Файл: Российское законодательство по информационной безопасности и безопасности сетей (Ограничение доступа к информации, конфиденциальность и защита информации).pdf

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается только в следующих случаях:

1. субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
2. персональные данные сделаны общедоступными субъектом персональных данных;
3. обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
4. обработка персональных данных осуществляется в соответствии с Федеральным законом “О Всероссийской переписи населения”;
5. обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации;
6. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;
7. обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
8. обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
9. обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия;
10. обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-розыскной деятельности, об исполнительном производстве, уголовно-исполнительным законодательством Российской Федерации;
11. обработка полученных в установленных законодательством Российской Федерации случаях персональных данных осуществляется органами прокуратуры в связи с осуществлением ими прокурорского надзора;
12. обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;
13. обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации, государственными органами, муниципальными органами или организациями в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан;
14. обработка персональных данных осуществляется в соответствии с законодательством о гражданстве Российской Федерации.

---

Обработка Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Обработка биометрических персональных данных (данных, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) может осуществляться только в случаях

1. наличия согласия в письменной форме субъекта персональных данных;
2. реализации международных договоров Российской Федерации о реадмиссии;
3. осуществления правосудия и исполнения судебных актов;
4. в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-розыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию, о гражданстве Российской Федерации.

Трансграничная передача персональных данных по умолчанию разрешается только в отношении иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, а также иных иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Перечень иностранных государств, не являющихся сторонами Конвенции и обеспечивающих адекватную защиту прав субъектов персональных данных, составляется и публикуется Роскомнадзором.

Оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных, до начала осуществления трансграничной передачи персональных данных.

Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:

1. наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных;
2. предусмотренных международными договорами Российской Федерации;
3. предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя Российской Федерации, обеспечения обороны страны и безопасности государства, а также обеспечения безопасности устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства;
4. исполнения договора, стороной которого является субъект персональных данных;
5. защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.

---

Отдельно стоит отметить требования, распространяющиеся на сбор персональных данных, в том числе посредством Интернета. В этом случае оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (требование о локализации данных).

Данное требование не распространяется на обработку персональных данных в следующих случаях:

1. обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
2. обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
3. обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
4. обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных.

Также требуется особое согласие субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации; при принятии решений на основании исключительно автоматизированной обработки их персональных данных.

В Уголовном кодексе России содержатся следующие составы преступлений, которые можно отнести к киберпреступности:

• неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации (Под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи)
• создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации;
• нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации либо информационно-телекоммуникационных сетей и оконечного оборудования, а также правил доступа к информационно-телекоммуникационным сетям, повлекшее уничтожение, блокирование, модификацию либо копирование компьютерной информации, причинившее крупный ущерб
• мошенничество в сфере компьютерной информации, то есть хищение чужого имущества или приобретение права на чужое имущество путем ввода, удаления, блокирования, модификации компьютерной информации либо иного вмешательства в функционирование средств хранения, обработки или передачи компьютерной информации или информационно-телекоммуникационных сетей
• мошенничество с использованием платежных карт, то есть хищение чужого имущества, совершенное с использованием поддельной или принадлежащей другому лицу кредитной, расчетной или иной платежной карты путем обмана уполномоченного работника кредитной, торговой или иной организации
• изготовление, приобретение, хранение, транспортировка в целях использования или сбыта, а равно сбыт поддельных платежных карт, распоряжений о переводе денежных средств, документов или средств оплаты, а также электронных средств, электронных носителей информации, технических устройств, компьютерных программ, предназначенных для неправомерного осуществления приема, выдачи, перевода денежных средств.

---

Предварительное следствие и дознание по указанным преступлениям производятся следователями и дознавателями органов внутренних дел Российской Федерации.

Органом, уполномоченным в сфере технической защиты информации (кроме криптографической защиты), является Федеральная служба по техническому и экспортному контролю, ФСТЭК России. На нее возложены функции:

1. обеспечения безопасности (некриптографическими методами) информации в ключевых системах информационной инфраструктуры);
2. противодействия иностранным техническим разведкам на территории Российской Федерации;
3. обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации (далее – техническая защита информации);
4. защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств;
5. осуществления экспортного контроля.
6. ФСТЭК России осуществляет издание нормативно-правовых и нормативно-технических актов по вопросам технической защиты информации.

Ею утверждены, в частности:

• требования о защите информации, содержащейся в государственных информационных системах;
• меры защиты информации в государственных информационных системах;
• руководящие документы по защите от несанкционированного доступа;
• требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах.

Разработка и производство средств защиты конфиденциальной информации, деятельность по технической защите конфиденциальной информации могут осуществляться только на основании лицензии ФСТЭК России.

Лицензируемыми видами деятельности являются:

а) контроль защищенности конфиденциальной информации от утечки по техническим каналам в:

• средствах и системах информатизации;
• технических средствах (системах), не обрабатывающих конфиденциальную информацию, но размещенных в помещениях, где она обрабатывается;
• помещениях со средствами (системами), подлежащими защите;
• помещениях, предназначенных для ведения конфиденциальных переговоров (далее – защищаемые помещения);

---

б) контроль защищенности конфиденциальной информации от несанкционированного доступа и ее модификации в средствах и системах информатизации;

в) сертификационные испытания на соответствие требованиям по безопасности информации продукции, используемой в целях защиты конфиденциальной информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации, программных (программно-технических) средств контроля защищенности информации);

г) проектирование в защищенном исполнении, аттестационные испытания и аттестация на соответствие требованиям по защите информации:

• средств и систем информатизации;
• помещений со средствами (системами) информатизации, подлежащими защите;
• защищаемых помещений;

д)  разработка и производство; установка, монтаж, испытания, ремонт средств защиты информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации, программных (программно-технических) средств контроля защищенности информации)

Лицензионными требованиями являются:

а) выполнение работ и (или) оказание услуг лицензиатом:

• юридическим лицом – с привлечением специалистов, находящихся в штате лицензиата, имеющих высшее профессиональное образование в области технической защиты информации либо высшее техническое или среднее профессиональное (техническое) образование и прошедших переподготовку или повышение квалификации по вопросам технической защиты информации;
• индивидуальным предпринимателем – при наличии у него высшего профессионального образования в области технической защиты информации либо высшего технического или среднего профессионального (технического) образования и при условии прохождения переподготовки или повышения квалификации по вопросам технической защиты информации;

б) наличие помещений для осуществления лицензируемого вида деятельности, соответствующих установленным законодательством Российской Федерации техническим нормам и требованиям по технической защите информации и принадлежащих лицензиату на праве собственности или на ином законном основании;

---