Вопросы приобретения средств защиты персональных данных в соответствии с Федеральным Законом №152 "О персональных данных"

Согласно требованиям указанного Федерального закона (ФЗ), а также согласно Постановлению Правительства РФ 17.11.07г. N 781, вопросы защиты персональных данных возложены на ФСТЭК России и ФСБ России. Согласно требованиям нормативных документов ФСТЭК России, использование сертифицированных средств защиты информации обязательно во всех информационных системах обработки персональных данных (ИСПДн) с 1 по 3 класс, включительно (т.е. на всех рабочих станциях и серверах, на которых происходит обработка персональных данных). Все компании, обрабатывающие персональные данные, обязаны подать уведомление в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своем намерении осуществлять обработку персональных данных с использованием средств автоматизации.

Уведомление об обработке персональных данных и, соответственно, использование сертифицированных средств защиты информации НЕ ОБЯЗАТЕЛЬНО в случае:

• защиты персональных данных субъектов, с которыми у оператора имеются трудовые отношения (например, кадровый отдел в рамках одного юридического лица);
• данные используются для выполнения договора с Субъектом персональных данных; (например, Договора оказания услуг и др.);
• персональные данные являются обезличенными (то есть отсутствует возможность точно идентифицировать субъекта персональных данных, например вес, рост, дата рождения и др. параметры, не привязанные к каким-либо уникальным идентификаторам (паспорт, ИНН и др.));
• персональные данные являются общедоступными (то есть данные, которые определены общедоступными данным или другими законами, например данные о кандидатах на выборные должности и др.)

Согласно указанному ФЗ ИСПДн, созданные до дня вступления в силу ФЗ, должны быть приведены в соответствие с требованиями ФЗ не позднее 1 января 2010 года. Для ИСПДн, созданных после вступления в силу указанного ФЗ, должно быть обеспечено их соответствие требованиям ФЗ с момента введения их в эксплуатацию.

Изменения в новой редакции закона! от 27.12.2009 N 363-ФЗ

Информационные системы персональных данных, созданные до 1 января 2010 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2011 года.