व्यक्तिगत डेटा पर ILV चेक की तैयारी कैसे करें: एक पूर्ण मार्गदर्शिका

हमारे बारे में

शुभ दिन, हेब्र! हम एक सूचना केंद्र कंपनी हैं। हमारी मुख्य दिशा सूचना सुरक्षा है (यह सूचना सुरक्षा भी है)। आईएस में, हम लगभग हर चीज में लगे हुए हैं: ऑडिट, सुरक्षा प्रणालियों का डिजाइन, प्रमाणन, अनुपालन, पंचक, हमारे पास अपना एसओसी है, हम राज्य के रहस्यों के साथ भी काम करते हैं। चूंकि हम व्लादिवोस्तोक में स्थित हैं, इसलिए हमने शुरू में प्रिमोर्स्की टेरिटरी और देश के सुदूर पूर्वी क्षेत्रों में अधिक काम किया, लेकिन हाल ही में हमारी परियोजनाओं का भूगोल हमें उस समय अकल्पनीय रूप से आगे बढ़ा रहा है जब सीमा की स्थापना हुई थी।

अपने पहले लेख में, हम सूचना सुरक्षा के ऐसे पक्ष को अनुपालन (अंग्रेजी तारीफ - अनुपालन, अनुपालन) के रूप में मानना ​​चाहेंगे। और हम इस बारे में बात करेंगे कि व्यक्तिगत डेटा पर रूसी कानून का पूरी तरह से पालन करने के लिए क्या किया जाना चाहिए।

विधान में नया क्या है?

व्यक्तिगत डेटा की सुरक्षा पर चेक के विषय पर बहुत सारे लेख लिखे गए हैं और उनमें से कई 2015 से पहले प्रकाशित किए गए थे। किसी तरह वास्तविक वास्तविकताओं में प्रवेश करने के लिए, हाल के वर्षों में कानून में क्या बदलाव आया है, इसका विश्लेषण करना सबसे पहले आवश्यक है।

242-FZ

सबसे पहले, कुख्यात 242-FZ को याद करते हैं। 2015 में, उन्होंने रूसी संघ के क्षेत्र पर रूसी संघ के नागरिकों के व्यक्तिगत डेटा को स्थानीय बनाने की आवश्यकता के कारण बहुत शोर किया। चार साल बाद, इस कानून का एकमात्र प्रमुख शिकार लिंक्डइन सोशल नेटवर्क है।

लेकिन 242-FZ में एक और पक्ष था जिसे मीडिया में इतनी सक्रियता से दोहराया नहीं गया था।

242-24 में व्यक्तिगत डेटा पर ILV चेक के संदर्भ में बहुत महत्वपूर्ण परिवर्तन हुए थे: 1 सितंबर, 2015 से व्यक्तिगत डेटा विषयों के अधिकारों की सुरक्षा में Roskomnadzor की गतिविधियाँ संघीय कानून संख्या 294-to के अधीन नहीं हैं "कानूनी संस्थाओं और व्यक्तिगत उद्यमियों के अधिकारों के संरक्षण पर। राज्य नियंत्रण (पर्यवेक्षण) और नगरपालिका नियंत्रण का कार्यान्वयन। "

इसका क्या मतलब है? व्यक्तिगत डेटा के ऑपरेटरों के लिए, जैसा कि आप अनुमान लगा सकते हैं, कुछ भी अच्छा नहीं है। अब, जैसा कि अभ्यास पहले ही दिखा चुका है, अनुसूचित निरीक्षणों की संख्या बहुत कम हो गई है और अनिर्धारित लोगों की संख्या आनुपातिक रूप से बढ़ी है। इसका प्रमाण एजेंसी की वेबसाइट पर 2015 के अंत में (और बाद के वर्षों में) प्रकाशित रोस्कोम्नाडज़ोर की निरीक्षण योजनाओं से है। पिछले वर्षों के विपरीत व्यक्तिगत डेटा के अनुसूचित निरीक्षण - एक, दो और गलत तरीके से।

