व्यक्तिगत जानकारी (संक्षिप्त सामान्य प्रश्न)

व्यक्तिगत डेटा क्या है?

व्यक्तिगत डेटा - ऐसी जानकारी के आधार पर किसी व्यक्ति विशेष से संबंधित या निर्धारित की गई कोई भी जानकारी , जिसमें शामिल हैं:

- उनका उपनाम, नाम, संरक्षक,

- वर्ष, माह, तिथि और जन्म स्थान

- पता, वैवाहिक, सामाजिक, संपत्ति की स्थिति, शिक्षा, पेशा, आय,

- अन्य जानकारी ( FZ-152 , अनुच्छेद 3 देखें)।

उदाहरण के लिए: पासपोर्ट डेटा, वित्तीय विवरण, चिकित्सा रिकॉर्ड, जन्म का वर्ष (महिलाओं के लिए), बायोमेट्रिक्स, अन्य व्यक्तिगत पहचान जानकारी।

किसी व्यक्ति की लिखित सहमति , उसके अंतिम नाम, प्रथम नाम, मध्य नाम, वर्ष और जन्म स्थान, पता, ग्राहक संख्या और अन्य व्यक्तिगत डेटा की व्यक्तिगत सहमति के साथ व्यक्तिगत डेटा (पता पुस्तिका, सूची और अन्य जानकारी का समर्थन) के सार्वजनिक स्रोतों में शामिल हो सकते हैं (देखें ZZ-152 , कला देखें)। .8)।

व्यक्तिगत डेटा प्रतिबंधित जानकारी को संदर्भित करता है और इसे रूसी संघ के कानून के अनुसार संरक्षित किया जाना चाहिए । सिस्टम सुरक्षा के लिए आवश्यकताएं बनाते समय, व्यक्तिगत डेटा को 4 श्रेणियों में विभाजित किया जाता है।

व्यक्तिगत डेटा का ऑपरेटर और विषय क्या है?

एक व्यक्तिगत डेटा ऑपरेटर , एक नियम के रूप में, एक संगठन, या बल्कि, एक राज्य या नगर निकाय, कानूनी या प्राकृतिक व्यक्ति, व्यक्तिगत डेटा के प्रसंस्करण का आयोजन, और (या) व्यक्तिगत डेटा के प्रसंस्करण के लक्ष्यों और सामग्री का निर्धारण करता है।

व्यक्तिगत डेटा का विषय एक व्यक्ति है।

ऑपरेटर रूसी संघ के वर्तमान कानून के अनुसार विषय के व्यक्तिगत डेटा की सुरक्षा के लिए जिम्मेदार है।

व्यक्तिगत डेटा सूचना प्रणाली को वर्गीकृत कैसे करें?

किसी विशिष्ट वर्ग के लिए एक विशिष्ट व्यक्तिगत डेटा सूचना प्रणाली (ISPDn) को निर्दिष्ट करने के लिए, यह आवश्यक है:

I. संसाधित व्यक्तिगत डेटा की श्रेणी को परिभाषित करें :

• श्रेणी 4 - व्यक्तिगत रूप से उपलब्ध व्यक्तिगत डेटा का प्रतिरूपण और (या);

• श्रेणी 3 - व्यक्तिगत डेटा व्यक्तिगत डेटा के विषय की पहचान की अनुमति देता है;

• श्रेणी 2 - व्यक्तिगत डेटा जो आपको व्यक्तिगत डेटा के विषय की पहचान करने और श्रेणी 1 से संबंधित व्यक्तिगत डेटा के अपवाद के साथ उसके बारे में अतिरिक्त जानकारी प्राप्त करने की अनुमति देता है;

• श्रेणी 1 - नस्लीय, जातीयता, राजनीतिक विचारों, धार्मिक और दार्शनिक मान्यताओं, स्वास्थ्य की स्थिति, अंतरंग जीवन के बारे में व्यक्तिगत डेटा।

द्वितीय। सूचना प्रणाली में संसाधित व्यक्तिगत डेटा की मात्रा निर्धारित करें :

