Категории ПД приказ 55/86/20 - Форум по вопросам информационной безопасности

Кто может грамотно прокомментировать Приказ от 13 февраля 2008 года N 55/86/20? В частности пункт 6.

Что значит категория 1? Она подразумевает наличие ФИО... Или если допустить, что нет ФИО (допустип заменили идентификаторами), но при этом храним информацию из категории 1, то это 1-я категория?

Категория 2. Как понимать фразу "идентифицировать субъекта" и "получить о нем дополнительную информацию"?

Так может кто-нибудь пояснить?....

Выскажу своё непрофессиональное мнение.

Касаемо категории 1. Вы пишете "заменить идентификатором".
Т.е. например, в ИСПДн будет база с записью типа:

- Объект №001, русский, христианин, демократ, 1 группа крови.

Скажите, Александр Гримм, Вы сможете идентифицировать такого человека? Сможете точно сказать, что это Вася Пупкин из 6-ой квартиры? Я считаю, что не сможете, уж злоумышленник точно не сможет. В данном случае, ПДн обезличены.

Вот только, смысл такой ИСПДн сомнителен. Как такой пользоваться?!!! Придется делать ещё одну БД, в которой будет сопоставление типа "Объект №001 - Вася Пупкин" и т.п.

По поводу фразы "идентифицировать субъекта".

Имеется ввиду любая информация, которая однозначно и достоверно покажет, что она относится к определённому субъекту ПДн, т.е. к конкретному человеку.

По поводу "получить о нем дополнительную информацию".

Если в ИСПДн допустим хранится полное Ф.И.О. и только телефон, то уже дополнительно можно узнать адрес, место работы и прочие данные.

-> Александр

Да, я согласен, нужно будет вести вторую базу. Но она может например вестись не у меня. Допустим две фирмы, первая хранит идентификатор + ФИО, вторая идентификатор + прочие....

Но вопрос то остался открытым. Получается Категория 1 - это категория 2 + то что написано в в категории 1?

Каким образом я могу узнать место работы и адрес?...

Однозначно определить это значит например номер паспорта с датой выдачи и кем выдан? ФИО + год рождения допустим не позволяют определить однозначно?...

Александр Гримм, а как же будет функционировать Ваша организация, если две или более ИСПДн, будут хранить связки "идентификатор+данные"?

В любом случае, кто-то ведь будет собирать в одном месте данные, полученные, как минимум, из двух таких ИСПДн. Т.е. будет какая-то третья ИСПДн, где соберутся ПДн, позволяющие уже идентифицировать субъекта.

Например, бухгалтерия и отдел кадров, точно не смогут работать, не обрабатывая в одной ИСПДн всех необходимых данных, для начисления з/п или для составления отпуска.

Александр, приведите, ради интереса пример ИСПДн, которую можно расчленить и с которой можно работать в полном объеме?

Александр.

Пример вы привели сами с бухгалтерией. Мне передали расчеты по персоналу, допустим в виде идентификаторов... Я произвел расчеты и вернул результат по каждому идентификатору. А мой заказчик уже сам перевел это элементарно на конкретного сотрудника.

Пример не из жизни. Я просто поясняю как это может быть.

Неужели ни у кого не возникало подобного вопроса?...........

Вопросы по поводу "получить о нем дополнительную информацию" возникают.
Теоретически, если есть номер и серия паспорта, то вся остальная информация является уже дополнительной, т.к. по паспорту можно однозначно идентифицировать субъекта. Но такая трактовка 55/86/20 является бессмысленной, т.к. не позволяет создать базу ПДн без дополнительной информации. Думаю, что разработчики 55/86/20 перегнули палку или просто неправильно перевели с английского при передирании аналогичного закона. Т.к. однозначного разъяснения понятия "дополнительная информация" нет, то, ИМХО, можно считать, что вся информация, содержащаяся в ИСПДн не является дополнительной.

-> Alekzanderr

Вопрос просто важный. От трактовки данного закона зависит класс ИСПДн.... Как тогда доказывать госорганам, что ты определил класс ИС правильно?