अनिर्धारित निरीक्षणों की मुख्य समस्या यह है कि आप उनके बारे में अच्छे समय के अंतर से नहीं सीख सकते हैं और परिणामस्वरूप, आप यथासंभव सर्वोत्तम तैयारी नहीं कर सकते हैं। उदाहरण के लिए, पहले, जब ऑडिट योजना प्रकाशित हुई थी, तो हर कोई इसे डाउनलोड कर सकता है और यह पता लगा सकता है कि संगठन इसमें है या नहीं। और आश्चर्य के द्वारा केवल उन कुछ संगठनों को पकड़ना संभव था जिनकी सत्यापन तिथि जनवरी-फरवरी में सूचीबद्ध थी। बाकी को ठीक से तैयार करने का अवसर था, भले ही उस क्षण तक व्यक्तिगत डेटा की सुरक्षा के लिए संगठन में कुछ भी नहीं किया गया हो। बेशक, यह बेहतर है कि किसी भी समय व्यक्तिगत डेटा के लिए रोसकोमनादज़र की जांच करने के लिए तैयार रहें, अर्थात, व्यक्तिगत डेटा की सुरक्षा के लिए दस्तावेज़ के वर्तमान सेट को हमेशा तैयार रखें।

13.11 रूसी संघ का प्रशासनिक कोड

एक अन्य महत्वपूर्ण विधायी परिवर्तन रूसी संघ के प्रशासनिक कोड "व्यक्तिगत डेटा के क्षेत्र में रूसी संघ के कानून का उल्लंघन" के अनुच्छेद 13.11 का संशोधन है। इन परिवर्तनों ने व्यक्तिगत डेटा सुरक्षा के क्षेत्र में कानून के उल्लंघन के लिए सजा को पूरी तरह से बदल दिया। पहले, अनुच्छेद 13.11 को भागों में विभाजित नहीं किया गया था, और कानूनी संस्थाओं के लिए 10 हजार रूबल की राशि में अधिकतम जुर्माना प्रदान किया गया था। अब यहां 7 भाग हैं (और विस्तार की योजना भी है), जिनमें से एक के अनुसार (व्यक्तिगत डेटा की विशेष श्रेणियों के प्रसंस्करण के लिए नियमों का उल्लंघन), कानूनी संस्थाओं के लिए अधिकतम जुर्माना 75,000 रूबल है। इसके अलावा, जब निरीक्षक विभिन्न उल्लंघनों की पहचान करते हैं - प्रशासनिक अपराध संहिता के लेख के विभिन्न हिस्सों के लिए दंड सैद्धांतिक रूप से जोड़ सकते हैं। क्यों "सैद्धांतिक रूप से"? इससे पहले, ILV के क्षेत्रीय विभागों की वेबसाइटों पर, समाचार अनुभाग ने लगातार समाचार प्रकाशित किया था कि नियामक ने व्यक्तिगत डेटा पर कानून के अनुपालन के लिए सशर्त रूप से 3 संगठनों की जांच की, संगठन नंबर 1 ठीक था, संगठन नंबर 2 पर 3,000 रूबल का जुर्माना लगाया गया था, संगठन नंबर 3 पर जुर्माना लगाया गया था। 5 हजार रूबल। इस तरह की खबर को वर्ष के लिए ढेर में इकट्ठा करना और जुर्माना के कुछ आंकड़ों को बाहर करना संभव था। अब ऐसी कोई खबर नहीं है। यदि किसी के पास प्रशासनिक संहिता के 13.11 में परिवर्तन के बाद 152-FZ के उल्लंघन के लिए जुर्माना है, तो आप इस जानकारी को टिप्पणियों में साझा कर सकते हैं।

यह तुरंत ध्यान दिया जाना चाहिए कि रूसी संघ के प्रशासनिक अपराधों की संहिता के अनुच्छेद 13.11 में संशोधन करने के लिए बिल के मूल पाठ में शुरू में जुर्माना की अधिक महत्वपूर्ण मात्रा थी, उदाहरण के लिए, जहां अधिकतम जुर्माना 75,000 रूबल पर सेट किया गया था, यह मूल रूप से 300,000 रूबल से अधिक की सजा देने की योजना बनाई गई थी। यह ठोस है, लेकिन जीडीपीआर के उल्लंघन की मात्रा अभी भी दूर है। लेकिन, इस तथ्य के बावजूद कि परिणामस्वरूप जुर्माना की मात्रा बहुत कम हो गई है, दुर्भाग्य से, व्यक्तिगत डेटा संरक्षण सेवाओं के कुछ विक्रेता अभी भी "300,000" संख्या के साथ डराने की कोशिश कर रहे हैं। सतर्क रहें।

