Первые четыре – это «четырехкнижье» было разработано ФСТЭК России и имеет гриф «ДСП». Последние два документа, или «двухкнижье», были разработаны ФСБ России, не имеет ограничительного грифа и находятся в свободном доступе. Указанные «методички» были разработаны на основе уже действующих документов, регулирующих вопросы обеспечения безопасности конфиденциальной информации, в большей своей части имеющих ограничительный гриф и распространяемых установленным порядком. Персональные данные относятся к категории конфиденциальной информации (документированной информации, доступ к которой ограничивается в соответствии с законодательством Российской Федерации) (ст. 2, 11 Федерального закона «Об информации, информатизации и защите информации»). Они указаны в Перечне сведений конфиденциального характера, утвержденном Указом Президента РФ от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера» (СЗ РФ. 1997. № 10. Ст. 1127), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральным законом случаях.

Абсолютно неверное утверждение о невозможности получения документов ограниченного распространения и доступности их только для ОГВ. Сейчас любая организация, независимо от форм собственности, на основании запроса во ФСТЭК России получит вышеуказанные документы. При этом выписки из данных документов уже доступны на сайте ФСТЭК России – http://www.fstec.ru/_razd/_ispo.htm.

В целях обеспечения контроля и надзора за выполнением требований Федерального закона «О персональных данных» назначен Уполномоченный орган по защите прав субъектов персональных данных – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор Министерства связи и массовых коммуникаций). Он является основным исполнительным и надзорным органом по защите прав физических лиц, чьи персональные данные обрабатываются.

Представительства этих уважаемых организаций есть во всех крупных городах, и найти их координаты в Интернете или телефонном справочнике не составляет большой сложности.

Что делать? Прежде всего надо подать уведомление. Федеральный закон говорит (статья 22), что оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 этой статьи. Второе: чтобы правильно произвести классификацию вашей ИСПДн, нужно четко понимать порядок действий (см. рисунок) и использовать методические документы регуляторов.