Лекция №7. Законы о КТ и ПД - готова

1.

ОРГАНИЗАЦИОННОПРАВОВОЕ ОБЕСПЕЧЕНИЕ
ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ

2.

Лекция №7. Федеральные
информационной безопасности
законы
в
области
Учебные вопросы:
1. Федеральный закон «О коммерческой тайне» №98-ФЗ от
29.07.2004 г.
2. Федеральный закон «О персональных данных» №152-ФЗ
от 27.07.2006 г.
Литература:
1. Т.А. Полякова, А.А. Стрельцов. Организационное и правовое
обеспечение информационной безопасности. Издательство Юрайт, 2016 –
325 с.
2. Федеральный закон РФ от 29.07.2004 г. №98-ФЗ «О коммерческой
тайне».
3. Федеральный закон РФ от 27.07.2006 г. №152-ФЗ «О персональных
данных».

3.

Вопрос №1. Федеральный закон «О коммерческой
тайне» №98-ФЗ от 29.07.2004 г.
Основные разделы ФЗ «О коммерческой тайне»
Основные понятия используемые в настоящем Федеральном
законе
Право на отнесение информации к информации, составляющей
коммерческую тайну, и способы получения такой информации
Сведения, которые не могут составлять коммерческую тайну
Предоставление информации составляющей коммерческую
тайну
Права обладателей информации, составляющей
коммерческую тайну
Охрана конфиденциальности информации

4.

Основные понятия используемые в настоящем
Федеральном законе (ст. 3)
1) Коммерческая тайна - режим конфиденциальности информации,
позволяющий ее обладателю при существующих или возможных
обстоятельствах увеличить доходы, избежать неоправданных расходов,
сохранить положение на рынке товаров, работ, услуг или получить иную
коммерческую выгоду;
2) Обладатель информации, составляющей коммерческую тайну, - лицо,
которое владеет информацией, составляющей коммерческую тайну, на законном
основании, ограничило доступ к этой информации и установило в отношении ее
режим коммерческой тайны;
3) Доступ к информации, составляющей коммерческую тайну, ознакомление определенных лиц с информацией, составляющей коммерческую
тайну, с согласия ее обладателя или на ином законном основании при условии
сохранения конфиденциальности этой информации;
4) Передача информации, составляющей коммерческую тайну, передача информации, составляющей коммерческую тайну и зафиксированной
на материальном носителе, ее обладателем контрагенту на основании договора в
объеме и на условиях, которые предусмотрены договором, включая условие о
принятии контрагентом установленных договором мер по охране ее
конфиденциальности.

5.

Сведения
составляющая
коммерческую
тайну
Научнотехнического характера
На договорной
основе
Производственного
(технологического)
характера
Финансового характера
Передача
(предоставление)
информации
составляющей
коммерческую
тайну
Делового
характера
На
безвозмездной
основе

6.

Право на отнесение информации к информации,
составляющей коммерческую тайну, и способы получения
такой информации (ст. 4)
1. Право на отнесение информации к информации, составляющей
коммерческую тайну, и на определение перечня и состава такой информации
принадлежит обладателю такой информации с учетом положений настоящего
Федерального закона;
2. Информация, составляющая коммерческую тайну, полученная от ее
обладателя на основании договора или другом законном основании, считается
полученной законным способом;
4. Информация, составляющая коммерческую тайну, обладателем которой
является другое лицо, считается полученной незаконно, если ее получение
осуществлялось с умышленным преодолением принятых обладателем
информации, составляющей коммерческую тайну, мер по охране
конфиденциальности этой информации, а также если получающее эту
информацию лицо знало или имело достаточные основания полагать, что эта
информация составляет коммерческую тайну, обладателем которой является
другое лицо, и что осуществляющее передачу этой информации лицо не
имеет на передачу этой информации законного основания.

7.

Сведения, которые не могут составлять коммерческую
тайну (ст. 5)
Режим коммерческой тайны не может быть установлен лицами,
осуществляющими предпринимательскую деятельность, в отношении
следующих сведений:
1) содержащихся в учредительных документах юридического лица,
документах, подтверждающих факт внесения записей о юридических лицах и
об индивидуальных предпринимателях в соответствующие государственные
реестры;
2) содержащихся в документах, дающих право на осуществление
предпринимательской деятельности;
3) о составе имущества государственного или муниципального унитарного
предприятия, государственного учреждения и об использовании ими средств
соответствующих бюджетов;
4) о загрязнении окружающей среды, состоянии противопожарной
безопасности, санитарно-эпидемиологической и радиационной обстановке,
безопасности пищевых продуктов и других факторах, оказывающих
негативное воздействие на обеспечение безопасного функционирования
производственных объектов, безопасности каждого гражданина и
безопасности населения в целом;

8.

