20141106 ejpdn
DESCRIPTION
Краткое описание задач с нормативным обеспечением защиты персональных данных при ведении электронных журналов успеваемости. Запись с голосом для курса по ИБ: https://www.youtube.com/watch?v=7WkRbvp8HXITRANSCRIPT
![Page 1: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/1.jpg)
Организационные меры по минимизации затрат на защиту ПДн при ведении ЭЖ
Михаил Кушнирноябрь 2014
Целью ... закона является обеспечение защиты прав и свобод человека ...
![Page 2: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/2.jpg)
Цели презентации
• Круг нормативных проблем ЭЖ / ПДн
• Варианты их решения
• Нормативная шпаргалка
![Page 3: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/3.jpg)
ПДн – все данные
1) персональные данные (ПДн) - любая информация,
относящаяся к ... физическому лицу (субъекту ПДн);
Статья 3. Основные понятия
Закон «О персональных данных» №152-ФЗ
![Page 4: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/4.jpg)
Автоматизировано все
4) автоматизированная обработка ПДн - обработка ПДн с помощью средств вычислительной техники;
Статья 3. Основные понятия
Закон «О персональных данных» №152-ФЗ
![Page 5: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/5.jpg)
Оператор ПДн
2) оператор - ... юр. или физическое лицо ... с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие
Статья 3. Основные понятия
- цели обработки ПДн, - состав ПДн, подлежащих обработке, - действия (операции), совершаемые с ПДн;
Закон «О персональных данных» №152-ФЗ
![Page 6: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/6.jpg)
Школа как оператор• Копии документов обучающегося
(свидетельство о рождении)
• Копии документов родителей (паспорт)• Контактные данные (для информирования)• Медкарта (для медсестры из поликлиники)
Приказ Минобрнауки от 22.01.2014 №32
…может … в форме электронного документа с использованием информационно-телекоммуникационных сетей общего пользования
![Page 7: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/7.jpg)
Организация учета
10) осуществление текущего контроля успеваемости и
промежуточной аттестации обучающихся …;
11) индивидуальный учет результатов …, а также хранение в
архивах … на бумажных и (или) электронных носителях;
13) проведение самообследования, обеспечение … внутренней
системы оценки качества образования;
Статья 28. Компетенция … обр. организации (п.3)
Закон «Об образовании в РФ» №273-ФЗ
![Page 8: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/8.jpg)
Реализация компетенции
2. Образовательная организация принимает локальные
нормативные акты по основным вопросам организации и
осуществления образовательной деятельности, в том числе ...
формы, периодичность и порядок текущего контроля
успеваемости и промежуточной аттестации обучающихся...
Статья 30. Локальные нормативные акты, содержащие нормы, регулирующие образовательные отношения
Закон «Об образовании в РФ» №273-ФЗ
![Page 9: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/9.jpg)
Журнал – учет
4) знакомиться с содержанием образования, используемыми
методами обучения и воспитания, образовательными
технологиями, а также с оценками успеваемости своих детей;
6) получать информацию о всех видах планируемых
обследований...
Статья 44. Права, обязанности … родителей …(п.3)
Закон «Об образовании в РФ» №273-ФЗ
![Page 10: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/10.jpg)
Письмо Минобрнауки РФ... соблюдение прав ОУ и разработчиков на самостоятельный
выбор информационных систем и на свободу конкуренции ...
Недопустим неоправданный рост трудозатрат на ведение
двойного учета, рабочие места должны быть оборудованы ...
Выбор формы ведения учета ... отнесен к компетенции ОУ
... подготовить локальные нормативные акты.
№ АП-147/07 от 15.02.2012
![Page 11: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/11.jpg)
Единые требования к ЭЖАдминистрация ОУ несет ответственность за бесперебойность
образовательного процесса с учетом рисков сбоев ЭЖ.
ЭЖ должен обеспечивать оперативный отклик (5 секунд)
В случае несоответствия выбранной реализации ЭЖ
требованиям настоящего документа ... Администрация ОУ
должна выбрать другую реализацию ЭЖ.
№ АП-147/07 от 15.02.2012
![Page 12: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/12.jpg)
Письмо Минобрнауки РФ
Если обработка персональных данных субъекта диктуется
интересами организации, а не интересами субъекта, его
согласие может быть признано ничтожным…
… необходимо обратить внимание на особенности
мероприятий по защите персональных данных в
различных вариантах использования ЭЖ.
№ АК-3358/08 от 21.10.2014
Часть 1. Методические рекомендации (стр.9, п.4)
![Page 13: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/13.jpg)
ЭЖ вне школы:
• «уведомить уполномоченный орган» …(п.1 статьи 22) и
декларировать изменения (п.7 статьи 22), включая ЭЖ
• контролировать возможность трансграничной передачи…• хранить письменные согласия…на передачу во внешний ЭЖ• соответствие целей обработки: согласия и внешней орг-ии• заключить договор с ЭЖ на обработку ПДн
№ АК-3358/08 от 21.10.2014
![Page 14: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/14.jpg)
ЭЖ в школе:
• ряд перечисленных выше мероприятий может быть
сокращен и/или облегчен
при соответствующей … локальной нормативной базе
• организационно-технические меры по защите ПДн
№ АК-3358/08 от 21.10.2014
![Page 15: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/15.jpg)
Центральные реестры
2. ... Не допускается обработка ПДн, несовместимая с целями сбора ПДн.
3. Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.
Статья 5. Принципы обработки ПДн
Вопрос 152-ФЗ: «С какой целью сдавали данные?»