इसलिए, हम आश्वस्त थे कि एक अनिर्धारित निरीक्षण की बढ़ी हुई संभावना और 152-एफजेड के उल्लंघन के लिए कई गुना बढ़े हुए जुर्माना बिल्कुल भी बुरे नहीं हैं, इसलिए किसी भी समय जांच के लिए तैयार रहने के लिए प्रेरित करें। आइए जानें कि इसके लिए हमें क्या करने की आवश्यकता है।

चेक के प्रकार

इससे पहले कि हम निरीक्षण की तैयारी में शामिल तात्कालिक कदमों पर आगे बढ़ें, आइए देखें कि किस प्रकार के निरीक्षण होते हैं और एक सामान्य ऑडिट कैसे होता है।

सामान्य तौर पर, चेक को 2 प्रकारों में विभाजित किया जा सकता है: वृत्तचित्र और क्षेत्र।

दस्तावेजी जाँच

एक दस्तावेजी जाँच सबसे अक्सर इस तथ्य से शुरू होती है कि स्थानीय ILV विभाग से किसी भी आवश्यकता के साथ एक पत्र संगठन में आता है। यदि आपका संगठन, उदाहरण के लिए, व्यक्तिगत डेटा ऑपरेटरों के रजिस्टर में इसके शामिल होने के बारे में एक अधिसूचना प्रस्तुत नहीं करता है, तो आपको याद दिलाया जा सकता है कि यह अधिसूचना दाखिल करना अच्छा होगा। कानून की आवश्यकता है। या यह बताएं कि आपका संगठन नोटिस के बिना व्यक्तिगत डेटा को कैसे संसाधित कर सकता है (152-FZ में कई अपवाद प्रदान किए गए हैं)। यदि आपका संगठन अभी भी एक अधिसूचना प्रस्तुत करता है, तो आपको याद दिलाया जा सकता है कि रजिस्ट्री में समय-समय पर नए क्षेत्र दिखाई देते हैं और उन्हें भी भरना पड़ता है। उदाहरण के लिए, डेटा केंद्र के स्थान को इंगित करना आवश्यक है और चाहे वह किराए पर हो या खुद का हो। और हाँ, Roskomnadzor की समझ में मुख्य लेखाकार के कंप्यूटर पर डेटाबेस 1C एक डेटा सेंटर है।


आपको डाक द्वारा संगठन में व्यक्तिगत डेटा की सुरक्षा को विनियमित करने वाले दस्तावेजों की प्रतियां भेजने के लिए भी कहा जा सकता है - आदेश, निर्देश, एक खतरा मॉडल, और वह सब।

तो, आपको Roskomnadzor से ऐसा पत्र मिला, मुझे क्या करना चाहिए?

वास्तव में, यह कहना आसान है कि इन पत्रों को अनदेखा करने के लिए क्या बिल्कुल नहीं किया जाना चाहिए। दुर्भाग्य से, व्यवहार में, कई ऐसा करते हैं। कोई जवाब देना भूल जाता है, किसी को पता नहीं होता है कि जवाब में क्या लिखना है और क्या जवाब देना है, और किसी को उम्मीद है कि वे भूल जाएंगे और ब्रेक पर सब कुछ अपने आप नीचे चला जाएगा। नहीं, वे इस मामले में नहीं भूलेंगे।

हो सकता है कि कुछ विभागों में ऐसी प्रथा आम हो - संगठन को "दिखाने के लिए" एक पत्र लिखें और इसे भूल जाएं, लेकिन ILV के साथ नहीं। इसलिए, पत्र में निर्दिष्ट समय अवधि के भीतर जवाब देना उचित है, अन्यथा संगठन रूसी संघ के प्रशासनिक संहिता के अनुच्छेद 19.7 के तहत दंडित किया जाएगा "राज्य निकाय को जानकारी प्रस्तुत करने या प्रस्तुत करने में विफलता"। आप "समाचार" अनुभाग में अपने क्षेत्रीय विभाग रोसकोमनादज़ोर (% संख्या _region% .rkn.gov.ru) की साइट पर जा सकते हैं। 2016 में, समाचार का एक अच्छा आधा रूसी संघ की प्रशासनिक अपराधों की संहिता के एक ही लेख के तहत कानूनी संस्थाओं को जिम्मेदार ठहराने के लिए समर्पित था। इसके अलावा, प्रत्येक समाचार में, 10-15 तक संगठन दिखाई दे सकते थे। अब ऐसी खबरें भी हैं, लेकिन कम, यह इस तथ्य के कारण सबसे अधिक संभावना है कि आईएलवी ने खुद को "खुशी के पत्र" कम सक्रिय रूप से भेजना शुरू कर दिया।

