व्यक्तिगत डेटा संरक्षण के क्षेत्र में रूसी और अंतर्राष्ट्रीय कानून

पिछले प्रकाशन में, हमने सूचना सुरक्षा की बुनियादी अवधारणाओं और प्रतिमान की जांच की, और अब हम डेटा संरक्षण के विभिन्न पहलुओं को नियंत्रित करने वाले रूसी और अंतर्राष्ट्रीय कानून के विश्लेषण पर आगे बढ़ेंगे, क्योंकि कंपनी के गतिविधि के संबंधित क्षेत्रों को नियंत्रित करने वाले विधायी नियमों के ज्ञान के बिना, यह एक जोखिम और व्यवसाय-उन्मुख प्रबंधन प्रणाली बनाने के लिए सही है। सूचना सुरक्षा असंभव है। दंड, साथ ही साथ विधायी मानकों का गैर-अनुपालन से सम्मानित क्षति संगठन की कार्यप्रणाली और विकास योजनाओं में महत्वपूर्ण सुधार कर सकती है: हम जानते हैं कि, उदाहरण के लिए, राष्ट्रीय भुगतान प्रणाली में सूचना सुरक्षा मानकों का पालन करने में विफलता के परिणामस्वरूप वित्तीय संगठन से लाइसेंस रद्द किया जा सकता है, और गैर-अनुपालन आवश्यकताओं के अनुरूप हो सकता है। निजी डेटा के प्राथमिक संग्रह और प्रसंस्करण से कंपनी की वेबसाइट तक पहुंच अवरुद्ध हो सकती है। सामान्य रूप से महत्वपूर्ण सूचना बुनियादी ढांचे के सुरक्षा मानकों का पालन करने में विफलता के परिणामस्वरूप 10 साल तक की कैद हो सकती है। बेशक, लागू कानूनों और विनियमों की एक बड़ी संख्या है, इसलिए इसमें और अगले दो लेख हम व्यक्तिगत डेटा की सुरक्षा, महत्वपूर्ण सूचना अवसंरचना वस्तुओं की सुरक्षा और वित्तीय संगठनों की सूचना सुरक्षा पर ध्यान केंद्रित करेंगे।

तो, आज की श्रृंखला में - व्यक्तिगत डेटा, चलो चलते हैं!



सबसे पहले, मूल दस्तावेज के बारे में बात करना आवश्यक है जो रूसी संघ में विभिन्न जानकारी के साथ काम करने की प्रक्रिया को नियंत्रित करता है, जिसमें शामिल हैं और व्यक्तिगत डेटा के साथ - हम संघीय कानून नंबर 149 "सूचना, सूचना प्रौद्योगिकी और सूचना के संरक्षण" के बारे में दिनांक 07.27.26 को बता रहे हैं। इस दस्तावेज़ में मूल अवधारणाएं और परिभाषाएँ शामिल हैं जिनका उपयोग सूचना के संरक्षण से संबंधित सभी विनियामक कानूनी कृत्यों में किया जाता है, और अन्य बातों के अलावा, सूचना की श्रेणी (सार्वजनिक सूचना और सीमित वितरण की जानकारी) की अवधारणा और सूचना के प्रकार का परिचय (स्वतंत्र रूप से वितरित, जानकारी के आधार पर प्रदान किया जाता है) अनुबंध, कानून के अनुसार वितरण के अधीन, सीमित पहुंच / वितरण की जानकारी और वितरण के लिए निषिद्ध)। विशेष रूप से, व्यक्तिगत डेटा को प्रतिबंधित जानकारी के रूप में वर्गीकृत किया जाता है, और इस कानून के अनुच्छेद 9 के अनुसार, इस तरह की जानकारी की गोपनीयता अनिवार्य है, जिसके परिणामस्वरूप राज्य इसके प्रसंस्करण के लिए अनिवार्य मानदंडों और नियमों को स्थापित करता है। दुर्भाग्य से, सीमित वितरण की सभी प्रकार की जानकारी के साथ एक समान निश्चितता नहीं है - उदाहरण के लिए, इस दिन तक रहस्यों के प्रकार का कोई विधायी वर्गीकरण नहीं है, केवल उनमें से कुछ को प्रतिष्ठित किया जा सकता है: राज्य, वाणिज्यिक, कर, बैंकिंग, लेखा परीक्षा, चिकित्सा, नोटरी, वकील का रहस्य, रहस्य संचार, जांच, कानूनी कार्यवाही, अंदरूनी जानकारी, आदि। सीमित वितरण की जानकारी के अलावा, 149-Article (अनुच्छेद 8, खंड 4) में सूचनाओं के वर्गीकरण का एक वर्गीकरण भी है, जिस पर, इसके विपरीत, सीमित नहीं किया जा सकता है - उदाहरण के लिए, नियामक कानूनी कृत्यों, राज्य निकायों की गतिविधियों की जानकारी, पर्यावरण की स्थिति, आदि। .D।

व्यक्तिगत डेटा की सुरक्षा के लिए रूसी मानक

व्यक्तिगत डेटा संरक्षण के मुद्दों पर विचार करते हुए, यह ध्यान दिया जाना चाहिए कि वे पिछले वर्षों में लगातार तेज रहे हैं और रूस और विदेश दोनों में उच्चतम कार्यालयों में वृद्धि हुई है, क्योंकि वे नागरिकता या स्थिति की परवाह किए बिना, हम में से प्रत्येक की चिंता करते हैं।

