Ответ эксперта
Вопрос:
Какие требования по хранению и защите нужны для персональных данных, которые хранятся в электронных базах данных?
Ответ:
Организовать защиту персональных данных, которые хранятся в информационных системах, непросто. Закон требует принимать все необходимые меры для защиты персональных данных работников от неправомерного использования или утраты либо обеспечить принятие таких мер. При этом есть масса нюансов, с которыми сложно разобраться неспециалисту. Поэтому, как правило, привлекают специализированную организацию с соответствующей лицензией.
Обоснование:
Как уже было сказано, организовать защиту персональных данных, которые хранятся в информационных системах, весьма непросто.
Основное требование закона - вы должны принимать необходимые правовые, организационные и технические меры для защиты персональных данных работников от неправомерного использования или утраты либо обеспечить принятие таких мер (п. 7 ст. 86 ТК РФ, ч. 1 ст. 19 Закона о персональных данных).
Но есть множество уточнений, с которыми сложно разобраться неспециалисту. Вы можете удостовериться в этом, изучив организационные и технические меры, которые утверждены Приказом ФСТЭК России от 18.02.2013 № 21 и Приказом ФСБ России от 10.07.2014 № 378.
Поэтому, как правило, привлекают специализированную организацию или ИП, у которых есть лицензия на деятельность по технической защите конфиденциальной информации (п. 2 Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных).
В частности, для защиты персональных данных потребуется:
- определить, какой у вас тип угрозы безопасности персональных данных (п. 7 Требований к защите персональных данных при их обработке в информационных системах);
Именно от этого и будет зависеть комплекс мер. Например, если по итогам определения типа угрозы специалист предложит вам обеспечить минимальный (четвёртый) уровень защищённости персональных данных работников, вам потребуется (п. 13 Требований к защите персональных данных при их обработке в информационных системах):
- обезопасить помещения, в которых размещена информационная система, от неконтролируемого проникновения или неправомерного доступа;
- обеспечить сохранность носителей персональных данных;
- утвердить перечень лиц, имеющих в силу трудовых обязанностей доступ к персональным данным в информационной системе;
- защитить информацию с помощью средств, прошедших процедуру оценки соответствия (в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз).
Помните, за нарушение законодательства в области персональных данных вас могут привлечь, в частности, к административной ответственности по ст. 13.11 КоАП РФ.
Узнать больше об обязанностях работодателей в отношении персональных данных работников вам поможет Путеводитель КонсультантПлюс.
Ответ подготовлен экспертами Линии консультаций «Что делать Консалт»