• वॉल्यूम 3 - किसी विशेष संगठन के भीतर व्यक्तिगत डेटा या व्यक्तिगत डेटा के विषयों के 1000 से कम विषयों के डेटा को एक साथ सूचना प्रणाली में संसाधित किया जाता है;

• खंड 2 - 1,000 से 100,000 व्यक्तिगत डेटा विषयों की व्यक्तिगत जानकारी या रूसी संघ की अर्थव्यवस्था में काम करने वाले व्यक्तिगत डेटा विषयों के व्यक्तिगत डेटा, नगरपालिका के भीतर रहने वाले एक सरकारी निकाय में सूचना प्रणाली में एक साथ संसाधित किया जाता है;

• वॉल्यूम 1 - रूसी संघ या रूसी संघ के विषय में 100,000 से अधिक व्यक्तिगत डेटा विषयों या व्यक्तिगत डेटा विषयों के व्यक्तिगत डेटा से व्यक्तिगत जानकारी एक साथ सूचना प्रणाली में संसाधित होती है;

तृतीय। स्रोत डेटा के विश्लेषण के आधार पर, एक विशिष्ट ISPDn को निम्न वर्गों में से एक सौंपा गया है (तालिका देखें):

•   वर्ग 4 (K4) - सूचना प्रणाली जिसके लिए उन में संसाधित व्यक्तिगत डेटा की एक निर्दिष्ट सुरक्षा विशेषता का उल्लंघन करने से डेटा डेटा विषयों के लिए नकारात्मक परिणाम नहीं होते हैं;

•   वर्ग 3 (K3) - सूचना प्रणाली जिसके लिए दिए गए व्यक्तिगत डेटा की सुरक्षा की विशेषता का उल्लंघन करते हुए उनमें संसाधित व्यक्तिगत डेटा विषयों के लिए नकारात्मक परिणाम हो सकते हैं;

•    वर्ग 2 (K2) - सूचना प्रणाली जिसके लिए दिए गए व्यक्तिगत डेटा की सुरक्षा की विशेषता का उल्लंघन करके उनमें संसाधित डेटा डेटा विषयों के लिए नकारात्मक परिणाम हो सकते हैं;

•    कक्षा 1 (K1) - सूचना प्रणाली जिसके लिए उन में संसाधित व्यक्तिगत डेटा की एक निर्दिष्ट सुरक्षा विशेषता का उल्लंघन व्यक्तिगत डेटा विषयों के लिए महत्वपूर्ण नकारात्मक परिणाम हो सकता है।

वॉल्यूम / श्रेणी	मात्रा ३ (<1000, संगठन)	मात्रा २ (1 000-100 000, उद्योग, शहर)	Obem1 (> 100,000, फेडरेशन का विषय)
श्रेणी 4 (प्रतिरूपित, सार्वजनिक)	ग्रेड 4	ग्रेड 4	ग्रेड 4
श्रेणी 3 (पहचान)	ग्रेड 3	ग्रेड 3	कक्षा 2
श्रेणी 2 (पहचान और अधिक)	ग्रेड 3	कक्षा 2	ग्रेड 1
श्रेणी 1 (चिकित्सा, सामाजिक)	ग्रेड 1	ग्रेड 1	ग्रेड 1

रूस के संघीय सुरक्षा सेवा और रूस के संचार मंत्रालय एन 55/86/20 के ऑर्डर ऑफ एफएसटीईसी (तकनीकी और निर्यात नियंत्रण के लिए संघीय सेवा के आदेश) द्वारा शुरू की गई व्यक्तिगत डेटा सूचना प्रणाली को वर्गीकृत करने की प्रक्रिया देखें ।  

डूम्सडे 1 जनवरी, 2011 तक विलंबित है

व्यक्तिगत डेटा सूचना प्रणाली रूसी संघ संख्या 152 के संघीय कानून के बल पर प्रवेश करने से पहले बनाई गई "व्यक्तिगत डेटा पर" को इस संघीय कानून की आवश्यकताओं के अनुपालन में 1 जनवरी 2010 से पहले लाया जाना चाहिए (देखें FZ-152, अनुच्छेद 25)।