व्यक्तिगत डेटा की सुरक्षा, गोपनीयता की विदेशी व्याख्या में, विकसित देशों के नागरिकों के अयोग्य अधिकारों और स्वतंत्रता को सुनिश्चित करने में निहित है - उदाहरण के लिए, कुछ यूरोपीय देशों में, मेलबॉक्स और दरवाजे पर रहने वाले लोगों के नाम और उपनाम को इंगित करने का मुद्दा काफी विवादास्पद था। सूचना प्रौद्योगिकी के आगमन के साथ, व्यक्तिगत डेटा की सुरक्षा और भी अधिक प्रासंगिक हो गई है। यह कैसे "व्यक्तिगत डेटा के स्वत: प्रसंस्करण के साथ व्यक्तियों के संरक्षण पर यूरोप कन्वेंशन नंबर 108 की परिषद" दिखाई दिया, 1981 में हस्ताक्षरित और 2001 में रूसी संघ द्वारा इसकी पुष्टि की गई। पहले से ही उस समय, इसने व्यक्तिगत डेटा के वैध प्रसंस्करण के लिए अंतर्राष्ट्रीय नींव रखी, जो आज भी लागू हैं: केवल निश्चित उद्देश्यों के लिए और निश्चित अवधि के भीतर व्यक्तिगत डेटा का उपयोग, संसाधित व्यक्तिगत डेटा की अतिरेक और प्रासंगिकता और उनके सीमा पार हस्तांतरण, डेटा संरक्षण की गारंटी। एक नागरिक के अधिकार - व्यक्तिगत डेटा के धारक। उसी दस्तावेज़ में, व्यक्तिगत डेटा की बहुत परिभाषा दी गई है, जो तब 27 जुलाई, 2006 को " संघीय डेटा" पर घरेलू संघीय कानून संख्या 152 के पहले संस्करण में "माइग्रेट" करता है: "व्यक्तिगत डेटा" का अर्थ किसी विशिष्ट या पहचान योग्य व्यक्ति के बारे में कोई जानकारी है। इस कन्वेंशन के अनुसमर्थन का उद्देश्य डब्ल्यूटीओ (विश्व व्यापार संगठन) में रूस के प्रवेश पर अंतर्राष्ट्रीय नियामक आवश्यकताओं का पालन करना था, जो 2012 में हुआ था।

कन्वेंशन के लिए देशों के दलों का संयुक्त काम आज भी जारी है। इसलिए, 2018 के अंत में, अन्य भाग लेने वाले देशों के साथ रूसी संघ ने "व्यक्तिगत डेटा की सुरक्षा पर यूरोप कन्वेंशन की परिषद में संशोधन पर प्रोटोकॉल नंबर 223 " पर हस्ताक्षर किए, जो वर्तमान चुनौतियों को पूरा करने के संदर्भ में कन्वेंशन को अद्यतन करता है: बायोमेट्रिक और आनुवंशिक डेटा की सुरक्षा, नए अधिकार। आर्टिफिशियल इंटेलिजेंस द्वारा एल्गोरिदम निर्णय लेने के संदर्भ में व्यक्तियों, सूचना प्रणालियों को डिजाइन करने के चरण में डेटा सुरक्षा आवश्यकताओं, अधिकृत पर्यवेक्षक को सूचित करने का दायित्व डेटा लीक के बारे में गण। नागरिकों को अब पर्यवेक्षक से अपने व्यक्तिगत डेटा पर योग्य सुरक्षा प्राप्त करने का अवसर है, और रूसी कंपनियों को यूरोपीय जीडीपीआर (सामान्य डेटा सुरक्षा विनियमन की आवश्यकताओं का पालन करने के लिए मजबूर किया गया है, हम बाद में उनके बारे में बात करेंगे) अतिरिक्त उपाय उपाय लागू करने के लिए मजबूर नहीं होंगे। कन्वेंशन के प्रावधानों के अनुपालन का मतलब है कि देश पार्टी व्यक्तिगत डेटा के प्रसंस्करण के लिए पर्याप्त कानूनी व्यवस्था प्रदान करती है।

इसलिए, 2006 में, 152-On "व्यक्तिगत डेटा पर" को अपनाया गया, जिसने न केवल बड़े पैमाने पर कन्वेंशन की आवश्यकताओं को दोहराया, बल्कि व्यक्तिगत डेटा (इसके बाद - पीडी) के प्रसंस्करण के बारे में अतिरिक्त परिभाषाएं और आवश्यकताएं भी पेश कीं। समय के साथ, संघीय कानून में संशोधन किया गया, जिनमें से मुख्य को 261-/ दिनांक 07/25/2011 और 242-2 दिनांक 07/21/2014 को पेश किया गया। पहले कानून ने पीडी संरक्षण के मूल सिद्धांतों में महत्वपूर्ण परिवर्तन किए, और दूसरे ने रूसी संघ के क्षेत्र के बाहर पीडी के प्राथमिक प्रसंस्करण को प्रतिबंधित कर दिया। ध्यान दें कि पीडी विषयों के अधिकारों की रक्षा के लिए अधिकृत राज्य निकाय संचार, सूचना प्रौद्योगिकी और जन संचार (रोसकोमनादज़र) के पर्यवेक्षण के लिए संघीय सेवा है, जो रूसी संघ के डिजिटल विकास, दूरसंचार और जन संचार मंत्रालय को रिपोर्ट करता है।

अनुच्छेद 152-एफजेड में, व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के उपायों को अनुच्छेद 19 में निपटाया गया है, जिसमें यह भी कहा गया है कि ऑपरेटरों को 1 नवंबर, 2012 के सरकारी निर्णय संख्या 1119 द्वारा स्थापित सुरक्षा स्तरों को सुनिश्चित करना चाहिए, जिन्हें कुछ सुरक्षा खतरों को बेअसर करने वाली आवश्यकताओं के एक समूह के रूप में समझा जाता है। इन खतरों का अनुकरण करने के लिए, अर्थात् एक खतरे वाले मॉडल का निर्माण (बाद में - MU) और उल्लंघनकर्ता का एक मॉडल, एक को निम्नलिखित नियामक कानूनी कृत्यों पर भरोसा करना चाहिए:

