Конференция по вопросам информационной безопасности Суббота, 23.09.2017, 23:08
| Forum RSS
Меню сайта

Скачать

Поиск

[ Новые сообщения · Участники · Правила форума · Поиск · Forum RSS ]
Страница 1 из 11
Модератор форума: Kostik, anvolkov 
Форум » Персональные данные » Общие вопросы » Общедоступные и обезличенные персональные данные (Размышления по теме)
Общедоступные и обезличенные персональные данные
anvolkov (Алексей Волков)Дата: Суббота, 13.03.2010, 13:16 | Сообщение # 1
Генерал-майор
Группа: Модераторы
Сообщений: 143
Репутация: 102
Статус: Offline
Здравствуйте, уважаемые коллеги - читатели форума!

Конференция состоялась. Рад был большому числу вопросов, которые Вы задавали, надеюсь, обшщение продолжим и в этом формате.

Большинство вопросов касались общедоступности и обезличенности персональных данных граждан - а именно, что считать таковыми? Есть ли какие-то нормативные документы, определяющие однозначно, что относится к этим категориям?

Позволю себе обобщить и систематизировать все ответы.

Термины "общедоступные и обезличенные" определяются в п. 6 "приказа Трех" - от 13 февраля 2008 года N 55/86/20 "Об утверждении Порядка проведения классификации информационных систем персональных данных" - который относит их к 4 категории. Если ТОЛЬКО эти данные обрабатываются в ИСПДн, то такая ИСПДн автоматически становится 4 класса - а значит, никаких мер по ее защите применять и не нужно. Отсюда - велик соблазн все ПДн отнести именно к "общедоступным" и "обезличенным". Но как определить, являются ли обрабатываемые ПДн данные таковыми? На основании согласия субъекта ПДн? Это весьма спорный и юридически противоречивый момент, так как во-первых, гражданин далеко не всегда дает добровольно такое согласие, во-вторых - если такое согласие получать принудительно, мотивируя это отказом в предоставлении услуги - то в этом случае попираются конституционные и права гражданина наигрубейшим образом. Как быть? Почему нигде не определе перечень этих общедоступных и обезличенных данных и нигде не написано, как их отличить от остальных категорий?

Ответ прост, но не всегда понятен. На самом деле, и общедоступные, и обезличенные данные - ВСЕГДА частный случай, в каждой ИСПДн к ним относятся свой набор ПДн и универсальных решений НЕ существует. Попробую посянить.

Начнем с обезличенности. Согласно логике "приказа трех" (весьма справедливой), обезличенные данные - это данные, зная которые, нельзя однозначно идентифицировать их владельца - субъекта ПДн. Простой пример: нас 5 друзей - Леха, Вася, Петя, Дима и Коля - все примерно доного возраста. Если мы соберемся в одной комнате - то для идетнификации друг друга нам будет достаточно всего лишь ИМЕНИ. И эти 5 друзей буду представлять собой ни что иное, как ИСПДН - ведь друзья обсуждают сведения о личной жизни друг друга wink

Теперь представим, что в комнату входит совершенно посторонний человек, который никого из них не знает. Если этому человеку дать список имен - он НИ ЗА ЧТО не сможет идентифицировать их по именам, и ему придется действовать наугад, чтобы понять, кто есть кто.

Отсюда вывод: ВНУТРИ ИСПДн имя будет 3 категории, а СНАРУЖИ ИСПДн - имя - это обезличенные данные. Что делать? Эксперты в области защиты ПДн говорят о том, что здесь помогает модель угроз. Если наши "внутренние" угрозы незначительны или приняты меры для их нейтрализации (в частности, со всеми лицами, имеющими доступ к ИСПДн "изнутри", заключены соглашения о неразглашении и т.д.), то тогда признак "обезличенности" определяется по отношению к "внешним" источникам угроз. Иначе говоря, любые ПДн будут обезличены до тех пор, пока не наберется достаточно сведений, позволяющих идентифицировать субъекта ПДн в рамках конкретной ИСПДн.

Хороший пример - логин и пароль. сами по себе эти сведения для внешних нарушителей ничего не значат - поскольку неизвестно, в какой системе они применяются. Но как только нарушитель узнает, куда их "вбивать" - так сразу он может идентифицировать субъекта ПДн, и, зарегистрировавшись от его имени в ИС, нанести ему вред. Правда, тут есть еще один вариант - использовать "перебор" всего что можно, чтобы определить, куда логин и пароль "подойдет"... Но я надеюсь, суть обезличенности понятна.

