Бухгалтерия - Форум по вопросам информационной безопасности

> Следует удалить ПДн из ИСПДн бухгалтерия (в АС), за бумаги я ничего не писал.

Не следует. Чтобы делать такие категоричные утверждения, нужны основания. Сможете привести?

Из ФЗ-152 не следует, так как при увольнении сотрудника цель обработки (исполнение установленых федеральным законом обязаностей надлогового агента) еще не достигнута.

Из ФЗ "О бухгалтерском учете" и НК РФ не следует, так как они разрешают хранение регистров бухгалтерского учета в электронном виде.

>>Из ФЗ-152 не следует, так как при увольнении сотрудника цель обработки (исполнение установленных федеральным законом обязанностей налогового агента) еще не достигнута.

А как же цели обработки ПДн?
При увольнении сотрудника цели обработки его ПДн - прекращены, зарплата и отчисления закончены.
БД ИСПДн необходимо поддерживать в АКТУАЛЬНОМ СОСТОЯНИИ (человек который уволился - неактуален), может НКРФ и не запрещает хранить регистры бухучета в эл. виде; Но этого человека в БД ИСПДн АС быть недолжно.


>>Не следует. Чтобы делать такие категоричные утверждения, нужны основания. Сможете привести?

Хоть доводы и не сильно убедительны, но это действительно логично, в духе 152, 149;
Попробую довести мысль
Письменное согласие субъекта персональных данных на обработку своих персональных данных включает
цель обработки персональных данных;
срок, в течение которого действует согласие, а также порядок его отзыва.

КАКАЯ ЦЕЛЬ У БД Бухгалтерии? Начисление основной и доп з.п., отчисления в пенс. И соц. Сртрах. Фонды и т.п.
При увольнении сотрудника – цели становятся неактуальными
В сроках обычно пишут : достижение целей обработки, увольнение сотрудника, либо конкретный срок (период действии служебного контракта)
Нахождение этого субъекта в БД – ненужно, т.к. это несет дополнительные риски ИБ в случае раскрытия, компрометации и.т.п.
Но если все же и допустить факт того что мы оставляем ПДн уволенного сотрудника в БД АС разве мы не обязаны блокировать его ПДн? Разве мы не обязаны минимизировать доступ к ограниченной информации до минимально необходимого?

На мой взгляд уволенный сотрудник имеет полное право требовать блокировки либо удаления своих ПДн (в данном случае) именно из БД АС

>>Из ФЗ-152 не следует, так как при увольнении сотрудника цель обработки (исполнение установленых федеральным законом обязаностей надлогового агента) еще не достигнута.
я согласен что обработка на этом не заканчивается, НО ЕЕ ЦЕЛЬ ДОСТИГНУТА, а значит ПДн субъекта должны перейти в архив КД организации

А что касается исполнение установленных федеральным законом обязанностей налогового агента, так мы их и не нарушим если доки будут в архиве

> При увольнении сотрудника цели обработки его ПДн - прекращены, зарплата и отчисления закончены.

Ерунда. НК РФ говорит, что налоговая отчетность, включающая ПД налогоплательщика, должна оборабатываться (храниться) его налоговым агентом не менее четырех лет хоть в электронной, хоть в бумажной форме. Это установлено федеральным законом, установившим йели, срок и условия обработки этих ПД. Это значит, что с увольнением налогоплательщика эта цель обработки его ПД не достигнута, и вы при всем своем желании не вправе утверждать обратное.

> человек который уволился - неактуален
> Но этого человека в БД ИСПДн АС быть недолжно

Угу, слышали: "'Этого не может быть, потому что не может быть никогда". Приведите, пожалуйста, какой-нибудь более осмысленный аргумент :)

> Нахождение этого субъекта в БД – ненужно, т.к. это несет дополнительные риски ИБ в случае раскрытия, компрометации и.т.п.

Чтобы говорить "не нужно", нужны правовые основания, а у вас они напрочь отсутствуют. А "риски ИБ" проходят совсем по другому ведомству, которое обязывает принять определеные меры защиты для снижения этих рисков. Разницу между принятием определенных мер защиты и блокированием/удвлениемПД осознаете?

> разве мы не обязаны блокировать его ПДн? Разве мы не обязаны минимизировать доступ к ограниченной информации до минимально необходимого?

