हमारा नया व्यक्तिगत डेटा

नमस्ते इस लेख के साथ मैं रूसी संघ में व्यक्तिगत डेटा (बाद में पीडी के रूप में संदर्भित) के संरक्षण पर लेखों की एक छोटी श्रृंखला शुरू करना चाहता हूं। विषय बहुत प्रासंगिक है, क्योंकि 1 जनवरी, 2011 से, संघीय कानून संख्या 152-personal "व्यक्तिगत डेटा पर" और सभी राज्य और नगरपालिका संस्थानों, साथ ही साथ कंपनियों के शेर की हिस्सेदारी, इस कानून की सभी आवश्यकताओं को पूरा करना चाहिए। और इसलिए मैं यह समझाना चाहता हूं कि यह किस तरह का कानून है और इसके साथ क्या खाया जाता है।

ये कैसा कानून है?

संघीय कानून "व्यक्तिगत डेटा पर" एक नियामक कानूनी अधिनियम है जो व्यक्तिगत डेटा के प्रसंस्करण (उपयोग) के विनियामक विनियमन का आधार है। (c) विकिपीडिया



यह कानून 8 जुलाई 2006 को अपनाया गया था, और 26 दिसंबर, 2007 को लागू हुआ। 1 जनवरी, 2010 तक कानून को लागू करने के लिए समय आवंटित किया गया था, लेकिन कानून को गंभीरता से नहीं लेने के कारण समय सीमा 1 जनवरी, 2011 तक के लिए स्थगित कर दी गई थी। अब, कई लोगों की एड़ी में आग लगी है।



चलिए शुरू करते हैं।



व्यक्तिगत डेटा - किसी विशिष्ट व्यक्ति से संबंधित कोई भी जानकारी (व्यक्तिगत डेटा के अधीन) ऐसी जानकारी के आधार पर परिभाषित या निर्धारित की जाती है, जिसमें उसका अंतिम नाम, प्रथम नाम, मध्य नाम, वर्ष, माह, तिथि और जन्म स्थान, पता, वैवाहिक, सामाजिक, संपत्ति का दर्जा , शिक्षा, पेशा, आय, अन्य जानकारी।



यह "कोई भी जानकारी" है जिसे हम नौकरी के लिए आवेदन करते समय प्रश्नावली में इंगित करते हैं, जब आवास और सांप्रदायिक सेवाओं के लिए भुगतान करते समय इंटरनेट संसाधनों पर पंजीकरण करते हैं। यदि आप बैंक के माध्यम से रसीद का भुगतान करते हैं, तो आपको व्यक्तिगत डेटा को संसाधित करने की अनुमति के बारे में एक अलग आइटम दिखाई देगा। मैं पहले ही इसका सामना कर चुका हूं।

संगठनों में, यह अधिकारियों (पीडी संस्थाओं), ग्राहकों के एक डेटाबेस (यदि कोई सीआरएम है) की एक सूची है। इसलिए, कानून मुख्य रूप से बड़ी संख्या में कर्मचारियों और / या ग्राहकों के साथ संगठनों में व्यक्तिगत डेटा की सुरक्षा पर केंद्रित है।



"अन्य जानकारी" के लिए शब्द क्रेडिट कार्ड की संख्या और पिन दोनों को छिपा सकते हैं, साथ ही कार चुनने में प्राथमिकताएं भी। इसके अलावा, यह पूरी तरह से अलग वजन श्रेणियों का डेटा होगा।

आपको अपना निजी डेटा कहीं नहीं छोड़ना चाहिए। यदि आप सुनिश्चित हैं कि आप उन्हें कौन प्रदान करते हैं, तो आप उन्हें सुरक्षित रूप से संकेत कर सकते हैं।



पीडी बदले में निम्नलिखित श्रेणियों में विभाजित हैं:

• श्रेणी 1 - जाति, राष्ट्रीयता, राजनीतिक विचारों, धार्मिक और दार्शनिक मान्यताओं, स्वास्थ्य की स्थिति, अंतरंग जीवन के बारे में व्यक्तिगत डेटा;

• श्रेणी 2 - व्यक्तिगत डेटा जो आपको व्यक्तिगत डेटा के विषय की पहचान करने और श्रेणी 1 से संबंधित व्यक्तिगत डेटा के अपवाद के साथ उसके बारे में अतिरिक्त जानकारी प्राप्त करने की अनुमति देता है;

• श्रेणी 3 - व्यक्तिगत डेटा व्यक्तिगत डेटा के विषय की पहचान की अनुमति देता है;

• श्रेणी 4 - व्यक्तिगत रूप से उपलब्ध व्यक्तिगत डेटा का प्रतिरूपण और (या)।



कानून का पालन करने का सबसे आसान तरीका है जब आप श्रेणियों 3 और 4 को संसाधित करते हैं, क्योंकि उनकी सुरक्षा के लिए नियामक बहुत महत्वपूर्ण नहीं हैं।



