Собственный цод что это роскомнадзор

В третьей части цикла статей, посвященных подготовке к проверкам Роскомнадзора по выполнению требований законодательства «О персональных данных» я рассказал о важности правильного заполнения уведомления, о случаях когда уведомление нужно заполнять и там же пообещал подробнее рассказать о том, как заполнять каждое поле уведомления. Собственно, эта статья как раз и является тем самым туториалом по заполнению.

Казалось бы, по наименованиям многих полей интуитивно должно быть понятно, что именно в них писать. Но практика показывает, что у многих операторов персональных данных возникает уйма вопросов, а некоторые впадают в самый настоящий ступор при попытке заполнить все поля.

Итак, уведомление оператора, как мы помним, заполняется на портале персональных данных Роскомнадзора . Теперь посмотрим на каждое из полей.

С первыми позициями никаких проблем быть не должно: выбираем территориальное управление Роскомнадзора, в которое должно быть отправлено уведомление; затем выбираем тип оператора; вводим полное и сокращенное наименование оператора в соответствии с учредительными документами; указываем фактический и юридический адреса; выбираем свой регион и заполняем реквизиты организации (обязательными являются только ИНН и ОГРН, остальные можно не заполнять); если у организации есть филиалы, добавляем информацию о них.

А вот уже следующие поля не настолько интуитивно понятны и могут вызывать ряд вопросов.

В графе «Правовое основание обработки персональных данных» можно указывать все нормативно-правовые и внутренние документы, которые так или иначе могут быть связаны с обработкой ПДн. Начинают обычно со 152-ФЗ и ТК РФ, продолжают законодательством, относящимся к сфере деятельности организации (например, если это медицинское учреждение, то пишем сюда же 323-ФЗ и другие нормативные акты, как федерального, так и регионального масштаба, относящиеся к здравоохранению) и заканчивают уставом предприятия.

«Цель обработки персональных данных». Здесь нужно быть очень аккуратным. В цикле статей , посвященных подготовке к проверкам, я говорил о том, что 152-ФЗ прямо и недвусмысленно запрещает обрабатывать персональные данные, избыточные по отношению к заявленным целям такой обработки. Например, организация не имеет права требовать паспортные данные с соискателя на вакантную должность, потому что такие данные абсолютно излишни для подбора кандидата. А вот когда вы уже кого-то выбрали и подписываете трудовой договор — совсем другое дело. Так вот, далее состав персональных данных мы будем тоже указывать. И поверьте мне, у проверяющих уже набит глаз на несоответствие заявленных целей и категорий ПДн, поэтому если халатно отнестись к заполнению этих данных, Роскомнадзор может уже до начала проверки определиться с ее результатом. И даже если вы убедите проверяющих, что просто случайно заполнили лишние ПДн в уведомлении, а на самом деле их не обрабатываете, то напишут в нарушениях «указание неполных/недостоверных сведений в уведомлении» вместо «нарушение правил обработки персональных данных» и дело в шляпе. Для многих коммерческих организаций в этой графе будет корректно написать, например, так: «Обеспечение кадрового и бухгалтерского учета, подбор персонала на вакантные должности, оказание услуг [перечень услуг]».

Следующий раздел один из самых сложных и непонятных. Роскомнадзор хочет, чтобы мы описали принятые меры, предусмотренные статьями 18.1 и 19 закона «О персональных данных». На самом деле здесь проще всего взять и перечислить все эти меры в том контексте, что они у вас выполнены. Я думаю тут не нужно заострять внимание на том, что они действительно должны быть выполнены. По крайней мере к проверке. Ниже приведу пример, как можно все это описать:

