Обсуждение статьи: Иван Мелехин (Информзащита): формулировки закона "О лицензировании..." вызывают вопросы - Форум по вопросам информационной безопасности

Добрый день! Подскажите пожалуйста требуется ли Институту получать лицензию на какую-либо деятельность, связанную с обработкой персональных данных студентов, если вся информация храниться на бумажных носителях и в информационной системе (компьютере) ? Если да, то подскажите, какие виды деятельности следует в ней прописать?

"Гражданский кодекс Российской Федерации (часть первая)" от 30.11.1994 N 51-ФЗ

Статья 49. Правоспособность юридического лица
1. Юридическое лицо может иметь гражданские права, соответствующие целям деятельности, предусмотренным в его учредительных документах, и нести связанные с этой деятельностью обязанности.
Коммерческие организации, за исключением унитарных предприятий и иных видов организаций, предусмотренных законом, могут иметь гражданские права и нести гражданские обязанности, необходимые для осуществления любых видов деятельности, не запрещенных законом.
Отдельными видами деятельности, перечень которых определяется законом, юридическое лицо может заниматься только на основании специального разрешения (лицензии).
2. Юридическое лицо может быть ограничено в правах лишь в случаях и в порядке, предусмотренных законом. Решение об ограничении прав может быть оспорено юридическим лицом в суде.
(в ред. Федерального закона от 18.12.2006 N 231-ФЗ)
3. Правоспособность юридического лица возникает в момент его создания и прекращается в момент внесения записи о его исключении из единого государственного реестра юридических лиц.
(в ред. Федерального закона от 02.07.2005 N 83-ФЗ)
Право юридического лица осуществлять деятельность, на занятие которой необходимо получение лицензии, возникает с момента получения такой лицензии или в указанный в ней срок и прекращается по истечении срока ее действия, если иное не установлено законом или иными правовыми актами.

"Кодекс Российской Федерации об административных правонарушениях" от 30.12.2001 N 195-ФЗ
Статья 13.12. Нарушение правил защиты информации
1. Нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну), -
влечет наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц - от пятисот до одной тысячи рублей; на юридических лиц - от пяти тысяч до десяти тысяч рублей.
(в ред. Федерального закона от 22.06.2007 N 116-ФЗ)
2. Использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну), -
влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей с конфискацией несертифицированных средств защиты информации или без таковой; на должностных лиц - от одной тысячи до двух тысяч рублей; на юридических лиц - от десяти тысяч до двадцати тысяч рублей с конфискацией несертифицированных средств защиты информации или без таковой.
(в ред. Федерального закона от 22.06.2007 N 116-ФЗ)
3. Нарушение условий, предусмотренных лицензией на проведение работ, связанных с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите информации, составляющей государственную тайну, -
влечет наложение административного штрафа на должностных лиц в размере от двух тысяч до трех тысяч рублей; на юридических лиц - от пятнадцати тысяч до двадцати тысяч рублей.
(в ред. Федерального закона от 22.06.2007 N 116-ФЗ)
4. Использование несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, -
влечет наложение административного штрафа на должностных лиц в размере от трех тысяч до четырех тысяч рублей; на юридических лиц - от двадцати тысяч до тридцати тысяч рублей с конфискацией несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, или без таковой.
(в ред. Федерального закона от 22.06.2007 N 116-ФЗ)
5. Грубое нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну), -
влечет наложение административного штрафа на лиц, осуществляющих предпринимательскую деятельность без образования юридического лица, в размере от одной тысячи до одной тысячи пятисот рублей или административное приостановление деятельности на срок до девяноста суток; на должностных лиц - от одной тысячи до одной тысячи пятисот рублей; на юридических лиц - от десяти тысяч до пятнадцати тысяч рублей или административное приостановление деятельности на срок до девяноста суток.
(в ред. Федерального закона от 22.06.2007 N 116-ФЗ)
(часть пятая введена Федеральным законом от 02.07.2005 N 80-ФЗ)
Примечание. Понятие грубого нарушения устанавливается Правительством Российской Федерации в отношении конкретного лицензируемого вида деятельности.
(примечание введено Федеральным законом от 02.07.2005 N 80-ФЗ)
Статья 13.13. Незаконная деятельность в области защиты информации
1. Занятие видами деятельности в области защиты информации (за исключением информации, составляющей государственную тайну) без получения в установленном порядке специального разрешения (лицензии), если такое разрешение (такая лицензия) в соответствии с федеральным законом обязательно (обязательна), -
влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей с конфискацией средств защиты информации или без таковой; на должностных лиц - от двух тысяч до трех тысяч рублей с конфискацией средств защиты информации или без таковой; на юридических лиц - от десяти тысяч до двадцати тысяч рублей с конфискацией средств защиты информации или без таковой.
(в ред. Федерального закона от 22.06.2007 N 116-ФЗ)
2. Занятие видами деятельности, связанной с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите информации, составляющей государственную тайну, без лицензии -
влечет наложение административного штрафа на должностных лиц в размере от четырех тысяч до пяти тысяч рублей; на юридических лиц - от тридцати тысяч до сорока тысяч рублей с конфискацией созданных без лицензии средств защиты информации, составляющей государственную тайну, или без таковой.
(в ред. Федерального закона от 22.06.2007 N 116-ФЗ)
Статья 19.20. Осуществление деятельности, не связанной с извлечением прибыли, без специального разрешения (лицензии)
(в ред. Федерального закона от 08.11.2010

