152-ФЗ «О персональных данных» — просто о главном

152-ФЗ — это основной закон, регулирующий обработку и защиту персональных данных (ПДн) в России. Он обязывает компании, госорганы и ИП соблюдать строгие правила при работе с личной информацией граждан.

Что относится к персональным данным?

Это любая информация, позволяющая идентифицировать человека:

• ФИО, дата рождения, паспортные данные;
• контакты (телефон, e-mail, адрес);
• биометрические данные (отпечатки пальцев, фото);
• финансовая информация (реквизиты карт, история покупок).

Основные требования закона:

• Согласие на обработку — данные нельзя собирать и использовать без разрешения человека (за некоторыми исключениями).
• Безопасное хранение — компании обязаны защищать данные от утечек и хакерских атак (использовать шифрование, антивирусы, контроль доступа).
• Прозрачность — гражданин вправе узнать, какие данные о нём хранятся, и потребовать их исправления или удаления.
• Ограничение передачи — нельзя передавать данные третьим лицам без оснований, прописанных в законе.

Кому важно соблюдать 152-ФЗ?

• Интернет-магазины, банки, страховые компании;
• соцсети, мессенджеры, онлайн-сервисы;
• работодатели (кадровые данные сотрудников);
• госучреждения (больницы, школы, МФЦ).

Ответственность

Ответственность за меры по обеспечению безопасности персональных данных при их обработке возложена на все государственные и коммерческие организации, в которых обрабатывается информация, попадающая под определение «персональные данные».

Нарушение закона грозит штрафами (до 6 млн руб. для юрлиц или оборотными) и блокировкой сайтов.
Федеральный закон №19 от 27 марта 2021 «О внесении изменений в кодекс Российской Федерации об административных нарушениях» ужесточил ответственность в статье 13.11 КоАП «Нарушение законодательства Российской Федерации в области персональных данных».

Федеральный закон от 30.11.2024 N 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях" с 30 мая 2025г. ужесточает ответственность за неисполнение требований Федерального закона №152-ФЗ «О персональных данных»

Что делать?

Для тех, кто не хочет допустить утечки ПДн в свете потенциального поднятия штрафов и ввода оборотных штрафов в зависимости от объемов утечки, нужно соблюдать требования, использовать надежные инструменты и адаптировать культуру работы с сотрудниками и клиентами.

Наша компания Аксиома-Софт совместно с компанией АО «Калуга Астрал» предлагает провести следующие организационные и технические мероприятия для выполнения требований закона №152 ФЗ:

• Составить организационно-распорядительную документацию и помочь подать уведомление в РКН (или воспользоваться сервисом 152DOC)
• Произвести предпроектное обследование
• Разработать техническое задание на создание системы защиты персональных данных (СЗПДн)
• Создать и ввести в действие систему защиты персональных данных
• Произвести оценку соответствия ИСПДн требованиям безопасности ПДн (персональных данных) (аттестация).
• Помочь произвести импортозамещение Вашего ПО и средств корпоративной коммуникации
   

1. Организационно-распорядительная документация

Разработка пакета организационно-распорядительной документации является первоочередной мерой при внедрении системы защиты персональных данных. Именно документы по защите персональных данных проверяются в первую очередь контролирующими органами при проведении проверок.

Полная защита информационной системы персональных данных зачастую налагает серьезные финансовые затраты на организацию, а в штате не всегда есть специалист, хорошо разбирающийся в вопросах обработки и защиты персональных данных. Именно поэтому, наша Компания предлагает начать с формирования пакета организационно-распорядительной документов или сервиса с нашей помощью (или воспользоваться сервисом 152DOC)

2. Обследование и обеспечение безопасности.

Анализ обработки ПДн

• Выявляются рабочие места и сотрудники, имеющие доступ к персональным данным.
• Определяется категория, тип и объем обрабатываемых данных.

Оценка рисков и требований

• Устанавливается необходимый уровень защиты в соответствии с законодательством.
• Анализируются потенциальные угрозы безопасности данных.

Разработка технического задания

• Выявление и анализ процессов обработки ПДн в организации;
• Определение перечня ПДн подлежащих защите от НСД;
• Определение режимов обработки ПДн в ИСПДн в целом и в отдельных компонентах;
• Определение конфигурации и топологии ИСПДн, внутренних связей, связей с другими системами;
• Определение технических средств и систем в ИСПДн, условий их расположения общесистемных и прикладных программных средств;
• Определение уровня защищенности ИСПДн;
• Определение угроз безопасности ПДн к конкретным условиям функционирования (разработка частной модели угроз);
• Разработка Технического задания на создание системы защиты ПДн;
• Разработка проектов приказов, инструкций, методических рекомендаций, относящихся к вводу Системы защиты ПДн в ИСПДн в эксплуатацию, в том числе должностных инструкций лиц, ответственных за эксплуатацию и использование Системы.

3. Подбор, поставка и установка средства защиты информации

• Установка и наладка сертифицированных технических, программных и программно-технических средств защиты информации;
• Разработка и реализация разрешительной системы доступа пользователей;
• Определение подразделений и назначение лиц, ответственных за эксплуатацию средств защиты информации;
• Разработка проектов эксплуатационной документации на ИСПДн и средства защиты информации;
• Генерация пакета прикладных программ в комплексе с программными средствами защиты информации;
• Опытная эксплуатация средств защиты информации;
• Приемо-сдаточные испытания средств защиты информации по результатам опытной эксплуатации.

4. Аттестация информационной системы персональных данных

Аттестат соответствия является бессрочным, но при этом, оператору необходимо проходить оценку эффективности мер защиты каждые 3 года)

Обязательной аттестация является

• При обработке информации муниципальных и государственных информационных систем (ГИС).
• При обработке информации, подпадающей под государственную тайну
• При обработке конфиденциальной  информации (кроме коммерческой тайны — для нее, аттестация необязательна).
• Для получение лицензий на определенный вид деятельности.

Добровольная аттестация для прочих систем инициируется, чтобы:

• избежать конфликтов с проверяющими органами;
• поддерживать хорошую деловую репутацию и минимизировать вероятность судебных исков за разглашение конфиденциальной информации;
• подтвердить в глазах партнеров и клиентов статус лидера в выбранной рыночной нише — особенно это актуально для компаний, которые оказывают аутсорсинговые услуги в сфере бухучета, аудита, программного обеспечения и т.д.

Технические специалисты имеют большой опыт в реализации данных проектов, а также все необходимые лицензии, подтверждающие квалификацию и право на работу в области ИБ. При возникновении потребности готовы предоставить референсы и документы, подтверждающие квалификацию сотрудников.
 

Если Вы заинтересованы — мы готовы устроить встречу и ответить на возникшие вопросы!
Ну а мы поможем разобраться:

Телефон: 88006002432

Е-почта: info@axioma-soft.ru