Лучшие практики обезличивания персональных данных

Вчера совместно с Ксенией Лебедевой (Шудровой) провели вебинар в новом для нас мини формате. Если предыдущие межблогерские вебинары стремились по времени к 3 часам, то этот удалось уместить в 1 час.

Сделали обзор законодательства и судебной практики РФ по обезличиванию ПДн. В большинстве случаев обезличивание ПДн остается добровольным мероприятием оператора ПДн. Но постепенно появляется все больше случаев, когда обезличивание является обязанностью:

152-ФЗ

•        Альтернатива удалению при достижении целей обработки ПДн

•        При обработке в статистических или иных исследовательских целях

•        В целях повышения эффективности гос. и муниципального управления

•        В целях эксперимента по ИИ в Москве

123-ФЗ

•        В целях эксперимента по ИИ в Москве

44-ФЗ

•        Решения врачебной комиссии при закупке лекарственных препаратов

192-ФЗ

•        Обезличивание фискальных данных

78-ФЗ

•        Обезличивание результатов жалоб Уполномоченному при опубликовании их в сети Интернет

168-ФЗ

•        Обезличивание ПДн в федеральном регистре сведений о населении

Приказ Минпромторга России от 27.06.2019 N 2296

•        Обезличивание при обработке в ГИС Честный Знак

Приказ Минздрава России от 14.06.2018 N 341н

•        Обезличивание при обработке в ЕГИСЗ

ГОСТ 57580.1

•        Запрет обработки защищаемой информации в сегментах разработки и тестирования

 

Далее рассмотрели лучшие практики обезличивания (там это называется Pseudonymisation) из Евросоюза:

•        Pseudonymisation techniques and best practices от ENISA

•        Data Pseudonymisation: Advanced Techniques and Use Cases от ENISA

Основными выводами которых являются:

•        Pseudonymization должен заниматься каждый оператор

•        Нет одного лучшего способа

•        Нужно исходить из оценки рисков и целей

•        Для сложных масштабных задач есть продвинутые техники, посредники обезличивания и т.п.

•        По проектам национального уровня – собирать рабочие группы, проводить исследования

Предлагаю вам самостоятельно ознакомится с записью вебинара, а если будет интересным то и с самими лучшими практиками https://www.youtube.com/watch?v=tGXqefi1iNI

 

Комментарии

marty написал(а)…
Сергей добрый день! Нужна помощь эксперта в вопросе получения согласия субъекта ПДн при его обращении в колл-центр (по вопросу записи к врачу, прививки КОВИД и т.д)на получение информации, касающейся обработки его персональных данных.
Чем отличается обращение от запроса субъекта ПДН (часть 3 статьи 14 152-ФЗ)?
Если нет возможности оператору удостовериться (по телефону) что к нему обращается именно субъект персональных данных, то как выполнять требования статьи 14?
С уважением,
Мартынов Константин
13 мая 2021 г. в 03:32
Отправить комментарий

Популярные сообщения из этого блога

СКЗИ. НПА. Некоторые вопросы применения криптографии

Изображение
Как показывает практика, немногие организации помнят и руководствуются приказом ФАПСИ (правопреемником которой является ФСБ России) от 13 июня 2001 г. N 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну ". А ведь Инструкция является обязательной при использовании сертифицированных СКЗИ для обеспечения безопасности информации ограниченного доступа (подлежащей защите в соответствии с законодательством РФ).     А это ПДн, все виды тайн, ГИСы, НПСы, будущие КИИ. С 2008 по 2012 год для ПДн действовало послабление в виде “Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обесп
Далее...

Модель угроз безопасности клиента финансовой организации

Изображение
  Уже более 2 месяцев как вступил в силу методический документ ФСТЭК по моделированию угроз, а ни одного публичного примера модели угроз информационной безопасности сообществом не было опубликовано. Как мы обсуждали на межблогерском вебинаре по моделированию угроз ИБ , такой пример мог бы сильно помочь ответственным лицам, обязанным руководствоваться данной методикой. Пример модели угроз обещал сделать Алексей Лукацкий, но пока у него получилась серия публикаций про проблемы моделирования и примера ещё нет. В УЦСБ в рамках услуг по моделированию угроз, коллеги уже провели необходимую аналитику и подготовили внутренние средства автоматизации для разработки МУ, что уже говорит о возможности моделирования угроз по новой Методике.  К последнему межблогерскому вебинару по безопасности клиентов финансовых организаций я решил проверить насколько адекватной получится модель угроз для типового сегмента клиента ФО (а для данной статьи ещё и обновил графическое оформление). Давайте посмот
Далее...

КИИ. Категорирование объектов, часть 3

Изображение
Продолжаем проводить категорирование объекта КИИ на примере организации сферы здравоохранения. На предыдущем этапе мы выявили критические процессы организации. Теперь определяем объекты КИИ и отправляем их на согласование (этап простой и очевидный, но постараюсь добавить несколько полезных моментов) 3. Определение объектов КИИ Продолжаем начатое на прошлых этапах (а можно и совместить 1-3) общение с руководителями подразделений. Спрашиваем какие ИС или АСУ обрабатывают информацию, необходимую для обеспечения выявленных критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов. Отдельно в ИТ подразделении получаем полный перечень ИС (он должен был готовится в рамках мероприятий по ПДн) и АСУ, совместно с ИТ выкидываем из перечня ИС, не связанные с критическими процессами (как правило, кадровые, бухгалтерские, отчетность, банк-клиенты). В результате, того, что данные об ИС и АСУ получены не из одного источника, гарантируется его
Далее...