"Уголовный кодекс Российской Федерации" от 13.06.1996 N 63-ФЗ

Статья 171. Незаконное предпринимательство
1. Осуществление предпринимательской деятельности без регистрации или без лицензии в случаях, когда такая лицензия обязательна, если это деяние причинило крупный ущерб гражданам, организациям или государству либо сопряжено с извлечением дохода в крупном размере, -
(в ред. Федерального закона от 07.12.2011 N 420-ФЗ)
наказывается штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет, либо обязательными работами на срок до четырехсот восьмидесяти часов, либо арестом на срок до шести месяцев.
(в ред. Федеральных законов от 08.12.2003 N 162-ФЗ, от 07.03.2011 N 26-ФЗ, от 07.12.2011 N 420-ФЗ)
2. То же деяние:
а) совершенное организованной группой;
б) сопряженное с извлечением дохода в особо крупном размере, -
(в ред. Федерального закона от 08.12.2003 N 162-ФЗ)
в) утратил силу. - Федеральный закон от 08.12.2003 N 162-ФЗ
наказывается штрафом в размере от ста тысяч до пятисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до трех лет, либо принудительными работами на срок до пяти лет, либо лишением свободы на срок до пяти лет со штрафом в размере до восьмидесяти тысяч рублей или в размере заработной платы или иного дохода осужденного за период до шести месяцев либо без такового.
(в ред. Федеральных законов от 08.12.2003 N 162-ФЗ, от 07.12.2011 N 420-ФЗ)

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

ИНФОРМАЦИОННОЕ СООБЩЕНИЕ
от 30 мая 2012 г. N 240/22/2222

ПО ВОПРОСУ
НЕОБХОДИМОСТИ ПОЛУЧЕНИЯ ЛИЦЕНЗИИ ФСТЭК РОССИИ
НА ДЕЯТЕЛЬНОСТЬ ПО ТЕХНИЧЕСКОЙ ЗАЩИТЕ
КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ

В адрес центрального аппарата ФСТЭК России и территориальных органов ФСТЭК России поступают обращения от организаций о необходимости получения лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации. Указанный вопрос задается в ходе тематических сборов, совещаний, конференций и иных мероприятий, проводимых органами государственной власти и организациями по вопросам защиты информации.
В соответствии с Федеральным законом от 4 мая 2011 г. N 99-ФЗ "О лицензировании отдельных видов деятельности" постановлением Правительства Российской Федерации от 3 февраля 2012 г. N 79 утверждено Положение о лицензировании деятельности по технической защите конфиденциальной информации. Указанным Положением установлены виды работ и услуг, подлежащие лицензированию при осуществлении деятельности по технической защите конфиденциальной информации, и лицензионные требования, предъявляемые к соискателю лицензии.
В соответствии с частью 4 статьи 22 Федерального закона "О лицензировании отдельных видов деятельности" лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации, выданные юридическим лицам и индивидуальным предпринимателям до вступления в силу указанного Федерального закона, подлежат переоформлению после окончания срока их действия.
Учитывая изменения в нормативных правовых актах, регулирующих порядок получения лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации, а также необходимость переоформления ранее выданных лицензий после окончания срока их действия, и в целях информирования полагаем целесообразным сообщить следующее.
В соответствии с Федеральным законом от 4 мая 2011 г. N 99-ФЗ "О лицензировании отдельных видов деятельности" деятельность по технической защите конфиденциальной информации является лицензируемым видом деятельности.
Для принятия решения о необходимости получения юридическим лицом лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации необходимо руководствоваться гражданским законодательством, согласно которому отдельными видами деятельности юридические лица могут заниматься только на основании специального разрешения (лицензии).
Частью 1 статьи 2 Гражданского кодекса Российской Федерации определено, что гражданское законодательство регулирует отношения между лицами, осуществляющими предпринимательскую деятельность, или с их участием, исходя из того, что предпринимательской является самостоятельная, осуществляемая на свой риск деятельность, направленная на систематическое получение прибыли от пользования имуществом, продажи товаров, выполнения работ или оказания услуг лицами, зарегистрированными в этом качестве в установленном законом порядке.
Исходя из изложенного, получение юридическим лицом лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации является обязательным в случае, если эта деятельность направлена на получение прибыли от выполнения работ или оказания услуг по технической защите конфиденциальной информации и (или) она необходима для достижения целей деятельности, предусмотренных в учредительных документах юридического лица, а также если это юридическое лицо (уполномоченное лицо) обеспечивает техническую защиту конфиденциальной информации при ее обработке в соответствии с Федеральным законом "Об информации, информационных технологиях и о защите информации" по поручению обладателя информации конфиденциального характера и (или) заказчика информационной системы.
В случае, если деятельность по технической защите конфиденциальной информации не направлена на достижение целей деятельности, предусмотренных в учредительных документах, и (или) не связана с получением прибыли от выполнения указанных работ или оказания услуг, решение о необходимости получения соответствующей лицензии может быть принято юридическим лицом самостоятельно в соответствии с законодательством Российской Федерации.
Таким образом, юридическим лицам в ходе проработки вопроса о получении лицензии на деятельность по технической защите конфиденциальной информации необходимо проводить оценку целей своей деятельности и с учетом изложенной выше позиции принимать решение о необходимости получения или переоформления лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации.