व्यक्तिगत डेटा केवल ऑपरेटरों द्वारा संसाधित किया जा सकता है।



ऑपरेटर - एक राज्य निकाय, नगरपालिका निकाय, कानूनी या प्राकृतिक व्यक्ति, व्यक्तिगत डेटा के प्रसंस्करण, साथ ही व्यक्तिगत डेटा के प्रसंस्करण के लक्ष्यों और सामग्री का निर्धारण करने का आयोजन और (या)।



ऑपरेटर बनने के लिए, आपको संघीय सेवा संचार और मास मीडिया के लिए एक अधिसूचना भेजनी होगी। यह व्यक्तिगत डेटा के प्रसंस्करण के लिए केवल पहला कदम है।



यह देखते हुए कि लगभग हर संगठन, चाहे वह छोटा हो या बड़ा, कम से कम अपने कर्मचारियों के डेटा को प्रोसेस करना चाहिए, फिर कम से कम 4 मिलियन ऑपरेटर होने चाहिए। बड़ी कंपनियों, राज्य निगमों और रूसी कारोबार के अन्य दिग्गजों ने सबसे अधिक भाग के लिए पहले से ही कानून की सभी आवश्यकताओं को पूरा किया है, जो कहा नहीं जा सकता है। छोटे और मध्यम व्यापार के बारे में।



"सब कुछ, मैंने सब कुछ किया" - ईशर या सिस्टम प्रशासक को खुशी होगी (यह वह है जो इस कानून की आवश्यकताओं को पूरा करने के लिए सबसे अधिक बार मजबूर होते हैं) निजी लोगों के प्रसंस्करण के बारे में एक अधिसूचना भेजने के बाद। लेकिन उनका आनंद अल्पकालिक होगा, क्योंकि नियामक सूचनाएं सिर्फ हिमशैल के टिप हैं।



ऑपरेटर बनना इतना आसान नहीं है। देखिए क्या कहता है कानून



व्यक्तिगत डेटा को संसाधित करते समय, ऑपरेटर आवश्यक संगठनात्मक और तकनीकी उपायों को लेने के लिए बाध्य होता है, जिसमें एन्क्रिप्शन (क्रिप्टोग्राफ़िक) का उपयोग करना शामिल है, व्यक्तिगत डेटा को गैरकानूनी या आकस्मिक उपयोग से बचाने के लिए, विनाश, संशोधन, अवरुद्ध करना, कॉपी करना, व्यक्तिगत डेटा का वितरण, साथ ही साथ। अन्य अवैध कार्य।



सभी व्यक्तिगत डेटा को व्यक्तिगत डेटा सूचना प्रणाली (ISPDn) में संसाधित किया जाता है। यह एक्सेल में किसी साइट या प्लेट पर एक डेटाबेस हो सकता है।



यहां ऑपरेटर के लिए, यदि वह कानून के अनुसार अपने सिस्टम को रखने का इरादा रखता है, तो उसे कम से कम 4 कानून पढ़ने होंगे, साथ ही कम से कम 40 विनियामक कानूनी कार्य करने होंगे।



ISPD को इस प्रकार वर्गीकृत किया गया है:



1. कक्षा एक (K1) - सूचना प्रणाली जिसके लिए पीडी की निर्दिष्ट सुरक्षा विशेषताओं का उल्लंघन पीडी के विषय के लिए महत्वपूर्ण नकारात्मक परिणाम हो सकता है;

2. द्वितीय श्रेणी (K2) - सूचना प्रणाली जिसके लिए पीडी की निर्दिष्ट सुरक्षा विशेषताओं का उल्लंघन पीडी के विषय के लिए नकारात्मक परिणाम हो सकता है;

3. तृतीय श्रेणी (K3) - सूचना प्रणाली जिसके लिए पीडी की निर्दिष्ट सुरक्षा विशेषताओं का उल्लंघन पीडी के विषय के लिए कोई महत्वपूर्ण नकारात्मक परिणाम नहीं ला सकता है;

4. कक्षा चार (K4) - सूचना प्रणाली जिसके लिए पीडी की निर्दिष्ट सुरक्षा विशेषताओं का उल्लंघन पीडी के विषय के लिए नकारात्मक परिणाम नहीं देता है।



आईएसपीडी से संबंधित सब कुछ एफएसबी और एफएसटीईसी के विनियामक कानूनी कृत्यों में इंगित किया गया है।