Назначено лицо, ответственное за организацию обработки персональных данных. Утверждены документы, определяющие политику организации в отношении обработки персональных данных и устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства. К таким документам в частности относятся: план мероприятий по обеспечению безопасности персональных данных в ИСПДн «Бухгалтерия и кадры»; перечень персональных данных, подлежащих защите; перечень информационных систем персональных данных; положение о разграничении доступа к персональным данным; приказ об утверждении перечня лиц, допущенных к обработке персональных данных; положение об обработке и защите персональных данных; политика в отношении обработки персональных данных; правила обработки персональных данных без использования средств автоматизации; приказ об утверждении мест хранения персональных данных и лицах, ответственных за соблюдение конфиденциальности персональных данных при их хранении. Устранение последствий нарушений законодательства РФ производится в соответствии с действующим законодательством РФ, в соответствии с положением об обработке и защите персональных данных, а также в соответствии с инструкцией администратору безопасности персональных данных и в соответствии с порядком резервирования и восстановления работоспособности технических средств и программного обеспечения, баз данных и средств защиты информации. Внутренний контроль соответствия обработки персональных данных законодательству РФ в данной сфере производится в соответствии с планом внутренних проверок, инструкцией администратора безопасности и положением об обработке и защите персональных данных. Для информационной системы персональных данных разработана модель угроз безопасности персональных данных, в которой при определении опасности угроз проводится оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения законодательства. На сайте www.example.ru опубликована политика в отношении обработки персональных данных. Для информационной системы персональных данных разработано техническое задание на создание системы защиты информации и эскизный проект системы защиты информации, предусматривающий выполнение определенных законодательством мер для информационной системы третьего уровня защищенности, а также мер, направленных на нейтрализацию угроз, определенных как актуальные в модели угроз безопасности. Эскизный проект полностью реализован, что говорит о выполнении определенных законодательством мер и о нейтрализации актуальных угроз безопасности в информационной системе персональных данных. Проведена оценка эффективности принимаемых мер по обеспечению безопасности персональных данных. Учет машинных носителей производится в соответствующем журнале. Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер осуществляется с помощью используемых средств защиты информации в соответствии с инструкцией администратора безопасности. Правила доступа к персональным данным утверждены в соответствующем положении, технически реализуются с помощью средств защиты информации. Сотрудники, допущенные к обработке персональных данных, проходят инструктажи по информационной безопасности, подписывают соглашение о неразглашении персональных данных, ознокамливаются с документами по защите персональных данных под роспись.

В сведениях об обеспечении безопасности персональных данных указывается перечень средств защиты информации, применяемых в ИСПДн. К счастью, эти сведения не публикуются в открытом доступе для всех желающих, поэтому можно указывать все используемые СЗИ.

Дата начала обработки ПДн обычно совпадает с датой основания компании (регистрации).

В следующем пункте обычно выбирается «Условие окончания обработки ПДн» и в качестве условия указывается «Прекращение деятельности организации».

В разделе «Категории персональных данных» сначала отмечаем чекбоксами обрабатываемые категории, а потом в поле «Другие категории персональных данных, не указанных в данном перечне» указываем те ПДн, которых в списке нет, причем лучше это сделать раздельно для различных категорий субъектов, например: «Другие категории ПДн работников: [перечень ПДн работников]. Другие категории ПДн клиентов: [перечень ПДн клиентов].

В разделе «Категории субъектов, персональные данные которых обрабатываются» указываем еще раз перечень категорий лиц, чьи данные у нас хранятся или обрабатываются, например: «Сотрудники, соискатели на вакантные должности, контрагенты, клиенты». В общем еще раз повторяем то, что уже указали в предыдущем пункте.

В поле «Перечень действий с персональными данными» проще всего процитировать определение обработки ПДн из 152-ФЗ: «сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение». Естественно, действия, которые не актуальны для вашей организации (например, обезличивание) нужно убрать из этого списка.

Далее указываем способ обработки ПДн, обычно это «смешанная, с передачей по внутренней сети юридического лица, с передачей по сети Интернет».

Затем от нас хотят узнать, передаем ли мы ПДн за границу. Если нет, то декларируем отсутствие трансграничной передачи. Если да, придется еще и указать все страны, в которые передаются данные.

И последнее в этом блоке — использование криптографии. Если она не используется, то идем дальше. Если отвечаем утвердительно, то нас попросят написать наименования таких средств защиты и их класс. Все эти данные можно узнать из документации на криптосредство. Скажу здесь лишь, что криптосредства классов КВ и КА используются для гостайны, а гостайна 152-ФЗ не регулируется, поэтому в обычных ИСПДн могут быть 3 варианта используемого криптосредства — КС1, КС2 или КС3 (и то, скорее даже варианта 2, потому что КС1 практически не применим из-за положений 378 приказа ФСБ).