Общедоступность. Смотрим 152ФЗ: либо согласие, либо федеральный закон. При этом, перечня опять нет. Зато есть понятие "общедоступные источники персональных данных" - адресные книги и подобные им вещи. Что туда можно разместить, с согласия субъекта? Не забываем, что объем собираемых и обрабатываемых ПДн должен соответствовать целям обработки. Поэтому - в этих источниках должна быть информация о ... правильно, контактные сведения - ФИО, адрес, почта, телефон. Понятно, что ПДн, размещенные в общедоступных источниках ПДн являются общедоступными ПДн. Но можно ли таким образом отнести к таким ПДн, скажем, сведения о зарплате? Конечно, нет - цели несоответствуют.

На этом сайте присутствет моя фотография, ФИО, место работы и должность. Это я их сюда разместил, стало быть, я согласен. Могут ли эти данные быть общедоступными в другом месте, и значит ли это, что можно в другом месте размещать мои данные без согласия? Скажем, в детском саду или поликлинике? На стенде "наши лучшие родители" или "наши самые больные посетители" (тьфу-тьфу)? smile Конечно же, нет.

Поэтому, дорогие друзья - каждые случаи общедоступности и обезличенности индивидуальные, и под одну гребенку их не подведешь.

Пишите, отвечу обязательно.

С уважением, А.Волков.

 
anvolkov (Алексей Волков)Дата: Среда, 17.03.2010, 09:56 | Сообщение # 2
Генерал-майор
Группа: Модераторы
Сообщений: 143
Репутация: 102
Статус: Offline
Здравствуйте, уважаемые коллеги!

Делая этот пост, я надеялся, что вопрос исчерпан, однако нет - вопросов стало еще больше. smile

Ниже постараюсь представить аггрегированный ответ на все.

Итак, представим себе следующую картину. У нас есть один сотрудник, занимающийся работой с персоналом, один компьютер с 1С Зарплата и кадры, и некий архив с личными карточками сотрудников (Т-2). Предположим, что сотрудник вносит в ПК ВСЕ сведения из формы Т2, за исключением ФИО (чтобы сделать данные обезличенными), а основным критерием для определения сотрудника является табельный номер. При этом, в бумажной карточке ФИО, конечно, присутствует. Как производится работа: сотрудник берет Т-2, находит нужное ФИО, смотрит его табельный номер, дальше - ищет табельный номер в ПК и дальнейшую работу выполняет на ПК, поместив Т-2 обратно в архив.

С точки зрения требований по защите ПДн идеальная картина, не правда ли?

Как в этом случае определить ГРАНИЦЫ ИСПДн? Давайте порисуем:

[Персональный компьютер] - [Специалист по кадрам] - [Архив]
|------------------ ИСПДн --------------------||-------ИСПДн----------|
|------------------ 781 ПП --------------------||-------687 ПП----------|

Надеюсь, из рисунка все понятно. Мы имеем 2 ИСПДн, стыковая граница которых проходит "посередине" нашего специалиста по кадрам smile Понятно, что его мы со всем ознакомим, возьмем с него обязательства о неразглашении и т.д. - словом, сделаем для него "юридическую обвязку".

Понятно, что разрабатывать модель угроз, классифицировать и применять технические средства защиты мы должны для той ИСПДн, которая попадает под 781 ПП. Однако мы помним, что там нет ФИО, и по логике вещей, в ней обрабатываются обезличенные данные, а значит, акт классификации сделать все-же мы должны, в котором напишем, что наша ИСПДн обрабатывает данные 4 категории, а значит, является ИСПДн 4 класса.

Но так ли это? Давайте посмотрим.

Итак, внутренний нарушитель. Если некто из числа сотрудников организации получит НСД в эту ИСПДн, естесственно, фамилий он не увидит. Но зато он увидит, например, сведения о назначении - должность и место работы. И этот некто в некоторых случаях однозначно сможет идентифицировать владельца этих ПДн - например, все знают, как зовут и кто такой единственный сантехник из отдела АХО - более того, все знают его в лицо. А значит, ПДн обезличены НЕ ПОЛНОСТЬЮ.

Теперь внешний нарушитель. Конечно, он не знает в лицо сотрудников организации и не сможет идентифицировать их владельцев по табельным номерам - задача выполнена.

Но предположим, что в организации существует телефонный справочник - общедоступный ресурс, в котором присутствует ФИО, должность и номер телефона. Имея у себя базу 1С и этот общедоступный справочник, внешний нарушитель без труда сможет идентифицировать и получить дополнительную информацию о всех сотрудниках - используя в качестве "связующего звена" не табельный номер, а сведения о назначении!

Поэтому, уважаемые коллеги, ОЧЕНЬ ВНИМАТЕЛЬНО относитель с обезличиванию ПДн и переводу их в общедоступную категорию.

