятельно определяет способы защиты информации, составляющей коммерческую тайну, переданной ему по договору.
4. Контрагент обязан незамедлительно сообщить обладателю информации, составляющей коммерческую тайну, о допущенном контрагентом либо ставшем ему известном факте разглашения или угрозы разглашения, незаконном получении или незаконном использовании информации, составляющей коммерческую тайну, третьими лицами.
5. Обладатель информации, составляющей коммерческую тайну, переданной им контрагенту, до окончания срока действия договора не может разглашать информацию, составляющую коммерческую тайну, а также в одностороннем порядке прекращать охрану ее конфиденциальности, если иное не установлено договором.
6. Сторона, не обеспечившая в соответствии с условиями договора охраны конфиденциальности информации, переданной по договору, обязана возместить другой стороне убытки, если иное не предусмотрено договором.
Это означает:
1. Что контрагент не обязан устанавливать у себя режим коммерческой тайны.
Передать информацию можно только на основании гражданско-правового договора.
2. Что все вопросы, которые Вас волнуют, как обладателя, Вы должны отразить в этом гражданско-правовом договоре о передаче КТ (как хранить, можете ли Вы контролировать, можно ли множить носители и как, как допускать персонал контрагента, какова ответственность – по убыткам или штраф и т.п.)

Внесение положения о КТ в Устав не требуется, т.к. этот вид деятельности специально не регулируется (в отличии, скажем, от защиты гостайны, на что нужна специальная лицензия ФСБ), а российское законодательство носит разрешительный и открытый характер – предприятие вправе заниматься любым видом деятельности, если это не запрещено законом или не требует специального разрешения.
Вопрос о лицензии на техническую защиту конфиденциальной информации, на мой взгляд, на этот вопрос также не влияет.
Во всяком случае, ни в одном известном мне предприятии, где режим КТ вводился, в устав изменения не вносили.

В соответствии с общепринятой практикой делопроизводства, на документе проставляется гриф по максимуму, т.е. если есть КТ в тексте, то на весь документ – КТ. Единственный выход – выделять существенные части с конфиденциальной информацией в отдельные документы или приложения и грифовать только их, а не весь документ.

Согласно ст.1470 ГК РФ «гражданин, которому в связи с выполнением своих трудовых обязанностей или конкретного задания работодателя стал известен секрет производства, обязан сохранять конфиденциальность полученных сведений до прекращения действия исключительного права на секрет производства».
Мера уголовной ответственности устанавливается ст.183 УК РФ и предусматривает, в зависимости от степени вины и причиненного ущерба, наложение штрафа, лишение права заниматься определенной деятельностью либо лишение свободы на срок до десяти лет.

Если под словами «под роспись» понимается просто подпись в журнале без всяких обязательств охранять КТ в преамбуле, а также в трудовом договоре или должностной инструкции этого сотрудника отсутствует обязанность сохранять конфиденциальность коммерческой тайны, то административной или дисциплинарной ответственности в данном случае быть не может – отсутствует состав нарушения (ст.14, п. 4 закона «О коммерческой тайне»).
Зато ответственность падает на сотрудника, который допустил разглашение КТ человеку, не включенному в режим коммерческой тайны и не дававший обязательства сохранять ее конфиденциальность. К нему может быть применена дисциплинарная ответственность (ст.14, п.2 закона «О коммерческой тайне»).

Обязательно – в штатном расписании, в том разделе, где оговариваются надбавки (за гостайну, ненормированный рабочий день и т.п), обязательно - в каждом конкретном трудовом договоре. Если надбавка - в виде премии, а не процента к окладу – в положении о премировании. Как общий подход – в положении о КТ (или аналогичном документе) – «Работники, на регулярной основе работающие с информацией, составляющей КТ, получают надбавку к окладу в размере … (или премию…)»

Номенклатура всегда составляется без фамилий, только из должностей. И по мере занятия конкретным работником должности он автоматически допускается к КТ после заключение ТД или дополнения к нему (после ознакомления с перечнем, правилами, ответственностью и решения остальных процедурных вопросов). Естественно, соответствующий ТД (дополнение) должны быть со всеми назначаемыми на должности, входящие в номенклатуру.

Очень просто – вписать в должностные обязанности работу с КТ и соблюдение режима (изменение трудовых обязанностей в связи с установлением нового режима, ведением нового вида деятельности – вещь обычная и допустимая). Перед тем, кто подписывать не может – ставить вопрос о возможности выполнения своих обязанностей, увязать с требованиями по контролю, пригрозить изъятием компьютера и телефона в связи с отказом выполнять внутренний распорядок.
Использовать ст.47 ТК, где есть прямое допущение включение в ТД обязанностей по КТ.

С новыми работника соглашения надо заключать сразу с разделом по КТ (конфиденциальности). С теми, с кем уже были – заключать допсоглашения, т.к. оснований для перезаключения бессрочного ТД нет, ввод режима – не основание. Кроме того, для того, чтобы перезаключить, надо расторгнуть имеющийся, бессрочный, а это – серьезные риски и проблемы. Поэтому – только допсоглашение.
Заключать со всеми, кроме тех, кому КТ ни при каких обстоятельствах не может стать известной В СИЛУ ВЫПОЛНЕНИЯ ИМИ ТРУДОВЫХ ОБЯЗАННОСТЕЙ (уборщиц, грузчиков, водителей и т.п.). На случай случайного доступа трудовой договор не нужен, т.к это не выполнение обязанностей, а форс-мажор. Там другие механизмы воздействия (см.закон).

Ситуация достаточно простая. Сведения о личных доходах, безусловно, являются конфиденциальной информацией. В совокупности с ФИО (с должностью, названием предприятия и даже без них) они вполне могут быть отнесены к персональным данным. Теоретически они могут составлять и коммерческую тайну (прямого запрета в законах нет, за исключением некоммерческих и благотворительных организаций), но возникает проблема, о которой я говорил на курсах – возможность обращения с этими сведениями в режиме коммерческой тайны весьма сомнительна, поскольку каждый работник может получить на руки форму 2НДФЛ (сведения о налогооблагаемых доходах физических лиц) и делать с этой справкой что угодно, самостоятельно предоставляя ее кому угодно и как угодно. Т.е. режимные требования закона об учете передачи КТ третьим лицам выполнить невозможно. В тоже время обобщенные сведения о доходах персонала (по подразделениям, в целом по предприятию вполне могут быть отнесены к КТ, и, соответственно, передаваться в органы власти и другие организации (в частности, в налоговую инспекцию, пенсионный фонд) именно в режиме коммерческой тайны. Вывод – по каждому работнику охранять в режиме защиты персданных, обобщенные – в режиме КТ (если надо и хочется)

В данный момент понятие служебной тайны в законодательстве четко не определено. Существует проект федерального закона «О служебной тайне», в котором говорится, в том числе, об основных положениях по организации системы защиты служебной тайны. Но повторюсь – это лишь законопроект, и пока закон «О служебной тайне» не подписан Президентом РФ, говорить о конкретных мерах защиты преждевременно.