इसका मतलब यह है कि निजी डेटा ऑपरेटर जो 1 जनवरी 2010 से FZ-152 की बहुत सख्त आवश्यकताओं को पूरा करने में सक्षम नहीं हैं, उन्हें उचित नागरिक, प्रशासनिक, अनुशासनात्मक और शायद (भगवान न करे) आपराधिक दायित्व भुगतना होगा ।

फरवरी-अप्रैल 2008 (रूस के FSTEC और रूस की संघीय सुरक्षा सेवा के कार्यप्रणाली के प्रेषण के क्षण से) के बाद सभी सूचना प्रणालियां पहले ही परिचालन में आ गई हैं, लेकिन जो व्यक्तिगत डेटा के क्षेत्र में रूसी कानून की आवश्यकताओं को पूरा नहीं करती हैं, उदाहरण के लिए, कल सुबह इस जिम्मेदारी के लिए उत्तरदायी हो सकती हैं ।

नोट। रूसी संघ के आपराधिक संहिता में परिवर्तन, गोपनीयता को प्रभावित करने वाले उल्लंघन के लिए काफी सख्त जिम्मेदारी, 1 जनवरी 2010 को भी लागू होगी।





अद्यतन:

लेकिन जैसा कि हमेशा होता है, व्यक्तिगत डेटा ऑपरेटर बहुत आगे नहीं बढ़े, और कुछ भी वह सब कुछ करने में कामयाब रहे जिनकी आवश्यकता थी। 16 दिसंबर, 2009 को, स्टेट ड्यूमा ने पर्सनल डेटा पर कानून के अनुच्छेद 19 और 25 के तीसरे रीडिंग संशोधन में अपनाया। इस कानून के अनुसार व्यक्तिगत डेटा सूचना प्रणाली (ISPDs) लाने की समय सीमा एक साल के लिए 1 जनवरी, 2011 तक के लिए स्थगित कर दी गई थी। इसके अलावा, एक नियम को उस कानून से बाहर रखा गया था जो ऑपरेटर को व्यक्तिगत डेटा संसाधित करते समय एन्क्रिप्शन (क्रिप्टोग्राफ़िक) का उपयोग करने के लिए बाध्य करता है।

व्यक्तिगत डेटा सूचना प्रणाली की सुरक्षा के लिए अनिवार्य आवश्यकताएं

एक विशिष्ट आईएसपीडी के वर्ग के आधार पर सूचना सुरक्षा प्रणाली के संगठन के लिए मुख्य अनिवार्य आवश्यकताएं:

आईएसपीडी कक्षा 4 के लिए:

व्यक्तिगत डेटा की सुरक्षा के उपायों की सूची ऑपरेटर द्वारा निर्धारित की जाती है (संभावित नुकसान के आधार पर)

आईएसपीडी कक्षा 3 के लिए:   

• सूचना सुरक्षा आवश्यकताओं के अनुरूपता या अनिवार्य प्रमाणीकरण की घोषणा

• गोपनीय जानकारी की तकनीकी सुरक्षा के लिए रूस के FSTEC से लाइसेंस प्राप्त करना (वितरित ISPDn K3 सिस्टम के लिए)

आईएसपीडी कक्षा 2 के लिए:

• सूचना सुरक्षा आवश्यकताओं का अनिवार्य प्रमाणन

• व्यक्तिगत डेटा को PEMIN से बचाने के लिए उपाय किए जाने चाहिए

• वितरित प्रणालियों के लिए गोपनीय जानकारी की तकनीकी सुरक्षा के लिए रूस के FSTEC से लाइसेंस प्राप्त करना

आईएसपीडी कक्षा 1 के लिए:  