Самое главное правило - ПЕРЕЧНИ ОБЩЕДОСТУПНЫХ И ОБЕЗЛИЧЕННЫХ ПДн НЕ ДОЛЖНЫ ПЕРЕСЕКАТЬСЯ!

И анализируйте, анализируйте, и еще раз анализируйте - полностью ли Вы обеспечили обезличенность.

С уважением, А.Волков.

 
Kostik (Иванов Константин)Дата: Среда, 17.03.2010, 12:28 | Сообщение # 3
Генералиссимус
Группа: Администраторы
Сообщений: 130
Репутация: 104
Статус: Offline
При прочтении темы еще вспомнился тот факт, который не стоит забывать при работе с персональными данными - информацию может нести не только непосредственно данные, но и носитель, который их содержит (и это важно).

Объясню. Например у нас есть фамилия работника - это персональные данные, но, как известно, однофамильцев достаточно много и однозначно идентифицировать субъекта ПДн только по фамилии не возможно. А теперь эту фамилию мы разместим на сайте небольшой компании. На самом деле сама информация не поменялась, но добавились дополнительные данные - название организации, ее область деятельности и т.п. В случае если в данной организации работает только один человек, то по фамилии мы уже однозначно идентифицировали субъекта.

Точно такая же ситуация и с другими носителями (и хранилищами) информации.
Так что будьте очень аккуратны.

 
anvolkov (Алексей Волков)Дата: Среда, 17.03.2010, 14:11 | Сообщение # 4
Генерал-майор
Группа: Модераторы
Сообщений: 143
Репутация: 102
Статус: Offline
Потому и рекомендуется для ФИО, должности, названия организации, контактной информации взять согласие на размещение в общедоступных источниках и тем самым сделать эти данные общедоступными. Но не улекайтесь особо - иначе можно сурово напороться на попирание прав субъектов...
 
Andrey_cm (Андрей)Дата: Среда, 14.04.2010, 08:58 | Сообщение # 5
Лейтенант
Группа: Пользователи
Сообщений: 47
Репутация: 18
Статус: Offline
Quote (anvolkov)
На этом сайте присутствет моя фотография, ФИО, место работы и должность. Это я их сюда разместил, стало быть, я согласен. Могут ли эти данные быть общедоступными в другом месте, и значит ли это, что можно в другом месте размещать мои данные без согласия? ... Конечно же, нет

Вот тут не совсем понятно. Вывесив данные о себе в общедоступном источнике информации (свой сайт, вконтакте, одноклассники), мы тем самым делаем их общедоступными. Почему они не могут быть "общедоступными в другом месте"?
В определении общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. ничего не говорится о месте использования, а понятие таргетированная общедоступность - это бред (Есть правда практика создания локального общедоступного перечня ПДн внутри организации, но на это нет документального разрешения от регуляторов).

Использовать эти данные может любой человек или организация. Оператор даже не обязан уведомлять субъекта о начале обработки ПДн в случае их общедоступности (Глава 4, статья 18, пункт 3), но правда он обязан доказывать общедоступность ПДн (Глава 2, Статья 9, пункт 3)

 
Kostik (Иванов Константин)Дата: Среда, 14.04.2010, 11:54 | Сообщение # 6
Генералиссимус
Группа: Администраторы
Сообщений: 130
Репутация: 104
Статус: Offline
Quote (Andrey_cm)
предоставлен с согласия субъекта персональных данных

Вообще доказать наличие согласия субъекта при публикации в такого рода источниках, при получении информации исключительно через информационные средства достаточно сложно. Как доказать что именно этот субъект дал согласие, а не кто-то другой поставил галочку "с условиями согласен" и прописал капчу? И был ли он в здравом уме и твердой памяти....
 
alexmax100 (Алексей)Дата: Понедельник, 23.08.2010, 17:02 | Сообщение # 7
Рядовой
Группа: Пользователи
Сообщений: 1
Репутация: 0
Статус: Offline
Сообщение было удалено, как содержащее рекламу.

Сообщение отредактировал Kostik - Понедельник, 23.08.2010, 21:40
 
Andrey_cm (Андрей)Дата: Пятница, 27.08.2010, 17:06 | Сообщение # 8
Лейтенант
Группа: Пользователи
Сообщений: 47
Репутация: 18
Статус: Offline
За нашими Управляющими компаниями так никто и не наблюдает ;( Только что с работы шел, а на доме бумажка о должниках.
Врятли у них получится доказать общедоступность этих ПДн.
Прикрепления: 2115488.jpg(135Kb)
 
Форум » Персональные данные » Общие вопросы » Общедоступные и обезличенные персональные данные (Размышления по теме)
Страница 1 из 11
Поиск:

Copyright Ivanov Konstantin © 2017Используются технологии uCoz