• दस्तावेज़ " व्यक्तिगत डेटा सुरक्षा प्रणालियों में संसाधित होने पर व्यक्तिगत डेटा की सुरक्षा के लिए खतरों का मूल मॉडल ", जिसे 2008 में रूस के FSTEC द्वारा विकसित और अनुमोदित किया गया था;
• पीडीएस के लिए सुरक्षा जोखिमों की पहचान करने, सरकारी निकायों और ऑपरेटरों के लिए क्रिप्टोग्राफिक सूचना सुरक्षा उपकरणों का उपयोग करने और उपयुक्त एमयू विकसित करने के लिए रूसी संघ की संघीय सुरक्षा सेवा की 2015 की पद्धतिगत सिफारिशें ।

इसके अलावा, 2015 में रूस के FSTEC ने "सूचना प्रणालियों में सूचना सुरक्षा के लिए खतरों की पहचान करने के तरीके" परियोजना को विकसित किया, जो इसकी मंजूरी के बाद, राज्य सूचना प्रणाली और निजी कंपनियों के दोनों ऑपरेटरों को मार्गदर्शन करने में सक्षम होगा। यह ध्यान दिया जाना चाहिए कि राज्य सूचना प्रणाली (बाद में GOSIS के रूप में संदर्भित) को 149-FZ (अनुच्छेद 13, खंड 1) में परिभाषित किया गया है संघीय सूचना प्रणाली और क्षेत्रीय सूचना प्रणाली के रूप में संघीय कानूनों, रूसी संघ के घटक संस्थाओं के कानून और कानूनी कृत्यों के आधार पर बनाया गया है। राज्य निकायों को राज्य निकायों की शक्तियों का उपयोग करने और इन निकायों के बीच सूचना के आदान-प्रदान को सुनिश्चित करने के लिए, साथ ही संघीय कानूनों द्वारा स्थापित अन्य उद्देश्यों के लिए।

152-FZ में अनुच्छेद 5 राज्य निकायों के दायित्व को उनके क्षेत्र के क्षेत्र में उद्योग-विशिष्ट MU विकसित करने की बात करता है। इस तरह के एमयू विकसित किए गए थे, उदाहरण के लिए, रूसी संघ के सेंट्रल बैंक (पहले आरएस बीआर आईबीबीएस-2.4 के रूप में, फिर बैंक ऑफ रूस अध्यादेश संख्या 389-यू के रूप में ), रूसी संघ के दूरसंचार और जन संचार मंत्रालय ( मानक में संसाधित व्यक्तिगत डेटा का खतरा और सुरक्षा उल्लंघनकर्ता)। उद्योग के ISPD "और" खतरों के मॉडल और सुरक्षा उल्लंघनकर्ता PDN उद्योग के विशेष ISPD में संसाधित होते हैं "), रूसी संघ के स्वास्थ्य मंत्रालय द्वारा (" एक विशिष्ट चिकित्सा संस्थान के एक विशिष्ट चिकित्सा आईपी के खतरों का मॉडल ) "।

152-में, व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने का दायित्व व्यक्तिगत सूचना प्रणाली (इसके बाद - ISPD) या ऑपरेटर की ओर से व्यक्तिगत डेटा को संसाधित करने वाले व्यक्ति (तथाकथित "प्रोसेसर") को सौंपा गया है। पीपी -1119 पीडी के लिए उचित स्तर की सुरक्षा सुनिश्चित करने के लिए ऑपरेटर (या प्रोसेसर) द्वारा उठाए जाने वाले विशिष्ट संगठनात्मक और तकनीकी सुरक्षा उपाय प्रदान करता है, जबकि स्तर की पसंद पीडी की प्रक्रिया पर निर्भर करता है (यानी, आईएसपीडी प्रकार), पीडी विषयों की श्रेणी और संख्या और वास्तविक खतरों का प्रकार।

पीडी श्रेणियां विशेष हो सकती हैं (पीडी के विषय के जीवन के महत्वपूर्ण पहलुओं पर प्रसंस्करण की जानकारी, जैसे स्वास्थ्य की स्थिति, राष्ट्रीय / नस्लीय संबद्धता, राजनीतिक और धार्मिक विश्वास), बायोमेट्रिक (प्रसंस्करण पीडी, शारीरिक और जैविक विशेषताओं की विशेषता), सार्वजनिक (पीडी सार्वजनिक स्रोतों से प्राप्त की जाती है) ), अन्य।

वास्तविक खतरे 1 प्रकार के हो सकते हैं (सिस्टम सॉफ्टवेयर में अघोषित क्षमताओं का उपयोग करने के खतरे) आईएसपीडी के लिए प्रासंगिक हैं), 2 प्रकार के (आवेदन सॉफ्टवेयर में अघोषित क्षमताओं का उपयोग करने के खतरे प्रासंगिक हैं), 3 प्रकार के (उपरोक्त खतरे प्रासंगिक नहीं हैं)।

व्यक्तिगत डेटा के सुरक्षा स्तर (इसके बाद केएम) का विकल्प आईएसपीडीएन (संसाधित पीडीएन की श्रेणियां और आईएसपीडी के लिए प्रासंगिक खतरों के प्रकार) की उपरोक्त विशेषताओं पर निर्भर करता है, साथ ही संस्थाओं की श्रेणी (ऑपरेटर के कर्मचारी या अन्य व्यक्ति) और उन इकाइयों की संख्या जिनके पीडीएन संसाधित होते हैं (अधिक या अधिक) 100,000 से कम प्रविष्टियाँ)। अधिकतम अल्ट्रासाउंड 1 है, न्यूनतम 4 है।

PP-1119 पीडी सुरक्षा उपायों की एक संक्षिप्त सूची प्रदान करता है, क्योंकि रूस के FSTEC द्वारा विस्तृत सुरक्षा उपायों का निर्धारण किया जाता है: 02/18/2013 के आदेश संख्या 21 में पीडी की सुरक्षा सुनिश्चित करने के लिए संगठनात्मक और तकनीकी उपायों की संरचना और सामग्री को मंजूरी दी गई है और 02/11/2013 के आदेश संख्या 17 के लिए आवश्यकताओं को नियंत्रित करता है। स्टेट इंस्टीट्यूट ऑफ स्टेट इन्फॉर्मेशन में सूचना का संरक्षण, जिसमें पीडी का संरक्षण शामिल है इसके अलावा, रूसी संघ की संघीय सुरक्षा सेवा ने 10 जुलाई 2014 को आदेश संख्या 378 भी जारी किया, जिसमें क्रिप्टोग्राफिक सूचना सुरक्षा उपकरण (इसके बाद - सीआईपी) का उपयोग करते समय पीडी सुरक्षा उपायों का विवरण शामिल है।