FSTEC हमें बताता है कि किसी भी व्यक्तिगत डेटा को संरक्षित किया गया था और यह कि उनके ISPD प्रमाणित थे (सभी मामलों में नहीं)। पीडी को धार्मिक जानकारी से संबंधित करते समय, उनके स्वास्थ्य और अंतरंग जीवन के बारे में जानकारी, PEMIN चैनल (द्वितीयक विद्युत चुम्बकीय विकिरण और मजबूर) के माध्यम से सुरक्षा आवश्यक है

इस लेख में विवरण के बिना, हम कह सकते हैं कि व्यक्तिगत डेटा की रक्षा करना एक महंगा आनंद है। बेशक, आप विशेषज्ञों और सूचना सुरक्षा के तकनीकी साधनों की मदद के बिना सब कुछ कर सकते हैं, लेकिन आप जानते हैं, दो बार पारिश्रमिक भुगतान करता है।

अभ्यास क्या है?

मान लीजिए कि हमारी कंपनी सामाजिक और पेशेवर नेटवर्क (Vkontakte, My Circle) के माध्यम से विशेषज्ञों की भर्ती में लगी हुई है। व्यक्तिगत डेटा उपयोगकर्ता डेटा हैं, और उपर्युक्त इंटरनेट संसाधन ऑपरेटर हैं। रिक्रूटर उपयोगकर्ता डेटा लेता है और उसे अपने डेटाबेस में दर्ज करता है। इसलिए मैंने पूछा कि क्या यह Mail.ru भर्ती करने वालों में से एक के लिए कानूनी था, जिसके लिए उन्होंने जवाब दिया कि "हम खुले स्रोतों से डेटा लेते हैं"। कोई फर्क नहीं पड़ता कि कैसे!



व्यक्तिगत डेटा को संसाधित करना - व्यक्तिगत डेटा के साथ क्रियाएं (संचालन), जिसमें संग्रह, व्यवस्थितकरण, संचय, भंडारण, स्पष्टीकरण (अद्यतन करना, बदलना), उपयोग, वितरण (स्थानांतरण सहित), निजीकरण, अवरुद्ध करना, व्यक्तिगत डेटा का विनाश



इससे निम्नानुसार है - ऑपरेटर वह है जो व्यक्तिगत डेटा संसाधित करता है। और यहां तक ​​कि अन्य लोगों के व्यक्तिगत डेटा का भंडारण भी इस शब्द के अंतर्गत आता है। लेकिन यहां यह सब इंटरनेट संसाधनों पर पंजीकरण की शर्तों पर निर्भर करता है, अगर व्यक्तिगत उपयोगकर्ता डेटा को प्रसारित करने की संभावना का संकेत दिया जाता है।



सामाजिक नेटवर्क Vkontakte के नियमों के पैरा 4.8 में, निम्नलिखित लिखा है।



साइट पर पंजीकरण करके इन नियमों को स्वीकार करके, उपयोगकर्ता पंजीकरण के दौरान प्रदान किए गए अपने व्यक्तिगत डेटा के प्रशासन द्वारा प्रसंस्करण के लिए अपनी सहमति की पुष्टि करता है, साथ ही साथ स्वैच्छिक रूप से उपयोगकर्ता द्वारा अपने व्यक्तिगत पेज पर पोस्ट किया जाता है। उपयोगकर्ता के व्यक्तिगत डेटा का प्रसंस्करण रूसी संघ के कानून के अनुसार किया जाता है। साइट प्रशासन उपयोगकर्ता को व्यक्तिगत सेवाएं प्रदान करने के लिए उपयोगकर्ता के व्यक्तिगत डेटा को संसाधित करता है, जिसमें उपयोगकर्ता द्वारा व्यक्तिगत (लक्षित) विज्ञापन प्राप्त करना शामिल है; इस तरह के डेटा का सत्यापन, अनुसंधान और विश्लेषण, साइट की सेवाओं और वर्गों को बनाए रखने और सुधारने की अनुमति देता है, साथ ही साथ नई सेवाओं और साइट के अनुभागों को विकसित करने के लिए। उपयोगकर्ता के व्यक्तिगत डेटा को अनधिकृत पहुंच, परिवर्तन, प्रकटीकरण या विनाश से बचाने के लिए साइट प्रशासन सभी आवश्यक उपाय करता है। प्रशासन उपयोगकर्ता के व्यक्तिगत डेटा तक केवल उन कर्मचारियों, ठेकेदारों और प्रशासन के एजेंटों को पहुँच प्रदान करता है जिन्हें साइट के कामकाज और उपयोगकर्ता के लिए सेवाओं के प्रावधान को सुनिश्चित करने के लिए इस जानकारी की आवश्यकता होती है। साइट प्रशासन व्यक्तिगत डेटा सहित, उपयोगकर्ता द्वारा प्रदान की गई जानकारी का उपयोग करने का हकदार है, ताकि रूसी संघ के वर्तमान कानून की आवश्यकताओं (उपयोगकर्ताओं को अवैध और / या अवैध कार्यों को रोकने और दबाने के लिए सहित) का अनुपालन सुनिश्चित किया जा सके। उपयोगकर्ता द्वारा प्रदान की गई जानकारी का केवल अदालत, कानून प्रवर्तन एजेंसियों, साथ ही रूसी संघ के कानून द्वारा प्रदान किए गए अन्य मामलों में रूसी संघ के वर्तमान कानून के अनुसार ही खुलासा किया जा सकता है।



