ПДн. Обезличивать не надо защищать

До недавнего времени, интерес к обезличиванию ПДн был не большой, как со стороны законодателей, так и со стороны операторов.

НПА РФ касающиеся обезличивания ПДн:

·         Федеральный закон 152-ФЗ “О персональных данных”

требования по обезличиванию в редких случаях

·         Приказ Роскомнадзора от 05.09.2013 N 996 "Об утверждении требований и методов по обезличиванию персональных данных"

описаны возможные методы, но требования фактически отсутствуют

·         КОАП РФ

есть штраф за нарушение требований и методов обезличивания, но мизерный и только для должностных лиц гос. органов

Появилось несколько свежих отраслевых НПА, устанавливающих требования обезличивать ПДн:

·         Приказ Министерства здравоохранения РФ от 14 июня 2018 г. N 341н "Об утверждении Порядка обезличивания сведений о лицах, которым оказывается медицинская помощь, а также о лицах, в отношении которых проводятся медицинские экспертизы, медицинские осмотры и медицинские освидетельствования"

касается всех Мед. организаций, но обезличивание происходит автоматически через специальный модуль ЕГИСЗ

·         Поправки федеральный закон от 05.04.2013 N 44-ФЗ "О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд”

при закупке лекарственных препаратов требование публиковать обезличенные решения врачебных комиссий

·         Приказ Росстата от 17.04.2018 N 179 "Об утверждении порядка сбора сведений о населении в электронной форме, определяющего требования к программному обеспечению, техническим средствам, включая носители информации, каналам связи, средствам защиты и форматам представления данных в электронной форме"

требования обезличивать данные переписи населения

Минкомсвязи выдвинул 2 законопроекта:

1.       Изменения в 152-ФЗ: 

a.       добавить обязанность проводить обезличивание в случаях, когда это требуется законодательством РФ (ну это и так вроде очевидно)

b.       всем операторам добавили обязанность разрабатывать правила работы с обезличенными данными, в случае применения обезличивания

раньше такие правила требовались только для гос. органов

2.       Изменения в КОАП РФ

Теперь штрафы для всех операторов и распространяются на физ лиц, должностных лиц и юр. лиц. До 30 тыс.

Заключение:

Начало появляться больше НПА, обязывающие операторов проводить обезличивание ПДн в определенных случаях. Сейчас эти случаи:

·         обезличивать или уничтожать по достижению целей обработки ПДн

·         обработка ПДн в статистических или исследовательских целях

·         обработка ПДн при оказании мед. услуг

·         публикация решений врачебный комиссий при проведении закупок лекарственных препаратов

·         при переписи населения

Скорее всего число таких случаев, где обезличивание требуется в явном виде, будет только увеличиваться. Поэтому очевидно, что за невыполнение требований должно быть предусмотрено хоть какое-то наказание. Так кто ожидаемы поправки в КоАП

Для всех случаев обработки ПДн, операторам нужно будет определять, будет ли в них применяться обезличивание или нет. Если будет то определить способ обезличивания, реализовать автоматизированные механизмы или назначить ответственных лиц, при обезличивании в ручную и действительно внедрить выбранные способы на практике.  

Вероятно, во многих массовых ИС/ГИС (также как в ЕГИСЗ) должны появляться встроенные возможности по обезличиванию данных.

PS: Также рекомендую обзор законопроектов по обезличиванию ПДн от Михаила Емельянникова – рассмотрел проблему с другой стороны

PPS:Нажмите чтобы посмотреть цитаты из НПА и планируемые изменения

Текущая версия 152-ФЗ. Статья 5:

7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

152-ФЗ. Статья 6 часть 1:

9) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных;

Предлагаемые поправки:

1)            Статью 18 дополнить частью 6 следующего содержания:

«6. В случаях, установленных законодательством Российской Федерации в области персональных данных, в соответствии с требованиями и методами, установленными уполномоченным органом по защите прав субъектов персональных данных, осуществляют обезличивание персональных данных.»

2)            Пункт 2 части 1 статьи 18.1 изложить в следующей редакции:

«2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений, а также правил работы с обезличенными данными в случае обезличивания персональных данных;).

КОАП РФ. Статья 13.11

7. Невыполнение оператором, являющимся государственным или муниципальным органом, предусмотренной законодательством Российской Федерации в области персональных данных обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов по обезличиванию персональных данных -

влечет предупреждение или наложение административного штрафа на должностных лиц в размере от трех тысяч до шести тысяч рублей.

Предлагаемые поправки:

7. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов по обезличиванию персональных данных -

влечет предупреждение или наложение административного штрафа на граждан в размере от семисот до одной тысячи пятисот рублей; на должностных лиц - от трех тысяч до шести тысяч рублей; на индивидуальных предпринимателей - от пяти тысяч до десяти тысяч рублей; на юридических лиц - от пятнадцати тысяч до тридцати тысяч рублей.