रूसी संघ के 19.7 प्रशासनिक कोड पर जुर्माना छोटा है - 3-5 हजार रूबल, लेकिन यहां आपको यह याद रखना होगा कि जुर्माना चुकाने के बाद, मूल पत्र में मांगी गई जानकारी अभी भी प्रदान करनी होगी।


यदि आपके द्वारा भेजे गए पत्र की सामग्री पर कुछ स्पष्ट नहीं है, तो अंत में पत्र के निष्पादक और उसकी संपर्क जानकारी आमतौर पर इंगित की जाती है। आप हमेशा कॉल कर सकते हैं और स्पष्ट कर सकते हैं कि नियामक अभी भी आपसे क्या चाहता है।

दस्तावेजी जाँच के बारे में, शायद, जोड़ने के लिए कुछ भी नहीं है, चलो क्षेत्र यात्राओं पर जाएं।

क्षेत्र की जाँच

नाम से ही, यह पहले से ही स्पष्ट हो जाता है कि निरीक्षक आपके क्षेत्र में कम से कम दो से तीन बार होंगे। हमारे अनुभव में, हम कह सकते हैं कि सत्यापन प्रक्रिया कुछ इस तरह दिखती है:

• निरीक्षक संगठन में आते हैं, सिर से परिचित हो जाते हैं, उसे सत्यापन का नोटिस देते हैं, नियामक अधिकारियों द्वारा कानूनी इकाई की ऑडिट पत्रिका में एक प्रविष्टि करते हैं (इस तरह की पत्रिका की अनुपस्थिति, पहले से ही उल्लंघन है);
• तब ILV प्रतिनिधियों को व्यक्तिगत डेटा की सुरक्षा के लिए संगठन में उपलब्ध दस्तावेज़ उपलब्ध कराने के लिए कहा जाता है, और यहाँ आप दस्तावेज़ों के इस पूरे पहाड़ को खींच रहे हैं - आदेश, निर्देश, नियम, नीतियाँ, खतरा मॉडल;
• दस्तावेजों की संरचना पर एक त्वरित नज़र रखने के लिए, निरीक्षक या तो उन्हें एक कमरा प्रदान करने के लिए कहते हैं जहाँ वे उनका अध्ययन करेंगे, या सभी दस्तावेज़ों की प्रतियां माँगेंगे और आपके द्वारा दी गई जानकारी का अध्ययन करने के लिए अपने कार्यालयों के लिए छोड़ देंगे;
• दस्तावेजों के साथ परिचित होने की प्रक्रिया में, उनकी सामग्री या उनके बारे में कोई भी बदलाव करने की इच्छा के बारे में सवाल उठ सकते हैं;
• निरीक्षण दिनों में से एक पर, ILV प्रतिनिधि निश्चित रूप से उन कार्यालयों से गुजरेंगे जहां व्यक्तिगत डेटा संसाधित किए जाते हैं, कागज पर पीडीएस के भंडारण के लिए स्थानों की जांच करें - अलमारियाँ, तिजोरियाँ, अलमारियाँ (यहाँ आपको संभवतः उपलब्ध लोहे के अलमारियाँ खरीदने की आवश्यकता पर संकेत दिया जाएगा यदि पीडी किसी तरह अलग तरीके से संग्रहीत किए जाते हैं। ), सूचना प्रणाली भी देख सकते हैं;
• अंत में, निरीक्षक ऑडिट के परिणामों के बारे में उसी ऑडिट जर्नल में एक प्रविष्टि करते हैं (टिप्पणियों की पहचान की गई है या नहीं) और ऑडिट के परिणामों के आधार पर एक अधिनियम जारी किया जाता है।

यहां, शायद, यह बात करने योग्य है कि आपको साइट पर निरीक्षण के दौरान क्या याद रखना चाहिए।

