Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

Читаю, что тут народ пишет и никак не могу понять, что за споры, что за не понятки...вернее для чего? что вы хотите сделать до конца разобравшись в данной тематике? какова цель? просто поболтать, кто умнее?)))

Цель, как я понимаю, "чтоб они отстали", т.е. понять чего они хотят, сделать как они хотят и чтоб они отстали

Я тут посидел, помаялся фигней))) может кому и поможет в принятии определенный решений или малость подскажет что-то..

Итак, «корень зла» ФЗ -152
Глава 1. ОБЩИЕ ПОЛОЖЕНИЯ
Статья 1. Сфера действия настоящего Федерального закона
Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами (далее - муниципальные органы), юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.
Имеем: Сканер, распознающий документы удостоверяющие личность (паспорт), с дальнейшим занесением и хранением в базе данных.

Вопрос: Является ли данный процесс обработкой ПДн с использованием средств автоматизации? Я правильно все понял Дмитрий Борисович?

Моя позиция:
Обратимся к определениям. Все тот же фз-152 статья 3. С легкими комментариями.
1) персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация; - паспорт содержит персональные данные.
3) обработка персональных данных - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных; - сканирование и дальнейшее хранение, как мне кажется, и есть обработка ПДн.
5) использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц; - в вашем случае вы их используете для принятия решений, пропустить или нет, проконтролировать и т.д.
9) информационная система персональных данных - информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств; - тут ниже подробней.

Средство - Прием, способ действия для достижения чего-нибудь ...(Словарь Ожегова)
Автоматизация — одно из направлений научно-технического прогресса, применение саморегулирующих технических средств, экономико-математических методов и систем управления, освобождающих человека от участия в процессах получения, преобразования, передачи и использования энергии, материалов или информации, существенно уменьшающих степень этого участия или трудоёмкость выполняемых операций. Требует дополнительного применения датчиков (сенсоров), устройств ввода, управляющих устройств (контроллеров), исполнительных устройств, устройств вывода, использующих электронную технику и методы вычислений, иногда копирующие нервные и мыслительные функции человека. Наряду с термином автоматический, используется понятие автоматизированный, подчеркивающий относительно большую степень участия человека в процессе. (Википедия)
Средства автоматизации – способы освобождающие человека от участия в процессах получения, преобразования, передачи и использования информации(в нашем случае), требующие дополнительного применения датчиков (сенсоров), устройств ввода, управляющих устройств (контроллеров), исполнительных устройств, устройств вывода, использующих электронную технику и методы вычислений. (Из личного словаря)
Устройства ввода — приборы для занесения (ввода) данных в компьютер во время его работы.
Ска́нер (англ. scanner) — устройство, которое, анализируя какой-либо объект (обычно изображение, текст), создаёт цифровую копию изображения объекта.

Вывод:
Сканирование в совокупности с распознованием и дальнейшем занесением и хранением ПДн в базе данных – автоматизированное средство обработки ПДн.

Может я слегка переборщил?))

Вывод:
Сканирование в совокупности с распознованием и дальнейшем занесением и хранением ПДн в базе данных – автоматизированное средство обработки ПДн.

Может я слегка переборщил?))

Если решение о пропуске на объект автоматически выдается по сканированию паспорта и сравнению полученных данных с базой и человек в этом не участвует (не сравнивает циферки в паспорте и в сканированном документе или фото в паспорте с физиономией субъекта ПДн) то да, это автоматизированная обработка ПДн, иначе - ручная.

Уважаемые специалисты! Вопрос по существу.

Для создания системы защиты персональных данных мы привлекли специализированную компанию. Они предлагают по окончанию всех работ провести аудит информационной безопасности (ГОСТ Р 50922-2006) в ходе которого документально получить свидетельства объективной оценки с целью определения степени выполнения в нашей организации установленных требований по обеспечению безопасности персональных данных.
Будет ли это весом аргументом для проверяющих? Стоит ли отдельно платить за аудит?

Уважаемые специалисты! Вопрос по существу.

Для создания системы защиты персональных данных мы привлекли специализированную компанию. Они предлагают по окончанию всех работ провести аудит информационной безопасности (ГОСТ Р 50922-2006) в ходе которого документально получить свидетельства объективной оценки с целью определения степени выполнения в нашей организации установленных требований по обеспечению безопасности персональных данных.
Будет ли это весом аргументом для проверяющих? Стоит ли отдельно платить за аудит?

Уважаемые специалисты! Вопрос по существу.

Для создания системы защиты персональных данных мы привлекли специализированную компанию. Они предлагают по окончанию всех работ провести аудит информационной безопасности (ГОСТ Р 50922-2006) в ходе которого документально получить свидетельства объективной оценки с целью определения степени выполнения в нашей организации установленных требований по обеспечению безопасности персональных данных.
Будет ли это весом аргументом для проверяющих? Стоит ли отдельно платить за аудит?

хммм...аудит конечно хорошо..вообще то, если данные 1 и 2 класса, надо проводить обязательно аттестацию...если данные 3 класса - декларирование, если 4 - можно ничего не делать.. а так всякого рода аудиты и т.д.. на усмотрение руководства(если данные не 1 и2 класса)
Вам надо было пару контор привлечь, выбрать наиболее подходящее и вперед)))

to Dimazzz:
из ваших слов можно подумать что систему защиты ИСПДн и аудит ИБ делает ОДНА и та же компания.
Закажите аудит проверяющему органу - тогда все вопросы снимутся, да и платить им не придется))

to Владимир
Прошу Вас документально подтвердить Ваши слова: про обязательную аттестацию ИСПДн 1 и 2 классов.