5) о численности, о составе работников, о системе оплаты труда, об
условиях труда, в том числе об охране труда, о показателях
производственного травматизма и профессиональной заболеваемости, и о
наличии свободных рабочих мест;
6) о задолженности работодателей по выплате заработной платы и по
иным социальным выплатам;
7) о нарушениях законодательства Российской Федерации и фактах
привлечения к ответственности за совершение этих нарушений;
8) об условиях конкурсов или аукционов по приватизации объектов
государственной или муниципальной собственности;
9) о размерах и структуре доходов некоммерческих организаций, о
размерах и составе их имущества, об их расходах, о численности и об
оплате труда их работников, об использовании безвозмездного труда
граждан в деятельности некоммерческой организации;
10) о перечне лиц, имеющих право действовать без доверенности от
имени юридического лица;
11) обязательность раскрытия которых или недопустимость
ограничения доступа к которым установлена иными федеральными
законами.

9.

Предоставление информации составляющей коммерческую
тайну (ст. 6)
1. Обладатель информации, составляющей коммерческую тайну,
по мотивированному требованию органа государственной власти,
иного государственного органа, органа местного самоуправления
предоставляет им на безвозмездной основе информацию,
составляющую коммерческую тайну. Мотивированное требование
должно быть подписано уполномоченным должностным лицом,
содержать указание цели и правового основания затребования
информации, составляющей коммерческую тайну, и срок
предоставления этой информации, если иное не установлено
федеральными законами;
2. В случае отказа обладателя информации, составляющей
коммерческую тайну, предоставить ее органу государственной
власти, иному государственному органу, органу местного
самоуправления данные органы вправе затребовать эту
информацию в судебном порядке.

10.

Права обладателей информации, составляющей
коммерческую тайну (ст. 6.1)
Обладатель информации, составляющей коммерческую тайну, имеет право:
1) устанавливать, изменять, отменять в письменной форме режим коммерческой
тайны в соответствии с настоящим Федеральным законом и гражданско-правовым
договором;
2) использовать информацию, составляющую коммерческую тайну, для
собственных нужд в порядке, не противоречащем законодательству Российской
Федерации;
3) разрешать или запрещать доступ к информации, составляющей коммерческую
тайну, определять порядок и условия доступа к этой информации;
4) требовать от юридических лиц, физических лиц, получивших доступ к
информации, составляющей коммерческую тайну, органов государственной власти,
иных государственных органов, органов местного самоуправления, которым
предоставлена информация, составляющая коммерческую тайну, соблюдения
обязанностей по охране ее конфиденциальности;
5) требовать от лиц, получивших доступ к информации, составляющей
коммерческую тайну, в результате действий, совершенных случайно или по ошибке,
охраны конфиденциальности этой информации;
6) защищать в установленном законом порядке свои права в случае разглашения,
незаконного получения или незаконного использования третьими лицами
информации, составляющей коммерческую тайну, в том числе требовать возмещения
убытков, причиненных в связи с нарушением его прав.

11.

Охрана конфиденциальности информации (ст. 10)
1. Меры по охране конфиденциальности информации, принимаемые ее
обладателем, должны включать в себя:
1) определение перечня информации, составляющей коммерческую тайну;
2) ограничение доступа к информации, составляющей коммерческую
тайну, путем установления порядка обращения с этой информацией и
контроля за соблюдением такого порядка;
3) учет лиц, получивших доступ к информации, составляющей
коммерческую тайну, и (или) лиц, которым такая информация была
предоставлена или передана;
4) регулирование отношений по использованию информации,
составляющей коммерческую тайну, работниками на основании трудовых
договоров и контрагентами на основании гражданско-правовых договоров;
5) нанесение на материальные носители, содержащие информацию,
составляющую коммерческую тайну, или включение в состав реквизитов
документов, содержащих такую информацию, грифа «Коммерческая тайна» с
указанием обладателя такой информации (для юридических лиц - полное
наименование и место нахождения, для индивидуальных предпринимателей фамилия, имя, отчество гражданина, являющегося индивидуальным
предпринимателем, и место жительства).

12.

5. Меры по охране конфиденциальности информации
признаются разумно достаточными, если:
1) исключается доступ к информации, составляющей
коммерческую тайну, любых лиц без согласия ее обладателя;
2) обеспечивается возможность использования информации,
составляющей коммерческую тайну, работниками и передачи ее
контрагентам без нарушения режима коммерческой тайны;
6. Режим коммерческой тайны не может быть использован в
целях,
противоречащих
требованиям
защиты
основ
конституционного строя, нравственности, здоровья, прав и
законных интересов других лиц, обеспечения обороны страны и
безопасности государства.

13.

Вопрос №2. Федеральный закон «О персональных
данных» №152-ФЗ от 27.07.2006 г.
Основные разделы ФЗ «О персональных данных»
Основные понятия используемые в настоящем Федеральном
законе
Согласие субъекта на обработку его персональных данных
Права субъекта персональных данных
Ответственность за нарушение норм, регулирующих обработку
и защиту персональных данных

14.