![Page 16: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/16.jpg)
Регистрация оператора
2. Оператор вправе осуществлять без уведомления ... :
2) полученных оператором в связи с заключением договора...,
если ПДн не распространяются, а также не предоставляются
третьим лицам без согласия субъекта ПДн и используются
оператором исключительно для исполнения указанного договора
и заключения договоров с субъектом ПДн;
Статья 22. Уведомление об обработке ПДн
![Page 17: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/17.jpg)
Какое согласие?
1. ... в своем интересе ... в любой позволяющей подтвердить
факт его получения форме ...
4. В случаях, предусмотренных федеральным законом, ... только
с согласия в письменной форме ...
... Равнозначным ... письменной форме ... признается согласие в
форме электронного документа, подписанного ... электронной
подписью
Статья 9. Согласие субъекта ПДн на обработку его ПДн
![Page 18: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/18.jpg)
Доказательство
3. Обязанность предоставить доказательство
получения согласия субъекта ... или наличия оснований ...
возлагается на оператора
Статья 9. Согласие субъекта ...
![Page 19: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/19.jpg)
Согласие не нужно
2) ... для осуществления и выполнения возложенных
законодательством РФ на оператора функций...
4) ... для исполнения … государственных или
муниципальных услуг, предусмотренных … 210-ФЗ
Статья 6. Условия обработки ПДн (п.1)
Заказана ли услуга, чтобы слать ПДн для госуслуг?
![Page 20: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/20.jpg)
Согласие нужно
3. Оператор вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн ...
Статья 6. Условия обработки ПДн
5. В случае, если оператор поручает обработку ПДн другому
лицу, ответственность ... несет оператор
![Page 21: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/21.jpg)
Так, нужно или нет?
Обработка ПДн Закон. функции Доп. функции
В школебез согласиябез уведомления
согласиебез уведомления
Вне школысогласиеуведомление
согласиеуведомление
(школа - оператор)
![Page 22: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/22.jpg)
Так, нужно или нет?
Обработка ПДн Закон. функции Доп. функции
В школебез согласиябез уведомления
согласиебез уведомления
Вне школысогласиеуведомление
согласиеуведомление
(школа - оператор)
ИСПДн
2-4 УЗ
1-3 УЗ
![Page 23: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/23.jpg)
ЭЖ в центре
Школа-оператор
Родитель
Данные
Школа -оператор
Данные
![Page 24: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/24.jpg)
ЭЖ в центре
Школа-оператор
Родитель
Данные
Школа -оператор
Данные
Вопрос 273-ФЗ: «Школа этого хочет?»
![Page 25: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/25.jpg)
ЭЖ в центре
Школа-оператор
Родитель
Договор?Согласия?Уведомление?
Данные
Школа -оператор
Данные
Вопрос 273-ФЗ: «Школа этого хочет?»
![Page 26: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/26.jpg)
ЭЖ в центре
Школа-оператор
Родитель
Данные
Данные
Школа -оператор
Данные
![Page 27: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/27.jpg)
Достоинства Недостатки
Перспективы Риски
ЭЖ в центре
Минимум тех. забот
• Максимум бумаг• Проверки• Полная зависимость• Отсутствие контроля над данными
Развитие ЭЖ партнером • Отказ родителей• Тех/орг риски• Новый ЭЖ с нуля
![Page 28: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/28.jpg)
Тех/орг риски ЭЖ в центре• Качество школьного канала связи• Качество центрального узла (сервер, связь, кадры)
• Издержки в случае сбоев• Ущерб при утечке данных• Раздвоение ответственности• Психологические барьеры• Унификация и права школ на автономию• Соблюдение формальностей и законов
![Page 29: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/29.jpg)
ЭЖ в школе
Школа
Родитель
Данные
![Page 30: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/30.jpg)
Достоинства Недостатки
Перспективы Риски
ЭЖ в школе
• Без проверок• Минимум бумаг• Независимость• Полный контроль над данными
Развитие ЭЖ партнером или самостоятельно
• Тех. сбои• Потеря кадров• Давление «сверху»• Смена ЭЖ
Технические издержки:• оборудование / ПО• кадры• защита• техподдержка
![Page 31: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/31.jpg)
ЭЖ в школе
Родитель
Информационная система:• ЭЖ• списки• кадры• метод. разработки• коммуникации• и др.
Школа
![Page 32: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/32.jpg)
ЭЖ в школе
Родитель
Информационная система:• ЭЖ (с минимальными ПДн, обезличенными или общедоступными)
• и др. общие и обезличенные
Информационная система:• списки• кадры• и др. с ПДн
Школа
![Page 33: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/33.jpg)
ЭЖ в школе
Родитель
Информационная система:• ЭЖ (с минимальными ПДн, обезличенными или общедоступными)
• и др. общие и обезличенные
Информационная система:• списки• кадры• и др. с ПДн
Локальный акт об открытой ИСПДн
Локальный акт об изолированной ИСПДн
Школа
![Page 34: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/34.jpg)
ЭЖ в школе
Родитель
Локальный акт об открытой ИСПДн
Локальный акт об изолированной ИСПДн
Школа
ПАК
Данные
![Page 35: 20141106 ejpdn](https://reader033.vdocuments.mx/reader033/viewer/2022052623/559983491a28ab04778b47b3/html5/thumbnails/35.jpg)
« Л и г а о б р а з о в а н и я »М и х а и л К у ш н и р
m . k u s h n i r . p w
«Выбирайтесь своей колеей»
www.s l i deshare .ne t /M ichae lKushn i r
З а п р о с ц и в и л ь н о г о з а п р о с а н а ПД н
w w w . r u j e l . n e t