सबसे पहले, किसी भी मामले में आपको उन लोगों के साथ जाने की ज़रूरत नहीं है जो संघर्ष की जांच करते हैं और किसी तरह सत्यापन प्रक्रिया में हस्तक्षेप करते हैं (दस्तावेजों और इसी तरह की चाल के साथ कार्यालय की कुंजी "खो")। हां, समीक्षक गलत भी हो सकते हैं। सब कुछ और सब कुछ के निषेध के लिए अत्यधिक उत्साह से संबंधित इस तरह की त्रुटि का एक ज्वलंत उदाहरण 2015-2016 में हमारे प्रिमोर्स्की क्षेत्र में हुआ । किसी ने भी केयरटेकर के सिंड्रोम को रद्द नहीं किया है, और सत्यापन प्रक्रिया के दौरान पूरी तरह से गैरकानूनी और अनुचित मांग की जा सकती है। लेकिन यह मानव संचार के सरल नियमों को रद्द नहीं करता है। यदि आप किसी चीज से सहमत नहीं हैं, तो इसे शांति से व्यक्त करें, कानून के लिए एक लिंक के लिए पूछें, जो संदिग्ध आवश्यकता का कारण है।

दूसरी बात, ऑडिट के दौरान निरीक्षकों द्वारा कोई भी दावा नहीं किया जाएगा, यह महत्वपूर्ण है कि ऑडिट के परिणामों के बाद अधिनियम में क्या लिखा जाएगा। मैं एक सरल उदाहरण दूंगा, चेक में से एक पर, ILV प्रतिनिधियों ने दावा किया कि व्यक्तिगत डेटा सूचना प्रणाली "अकाउंटिंग" और "कार्मिक" को अलग करना और क्रमशः दस्तावेजों में उन्हें अलग से वर्णन करना आवश्यक था। आवश्यकता पूरी तरह से कानून द्वारा समर्थित नहीं है, और 152-एफजेड की आईएसपीडी की परिभाषा सूचना प्रणालियों के एकीकरण पर रोक नहीं लगाती है और उनका वर्णन उस तरह से करती है जैसे हम खुद चाहते हैं। हम एक चिकित्सा संस्थान में एक ही कार्मिक प्रबंधकों के साथ चिकित्सा डेटा के साथ एक वृत्तचित्र प्रणाली को जोड़ सकते हैं, और कह सकते हैं कि हमारे पास एक आईएसपीडी है। सच है, इस मामले में, यह याद रखना चाहिए कि संभवतः कैडरब को व्यक्तिगत डेटा सुरक्षा के उच्च स्तर पर संरक्षित करना होगा, जो दवा के साथ सूचना प्रणाली के हिस्से के लिए निर्धारित किया जाएगा। लेकिन सामान्य ज्ञान के दृष्टिकोण से, यहां तक ​​कि आदेशों, निर्देशों और खतरे के मॉडल के पहाड़ों का उत्पादन करने के लिए कर्मियों से प्रत्येक बहीखाता पद्धति और प्रत्येक प्रणाली के लिए अलग-अलग करने के लिए यह बिल्कुल भी सही नहीं है। तो, इस कहानी में मुख्य बात यह है कि ऑडिट के परिणामों के बाद अधिनियम में लिखा गया था "कानून का कोई उल्लंघन नहीं था।" और इससे इंस्पेक्टरों की सभी मौखिक नाजायज टिप्पणियां सामने आती हैं।

तीसरा, किसी भी व्यक्तिगत डेटा के प्रसंस्करण में शामिल अपने सभी कर्मचारियों को यह निर्देश देना अनिवार्य है कि ऑडिट के दौरान क्या संभव है और क्या नहीं किया जा सकता है। उदाहरण के लिए, आप व्यक्तिगत डेटा को निर्देशों और नियमों के अनुसार संसाधित कर सकते हैं, लेकिन आप डेस्कटॉप पर कर्मचारी पासपोर्ट की प्रतियां नहीं बिखेर सकते हैं।

