Положение о порядке обезличивания персональных данных и работы с обезличенными персональными данными

1. Общие положения

Настоящее положение о порядке обезличивания персональных данных и работы с обезличенными персональными данными в Обществе с ограниченной ответственностью «ДВА ЭТАЖА» (далее – Положение) разработано в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ними нормативными правовыми актами, локальными актами оператора и определяют порядок обезличивания и работы с обезличенными данными в Обществе.

Настоящие Правила являются обязательными для исполнения всеми работниками Общества, которые осуществляют обезличивание персональных данных или имеют доступ к обезличенным персональным данным (далее – ПДн).

2. Термины и определения

Деобезличивание – действия, в результате которых обезличенные данные принимают вид, позволяющий определить их принадлежность конкретному субъекту персональных данных, то есть становятся персональными данными.

Доступ к информации – возможность получения и использования информации.

Защищаемая информация – информация, для которой обладателем информации определены характеристики ее безопасности.

Обезличивание персональных данных – действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка защищаемой информации (персональных данных) – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с защищаемой информацией, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение информации.

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).

3. Условия обезличивания

Обезличивание персональных данных может быть проведено с целью ведения статистических данных, в целях снижения ущерба от разглашения защищаемых персональных данных, в случае достижения целей обработки персональных данных или в случае утраты необходимости в достижении этих целей, по заявлению носителя персональных данных или уполномоченного им лица, если иное не предусмотрено Законодательством Российской Федерации.

Обезличивание ПДн возможно любыми не запрещенными методами или способами при выполнении требований к свойствам получаемых обезличенных данных и к свойствам метода обезличивания.

Методы или способы обезличивания при условии дальнейшей обработки обезличенных ПДн следующие:

метод введения идентификаторов (реализуется путем замены части персональных данных, позволяющих идентифицировать субъекта, их идентификаторами и созданием таблиц соответствия);

метод изменения состава и семантики (реализуется путем обобщения, изменения или удаления части сведений, позволяющих идентифицировать субъект);

метод декомпозиции (реализуется путем разбиения множества записей персональных данных на несколько подмножеств и создание таблиц, устанавливающих связи между подмножествами, с последующим раздельным хранением записей, соответствующих этим подмножествам);

метод перемешивания (реализуется путем перемешивания отдельных записей, а также групп записей между собой);

другие методы или способы и их комбинации.

3.3. Получаемые обезличенные данные должны удовлетворять следующим требованиям:

сохранение полноты (состав обезличенных данных должен полностью соответствовать составу обезличиваемых персональных данных);

сохранение структурированности обезличиваемых персональных данных;

сохранение семантической целостности обезличиваемых персональных данных;

анонимность отдельных данных не ниже требуемого (заданного) уровня - количества возможных сопоставлений обезличенных данных между собой для деобезличивания.

3.4. Любой применяемый метод или способ обезличивания должен обладать следующими свойствами:

• обратимость (возможность проведения деобезличивания);
• возможность обеспечения заданного уровня анонимности;
• увеличение стойкости при увеличении объема обезличенных персональных данных.

3.5. Решение о необходимости обезличивания принимается лицом, ответственным за проведение мероприятий по обезличиванию персональных данных, обрабатываемых в информационных системах Общества, и согласовывается с генеральным директором Общества.

3.6. Работник, ответственный за проведение мероприятий по обезличиванию персональных данных, самостоятельно осуществляет обезличивание выбранных ПДн, либо определяет ответственных лиц по согласованию с генеральным директором.

4. Порядок работы с обезличенными персональными данными

В процессе обработки обезличенных данных допускается любое действие (операция) или совокупность действий (операций), совершаемых с обезличенными данными и направленных на достижение поставленных целей обработки, без применения их предварительного деобезличивания.

Обезличенные ПДн могут обрабатываться с использованием и без использования средств автоматизации.

При обработке обезличенных персональных данных с использованием средств автоматизации необходимо соблюдение:

4.3.1. Правил идентификации и аутентификации субъектов доступа и объектов доступа в информационных системах:

• 1С: Зарплата и управление персоналом 8

4.3.2. Антивирусной защиты, криптографической защиты информации, условий безопасного обращения с машинными носителями информации и мобильными техническими средствами, режимности помещений, в которых ведется обработка информации ограниченного доступа.

При обработке обезличенных ПДн без использования средств автоматизации необходимо соблюдение:

Положений, касающихся обработки персональных данных в Обществе;

порядка доступа работников Общества в помещения, в которых ведется обработка информации ограниченного доступа, в т.ч. условий безопасного обращения с носителями информации.

4.5. Ограничение на доступ сотрудников к ПДн не распространяется на обезличенные персональные данные.

Лист ознакомления с положением о порядке обезличивания персональных данных и работы с обезличенными персональными данными