पहले आदेश संख्या 21 पर विचार करें । यह दस्तावेज़ गैर-राज्य आईपी के लिए पीडी सुरक्षा उपायों के लिए समर्पित है और इसमें एक या दूसरे केपी पीडी को सुनिश्चित करने के लिए विशिष्ट उपायों की एक सूची है। क्लॉज 4 में, गैर-राज्य आईपी ऑपरेटरों को वास्तविक खतरों की अनुपस्थिति में प्रमाणित एसआईएस का उपयोग नहीं करने की अनुमति के रूप में छूट दी जाती है, और दस्तावेज़ के खंड 6 लागू किए गए उपायों की प्रभावशीलता का आकलन करने के लिए तीन साल के अंतराल को निर्धारित करता है। आदेश संख्या 21, साथ ही आदेश संख्या 17, सुरक्षा उपायों को चुनने और लागू करने के लिए समान एल्गोरिथ्म प्रदान करता है: सबसे पहले, प्रासंगिक आदेश के प्रावधानों के आधार पर बुनियादी उपायों का चयन किया जाता है, फिर उपायों के चयनित मूल सेट को अनुकूलित किया जाता है, अप्रासंगिक "बुनियादी" उपायों को छोड़कर उपयोग की जाने वाली सूचना प्रणालियों और प्रौद्योगिकियों की सुविधाओं से। फिर, पहले से अनदेखे उपायों के साथ वर्तमान खतरों को बेअसर करने के लिए, उपायों के अनुकूलित बुनियादी सेट को निर्दिष्ट किया जाता है, और अंत में, अद्यतन अनुकूलित बुनियादी सेट को अन्य लागू नियामक कानूनी दस्तावेजों द्वारा स्थापित उपायों के साथ पूरक किया जाता है।

धारा 10 में आदेश संख्या 21 में ऑपरेटर के प्रतिपूरक उपायों को लागू करने की क्षमता के बारे में एक महत्वपूर्ण टिप्पणी है, जब तकनीकी उपायों को लागू करना असंभव है या यदि मूल सेट से उपायों को लागू करना आर्थिक रूप से संभव नहीं है, जो नए लोगों को चुनते समय कुछ लचीलापन देता है और व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए पहले से लागू सुरक्षात्मक उपकरणों के उपयोग को उचित ठहराता है। यदि ऑपरेटर प्रमाणित SZI का उपयोग करता है, तो ऑर्डर के खंड 12 में नियामक उपयोग किए गए SZI की कक्षाओं के लिए और कंप्यूटर उपकरण (इसके बाद - CBT) के लिए आवश्यकताएं बनाता है।

प्रमाणित फ़ायरवॉल, घुसपैठ का पता लगाने वाले सिस्टम, एंटी-वायरस सूचना सुरक्षा उपकरण, भरोसेमंद बूट उपकरण, हटाने योग्य कंप्यूटर मीडिया नियंत्रण उपकरण, ऑपरेटिंग सिस्टम हाल ही में पेश किए गए (2011-2016) के अनुसार FSTEC रूस के क्लासिफायर 1 से कक्षाएं ले सकते हैं (समर्थन का अधिकतम स्तर) संरक्षण) से 6 (न्यूनतम स्तर)। सीबीटी को एफएसटीईसी रूस के मार्गदर्शन दस्तावेज के अनुसार सात स्तरों पर वर्गीकृत किया जा सकता है। SZI सॉफ्टवेयर में अघोषित क्षमताओं की अनुपस्थिति को नियंत्रित करने के लिए आवश्यकताएँ भी बनाई जाती हैं - नियंत्रण के चार स्तर हैं। प्रमाणित एसआईएस की वर्तमान सूची प्रमाणित सूचना सुरक्षा उपकरणों के राज्य रजिस्टर में निहित है।

आदेश संख्या 21 में, पीडी की सुरक्षा को सुनिश्चित करने के उपायों के निम्नलिखित समूहों को इंगित किया गया है, जिन्हें सुरक्षा के आवश्यक स्तर के आधार पर लागू किया जाना चाहिए:

• पहुँच विषयों और पहुँच वस्तुओं की पहचान और प्रमाणीकरण
• वस्तुओं तक पहुँचने के लिए पहुँच विषयों का अभिगम नियंत्रण
• सॉफ्टवेयर वातावरण को सीमित करें
• मशीन वाहक पीडी का संरक्षण
• सुरक्षा घटना लॉगिंग
• एंटीवायरस सुरक्षा
• घुसपैठ का पता लगाना
• सुरक्षा पीडी की निगरानी (विश्लेषण)
• आईपी और पीडी की अखंडता सुनिश्चित करना
• पीडी की उपलब्धता सुनिश्चित करना
• वर्चुअलाइजेशन वातावरण की रक्षा करना
• तकनीकी साधनों का संरक्षण
• आईपी का संरक्षण, इसके साधन, संचार प्रणाली और डेटा ट्रांसमिशन
• घटना का पता लगाने और प्रतिक्रिया
• आईएस और पीडी सुरक्षा प्रणालियों के विन्यास का प्रबंधन।

