Согласно Федеральному закону РФ № 152 "О персональных данных".
1. Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу, в том числе:
- его фамилия, имя, отчество;
- год, месяц, дата и место рождения;
- адрес, семейное, социальное, имущественное положение, образование, профессия, доходы;
- другая информация (см. ФЗ-152, ст.3).
Например: паспортные данные, финансовые ведомости, медицинские карты, год рождения (для женщин), биометрия, другая идентификационная информация личного характера.
В общедоступные источники персональных данных (адресные книги, списки и другое информационное обеспечение) с письменного согласия физического лица могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер и иные персональные данные (см. ФЗ-152, ст.8).
Персональные данные относятся к информации ограниченного доступа и должны быть защищены в соответствии с законодательством РФ.
2. В первой редакции Закона "О персональных данных" было указано, что информационные системы персональных данных, созданные до дня вступления в силу Федерального закона РФ № 152 "О персональных данных", должны были приведены в соответствие с требованиями данного Федерального закона не позднее 1 января 2010 года. В настоящее время, по разным объективным и субъективным причинам, срок действия закона ФЗ-152 в части разработанных ранее ИСПДн перенесен сначала до 1 января 2011 года, а затем и до 1 июля 2011 года (законопроект № 444277-5). Однако все разрабатываемые (модернизированные) с начала 2011 года ИСПДн уже должны соответствовать закону.
Это означает, что операторы персональных данных, не сумевшие выполнить требования ФЗ-152, с 1 января или 1 июля 2011 года понесут соответствующую гражданскую, административную, дисциплинарную, а может быть и уголовную ответственность.
Порядок действий по защите информационной системы персональных данных
Последовательность действий при выполнении требований законодательства по обработке персональных данных:
- Уведомление в уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных с использованием средств автоматизации;
- Предпроектное обследование информационной системы - сбор исходных данных;
- Классификация системы обработки персональных данных;
- Построение частной модели угроз с целью определения их актуальности для информационной системы;
- Разработка частного технического задания на систему защиты персональных данных;
- Проектирование системы защиты персональных данных;
- Реализация и внедрение системы защиты персональных данных;
- Выполнение требований по инженерной защите помещений, требований по пожарной безопасности, охране, электропитанию и заземлению, санитарных и экологических требований;
- Аттестация (сертификация) по требованиям безопасности информации;
- Повышение квалификации сотрудников в области защиты персональных данных;
- Сопровождение (аутсорсинг) системы защиты персональных данных.