Все построились и стройными рядами пошли подавать уведомление об обработке персональных данных в уполномоченный орган, кроме исключений, предусмотренных законом (статья 22, пункт 2).

– Оператор должен принимать меры по защите персональных данных. Для этого у ФСТЭК разработаны методические материалы. Многие из них имеют гриф «ДСП» и распространяются только по государственным органам власти. Что делать остальным операторам?

– Не вдаваясь в подробности всех шестнадцати руководящих документов, имеющих прямое отношение к обработке персональных данных, остановимся только на основных моментах.

В соответствии с Федеральным законом № 152-ФЗ, который уже вступил в силу 26 января 2007 года, оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий (статья 19).

При этом информационные системы персональных данных, созданные до дня вступления в силу настоящего Федерального закона, должны быть приведены в соответствие с его требованиями не позднее 1 января 2010 года (статья 25). И здесь уже можно говорить о тех уступках, на которые пошли наши законодатели.

Так, 20 ноября 2009 года в Государственной Думе состоялось рассмотрение и принятие, практически единогласно, в первом чтении законопроекта «О внесении изменений в Федеральный закон «О персональных данных» в части исключения требования об использовании криптографических средств защиты персональных данных и продления срока на один год, в течение которого ранее созданные информационные системы персональных данных подлежат приведению в соответствие с Федеральным законом. То есть дата 01.01.2010 переносится на 01.01.2011 и отменены требования об обязательном использовании шифровальных (криптографических) средств для обеспечения безопасности персональных данных при их обработке. Последнее изменение обусловлено тем, что защита персональных данных в зависимости от способа их обработки (например, неавтоматическая обработка) может осуществляться и без использования шифровальных (криптографических) средств.

Порядок действий для правильной классификации ИСПДн

Теперь о предъявляемых требованиях к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, которые устанавливает Правительство Российской Федерации (статья 19, пункт 2).