क्रम संख्या 17 GISIS तक सीमित पहुंच की सूचना की सुरक्षा सुनिश्चित करने के लिए आवश्यकताओं को स्थापित करता है, जबकि पैराग्राफ 5 जोर देता है कि जब GOSIS, PD-1119 में पीडी प्रसंस्करण किया जाए। आदेश GOSIS ऑपरेटरों को केवल प्रमाणित SZI का उपयोग करने और सूचना सुरक्षा आवश्यकताओं के अनुपालन का पांच साल का प्रमाण पत्र प्राप्त करने के लिए बाध्य करता है। यह दस्तावेज़ मानता है कि ऑपरेटर जानकारी की सुरक्षा सुनिश्चित करने के लिए निम्नलिखित उपाय करते हैं (बाद में - ZI): ZI के लिए आवश्यकताओं का गठन; आईपी ​​आईपी प्रणाली का विकास, कार्यान्वयन और प्रमाणन; ऑपरेशन के दौरान और डीकोमिशनिंग के दौरान ZI प्रदान करना। ऑर्डर का क्लॉज 14.3 एक खतरा मॉडल बनाने की आवश्यकता की बात करता है और FSTEC रूस डेटा सिक्योरिटी थ्रेट डेटा बैंक ( BDU ) का उपयोग करने का सुझाव देता है, जिसके बारे में हमने पिछले प्रकाशन में बताया था । GOSIS के लिए, एक सुरक्षा वर्ग स्थापित किया गया है (अधिकतम 1 से न्यूनतम 3 तक), जो संसाधित जानकारी के महत्व स्तर और सिस्टम के पैमाने पर निर्भर करता है, जहां GISIS में संसाधित जानकारी की सुरक्षा गुणों (गोपनीयता, अखंडता, उपलब्धता) को संभावित नुकसान की डिग्री पर महत्व स्तर निर्भर करता है। , और सिस्टम का पैमाना संघीय, क्षेत्रीय या वस्तु हो सकता है।

प्रथम श्रेणी के जीआईएसआईएस में, द्वितीय श्रेणी के जीओएसआईएस में - उल्लंघनकर्ताओं के कार्यों को उच्च श्रेणी के साथ सुरक्षा प्रदान की जानी चाहिए - उल्लंघनकर्ताओं से मजबूत आधार की तुलना में कम क्षमता के साथ (एनओएस में उनकी क्षमता को "औसत" कहा जाता है , और मसौदे में सुरक्षा खतरों के निर्धारण के लिए कार्यप्रणाली है। IS में जानकारी - "बुनियादी वृद्धि"), जीआईएसआईएस 3 वर्ग में - घुसपैठियों से बुनियादी क्षमता से कम नहीं (एनएलडी में यह क्षमता "कम" कहा जाता है )। चूंकि यह सुनिश्चित करने के लिए कि गोसीस में आईएस है, क्रम संख्या 17 के पैरा 26 में एसआईएस, सीबीटी के स्वीकार्य वर्गों और एनडीवी की अनुपस्थिति के नियंत्रण के स्तरों के अनुसार केवल प्रमाणित एसआईएस का उपयोग करने की अनुमति है, जीआईएसआईएस के वर्ग पर निर्भर करता है। खण्ड 27 में, जीआईएसआईएस सुरक्षा वर्ग और उसमें संसाधित पीडी के सुरक्षा स्तरों के बीच एक संबंध बनाया गया है: 1 वर्ग के जीआईएसआईएस के लिए ZI उपायों की आवश्यकताओं का अनुपालन 1, 2, 3 और पीडी के 4 सुरक्षा स्तरों द्वारा सुनिश्चित किया जाता है, 2 वीं कक्षा के लिए - 2, 3 और 4 अल्ट्रासाउंड, तीसरी श्रेणी के लिए - 3 और 4 अल्ट्रासाउंड।

राज्य सूचना प्रणाली में सूचना सुरक्षा के उपाय लगभग पूरी तरह से ऊपर वर्णित क्रम संख्या 21 के उपायों से मेल खाते हैं, सिवाय घटना का पता लगाने और कॉन्फ़िगरेशन प्रबंधन के संकेत के अभाव के अलावा।ये कार्य सुरक्षा प्रणाली के निर्माण के बाद, प्रमाणित राज्य सूचना प्रणाली के संचालन के चरण में, सूचना सुरक्षा प्रणाली के प्रबंधन और राज्य सूचना प्रणाली में सूचना सुरक्षा के स्तर को सुनिश्चित करने के लिए नियंत्रण के साथ किए जाते हैं।

आदेश संख्या 17 के अलावा, प्रासंगिक ZI उपायों के कार्यान्वयन में, किसी को रूस के FSTEC " राज्य सूचना प्रणाली में सूचना सुरक्षा उपाय " के पद्धति संबंधी दस्तावेज द्वारा भी निर्देशित किया जा सकता है , जो सभी उपायों की संरचना और सामग्री का अधिक विस्तार से खुलासा करता है।

रूसी संघ संख्या 378 की संघीय सुरक्षा सेवा का आदेशव्यक्तिगत डेटा की सुरक्षा के लिए क्रिप्टोग्राफिक सूचना सुरक्षा प्रणालियों के छह वर्गों में से एक के उपयोग के लिए मानक स्थापित करता है: KS1 (न्यूनतम), KS2, KS3, KV1, KV2, KA1 (अधिकतम)। क्रिप्टोग्राफिक सूचना सुरक्षा वर्ग का चयन पीडी की सुरक्षा के आवश्यक स्तर और वास्तविक खतरों के प्रकार के आधार पर किया जाता है। इस तथ्य के बावजूद कि क्रिप्टोग्राफ़िक सूचना सुरक्षा वर्ग एक निश्चित प्रकार के संभावित के साथ एक निश्चित प्रकार के घुसपैठिए से उत्पन्न खतरों को बेअसर करते हैं (केवल 6 प्रकार के उल्लंघनकर्ता हैं, एच 1 से एच 6 तक, वे उल्लंघनकर्ता के मॉडल में परिभाषित हैं), यह आदेश क्रिप्टोग्राफिक सूचना सुरक्षा वर्ग को व्यक्तिगत डेटा की सुरक्षा के स्तर से जोड़ता है। , और हमलावरों की संभावनाओं के लिए नहीं। क्रिप्टोग्राफिक सूचना सुरक्षा के आवश्यक वर्गों का वर्णन करने के अलावा, इस दस्तावेज़ में ऑपरेटर के लिए प्रशासनिक आवश्यकताएं शामिल हैं, जैसे कि परिसर तक पहुंच (शारीरिक सुरक्षा - ताले, बार स्थापित करना), पीडी मीडिया की सुरक्षा सुनिश्चित करना, व्यक्तियों की सूची का अनुमोदन,जिनकी पहुंच पीडी तक है।