Следующий раздел формы появился с 1 сентября 2015 года. Всем, кто заполнял уведомление давно, необходимо внести в него изменения и дополнить его данными о ЦОДе. Да, не удивляйтесь, локальная база 1С-Бухгалтерии, развернутая на компьютере главбуха это в понимании Роскомнадзора тоже ЦОД… Так вот, о чем я? Выбираем страну, в которой располагается наш «ЦОД» и указываем его адрес. Дальше с одной стороны вроде бы нужно указать является ли «ЦОД» нашей собственностью или нет и если нет, то указать данные владельца площадки. Но эти пункты почему-то не отмечены как обязательные. Поэтому мое мнение — забиваем и идем дальше. Кстати, если у вас несколько ИСПДн, то данные «ЦОДа» нужно указать для каждой отдельно. Даже если речь идет об одной единственной серверной.

Далее заполняем данные человека, которого на предприятии назначили ответственным за организацию обработки персональных данных. ВАЖНО! ФИО ответственного, его контактный телефон и e-mail будут доступны всем желающим в реестре операторов ПДн . Имейте это ввиду и, конечно же, лучше предупредить об этом назначаемого человека.

В самом конце указываем данные исполнителя. Исполнитель, это лицо, заполнявшее это уведомление. Это может быть не ответственный, а совсем другой человек. Но, как мы видим, поля эти тоже не обязательные, поэтому, видимо, если исполнителя не указывать, то им автоматически становится ответственный.

Затем ставим галочки «на все согласен», вводим капчу и жмем большую кнопку «Отправить электронное уведомление и подготовить форму к распечатке». Затем форму необходимо распечатать, подписать, поставить печать организации (если есть) и отправить аналоговой почтой в свое управление Роскомнадзора. Через некоторое время, ваши данные внесут в реестр.

Сейчас Роскомнадзор шлёт такие письма тем операторам персональных данных, которые уже давно зарегистрированы в реестре операторов, тем, кто недавно впервые подал уведомление об обработке и тем, кто недавно отправил информационное письмо об изменениях.

Это связано со вступившими в действие с 1 сентября 2015 года изменениями в ФЗ-152 "О персональных данных", в частности, с п.10.1 ч.3 ст.22 указанного закона. В соответствии с ним оператор персональных данных обязан в уведомлении об обработке персональных данных указать сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации.

Самое интересное заключается в том, что на официальном сайте Роскомнадзора при заполнении формы Уведомления и информационного письма так и не появилось поля для заполнения этих сведений.

Многие современные крупные компании нуждаются в оптимизации процесса сбора, обработки и хранения данных. Создание датацентров позволяет наладить эффективное управление ресурсами и добиться их оптимального распределения. Центры обработки должны адаптироваться под условия бизнеса, быть надежными и успешно справляться с огромными объемами поступающей информации.

Дорогие читатели! Наши статьи рассказывают о типовых способах решения юридических вопросов, но каждый случай носит уникальный характер.

Если вы хотите узнать, как решить именно Вашу проблему – обращайтесь в форму онлайн-консультанта справа или звоните по телефону +7 (499) 938-47-92 . Это быстро и бесплатно !

Расшифровка

ЦОД расшифровывается как Центр обработки данных. Многие до сих пор не знают, что это такое. Между тем, он представляет собой целый комплекс, предназначенный для хранения серверов и оборудования и обеспечивающий их бесперебойную работу. Чаще всего такие центры располагаются в крупных зданиях и включают серверы крупных компаний.

Сейчас услуги дата-центра популярны и среди молодых компаний, инвесторами которых выступают иностранцы. В России и странах СНГ популярность подобных центров пока что невысока, но за рубежом они считаются выгодными.

Отличие от базы данных

Практически в любой компании существует база данных для оптимизации рабочего процесса.

Эта база может храниться в разном виде, и доступ к ней должен быть бесперебойным. Однако различные факторы, например, временное отсутствие электричества, или же программный сбой, могут повлиять на скорость обработки данных, или вовсе временно ограничить доступ к информации.

Центры обработки данных бывают двух видов.