व्यक्तिगत डेटा ऑपरेटर अधिसूचना

निरीक्षण के परिणामों के अनुसार, कानून के उल्लंघन पर निर्देश जारी करने के कारणों की रैंकिंग में पहला स्थान व्यक्तिगत डेटा पोर्टल पर व्यक्तिगत डेटा ऑपरेटर की अधिसूचना में अपूर्ण या असत्य जानकारी या इस तरह की अधिसूचना की अनुपस्थिति के संकेत से है। तो पहली चीज जो हमें करने की ज़रूरत है, वह यह पता लगाना है कि क्या हमारे व्यक्तिगत डेटा को संसाधित करने का मामला उन मामलों में आता है जिनमें ऑपरेटर रोस्कोम्नाडज़ोर को एक अधिसूचना प्रस्तुत नहीं कर सकता है। इस तरह के अपवादों को संघीय कानून संख्या 152-एफजेड "व्यक्तिगत डेटा पर" अनुच्छेद 22 की धारा 2 में सूचीबद्ध किया गया है। हम सभी बिंदुओं को सूचीबद्ध नहीं करेंगे, क्योंकि बहुत अधिक विदेशी भी हैं, लेकिन यहां अधिकांश संगठनों के लिए सबसे अधिक लागू हैं:

• यदि पीडी को केवल श्रम कानून के अनुसार संसाधित किया जाता है तो एक नोटिस छोड़ा जा सकता है;
• यदि आप उन ग्राहकों के व्यक्तिगत डेटा को संसाधित करते हैं जो आपके साथ अनुबंध करने के लिए एक पार्टी हैं, तो एक अधिसूचना को छोड़ा जा सकता है, और साथ ही उनके व्यक्तिगत डेटा को विषय की उपयुक्त सहमति के बिना तीसरे पक्ष को स्थानांतरित नहीं किया जाता है;
• व्यक्तिगत डेटा केवल एक गैर-स्वचालित मोड (जो कि कंप्यूटर प्रौद्योगिकी के उपयोग के बिना) में संसाधित होता है।

यह ध्यान देने योग्य है कि यहां नुकसान हैं। उदाहरण के लिए, अब कई संगठन, विशेष रूप से राज्य वाले, सीधे कर्मचारियों के रक्त-अर्जित रूबल को बैंक कार्ड में स्थानांतरित करने के लिए वेतन परियोजनाओं को लागू कर रहे हैं। यह नियोक्ताओं और कर्मचारियों के लिए बहुत सुविधाजनक है, और बैंक भी फायदेमंद है। लेकिन इस तरह की परियोजना को लागू करते समय, जो कुछ भी कह सकता है, आपको अपने कर्मचारियों के डेटा को बैंक में स्थानांतरित करना होगा। और तीसरे पक्ष को व्यक्तिगत डेटा के इस तरह के हस्तांतरण को अब श्रम कानून द्वारा विनियमित नहीं किया जाता है, जिसका अर्थ है कि ऊपर की सूची से पहला बहिष्करण काम नहीं करता है, इसलिए, व्यक्तिगत डेटा के प्रसंस्करण पर एक अधिसूचना रोसकोमनादेज़र को प्रस्तुत करना आवश्यक है।

रजिस्ट्री में अधिसूचना के लिए कैसे जांच करें और आगे क्या करें

इसके अलावा, इससे कोई फर्क नहीं पड़ता कि हमने पिछले चरण में क्या परिणाम प्राप्त किया है, आपको यह जांचने की आवश्यकता है कि क्या व्यक्तिगत डेटा ऑपरेटरों की रजिस्ट्री में आपके संगठन के बारे में कोई प्रविष्टि है। यहां आप आसानी से संगठन के नाम या TIN द्वारा रजिस्ट्री में एक प्रविष्टि पा सकते हैं।

तब आपके कार्यों को कुछ इस तरह देखना चाहिए।

यदि संगठन अपवादों के अधीन है और कोई अधिसूचना नहीं है - उत्कृष्ट, यह होना चाहिए! हम कुछ नहीं करते।

यदि संगठन अपवादों के अधीन है, लेकिन नोटिस रजिस्ट्री में है। खैर, शायद कुछ साल पहले किसी ने, उदाहरण के लिए, एक सेवानिवृत्त प्रबंधक के निर्देश पर, यह नोटिस भेजा था। लेकिन इसे ठीक किया जा सकता है। पीडी ऑपरेटरों के रजिस्टर से संगठनों को बाहर करने की एक प्रक्रिया है। ऐसा करने के लिए, आपको बस Roskomnadzor के क्षेत्रीय कार्यालय को एक पत्र लिखने की आवश्यकता है, जिसमें अधिसूचना संख्या और उन कारणों का वर्णन है, जिनके कारण आपका संगठन व्यक्तिगत डेटा ऑपरेटरों के रजिस्टर में होना आवश्यक नहीं है। फिर, उसी पत्र में, कृपया रजिस्ट्री से संबंधित प्रविष्टि को हटा दें। हम 30 दिनों का इंतजार कर रहे हैं। हम जांच करते हैं। यदि रिकॉर्ड रजिस्टर में रहता है, तो हम Roskomnadzor को कॉल करते हैं और जांचते हैं कि आपका पत्र प्राप्त हुआ है या नहीं।