आइटम लगभग पूरी तरह से बना है। 2011 के बाद से, इंटरनेट संसाधन और उपयोगकर्ता के बीच प्रत्येक उपयोगकर्ता समझौते में ऐसी वस्तु को शामिल किया जाना चाहिए।



पेशेवर नेटवर्क "माय सर्कल" में स्थिति पूरी तरह से अलग है। उन्होंने थोड़ा अलग रास्ता अपनाया।



उपयोगकर्ता समझौते का खंड 2.5

इस समझौते में शामिल होने से, उपयोगकर्ता द्वारा दिए गए व्यक्तिगत डेटा के यांडेक्स द्वारा प्रसंस्करण के लिए सहमति व्यक्त की जाती है, इस तरह के उपयोगकर्ता और यैंडेक्स के बीच इस समझौते को समाप्त करने के उद्देश्य से सूचना के हिस्से के रूप में, साथ ही इसके बाद के निष्पादन के लिए।



और अधिक।



उपयोगकर्ता समझौते के खंड 3.4

यांडेक्स सेवा पर उपयोगकर्ता द्वारा पोस्ट की गई सूचना के तीसरे पक्ष द्वारा अपने प्रजनन और वितरण सहित उपयोग के लिए जिम्मेदार नहीं है (दोनों वैध और गैरकानूनी), सेवा के भीतर और अन्य संभावित तरीकों से दोनों को अंजाम दिया।



सब कुछ स्पष्ट है और स्पष्टीकरण के बिना है। यैंडेक्स की एक अच्छी प्रतिष्ठा है और, तार्किक रूप से, वह कानून पर "व्यक्तिगत डेटा" के संबंध में इसे खराब नहीं करना चाहता है, जो एड़ी पर आ रहा है।



Muscovites को पता होना चाहिए कि MGTS को अक्सर कहा जाता है और बताया जाता है कि उनके पास कितना अच्छा इंटरनेट है। अगर मैं एक टेलीफोन ग्राहक हूं, तो मुझे खुद पता है कि मुझे इंटरनेट की जरूरत है या नहीं। इस तरह के विचारों के साथ, मैंने कॉलिंग ऑपरेटर को जवाब दिया - अनुबंध में कोई खंड नहीं है जो मुझे आपको कॉल करने का अधिकार देता है, अर्थात। विशेष जरूरतों के बिना और विज्ञापन उद्देश्यों के लिए, मेरे पीडी (पुराने अनुबंध) को संसाधित करें। अब उन्हें छह महीने के लिए बुलाया नहीं गया है।



यदि आपके व्यक्तिगत डेटा को अवैध रूप से या कानून के अनुपालन के बिना संसाधित किया जाता है, तो आप नियामक के नाम पर संभावित उल्लंघन के बारे में एक अधिसूचना भेज सकते हैं। मुझे आश्चर्य है कि ऑपरेटर पीडी का जोखिम क्या है?

नियामक को ऑपरेटर द्वारा व्यक्तिगत डेटा के प्रसंस्करण को रोकने का हर अधिकार है। यदि पीडीएस व्यवसाय की आधारशिला है तो यह काम को रोक देता है। बाजार में प्रतिष्ठा और छवि की हानि भी खुद को महसूस करेगी। और जुर्माना खुद को इंतजार नहीं करेगा, यह अभी भी छोटा है, लेकिन हर कोई सजा को सख्त करने की उम्मीद करता है - 5-10 ट्र। आप भुगतान कर सकते हैं।

क्या यह कानून जरूरी है?

यह कानून आवश्यक है, यह निश्चित रूप से है, लेकिन सवाल यह है कि निकट भविष्य में यह कैसे बदल जाएगा। दस्तावेज़ में "छेद" और द्वंद्व कुछ कम नहीं है, लेकिन फिर भी यह है, नियामकों ने बुनियादी नियामक और कार्यप्रणाली दस्तावेज़ और कार्य किए। और क्या चाहिए? इस कानून का ईमानदारी से और समझदारी से पालन करना आवश्यक है।



PS अगले लेख में मैं एसएएएस मॉडल के अनुसार वितरित सीआरएम-सिस्टम को कानून के आवेदन के साथ विकसित हुई स्थिति का विश्लेषण करने की कोशिश करूंगा