Фотография и персональные данные - Форум по вопросам информационной безопасности

Тимон,
"В карточке ФИО, фотография, отдел, должность, телефоны, почта и номер комнаты, ну и допустим дата рождения"

ФИО плюс отдел плюс должность однозначно идентифицируют сотрудника компании. Телефон, номер комнаты, адрес электронной почты, фотография - дополнительная информация о нем, не относящаяся к категории 1. Все вместе - "персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1", т.е. категория 2.

Не категории 1 - потому что "расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни" все перечисленное никаким боком не касается.

По 1 убедили, по 2-ой нет. емайл и комната сомнительно относятся к человеку, а перечня однозначной идентификации на вчера не опубликовано.
за труды спасибо.

"По 1 убедили, по 2-ой нет. емайл и комната сомнительно относятся к человеку, а перечня однозначной идентификации на вчера не опубликовано."

Не собираюсь вас убеждать :) Это просто буква закона и подзаконного акта.

1. ФИО, отдел и должность однозначно идентифицируют сотрудника вашей компании? Или спрошу по другому: в вашей компании есть два сотрудника с одинаковыми ФИО и должностями? Уверен, что нет, и эти три поля в карточке однозначно идентифицируют сотрудника вашей компании. Вместе с названием вашей компании это "персональные данные, позволяющие идентифицировать субъекта персональных данных"
2. Номер комнаты, номер телефона и адрес электронной почты, указанные в карточке определенного сотрудника вашей компании, имеют к нему отношение? Полагаю, что да. Если так, то это его персональные данные - "любая информация, относящаяся к определенному лицу". Эти персональные данные позволяют получить дополнительную информацию о вашем сотруднике и вместе с тем не относятся к категории 1.

Возражения?

Полагаю, что принцип "имеют к нему отношение" применяется несколько своеобразно и неуверенно, а потому малоуместно. При таком своевольничании с принципами можно и шнурки отнести к персональным данным.
Полагаю, что притянутость "за уши" не позволит использовать методику реализации принципа на практике.

Однозначняа идентификация сотрудника это однозначная идентификация сотрудника. Для субъекта персональных данных здесь чего-то не хватает. Вот далее теряюсь в догадках.

Не понял.

ФСТЭК, директор, Григоров С.И. Чего вам не хватает для того, чтобы однозначно идентифицировать это физическое лицо?

Можете привести такой пример сочетания "организация"+"должность"+"ФИО", чтобы оно относилось к двум разным персонам?

*Dijkstra, Т.е. смело автоматом повышаем все ИСПДн с фото до уровня К1?
*Не пугайте людей - кто-нибудь шутки не поймёт.
Не выше 3 при прочих равных условиях.

Василь, и не думал, нужно было убедиться в неправильности данного предположения. Спасибо.

ФЗ "О ПД": Статья 8. Общедоступные источники персональных данных

1. В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, предоставленные субъектом персональных данных.
2. Сведения о субъекте персональных данных могут быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.

Речь идет как раз о создании подобного справочника. Причем здесь фиктивное соглашение? Этот справочник можно бы выложить в интернет (доступ неограниченного кол-ва пользователей), но вот целями установленными оператором этот справочник будет корпоративным не в смысле ограничения круга лиц, а в смысле достаточности корпоратива по технологии. ФЗ не обязывает Вас любыми средствами сделать доступ неограниченным. Можно ограничиться корпоративом, а категория ПД, обрабатываемых в нем будет доступной в плане возможности неограниченному кругу лиц, т.е любой сотрудник сможет распечатать и передать этот список кому угодно.
А все остальное - несомненно верно. Вот такой единственный способ избежать затрат на ЗИ. И в чем противоречие?

* Этот справочник можно бы выложить в интернет,

В чём смысл ?
ФЗ-152 не определяет принцип "неограниченного количества пользователей" и не заставляет стремиться к бесконечности.

* т.е любой сотрудник сможет распечатать и передать этот список кому угодно.

В чём смысл ?