यदि संगठन अपवाद के अंतर्गत नहीं आता है, लेकिन रजिस्ट्री में कोई अधिसूचना नहीं है, तो हम तत्काल एक अधिसूचना भरने के लिए जाते हैं ! तत्काल क्यों? हां, क्योंकि कानून के अनुसार, व्यक्तिगत डेटा के प्रसंस्करण शुरू होने से पहले एक नोटिस भरना चाहिए, यदि ऐसी प्रक्रिया कानून नंबर 152-On "व्यक्तिगत डेटा पर" के अनुच्छेद 22 से सभी समान अपवादों के अंतर्गत नहीं आती है। निम्न में से एक लेख की योजना बनाई गई है कि कैसे सही ढंग से और सक्षम रूप से एक अधिसूचना को खरोंच से भरें या मौजूदा एक को अपग्रेड करें।

खैर, अंतिम विकल्प: संगठन अपवाद के तहत नहीं आता है, लेकिन रजिस्ट्री में एक अधिसूचना है। मैं यहां लिखना चाहूंगा, जैसे कि पहले मामले में, कुछ भी करने की आवश्यकता नहीं है, लेकिन नहीं। यह कुछ भी नहीं है कि मैंने ऊपर कहा था कि नोटिस की कमी के अलावा, निरीक्षण के परिणामों और रूसी संघ के प्रशासनिक अपराधों की संहिता के अनुच्छेद 13.11 के तहत जुर्माना जारी करने के लिए एक सामान्य कारणों में से एक अधिसूचना में वास्तव में क्या हो रहा है के साथ अधिसूचना में डेटा की असंगति है। उदाहरण के लिए, संसाधित व्यक्तिगत डेटा की सभी श्रेणियों को इंगित नहीं किया जाता है या यह सुनिश्चित करने के लिए उपाय नहीं किए जाते हैं कि व्यक्तिगत डेटा की सुरक्षा का संकेत दिया जाए। इस विसंगति के कई कारण हो सकते हैं, लेकिन यहां दो मुख्य हैं:

• नोटिस को लंबे समय से भरा गया है और संगठन वास्तव में तब से बदल गया है जब व्यक्तिगत डेटा को संसाधित करने के लिए कई शर्तें;
• नोटिस को स्थिति के समुचित विश्लेषण और सूचना के संग्रह के बिना जांच के लिए भरा गया था।

ऐसे मामलों के लिए, व्यक्तिगत डेटा पोर्टल पर मौजूदा नोटिस में संशोधन के लिए एक फॉर्म प्रदान किया जाता है।

परिवर्तन करने (या प्रारंभिक अधिसूचना) पर फॉर्म भरने के बाद, परिणामी दस्तावेज़ को प्रिंट करना, उस पर हस्ताक्षर करना, उस पर मुहर (यदि कोई हो) आवश्यक है और इसे एक अनुरूप पत्र में Roskomnadzor के क्षेत्रीय प्रशासन को भेजें। केवल एक कागजी पत्र के आधार पर रजिस्ट्री में प्रवेश किया जाएगा या मौजूदा प्रविष्टि में परिवर्तन किया जाएगा।

सत्यापन दस्तावेज़

मैं इस गंभीर क्षण को लेख के अंत में छोड़ना चाहता था। लेकिन क्या पहले से ही है, क्योंकि हम पहले से ही आवश्यक दस्तावेज के एक सेट के बारे में बात करना शुरू कर चुके हैं, यहां हमारे सेट के टेम्पलेट के लिए एक कड़ी है। संग्रह में 4 फ़ोल्डर और "खतरा मॉडल" टेम्पलेट हैं। यहां हम केवल जनरल और पीडीएन फ़ोल्डरों के दस्तावेजों के बारे में बात करेंगे। "सामान्य" - ये ऐसे दस्तावेज़ हैं जिनका उपयोग किसी भी सूचना प्रणाली के लिए प्लस या माइनस में किया जा सकता है, और "PDN" एक विशुद्ध रूप से रोसकोमनादज़ोर हिस्सा है। पुरालेख में दस्तावेजों की संरचना का पूरा विवरण हमारी वेबसाइट पर देखा जा सकता है।