व्यक्तिगत डेटा की सुरक्षा के लिए अंतर्राष्ट्रीय मानक

अगर रूस में 152-enforcement के प्रवर्तन के संबंध में विवाद और संबंधित उपनियमों को समाप्त नहीं किया जाता है, तो यूरोपीय संघ में पिछले 3 वर्षों से जीडीपीआर ( सामान्य डेटा संरक्षण विनियमन , सामान्य डेटा संरक्षण विनियमन ) को लागू करने और अनुपालन करने के लिए काम कर रहा है । यह दस्तावेज़, अप्रैल 2016 में अपने गोद लेने के क्षण से लेकर 25 मई, 2018 तक प्रवेश की तारीख तक, और इस समय भी, कई सवाल और विवाद उठाता है, क्योंकि यह दुनिया भर में बड़ी संख्या में नागरिकों और कंपनियों की चिंता करता है।

यूरोपीय संघ में GDPR के पूर्ववर्ती 24 अक्टूबर, 1995 को यूरोपीय संसद और यूरोपीय संघ की परिषद 95/46 / EC की परिषद के निदेशक थे, "व्यक्तिगत डेटा के प्रसंस्करण में व्यक्तियों की सुरक्षा और इस तरह के डेटा के मुक्त संचलन पर"। जीडीपीआर को अपनाने के बाद, पीडी विषयों के अधिकारों में काफी विस्तार हुआ, और ऑपरेटरों और गैर-पूर्ति के लिए दंड के दायित्वों में काफी वृद्धि हुई।

जीडीपीआर में व्यक्तिगत डेटा की परिभाषा ही यूरोप की परिषद के कन्वेंशन में क्या अपनाया गया था और घरेलू 152-एफजेड में समान परिभाषा से अलग नहीं है: जीडीपीआर के ढांचे के भीतर व्यक्तिगत डेटा का अर्थ है किसी पहचान या पहचान योग्य व्यक्ति (व्यक्तिगत डेटा विषय) से संबंधित कोई भी जानकारी। पहचान योग्य व्यक्ति का अर्थ है एक व्यक्ति, जिसे प्रत्यक्ष या अप्रत्यक्ष रूप से पहचाना जा सकता है, विशेष रूप से पहचानकर्ता जैसे नाम, पहचान संख्या, स्थान डेटा, ऑनलाइन पहचानकर्ता का उपयोग करके या भौतिक, शारीरिक के लिए विशिष्ट एक या एक से अधिक कारकों का उपयोग करते हुए, उस व्यक्ति की आनुवंशिक, मानसिक, आर्थिक, सांस्कृतिक या सामाजिक स्थिति। इस प्रकार, पीडी की परिभाषा में न केवल सामान्य विशेषताएं शामिल हैं, बल्कि आईपी पता भी है,उपयोगकर्ता, उपयोगकर्ता जियोलोकेशन डेटा और अन्य तकनीकी विशेषताओं द्वारा निर्धारित कुकी पहचानकर्ता।

जीडीपीआर में एक महत्वपूर्ण नया शब्द "प्रोफाइलिंग" है, जिसका अर्थ है किसी व्यक्ति के कुछ पहलुओं का आकलन करने के लिए, विशेष रूप से किसी व्यक्ति की कार्य क्षमता, उसकी सामग्री की स्थिति, स्वास्थ्य, व्यक्तिगत प्राथमिकताओं, हितों का विश्लेषण करने या भविष्यवाणी करने के लिए व्यक्तिगत डेटा के स्वचालित प्रसंस्करण के किसी भी रूप का मतलब है , व्यवहार, स्थान या आंदोलन।

152-FZ के रूप में, GDPR "व्यक्तिगत डेटा प्रोसेसिंग", "प्रोसेसर", "ऑपरेटर" (अंग्रेजी नियंत्रक), "क्रॉस-बॉर्डर प्रोसेसिंग", "छद्म नामकरण" (depersonalization) और इसी तरह के सार्वभौमिक शब्दों जैसी अवधारणाओं का उपयोग करता है।

GDPR नियमों का दायरा उन सभी ऑपरेटरों पर लागू होता है जो यूरोपीय संघ के नागरिकों और यूरोपीय संघ में स्थित अन्य नागरिकों के व्यक्तिगत डेटा की प्रक्रिया करते हैं। इसके अलावा, ऑपरेटर के पास EU में एक प्रतिनिधि कार्यालय नहीं हो सकता है, और इसकी स्वचालित प्रणाली भी EU के बाहर स्थित हो सकती है। रूसी संघ से ऑपरेटर कंपनियों के बारे में उदाहरण:

• एक रूसी बैंक को अपने ग्राहकों के डेटा को संसाधित करते समय GDPR मानकों का पालन करना चाहिए, जब वे यूरोपीय संघ में होते हैं;
• रूसी संघ में पंजीकरण के साथ एक ऑनलाइन स्टोर जो यूरोपीय संघ के नागरिकों सहित सेवाएं / उत्पाद प्रदान करता है, यूरोपीय संघ की भाषाओं में एक इंटरफेस के साथ अपनी वेबसाइट पर कुकी पहचानकर्ताओं और / या उपयोगकर्ता व्यवहार विश्लेषण का उपयोग करता है, यह भी GDPR मानकों के अधीन है;
• यूरोपीय संघ में कार्यरत एक रूसी कंपनी की एक सहायक कंपनी।

GDPR मानक छह बुनियादी सिद्धांतों पर आधारित हैं:

• , — , (.. privacy policy);
• — , , ;
• — , ;
• — , ;
• — ;
• — , , , , , .