Приведете норму права, которая обязывает оператора это делать - будете обязаны. Мне такие нормы неизвестны и осмелюсь утверждать, что их не существует в природе :)

> В сроках обычно пишут : достижение целей обработки, увольнение сотрудника, либо конкретный срок (период действии служебного контракта)

Разницу между "обязан" и "самостоятельно определил" ощущаете? Захотел кто-то так определить цель обработки - его личное дело.

> На мой взгляд уволенный сотрудник имеет полное право требовать блокировки либо удаления своих ПДн...

А на мой взгляд я имею право требовать от вас половину вашей зарплаты. И что из того?

Права и обязаности устанавливаются нормами закона. Знаете норму, устанавливающую это право - приведите, пожалуйста. Не знаете - давайте обойдемся без "на мой взгляд".

> я согласен что обработка на этом не заканчивается, НО ЕЕ ЦЕЛЬ ДОСТИГНУТА

Либо трусы, либо крестик. Если цель достигнута, значит обработка продолжаться не может. Если закон (устанавливающий ту самую цель) обязывает продолжать обработку, значит эта цель еще не достигнута.

Если НКРФ обязывает хранить регистры бух учета 4 года никто не запрещает их хранить, в системе их быть не должно
Пользователь ИСПДн должен быть допущен только к актуальной информации в АС, "сотрудники которые уволены должны быть в архиве"
Ваши заявления меня ничуть не убедили, мое мнение осталось таким же.

ФЗ 129 «О бухгалтерском учете»
Статья 13. Состав бухгалтерской отчетности

6. Бухгалтерская отчетность составляется, хранится и представляется пользователям бухгалтерской отчетности в установленной форме на бумажных носителях. При наличии технических возможностей и с согласия пользователей бухгалтерской отчетности, указанных в статье 15 настоящего Федерального закона, организация может представлять бухгалтерскую отчетность в электронном виде в соответствии с законодательством Российской Федерации.


Отчетность храниться не 4, а 5 лет
Статья 17. Хранение документов бухгалтерского учета

1. Организации обязаны хранить первичные учетные документы, регистры бухгалтерского учета и бухгалтерскую отчетность в течение сроков, устанавливаемых в соответствии с правилами организации государственного архивного дела, но не менее пяти лет.

В компетентности Ваших высказываний я очень сильно сомневаюсь.

Вот я привел Вам аргумент (заметьте из Ваших же высказываний), Что касается минимально необходимой информации и доступа к ней в помощь Вам СТР-К

>>>Чтобы говорить "не нужно", нужны правовые основания, а у вас они напрочь отсутствуют. А "риски ИБ" проходят совсем по другому ведомству, которое обязывает принять определеные меры защиты для снижения этих рисков. Разницу между принятием определенных мер защиты и блокированием/удвлениемПД осознаете?

1 Приведено выше
2 В помощь СТР-К
3 в данном случае я говорил о блокировании в ИСПДн АС либо удалением таких ПДн из БД ИСПДн АС, почему блокирование? Да потому что этот человек не актуален – и мы должны обеспечить неизменность отчетности.


>>>Приведете норму права, которая обязывает оператора это делать - будете обязаны. Мне такие нормы неизвестны и осмелюсь утверждать, что их не существует в природе :)

СТР-К в помощь

>>>А на мой взгляд я имею право требовать от вас половину вашей зарплаты. И что из того?
СМЫСЛ ЭТОГО ВЫСКАЗЫВАНИЯ?

>>>Права и обязаности устанавливаются нормами закона. Знаете норму, устанавливающую это право - приведите, пожалуйста. Не знаете - давайте обойдемся без "на мой взгляд".

Форум на то и существует, что бы специалисты нашей с Вами области обменивались МНЕНИЕМ и опытом.

>>>Либо трусы, либо крестик. Если цель достигнута, значит обработка продолжаться не может. Если закон (устанавливающий ту самую цель) обязывает продолжать обработку, значит эта цель еще не достигнута.

Не вижу смысла цитировать Вам определение обработки уверен Вы его и так знаете, так же уверен что Вы знакомы со статьей 13 п. 2 ФЗ 152, о чем я говорю АВТОМАТИЗИРОВАННАЯ ОБРАБОТКА должна быть прекращена в отношении уволенного субъекта ПДн (цель БД ИСПДн на АС Бухгалтерии утратила свою актуальность)

СТР-К не является нормой права

asd

Если почитать посты выше, то Вы найдете описание на примере ГУ

> Ваши заявления меня ничуть не убедили, мое мнение осталось таким же.

:)

"-Я тебе не верю!
-А я тебя и не убеждаю - это факт." (c)

malotavr

))