• सूचना सुरक्षा आवश्यकताओं का अनिवार्य प्रमाणन

• व्यक्तिगत डेटा को PEMIN से बचाने के लिए उपाय किए जाने चाहिए

• गोपनीय जानकारी की तकनीकी सुरक्षा के लिए रूस के FSTEC से लाइसेंस प्राप्त करना

व्यक्तिगत डेटा सूचना प्रणाली की सुरक्षा के लिए प्रक्रिया

व्यक्तिगत डेटा के प्रसंस्करण पर कानून की आवश्यकताओं को पूरा करते समय क्रियाओं का क्रम:

1) स्वचालन उपकरण का उपयोग करके व्यक्तिगत डेटा को संसाधित करने के लिए उनके इरादे के व्यक्तिगत डेटा विषयों के अधिकारों की सुरक्षा के लिए अधिकृत निकाय को अधिसूचना;

2) सूचना प्रणाली का पूर्व-परियोजना निरीक्षण - प्रारंभिक डेटा का संग्रह;

3) व्यक्तिगत डेटा प्रोसेसिंग सिस्टम का वर्गीकरण;

4) सूचना प्रणाली के लिए उनकी प्रासंगिकता निर्धारित करने के लिए एक निजी खतरा मॉडल का निर्माण;

5) एक व्यक्तिगत डेटा सुरक्षा प्रणाली के लिए एक निजी तकनीकी कार्य का विकास;

6) व्यक्तिगत डेटा की सुरक्षा के लिए एक प्रणाली डिजाइन करना;

7) एक व्यक्तिगत डेटा संरक्षण प्रणाली का कार्यान्वयन और कार्यान्वयन;

8) परिसर की इंजीनियरिंग सुरक्षा, अग्नि सुरक्षा, सुरक्षा, बिजली आपूर्ति और ग्राउंडिंग, स्वच्छता और पर्यावरणीय आवश्यकताओं के लिए आवश्यकताओं की पूर्ति;

9) सूचना सुरक्षा आवश्यकताओं का प्रमाणन (प्रमाणन);

10) व्यक्तिगत डेटा संरक्षण के क्षेत्र में कर्मचारियों का आगे प्रशिक्षण;

11) व्यक्तिगत डेटा संरक्षण प्रणाली का समर्थन (आउटसोर्सिंग)।

प्रमाणीकरण और प्रमाणीकरण कब आवश्यक है?

सूचना सुरक्षा आवश्यकताओं के लिए सूचना प्रणाली का प्रमाणन आवश्यक है:

- आईएसपीडी के लिए, राज्य के सूचना संसाधन के लिए व्यक्तिगत डेटा निर्दिष्ट करने के मामले में ("गोपनीय जानकारी की तकनीकी सुरक्षा के लिए विशेष आवश्यकताएं और सिफारिशें", रूस के राज्य तकनीकी आयोग, 2001);

- अन्य मामलों में - ISPDn 1, 2 और 3 वर्गों के लिए।

ISPDn वर्ग 3 के लिए, ऑपरेटर के निर्णय के अनुसार, अनिवार्य प्रमाणीकरण प्रक्रिया को अनुरूपता प्रक्रिया की घोषणा के द्वारा प्रतिस्थापित किया जा सकता है (देखें "व्यक्तिगत डेटा सूचना प्रणालियों में संसाधित व्यक्तिगत डेटा की सुरक्षा और रखरखाव के लिए बुनियादी उपाय", रूस का FSTEC, 2008, खंड 3.11) । दुर्भाग्य से, अनुरूपता प्रक्रिया की घोषणा वर्तमान में विनियमित नहीं है।

ISPDn में उपयोग किए गए सूचना सुरक्षा उपकरण, स्थापित प्रक्रिया के अनुसार, अनुरूपता मूल्यांकन प्रक्रिया से गुजरते हैं (देखें "व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने का विनियमन", खंड 5), सूचना सुरक्षा आवश्यकताओं के अनुपालन के लिए प्रमाणन सहित (देखें) । "संगठन के लिए मुख्य गतिविधियाँ ...", पैरा 3.3)।