1. Локальный. В таком случае помещение с группой серверов находится в частной собственности и под частным контролем. Компания-владелец сервера самостоятельно размещает ЦОД в определенных помещениях и самостоятельно его обслуживает.
2. Коммерческий. Такие центры представляют собой масштабные проекты, направленные на сдачу оборудования в аренду крупным корпоративным заказчикам. Чаще всего услугами коммерческих видов пользуются компании, которые по тем или иным причинам не могут обеспечить бесперебойную работу серверов. Для них выгоднее взять в аренду центр обработки, обеспечив информации надежное хранение и должную защиту.

Помимо непрерывной работы оборудования, центр обработки данных должен позволять:

• повысить надежность хранения информации;
• обеспечивать работу всех приложений на одном оборудовании;
• иметь достаточную вместимость, необходимые типы оборудования;
• снизить стоимость обслуживания IT-инфраструктуры.

Коммерческие ЦОД, в отличие от локальных, исключают неправильную организацию системы, а также дают возможность сэкономить на содержании штата специалистов. Кроме того, отсутствует необходимость выделять одно или несколько помещений под работу дата-центров.

Что такое дата центр при обработке личных сведений?

Сервер

Работа центра обработки данных обеспечивает высокое качество обработки информации на большой скорости, при этом не теряя деталей и сохраняя целостность этой информации. Производительность сервера – один из главных факторов, на которые обращает внимание компания.

Кроме того, важными функциями ЦОДа как сервера считают:

• возможность справляться с большими нагрузками в реальном времени;
• высокая степень управляемости;
• постоянный доступ;
• перераспределение нагрузок с целью более оперативного решения бизнес-задач.

Как сервис

Компании, предоставляющие услуги дата-центров, предлагают широкий спектр основных и дополнительных услуг. В них входят аренда телекоммуникационных стоек, шкафов, выделенных серверов, колокейшн, виртуальный хостинг и возможность использования облачных платформ.

Кроме того, важным фактором работы ЦОД считаются устойчивые интернет каналы и наличие точек обмена трафиком. Электропитание должно быть не менее надежным, включать независимые вводы электричества и дизельные электростанции.

Благодаря вышеуказанным факторам, ЦОД как сервис можно считать высокоэффективным и надежным, имеющим отказоустойчивую инфраструктуру.

Что такое уведомление о месте нахождения и как указать адрес?

Компания должна направить уведомление в Роскомнадзор, в котором необходимо указать сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации (согласно изменению 152-Ф3 от 21.07.2014 N 242-Ф3).

Направить документ в структуру можно как на бумаге, так и в электронном виде. Обязательна подпись уполномоченного лица. В уведомлении должны содержаться следующие сведения:

• наименование оператора (ФИО) и его адрес;
• цель обработки персональных данных;
• категории данных;
• категории субъектов, чьи данные обрабатываются;
• правовое основание обработки;
• перечень действий с данными, способы обработки;
• сведения о наличии шифровальных средств, их наименования;
• ФИО физического лица или наименование юридического лица, ответственного за организацию процесса обработки, их контактные данные, почтовые адреса, электронная почта;
• дата начала обработки данных;
• срок или условия прекращения обработки;
• информация о трансграничной передаче (ее наличие или отсутствие) в процессе обработки;
• сведения о месте нахождения базы данных информации.

Заполнение последнего пункта должно содержать сведения о местонахождении БД информации с персональными данными граждан РФ. Необходимо указать страну и точный адрес ЦОДа, если он локальный, или предоставить сведения о владельце центра, если он коммерческий. Во втором случае требуется предоставить следующую информацию:

1. тип организации (физическое или юридическое лицо, индивидуальный предприниматель или иностранная организация);
2. организационно-правовая форма;
3. наименование организации;
4. ОГРН;
5. ИНН;
6. страна и адрес местонахождения организации.

• Скачать бланк уведомления в Роскомнадзор
• Скачать образец уведомления в Роскомнадзор

Рациональное применение ЦОД позволит крупным компаниям сократить затраты времени и средств, обеспечить должную безопасность хранения информации и бесперебойный доступ к ней. Выбирая локальный вид ЦОД, лучше убедиться в соблюдении вышеуказанных целей, а при выборе коммерческого, важно просмотреть все лицензии, подтверждающие качество сервиса.

Не нашли ответа на свой вопрос? Узнайте, как решить именно Вашу проблему – позвоните прямо сейчас:

+7 (499) 938-47-92 (Москва)
Это быстро и бесплатно !