Защита КИ в режиме КТ - Форум по вопросам информационной безопасности

Здравствуйте! Хотелось бы получить ответ на следующий вопрос.
Допускается ли защита персональных данных в режиме коммерческой тайны?
Т.е. в Положении о КТ мы пишем, что в режиме коммерческой тайны защищается информация, составляющая КТ, а также ПДн, документы ДСП из ОГВ и т.д.

Коммерческая организация.

Так если разобраться: ПДн - это данные позволяющие идентифицировать субъект, т.е. например ФИО, д/р, пол, возраст и т.д., Коммерческая тайна - режим конфиденциальности информации, позволяющий ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду (п.1 ст.3. №ФЗ-98 от 29.07.2004).
Получается так у вас в организации должно быть кроме прочих «Политика ИБ информационных систем» в части, которой в свою очередь есть «Положение об организации обработки и перечень ПДн (которые вы обрабатываете и защищаете)», т.е. ПДн которые у вас будут в КТ и так должны защищать на основании выше указанных документов. При составлении Положения о КТ вам просто нужно вначале сослаться на то, что дано положение было кроме всего прочего, составлено руководствуясь «Политикой ИБ ИС» и «Положение об организации обработки и перечень ПДн». И всё. А вместе их мешать не надо.

"что в режиме коммерческой тайны защищается информация, составляющая КТ"
Если ваш режим КТ выполняет все требования к защиты ПДн в соответсвии с НМД. Что вряд ли. Слишком много разночтений.

+1 к "если выполняет".

И еще нюанс: одно из прав человека, работающего с КТ - знать, что он работает с КТ. Если вы смешаете в олной нормативке саедения, относящиеся и не относящиеся к КТ, при разглашении КТ у нарушителя может появиться неслабые основания уйти от ответственности.

Технические и организационные меры могут быть олинаковыми, но нормативку лучше разделииь.

*в сторону*
Ага, так вот она какая, контора, торгующая ПДн. То-то я думаю, откуда у всяческих стоматологий/фитнесов/автоцентров/рогов-и-копыт мои контактные данные и иная весьма любопытная информация. Обезопаситься, значит, решили. Режим КТ к ПДн подавай. Ну-ну...

Нормативка разделена, есть отдельные положения по ПДн, отдельно по КТ
В перечне сведений конфиденциального характера указаны сведения и КТ и ПДн в том числе
Просто разнятся мнения специалистов, некоторые говорят "нельзя защищать в перемешку, КТ - это КТ, а ПДн - это ПДн! И Перечень для КТ должен быть отдельный"

Рассуждая в теории, "коммерческая тайна" - это правовой режим, установленный на основании 98-ФЗ, т.е. это набор мер, ограничивающий доступ к объекту правовых отношений.
Объектом правовых отношений считается информация, в отношении которой мы вводим режим КТ, а считается он установленным в случае выполнения условий ч.1 ст.10 98-ФЗ, в том числе к ним относится нанесения грифа на материальные носители "КТ".
Это я всё к чему, к тому, что недопустима формулировка, что в режиме КТ мы защищаем что-либо ещё, кроме информации, составляющей КТ, потому что объект правоотношений и правовой режим неразрывно связаны. Таким образом, если информация защищается в режиме КТ, будь то ПДн или что-то другое, то она и становится той самой "информация, составляющая КТ". Исходя из этого, на все материальные носители, содержащие ПДн, мы должны наносить гриф "КТ", т.к. это обязательное условия режима КТ в соответствии с ч.1 ст.10 98-ФЗ.

Правильны ли мои рассуждения?

Не, ПДн мы не торгуем :)
На материальные носители, содержащие ПДн, никакие грифы и пометки не проставляем. Соответственно просто в Положении о КТ написано, что в режиме КТ защищается информация, составляющая КТ, ПДн, ДСП от органов и КИ
И есть единый Перечень в котором намешана вся КИ

to Author
Вы же сами писали: "Коммерческая тайна - режим ..., позволяющий ее обладателю ... получить ... коммерческую выгоду". Вы посредством обработки/хранения/передачи/etc. ПДн коммерческую выгоду получаете? Если да, то можете финтануть ушами и приписать ПДн к КТ в свое Положение. Если нет, то не смешивайте, - не создавайте себе лишних проблем, а другим лишней путаницы. Ее и без того в вопросах ИБ/ЗИ по стране хватает...

ЗЫ Плясать всегда надо от конкретики защищаемой информации, а не от формулировок законов и проч. актов. Иначе упретесь в бюрократический и юридический порог, что заставит потратить больше усилий на выход из клинча, чем на полезные действия...

to oko
Не я это писал, а Artem.
Мысль понял, есть коммерческая выгода - можем творить тёмные дела, приписывая ПДн к КТ, а также проставлять гриф КТ на те носители, которые содержат ПДн, отнесённые к КТ.

Спасибо за ответ и за совет.