Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

Ну это явно не обще доступные персональные данные. Вопрос в том: необходимо ли брать в случае ввода этих данных с субъекта согласия на обработку?
Допустим в виде проставления им галочки о согласии после прочтения соглашения.

Гость, Вопрос такой: ФИО и почтовый адрес, вводимые субъектом в веб форме, это персональные данные позволяющие идентифицировать его?

Нет.

malotavr, спасибо за ответ.
ПДн используются для обратной связи, что-то наподобие веб-приёмной.

Какие меры тогда необходимо предпринять для защиты этих ПДн?
Требуется ли классификация ИСПДн? И как определить класс, если эти данные не идентифицируют субъекта, но вроде бы не являются обезличенными?

На мой взгляд они вполне обезличены.

Если пользователь представился вам как Медведев Дмитрий Анатольевич и оставил вам адрес medved@kremlin.ru, вы вряд ли сможете однозначно идентифицировать его как президента РФ. Мало ли Медведевых в кремле :)

О Васях Пупкиных с адресом pupkin1234@gmail.com я вообще молчу.

Еще советую обратить внимание на решение арбитражного суда от 21 ноября 2007 г. N 09АП-15107/2007-ГК (спасибо Павлу Гальченко, цитирую по его сообщению)

"Судебная коллегия также отмечает, что каждым воспользовавшимся услугой по доставке документов и/или грузов по всемирной сети DHL, частью которого является ЗАО "ДХЛ Интернешнл" оформляется стандартная накладная, где могут быть указаны, как фамилия фактического отправителя, так и фамилия лица, с которым возможна связь при возникновении каких-либо дополнительных вопросов связанных с отправлением, при этом документов, удостоверяющих личность при заполнении и подписании такой накладной не требуется. Оформление указанной накладной не является сбором, обработкой персональных данных в смысле ст. 3 Федерального закона "О персональных данных"."

В принципе всё понятно, но в форме кроме адреса электронной почты, есть обязательное поле почтовго адреса.
ФИО:
Почтовый адрес:
Электронный почтовый адрес(email):
В этом случае данные можно считать обезличенными? Либо уже неообходимо вводить меры по защите ПДн?

С почтовым адресом хуже. В этом случае обезличенность, увы, не канает. Данные действительно идентифицируют субъекта, и у вас как минимум ИСПД 3-го класса.

Классифицировать нужно в любом случае, требования по защите определяются документом "Основные мероприятия". Тут возможны варианты, и вам лучше обратиться к кому-нибудь из системных интеграторов и обсудить с ними специфику вашей системы - в форуме это сделать трудно :)

malotavr, спасибо за ответ.
Я думаю, чтобы не заморачиваться, лучше вообще пересмотреть целесообразность указания почтового адреса.

Что касается цитаты из FAQ Информзащиты. При всем моем уважении к г-ну Емельянникову (я так понимаю,FAQ ведет он, и этот человек действительно заслуживает уважения), его трактовка нормативных актов в некоторых случаях радикально отличается от трактовки, которую им дают практикующие юристы :)

В примере с "Моим кругом" вам сделана публичная оферта (в виде текста пользовательского соглашения). Нажав на кнопку "продолжить регистрацию", вы акцептовали эту оферту (в силу п. 1.3 оферты). С этого момента между вами и Яндексом действует договор, одной из которого являетесь вы, субъект персональных данных). Поскольку Яндекс обрабатывает ваши ПД в целях исполнения этого договора, ему не требуется ваше согласие на обработку )исключение 2 в п. 2 статьи 6 ФЗ). Поскольку это исключение, и согласие не требуется, п 3. статьи 9 не применим. Вам не нужно предоставлять доказательства согласия, поскольку этого согласия как отдельной сущности нет.

Этот вопрос не требует "разрешения в законодательном или подзаконном правовом акте", поскольку он очень ясно раскрыт в Гражданском Кодексе и по нему есть очень богатая судебная практика (прежде всего - по делам, связанных с нарушением прав потребителей интернет-магазинами).

malotavr, согласен, законность соглашения можно обосновать в соответсвии с Гражданским Кодексом.
Ещё вопрос, может быть покажется глупым:
В соответствии с Приказом "трёх" к специальным информационным системам относятся информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).
Получается практически все ИСПДн будут специальными. Не думаю, что найдётся много ИС, где необходимо обеспечить конфиденциальность и опустить защиту от НС уничтожения или НС изменения. Получается любой отдел кадров будет специальной ИСПДн?