Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

Сергей,

вы, кстати, забываете еще один нюанс: ФСТЭК может открыто заявлять все, что хочет, но , по ее же заявлениям, четырехкнижию еще предстоит пройти юридическую экспертизу в Минюсте. А позиция Минюста, скорее всего, будет близка к позиции законодателя: собственная деятельность предприятия по защите информации лицензированию не подлежит:

"Елена Волчинская рассказала об отправленном в то время запросе в комитет Государственной Думы по собственности, отвечающий за концепцию положения о лицензировании. На запрос было получено официальное разъяснение: деятельность организаций по технической защите конфиденциальной информации исключительно для собственных нужд лицензированию не подлежит."

Поэтому, честно говоря, до регистрации документов в Минюсте заявления ФСТЭК меня интересует в последнюю очередь.:)

Я тоже так думаю. И опытные юристы объясняют, что ФСТЭК не может недотребовать или перетребовать указанные в ПП или ФЗ требования к соискателям лицензии на ТЗКИ. Всем от корки до корки надо обладать/не обладать = получить/не получить
Но письмо уже впути. как ответят так и сделаем. они же и будут проверять нас потом

Удачи!

Получите официальный ответ - буду признателен, если приватно поделитесь впечатлениями :)

Спасибо, ОК!

Деятельность по технической защите конфиденциальной информации подлежит лицензированию.
Защита персональных данных это деятельность по защите информации конфиденциального характера (Указ 188).
НЕ зависимо от класса ИСПДн, деятельность по их защите подлежит лицензированию.
Услуги это тоже вид деятельности. Конечно для выполнения мероприятий по защите на собственном предприятии понятие услуги исключается.
По закону предприятия обязаны иметь лицензию, для погашения финансовых издержек после получения лицензии, предприятия имеют право оказывать услуги по технической защите информации.

js,

да, эти аргументы я уже слышал и сам когда-то излагал.

Эти аргументы базируются на аксиоме "деятельность - это любые телодвижения". Если эта аксиома верна, то вы правы. Но верна ли она? Прежде, чем отвечать утвердительно, попробуйте ответить на два вопроса:

1. Почему профильный комитет Госдумы официально утверждает, что лицензироваться должны только оказываемые услуги?
2. Почему предприниматель Вася Петров, оператор ИСПД, должен получить лицензию, а его сосед Петр Васечкин, занимающийся точно такой же деятельностью бесплатно и не являющийся предпринимателем, лицензию получать не должен (ФЗ 128)?

Ссылку вашу прочитал, но опять - это интервьюируемое заявление. Насколько я знаю официальная трактовка Федерального закона возможна только по суду. И опять мы приходим на исходные позиции.
Я понимаю вашу точку зрения. Вы считаете, что ФЗ-152 определил новый вид информации, которая в том числе подлежит защите. Деятельность по защите ПДн ФЗ-128 не регулируется. ФЗ-149 определяет информацию не подлежащей разглашению "Конфиденциальность информации", Указ 188 определяет, только информацию конфиденциального характера, т.е. "конфиденциальность информации". Таким образом "конфиденциальная информация" как вид отсутствует и значит отсутствует лицензируемый вид деятельности.
Но официальная трактовка юристов, (организации где я работал), конфиденциальная информация=информация конфиденциального характера=персональные данные (я думаю, что так считают бОльшая часть юристов). И тут мы подпадаем под действие закона ФЗ-128.
Понимаю и позицию ФСТЭК - обязать всех лицензироваться - это единственный источник получения конкретного списка ИСПДн, защиту которых они обязаны контролировать.

Тогда приходим к совсем другому алгоритму защиты.
п.2 ст.19 ФЗ-152 - требования к защите определяет Правительство РФ;
постановление № 781 ст.3 - методы и способы защиты информации в информационных системах устанавливаются ФСТЭК и ФСБ в пределах их полномочий.
Вывод:
ФСТЭК - не имеет право выдвигать дополнительные требования;
Деятельность по защите ИСПДн - лицензированию не полежит;
Оценка соответствия ИСПДн по требованиям БПДн, как проведение аттестации ОИ по ТБИ - не законна, ФЗ-184 п.2
Для оценки соответствия по ТБИ достаточно использование сертифицированной продукции по ТБИ - ФЗ-184 п.3

Я думаю, что такой алгоритм не примет никто, даже суд (при оспаривании).

Значит единственный вывод - обязательное лицензирование - получение лицензии по ТЗКИ всеми операторами ИСПДн.
Коллизия законодательства и нпа, когда-нибудь да разрЕшится, но со стороны операторов помощь возможна только при выполнении требований законодательства, в том виде как его понимают бОльшая часть регуляторов и профильных министерств, и им подобных.

Я пол топика перерыл но не нашел ответ на 1 вопрос. Если к примеру я владелец обыкновенного интернет сайта, где оставляют свои свободно доступные данные юридический лица и физические (фамилия, имя, отчество, должность, место работы то есть сотрудники компаний) в открытой для 3 лиц форме доступа. Возможно тут отделаться договорам офертой между моей компанией(сайтом) и новой зарегистрировавшейся копанией. Или все равно придется выполнять процедуру лицензирования (покупка софта и тп )

Николай
вопрос сложный. Например, сразу возникает вопрос, как физ.лица (именно физ лица, а не зарегистрировавшиеся компании) будут договор оферты подписывать. Договор оферты в виде веб-формы не будет иметь юридической силы.

js,
приятно читать аргументированный ответ.:)

Вы правы в том, что имеет место коллизия (точнее - различные толкования ФЗ-128). Однако ваше толкование, пожалуй, самое радикальное из всех - поскольку, повторю, требует получения лицензий всеми без исключения юридическими лицами (поскольку все они без исключения являются операторами ПД). А это как минимум не соответствует основам гражданского права.

Поэтому не могу согласиться с тем, что ваша трактовка является единственно правильной.

Еще раз - ваши рассуждения логичны, но опираются на аксиому "ФЗ-128 распространяется на любую деятельность, включая использование дверных замков". Если мы эту аксиому примем, вы будете правы, но мы получим указанное выше несоответствие. Поэтому возьму на себя смелость утверждать, что эта аксиома неверна.

В законодательстве нет понятия "деятельность". Есть понятия "предпринимательская деятельность" и отдельных ее разновидностей ("турагентская деятельность", "аудиторская деятельность", "банковская деятельность"), есть отдельные виды некоммерческой деятельности ("благотворительная деятельность"). А вот обобщающего понятия "деятельность" - нет. И распространять действие ФЗ-128 на это несуществующее обобщающее понятие, на мой взгляд, некорректно.

Если уж операторам приходится выбирать из многих зол, то лучше выбирать стандартную трактовку - лицензироваться должны не все, а только операторы ИСПД 2-го и 1-го классов. В этом случае операторы строго выполняют нормативные акты, пусть даже легитимность этих актов, скажем так, сомнительна.