Основные понятия используемые в настоящем Федеральном законе (ст. 3)
1) Персональные данные – любая информация, относящаяся прямо или косвенно
определенному или определяемому физическому лицу (субъекту персональных
данных);
2) Обработка персональных данных – любое действие (операция) или
совокупность действий (операций), совершаемых с использованием средств
автоматизации или без использования таких средств с персональными данными,
включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление,
изменение), извлечение, использование, передачу (распространение, предоставление,
доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
3) Автоматизированная обработка персональных данных – обработка
персональных данных с помощью средств вычислительной техники;
4) Распространение персональных данных – действия, направленные на
раскрытие персональных данных неопределенному кругу лиц;
5) Предоставление персональных данных – действия, направленные на
раскрытие персональных данных определенному лицу или определенному кругу лиц;
6) Обезличивание персональных данных – действия, в результате которых
становится невозможным без использования дополнительной информации определить
принадлежность персональных данных конкретному субъекту персональных данных;
7) Информационная система персональных данных – совокупность
содержащихся в базах данных персональных данных и обеспечивающих их обработку
информационных технологий и технических средств.

15.

Согласие субъекта на обработку его персональных данных
(ст. 9)
1. Субъект персональных данных принимает решение о
предоставлении его персональных данных и дает согласие на их
обработку свободно, своей волей и в своем интересе… Согласие на
обработку персональных данных может быть дано субъектом
персональных данных или его представителем в любой позволяющей
подтвердить факт его получения форме, если иное не установлено
федеральным законом;
2. Согласие на обработку персональных данных может быть
отозвано субъектом персональных данных;
3. В случае недееспособности субъекта персональных данных
согласие на обработку его персональных данных дает законный
представитель субъекта персональных данных;
4. В случае смерти субъекта персональных данных согласие на
обработку его персональных данных дают наследники субъекта
персональных данных, если такое согласие не было дано субъектом
персональных данных при его жизни.

16.

Права субъекта персональных данных (ст. 14, 15, 16, 17)
7. Субъект персональных данных имеет право на получение информации,
касающейся обработки его персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных оператором;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые оператором способы обработки персональных
данных;
4) наименование и место нахождения оператора, сведения о лицах (за
исключением работников оператора), которые имеют доступ к персональным
данным или которым могут быть раскрыты персональные данные на
основании договора с оператором или на основании федерального закона;
5)
обрабатываемые
персональные
данные,
относящиеся
к
соответствующему субъекту персональных данных, источник их получения,
если иной порядок представления таких данных не предусмотрен
федеральным законом;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав,
предусмотренных настоящим Федеральным законом;
8) информацию об осуществленной или о предполагаемой трансграничной
передаче данных и т.д.

17.

Ответственность за нарушение норм, регулирующих
обработку и защиту персональных данных работника (ст. 24)
1. Лица, виновные в нарушении требований настоящего
Федерального
закона,
несут
предусмотренную
законодательством Российской Федерации ответственность;
2. Моральный вред, причиненный субъекту персональных
данных вследствие нарушения его прав, нарушения правил
обработки персональных данных, установленных настоящим
Федеральным законом, а также требований к защите
персональных данных, установленных в соответствии с
настоящим Федеральным законом, подлежит возмещению в
соответствии с законодательством Российской Федерации.
Возмещение морального вреда осуществляется независимо от
возмещения имущественного вреда и понесенных субъектом
персональных данных убытков.

18.

Нормативные и правовые документы в области обеспечения
безопасности персональных данных
Постановление
Правительства
РФ
№1119
от
1.11.2012
года
«Об
утверждении требований к защите
персональных данных при их обработке
в информационных системах персональных данных»
Устанавливает общие требования к
обеспечению безопасности персональных данных при их обработке в
информационных системах персональных данных
Постановление Правительства РФ №687
от 15.09.2008 года «Об утверждении
положения об особенностях обработки
персональных данных, осуществляемой
без использования средств автоматизации»
Устанавливает общие требования к
обеспечению безопасности персональных данных при их обработке без
использования средств автоматизации
Постановление Правительства РФ №512
от 06.07.2008 года «Об утверждении
требований к материальным носителям
биометрических персональных данных
и технологиям хранения таких данных
вне информационных систем персональных данных»
Устанавливает общие требования к
обеспечению безопасности биометрических персональных данных при их
обработке

19.

Приказ ФСТЭК от 18.02.2013 г. №21
«Об утверждении Состава и
содержания организационных и
технических мер по обеспечению
безопасности персональных данных
при их обработке в информационных системах персональных
данных»
Устанавливает состав и содержание
организационных и технических мер по
обеспечению безопасности ПДн при их
обработке в ИСПДн для каждого из
уровней защищенности ПДн, установленных в «Требованиях к защите
персональных данных при их обработке
в информационных системах персональных данных», утвержденных Постановлением правительства РФ от 1.11.2012 г.
№1119
Приказ ФСТЭК от 11.02.2013 г. №17
«Об утверждении Требований о
защите информации, не составляющей
государственную
тайну,
содержащейся в государственных
информационных системах»
Устанавливает требования к обеспечению
защиты
информации
ограниченного
доступа,
не
содержащей
сведения,
составляющие государственную тайну, от
утечки
по
техническим
каналам,
несанкционированного
доступа,
специальных воздействий на такую
информацию в целях ее добывания,
уничтожения,
искажения
или
блокирования доступа к ней при обработке
указанной информации в государственных
информационных системах