इसी समय, ISPDn (सूचना सुरक्षा उपकरण, सिस्टम-वाइड और एप्लिकेशन सॉफ़्टवेयर में निर्मित) सहित जानकारी की सुरक्षा के लिए उपयोग किए जाने वाले सॉफ़्टवेयर के लिए, अघोषित क्षमताओं की अनुपस्थिति के लिए प्रमाणीकरण भी किया जाना चाहिए (देखें।) संगठन के लिए मुख्य उपाय। .. ”, पैराग्राफ 4.2, 4.3)।

नोट:  

1) ISPDn ऑपरेटरों, जब व्यक्तिगत डेटा (गोपनीय जानकारी) की सुरक्षा सुनिश्चित करने के लिए उपाय करते समय ISPDn 1, 2 कक्षाओं में इसे संसाधित करते हैं और 3 वर्गों की सूचना प्रणाली वितरित करते हैं, तो उन्हें निर्धारित तरीके से गोपनीय जानकारी की तकनीकी सुरक्षा के लिए गतिविधियों को करने के लिए एक लाइसेंस प्राप्त करना होगा।

2) सूचना सुरक्षा उपकरण (सूचना सुरक्षा प्रणाली, आईएसपीडी या व्यक्तिगत डेटा ऑपरेटरों के डेवलपर्स) के प्रमाणीकरण के लिए आवेदकों को गोपनीय जानकारी की सुरक्षा के साधन विकसित करने और / या निर्माण करने के लिए लाइसेंस प्राप्त होना चाहिए।



अद्यतन:

रूस के एफएसटीईसी के आदेश के प्रकाशन के संबंध में 5 फरवरी, 2010 नंबर 58 "व्यक्तिगत डेटा सूचना प्रणालियों में सूचना की सुरक्षा के तरीकों और तरीकों पर विनियमन के अनुमोदन पर" (19 फरवरी, 2010 को रूस के न्याय मंत्रालय द्वारा पंजीकृत; पंजीकरण संख्या 16456; पंजीकरण: प्रकाशित "रोसिस्काया गजेता"; ", 5 मार्च, 2010, सं। 46) 15 मार्च, 2010 से उपयोग नहीं किया जा रहा है , जब व्यक्तिगत डेटा सूचना प्रणालियों में उन्हें संसाधित करते समय व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए, रूस के FSTEC के निम्नलिखित पद्धति संबंधी दस्तावेज:

• 15 फरवरी, 2008 को रूस के FSTEC के उप निदेशक द्वारा अनुमोदित व्यक्तिगत डेटा सूचना प्रणालियों में संसाधित व्यक्तिगत डेटा के संगठन और तकनीकी सुरक्षा के लिए मुख्य उपाय;

• 15 फरवरी, 2008 को रूस के FSTEC के उप निदेशक द्वारा अनुमोदित व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए सिफारिशें।

व्यक्तिगत डेटा के प्रसंस्करण के उल्लंघन के लिए जिम्मेदारी

संघीय कानून 152-एफजेड "व्यक्तिगत डेटा पर" की आवश्यकताओं के उल्लंघन के लिए दोषी व्यक्तियों को सहन करना होगा:

- दीवानी

आपराधिक (रूसी संघ का आपराधिक कोड देखें, कला। 137, 140, 155, 183, 272, 273, 274, 292, 293)

प्रशासनिक (प्रशासनिक अपराधों पर रूसी संघ का कोड देखें, लेख 5.27, 5.39, 13.11-13.14, 13.19, 19.4-19.7, 19.20, 20.25, 32.2),

- अनुशासनात्मक (रूसी संघ का श्रम संहिता, आर्ट 81 देखें; कला 90। कला 195; कला 237; कला 391)।

और रूसी संघ के कानून द्वारा निर्धारित अन्य दायित्व (रूसी संघ, विभागों और संगठनों के घटक संस्थाओं में प्रकाशित होने वाले व्यक्तिगत डेटा के साथ काम करने पर उपनियम देखें)।







लेख में प्रयुक्त संकेतन:

FSTEC - तकनीकी और निर्यात नियंत्रण के लिए संघीय सेवा।

PEMIN - Spurious Electromagnetic Emissions और Crosstalk