Действие закона не распространяется на отношения, возникающие при:

>  обработке персональных данных физическими лицами для личных и семейных нужд;

>  при обработке персональных данных в соответствии с законодательством об архивном деле в Российской Федерации;

>  при обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физическом лице в связи с деятельностью физического лица в качестве индивидуального предпринимателя;

>  при обработке персональных данных, отнесенных к сведениям, составляющим государственную тайну.

Алгоритм действий организации

Теперь относительно приведения базы данных предприятия в соответствии с положениями закона. Организация должна:

Разработать и внедрить новые локальные акты, с которыми работники должны быть ознакомлены под роспись. (Например, Положение о персональных данных и их защите; Инструкция о порядке обеспечения конфиденциальности при обращении с информацией, содержащей персональные данные; Регламент допуска сотрудников к обработке персональных данных; Перечень допущенных сотрудников к обработке персональных данных.) В локальных актах необходимо определить перечень, цели и порядок обработки персональных данных, назначить ответственных за работу с персональными данными, подготовить должностные инструкции сотрудников, обрабатывающих персональные данные.

Получить от каждого работника письменное согласие на обработку его персональных данных. Данное согласие должно включать в себя обязательные поля, перечень которых указан в пункте 4 статьи 9 Закона «О персональных данных».

Отнести предприятие к одному из четырех классов информационных систем, которые устанавливаются в соответствии с Приказом ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 года № 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных». Цель классификации - установить методы и способы защиты информации. Результаты классификации информационных систем оформляются соответствующим актом оператора.