दस्तावेज़ ऑपरेटरों को विस्तृत सुरक्षा निर्देश प्रदान नहीं करता है, जिससे उन्हें उपायों और तकनीकों का चयन करने की स्वतंत्रता मिलती है। उदाहरण के लिए, आपको जहां संभव हो, भंडारण, पारेषण और प्रसंस्करण के दौरान पीडी को एन्क्रिप्ट करना चाहिए, साथ ही छद्म नामकरण एल्गोरिदम का उपयोग करना चाहिए। इससे रिसाव की स्थिति में संभावित नुकसान को कम करने की उम्मीद है, लेकिन जीडीपीआर इन सुरक्षात्मक उपायों के आवेदन के लिए विशिष्ट स्थिति प्रदान नहीं करता है। इसमें, यूरोपीय दृष्टिकोण रूसी एक से भिन्न होता है, जिसमें राज्य के अधिकारी स्पष्ट रूप से सुरक्षात्मक उपायों और उनके आवेदन की शर्तों को विनियमित करते हैं, ऑपरेटरों की विवेकहीनता की उम्मीद नहीं करते - और, इसे पछतावा होना चाहिए, यह बहुत उचित है।

ऊपर वर्णित सिद्धांतों के अलावा, GDPR में निम्नलिखित मानदंड भी मौजूद हैं:

• , , , .. , , , ( );
• (.. Data Protection Impact Assessment);
• - , , , ;
• (privacy by design, .. ) (privacy by default, .. );
• — , ;
• (Data Privacy Officer) , :
  
  
  • / ( , , , , , , );
• 72- (supervisory authority, Data Protection Authority — ) GDPR- , .. , , , .

जुलाई 2016 में, ईयू-यूएस गोपनीयता गोपनीयता गोपनीयता संरक्षण समझौता पेश किया गया था । यह समझौता एक ढांचा है जो वाणिज्यिक कंपनियों के दृष्टिकोण को यूरोपीय संघ और उत्तरी अमेरिका के बीच व्यक्तिगत डेटा के सुरक्षित आदान-प्रदान को परिभाषित करता है। इस तरह के एक समझौते का उद्देश्य यूरोपीय संघ में पीडी की सुरक्षा के लिए जीडीपीआर मानकों को लाना और यूएसए में अपनी सुरक्षा सुनिश्चित करने के लिए तरीके हैं। इस ढांचे का पूर्ववर्ती सुरक्षित हार्बर गोपनीयता सिद्धांत समझौता था।("निजी डेटा की सुरक्षा के लिए सुरक्षित हार्बर सिद्धांत"), जो 2000 से 2015 तक लागू था और पुष्टि की कि संयुक्त राज्य अमेरिका में व्यक्तिगत डेटा सुरक्षा सुनिश्चित करने के तरीके यूरोपीय निर्देश 95/46 / EC का अनुपालन करते हैं "व्यक्तिगत डेटा के प्रसंस्करण में व्यक्तियों की सुरक्षा पर और मुफ्त में। इस तरह के डेटा को संभालना। ” विशेष रूप से राष्ट्रीय सुरक्षा एजेंसी, अमेरिकी सरकार द्वारा यूरोपीय नागरिकों के लिए पीडी के लिए जानबूझकर स्थायी पहुंच के उजागर तथ्यों के कारण निर्दिष्ट समझौते की आलोचना की गई थी। यह यूरोपीय न्यायालय, जो अक्टूबर 2015 में खारिज कर दिया द्वारा माना जाता था निर्णयसुरक्षित हार्बर सिद्धांतों की अमान्यता। इस प्रकार, वर्तमान में, यूरोपीय संघ के नागरिकों के व्यक्तिगत डेटा को संसाधित करने की इच्छुक अमेरिकी कंपनियों को यूरोपीय संघ-अमेरिका गोपनीयता शील्ड का पालन करना चाहिए। अनुपालन की पुष्टि अमेरिकी वाणिज्य विभाग में स्वैच्छिक स्व-प्रमाणन के रूप में की जाती है। ऑपरेटर कंपनी को निम्नलिखित बुनियादी आवश्यकताओं का पालन करना चाहिए , यूरोपीय संघ के नागरिकों के लिए अपने पीडी के पर्याप्त स्तर की पुष्टि करना:

• विषयों को अपने व्यक्तिगत डेटा के प्रसंस्करण के बारे में सूचित करना, जिसमें व्यक्तिगत डेटा (गोपनीयता नीति) की सुरक्षा के लिए कंपनी की नीति में गोपनीयता शील्ड के अनुसार व्यक्तिगत डेटा की सुरक्षा का संकेत शामिल है, अपने अधिकारों के बारे में व्यक्तिगत डेटा के विषयों की अधिसूचना और कंपनी के दायित्वों के अनुस्मारक के लिए एक वैध अनुरोध प्राप्त करने के मामले में। राज्य अधिकारियों द्वारा पीडी का प्रावधान;
• , 45 , , , Data Protection Authorities ( );
• , Privacy Shield;
• , ;
• , :
  
  
  1. , , — (.. Notice and Choice Principles), ( , , );
  2. , , .. , — , , , — ;
• Privacy Shield;
• , Privacy Shield.
• , , Privacy Shield, , , 152-.