यह लेख काफी हद तक स्पष्ट है, इसलिए, हम यहां यह विश्लेषण नहीं करेंगे कि किसी विशेष दस्तावेज़ (या दस्तावेज़ अनुभाग) से क्या विशिष्ट आवश्यकताएं हैं। यह एक अलग लेख के लिए एक विषय है। सामान्य बिंदुओं के माध्यम से चलते हैं।

दस्तावेजों की संरचना

तो, सबसे पहले, जिस विशेषज्ञ को आगामी ऑडिट के लिए तैयार करने का निर्देश दिया गया था, वह सवाल उठाता है - सामान्य रूप से किन दस्तावेजों की आवश्यकता होती है। विशेषज्ञ कानून में बदल जाता है और ... लगभग कुछ भी उपयोगी नहीं पाता है। खैर, ऐसा नहीं है कि कुछ भी प्रत्यक्ष है। हाँ, शायद, एक विशेषज्ञ 21 फरवरी, 2012 नंबर 211 पर रूसी संघ की सरकार के एक फरमान पर ठोकर खाएगा और कहेगा: "ठीक है, तुम गलत थे, अब, दस्तावेजों की एक सूची है!" हाँ है। केवल एक विशेषज्ञ एक प्रकार के जाल की प्रतीक्षा कर रहा है। यदि आपको इस सूची से केवल दस्तावेज मिलते हैं, तो संगठन को ऑडिट के परिणामों के आधार पर एक आदेश प्राप्त होगा, क्योंकि सूची कानून की आवश्यकताओं का एक छोटा सा हिस्सा भी कवर नहीं करती है। इसके अलावा सूची में इस तरह की गैरबराबरी हैं, उदाहरण के लिए, ISPDn की सूची को अलग से अनुमोदित करने की आवश्यकता है। जब हमें "ISPDn के प्रसंस्करण और संरक्षण पर विनियमन" या "सूचना सुरक्षा नीति" में ISPDn को सूचीबद्ध करना संभव है, तो हमें एक अलग दस्तावेज़ बनाने की आवश्यकता क्यों है - यह स्पष्ट नहीं है। और अंत में, संकल्प संख्या 211 केवल राज्य और नगर निगम के अधिकारियों पर लागू होता है, इसलिए यह अधिकांश पीडी ऑपरेटरों पर लागू नहीं होता है। और, वैसे, डिक्री 211 द्वारा दस्तावेजों के हमारे सेट में कोई समस्या नहीं है, क्योंकि अधिकांश मुद्दों को इसलिए अन्य दस्तावेजों में ध्यान में रखा जाता है।

खैर, आइए देखें कि कानून में हमारे पास क्या है।

संघीय कानून "व्यक्तिगत डेटा पर" सीधे "सुरक्षा खतरों का मॉडल" विकसित करने की आवश्यकता की बात करता है (हालांकि यह सीधे तौर पर नहीं कहा गया है कि यह सीधे कानून में भी कहा गया है कि व्यक्तिगत डेटा के लिए सुरक्षा खतरों की पहचान करना आवश्यक है) और व्यक्तिगत के प्रसंस्करण के बारे में "नीति का प्रकाशन" डेटा। "

हम निम्नलिखित लेखों में से एक में थ्रेट मॉडल की विकास प्रक्रिया के बारे में अधिक विस्तार से लिख सकते हैं।

बाकी सब कुछ अस्पष्ट है, कुछ इस तरह:

… , , :

1) , , ;

2) , , , , , , , , ;
...
4) () , , , ;

और इसी तरह। , 152- : , , , , , . , . ! — .

, – , . «», . « » , , , , .

, . « », « ...» « ...». .

, , ? . , , . :

• , , , . , .
• ( , ) .
• . , .
• . , . , . . . – .
• 9 « ». , , , . , . « ». , , .
• . , , .

, « ». . , , .

निष्कर्ष

, , .

1. . , . , .
2. , , , . . .
3. .
4. . / . , .
5. ( , - ).
6. .
7. .
8. , , .
9. . .

, , , . , – .

! 20 22 FortiGate. . , , .