22. http://aciso.ru/news/3902/ #CODEIB

13. Санкции Регуляторов #CODEIB

23. СПАСИБО ЗА ВНИМАНИЕ!

14. В чем суть? #CODEIB

15. В чем суть? #CODEIB

8. Биометрические ПДн #CODEIB

11. Что такое ПДн ? Фамилия имя отчество, дата рождения, серия и номер паспорта – ДА! Остальное - ? #CODEIB

2. 1 ПРОБЛЕМНЫЕ ВОПРОСЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ 2 GDPR : ОБЛАСТИ ПРИМЕНЕНИЯ, ОСНОВНЫЕ ОТЛИЧИЯ ОТ ФЗ 152 О чем поговорим #CODEIB

17. 1. Компании, учреждённые в ЕС* Например: Имеются дочерние предприятия в ЕС* Есть представительства в ЕС* Филиалы расположены на территории государства – члена ЕС* * Или странах, следующих законодательству ЕС, на основании международных договоров (напр. Исландия, Лихтенштейн, Норвегия) #CODEIB

12. Санкции Регуляторов Высокая вероятность быть привлеченным к ответственности за непредставление сведений об обработке персональных данных . #CODEIB

1. КОНСТАНТИН САМАТОВ, Руководитель направления в Аналитическом центре Уральского центра систем безопасности Член АРСИБ (Ассоциация руководителей служб информационной безопасности) Преподаватель дисциплин информационной безопасности в УрГЭУ и УРТК им. А.С. Попова АКТУАЛЬНЫЕ ВОПРОСЫ ОБРАБОБТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ 27 сентября 2018 г. г. Екатеринбург #CODEIB

16. G eneral D ata P rotection R egulation  Вступил в силу 25.05.2018  Отменяет Директиву 95/46/ЕС (англ. Data Protection Directive 95/46/ EC ) #CODEIB

24. 27 Сентября 2018 г. г. Екатеринбург #CODEIB КОНСТАНТИН САМАТОВ, Руководитель направления в Аналитическом центре Уральского центра систем безопасности Член АРСИБ (Ассоциация руководителей служб информационной безопасности) Преподаватель дисциплин информационной безопасности в УрГЭУ и УРТК им. А.С. Попова EMAIL : K.SAMATOV@GMAIL.COM FACEBOOK : K.SAMATOV

4. #CODEIB Относятся ли к ПДн : Адрес электронной почты IP адрес Что считать биометрией? Означает ли простановка галочки в SAPe или 1 С напротив графы инвалидность что оператор обрабатывает специальные категории ПДн ?

18. 2 . Компания осуществляет деятельность, связанную с ЕС • Намерение к предложению • Упоминание потребителей или пользователей в ЕС Предложение товаров/услуг в ЕС • Отслеживание в Интернете • Анализ активности пользователя • Ведение статистики и т.п. Мониторинг действий в ЕС #CODEIB

20. В случаях утечки ПДн, оператор обязан сообщить о происшествии надзорному органу, за исключением случаев, когда эта утечка ПДн едва ли обернется рисками для прав и свобод лиц.  Компания должна документировать любые утечки ПДн, их последствия, а также предпринятые меры по устранению последствий .  По возможности сообщить субъекту персональных данных, в разумный срок ОПЕРАТОР НАДЗОРНЫЙ ОРГАН СУБЪЕКТ ПДн 72 часа Разумный срок #CODEIB

21. До 10 млн. Евро или до 2 % оборота компании До 20 млн. Евро или до 4 % оборота компании Сферы нарушения обязательств: • Обработка ПДн ребёнка • Защита by design и by default • Совместная обработка с др. компаниями • Не назначение представителя в ЕС • Отчётные записи по обработке • Обеспечение безопасности ПДн • Уведомления об утечках • Предварительная оценка влияния на защиту ПДн • Требования к Офицеру по защите данных Нарушения основополагающих правил: • Принципы обработки ПДн • Правомерность обработки ПДн • Правила согласия • Обработка спец.категорий ПДн Нарушение прав субъектов ПДн Трансграничная передача ПДн #CODEIB

19. D ata P rotection I mpact A ssessment • Описание предусмотренных операций по обработке ПДн . • Оценка необходимости и соразмерности операций обработки по отношению к заявленным целым обработки . • Оценка рисков для прав и свобод субъектов ПДн . • Меры по обеспечению защиты ПДн. Основные отличия от 152 - ФЗ #CODEIB

7. Биометрические ПДн Примеры Биометрических ПДн : - фотографическое изображение и иные сведения, используемые для обеспечения однократного и/или многократного прохода на охраняемую территорию и установления личности гражданина . - Фотографии в СКУД Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта #CODEIB

9. 1 ) Фотографическое изображение, содержащееся в личном деле работника . 2 ) Подпись лица, наличие которой в различных договорных отношениях является обязательным требованием 3 ) Почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы . 4 ) Материалы видеосъемки в публичных местах и на охраняемой территории, до передачи их для установления личности снятого человека . Не являются биометрическими ПДн #CODEIB

3. Что такое персональные данные? #CODEIB Любая информация , относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) . Проблемы: 1 ) непонимание операторов (организаций обрабатывающих персональные данные), что необходимо относить к персональным данным (в том числе при подготовке уведомления в РКН ) ; 2 ) высокая вероятность быть привлеченным к ответственности за непредставление сведений об обработке персональных данных .

10. Означает ли простановка галочки в SAPe или 1 С напротив графы инвалидность, то что оператор обрабатывает специальные категории ПДн ? Инвалидность – это (в контексте 152 - ФЗ) : 1 ) Рассовая принадлежность 2 ) Национальная принадлежность 3 ) Политические взгляды 4 ) Религиозные убеждения 5 ) Философские убеждения 6 ) Состояние здоровья 7 ) Состояние интимной жизни 8 ) Социальный статус #CODEIB

5. Адрес электронной почты является ПДн (см . , например, Решение по делу No 12 - 253 / 2015 от 26 . 05 . 2015 . Калининский районный суд (город Санкт - Петербург) . При этом стоит обратить внимание, что практика и мнение Роскомнадзора касательно отнесения электронной почты к категории ПДн неоднозначны . В ряде разъяснений Роскомнадзор указывает, что адрес электронной почты, содержащий ФИО, будет отнесен к категории ПДн , а в случае если адрес представляет собой набор символов (слов), его нельзя считать персональными данными . Если можно идентифицировать субъекта – то ПДн #CODEIB

6. IP адрес Судебная практика однозначного решения не имеет . При этом одни суды IP - адрес к ПДн не относят (см . , например, Постановление по делу No А 56 - 75017 / 2014 от 01 . 06 . 2015 . 13 - й ААС), а другие, наоборот, признают (Решение по делу No А 76 - 29008 / 2015 от 11 . 02 . 2016 . АС Челябинской обл . ) . Представляется, что статический IP - адрес справедливо относить к персональным данным, так как по нему можно идентифицировать пользователя . #CODEIB