Начальник 2 управления
А.КУЦ

В чем крамола?
Обычно при формулировании области применения нормативного акта пишут:
ПРИМЕР 1: Настоящее Положение определяет порядок лицензирования деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя), осуществляемой юридическими лицами и индивидуальными предпринимателями (далее - лицензируемая деятельность).
Т,Е - за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя
ПРИМЕР 2: Настоящее Положение определяет порядок лицензирования деятельности по выявлению электронных устройств, предназначенных для негласного получения информации (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя), осуществляемой юридическими лицами (далее - лицензируемая деятельность).
Т,Е - за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя), осуществляемой юридическими лицами (далее - лицензируемая деятельность

И ОБСУЖДАЕМЫЙ АКТ:
Настоящее Положение определяет порядок лицензирования деятельности по технической защите конфиденциальной информации (не содержащей сведения, составляющие государственную тайну, но защищаемой в соответствии с законодательством Российской Федерации), осуществляемой юридическими лицами и индивидуальными предпринимателями.
Под технической защитой конфиденциальной информации понимается выполнение работ и (или) оказание услуг по ее защите от несанкционированного доступа, от утечки по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней.
При осуществлении деятельности по технической защите конфиденциальной информации лицензированию подлежат следующие виды работ и услуг:
а) контроль защищенности конфиденциальной информации от утечки по техническим каналам в:
средствах и системах информатизации;
технических средствах (системах), не обрабатывающих конфиденциальную информацию, но размещенных в помещениях, где она обрабатывается;
помещениях со средствами (системами), подлежащими защите;
помещениях, предназначенных для ведения конфиденциальных переговоров (далее - защищаемые помещения);
б) контроль защищенности конфиденциальной информации от несанкционированного доступа и ее модификации в средствах и системах информатизации;
в) сертификационные испытания на соответствие требованиям по безопасности информации продукции, используемой в целях защиты конфиденциальной информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации, программных (программно-технических) средств контроля защищенности информации);
г) аттестационные испытания и аттестация на соответствие требованиям по защите информации:
средств и систем информатизации;
помещений со средствами (системами) информатизации, подлежащими защите;
защищаемых помещений;
д) проектирование в защищенном исполнении:
средств и систем информатизации;
помещений со средствами (системами) информатизации, подлежащими защите;
защищаемых помещений;
е) установка, монтаж, испытания, ремонт средств защиты информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации, защищенных программных (программно-технических) средств обработки информации, программных (программно-технических) средств контроля защищенности информации).

И КАК СЛЕДСТВИЕ – НЕТ «за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя), осуществляемой юридическими лицами (далее - лицензируемая деятельность»
Вывод легко сделать самим.

Максим молодец во всех изложениях, кроме последнего - там надо читать
Закон. А здесь Максим ошибся! И лицензия, и надо соблюдать даже для себя любимого. Так что будьте внимательны.

В части: "Вывод легко сделать самим"
Ну если "НЕТ «за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя), осуществляемой юридическими лицами (далее - лицензируемая деятельность»" то логично предположить что нужна лицензия как для работ "для себя" и на "сторону". В противном случае для кого писано: Статья 19.20. Осуществление деятельности, не связанной с извлечением прибыли, без специального разрешения (лицензии)

Максим,
учитесь цитировать. Чтобы написать, что Безухова звали Пьер, совершенно необязательно переписывать всю "Войну и мир". И откройте для себя разницу между "требует закон" и "требует регулятор, следящий за исполнением закона".

Ирина,
однозначного ответа нет. Согласно письму №240/22/2222, ФСТЭК требует наличия лицензии в двух случаях:
- обработка ПД является сама по себе является коммерческой деятельностью организации;
- обработка ПД "направлена на достижение целей деятельности, предусмотренных в учредительных документах"

При этом неясно, что авторы имеют в виду под "направлена на достижение целей деятельности". В случае образовательного учреждения обработка ПД студентов является частью образовательного процесса. По факту никто не требует от школ и ВУЗов лицензий ФСТЭК. Но взять на себя ответственность и явно написать "школам и ВУЗам лицензия не нужна" никто из сотрудников ФСТЭК не рискнет.

Если бы решение было на моей ответственности, я бы не заморачивался получением лицензии.