1. व्यक्तिगत डेटा की सुरक्षा पर रूसी कानून के उल्लंघन के लिए लगाया गया जुर्माना कला द्वारा विनियमित है। 13.11 प्रशासनिक कोड, जो जुलाई 2017 में पेश किए गए सात अपराधों के लिए प्रदान करता है। उदाहरण के लिए, लेख का भाग 1 रूसी संघ के प्रशासनिक संहिता का 13.11 50 हजार रूबल तक की राशि में व्यक्तिगत डेटा एकत्र करने, या व्यक्तिगत डेटा एकत्र करने के उद्देश्य से असंगत प्रसंस्करण के मामलों में व्यक्तिगत डेटा को संसाधित करने के लिए ऑपरेटरों को दंडित करता है। कला का भाग 2। रूसी संघ के प्रशासनिक कोड के 13.11 में विषय की सहमति के बिना पीडी प्रसंस्करण के लिए या 75 हजार रूबल तक की राशि में इस तरह की सहमति प्राप्त करने की प्रक्रिया में उल्लंघन के लिए सजा का प्रावधान है। इसके अलावा, रूसी संघ के क्षेत्र पर पीडी डेटाबेस के स्थानीयकरण पर नियमों का पालन करने में विफलता अनुच्छेद 1242-एफजेड और 149-एफजेड के अनुच्छेद 15.5 का उल्लंघन है, जो अदालत के फैसले के आधार पर कंपनी-उल्लंघनकर्ता के वेब संसाधन तक पहुंच को अवरुद्ध करने की धमकी देता है।

यह ध्यान में रखा जाना चाहिए कि विधायी मानदंडों के उल्लंघन के प्रत्येक तथ्य के लिए जुर्माना लगाया जा सकता है। इसके अलावा, हाल ही में राज्य ड्यूमा को एक बिल प्रस्तुत किया गया है , जिसका तात्पर्य पीडी संरक्षण के क्षेत्र में दो नए अपराधों की शुरूआत है - सांसदों ने 242-एफजेड के अनुपालन में विफलता के लिए लाखों जुर्माना लगाने का प्रस्ताव रखा, अर्थात। रूसी संघ के क्षेत्र में रूसी के पीडी डेटाबेसों के स्थानीयकरण से इनकार करने के लिए, साथ ही स्थानीयकरण आवश्यकताओं के बार-बार उल्लंघन के लिए।

2. जीडीपीआर के साथ गैर-अनुपालन के लिए यूरोपीय नियामकों द्वारा लगाया गया जुर्माना मामूली उल्लंघन की राशि के मामले में 10 मिलियन यूरो या कंपनी के वैश्विक वार्षिक कारोबार का 2% है, और महत्वपूर्ण लोगों के मामले में, 20 मिलियन यूरो या वैश्विक वार्षिक कारोबार का 4% है। उसी समय, निराशाजनक आंकड़ों को पहले ही जीडीपीआर आवश्यकताओं के वर्ष में सम्‍मिलित किया गया है: ऑपरेटरों के खिलाफ 200,000 से अधिक जाँचें की जा चुकी हैं, और जुर्माने की कुल राशि 56 मिलियन यूरो से अधिक है, जबकि 50 मिलियन यूरो फ्रेंच नियामक द्वारा Google की इंटरनेट की दिग्गज कंपनी द्वारा लगाए गए जुर्माने का योग है। सुरक्षा क्षेत्रों

3. अमेरिकी फेडरल ट्रेड कमीशन द्वारा गोपनीयता की शील्ड सिद्धांतों का पालन नहीं करने वाली कंपनियों के लिए जुर्माना का उल्लंघन करने पर 40 हजार डॉलर तक का जुर्माना लगाया जाता है, साथ ही उल्लंघन का पता चलने के बाद व्यक्तिगत डेटा के अवैध प्रसंस्करण के बाद के प्रत्येक दिन के लिए $ 40 हजार।

Roskomnadzor द्वारा निरीक्षण प्रक्रिया

, , . ( ), (, 10 ). №146दिनांक 13 फरवरी, 2019 "संगठन के नियमों के अनुमोदन और राज्य नियंत्रण के कार्यान्वयन और व्यक्तिगत डेटा के प्रसंस्करण का पर्यवेक्षण"। इस डिक्री के अनुसार, निरीक्षण दोनों निर्धारित हैं (अभ्यास से पता चला है कि नियामक कंपनियों के समूह को एक सामान्य सिद्धांत से जोड़ते हैं, उदाहरण के लिए, गतिविधि के क्षेत्र से) और अनिर्धारित: उन्हें राष्ट्रपति, रूसी संघ की सरकार या निर्णय द्वारा किया जा सकता है। नियामक के पिछले विनियमन के साथ-साथ पीडी विषयों से शिकायतों के मामले में विफलता के मामले में अभियोजक के ऑडिट के ढांचे में रोसकोमनादज़ोर का प्रमुख। इस मामले में, अनिर्धारित निरीक्षण केवल ऑन-साइट हो सकते हैं, और अनुसूचित दोनों वृत्तचित्र और साइट पर हो सकते हैं। जाँच करते समय, नियामक पीडी प्रसंस्करण पर आंतरिक नियामक दस्तावेजों की जांच करता है, पीडी भंडारण स्थानों का निरीक्षण करता है,सूचना प्रणाली में पीडी के प्रसंस्करण को प्रदर्शित करने की आवश्यकता है। एक नियम के रूप में, कमियों के मामले में, नियामक व्यक्तिगत डेटा के प्रसंस्करण के लिए कानूनी आधार की कमी के लिए निर्दिष्ट समय सीमा और जुर्माना के उल्लंघन का उन्मूलन करने का आदेश देता है (उदाहरण के लिए, निजी व्यक्तियों की सहमति के प्रलेखित तथ्यों की कमी के लिए), प्रसंस्करण लक्ष्यों और व्यक्तिगत डेटा की मात्रा का अनुपालन न करने के लिए आवश्यक डेटा की कमी के लिए। ऑपरेटर की वेबसाइट पर सूचनाएं और नीतियां, उस पर पीडी के संग्रह के अधीन।ऑपरेटर की वेबसाइट पर आवश्यक सूचनाओं और नीतियों की कमी के लिए, इस पर पीडी के संग्रह के अधीन।ऑपरेटर की वेबसाइट पर आवश्यक सूचनाओं और नीतियों की कमी के लिए, इस पर पीडी के संग्रह के अधीन।