Система защиты персональных данных в банках. Безопасность персональных данных в банке. Где могут находиться персональные данные

Подобные документы

Законодательные основы защиты персональных данных. Классификация угроз информационной безопасности. База персональных данных. Устройство и угрозы ЛВС предприятия. Основные программные и аппаратные средства защиты ПЭВМ. Базовая политика безопасности.

дипломная работа, добавлен 10.06.2011

Предпосылки создания системы безопасности персональных данных. Угрозы информационной безопасности. Источники несанкционированного доступа в ИСПДн. Устройство информационных систем персональных данных. Средства защиты информации. Политика безопасности.

курсовая работа, добавлен 07.10.2016

Анализ структуры распределенной информационной системы и обрабатываемых в ней персональных данных. Выбор основных мер и средств для обеспечения безопасности персональных данных от актуальных угроз. Определение затрат на создание и поддержку проекта.

дипломная работа, добавлен 01.07.2011

Система контроля и управления доступом на предприятии. Анализ обрабатываемой информации и классификация ИСПДн. Разработка модели угроз безопасности персональных данных при их обработке в информационной системе персональных данных СКУД ОАО "ММЗ".

дипломная работа, добавлен 11.04.2012

Описание основных технических решений по оснащению информационной системы персональных данных, расположенной в помещении компьютерного класса. Подсистема антивирусной защиты. Мероприятия по подготовке к вводу в действие средств защиты информации.

курсовая работа, добавлен 30.09.2013

Секретность и безопасность документированной информации. Виды персональных данных, используемые в деятельности организации. Развитие законодательства в области обеспечения их защиты. Методы обеспечения информационной безопасности Российской Федерации.

презентация, добавлен 15.11.2016

Анализ рисков информационной безопасности. Оценка существующих и планируемых средств защиты. Комплекс организационных мер обеспечения информационной безопасности и защиты информации предприятия. Контрольный пример реализации проекта и его описание.

дипломная работа, добавлен 19.12.2012

Нормативно-правовые документы в сфере информационной безопасности в России. Анализ угроз информационных систем. Характеристика организации системы защиты персональных данных клиники. Внедрение системы аутентификации с использованием электронных ключей.

дипломная работа, добавлен 31.10.2016

Общие сведения о деятельности предприятия. Объекты информационной безопасности на предприятии. Меры и средства защиты информации. Копирование данных на сменный носитель. Установка внутреннего Backup-сервера. Эффективность совершенствования системы ИБ.

контрольная работа, добавлен 29.08.2013

Основные угрозы по отношению к информации. Понятия, методы и способы обеспечения защиты данных. Требования к системе защиты. Механизм авторизации в информационной базе для определения типа пользователя. Работа администратора с системой безопасности.

Марина Прохорова, редактор журнала "Персональные данные"

Наталья Самойлова, юрист компании "ИнфоТехноПроект"

Нормативноправовая база, сложившаяся к настоящему времени в сфере обработки персональных данных, документы, которые еще предстоит принять для более эффективной организации работы по защите персональных данных в организациях, технические аспекты подготовки информационных систем операторов персональных данных - именно эти темы в последнее время затрагивались во многих газетных и журнальных публикациях, посвященных проблематике персональных данных. В данной статье хотелось бы остановиться на таком аспекте организации работы банковских и кредитных учреждений, как "нетехническая" защита обрабатываемых в этих организациях персональных данных

Начнем с конкретного примера

Речь идет о судебном рассмотрении дела о защите персональных данных, возбужденном в отношении Сбербанка в июне 2008 г. Суть судебного разбирательства сводилась к следующему. Между гражданином и банком был заключен договор поручительства, в соответствии с которым гражданин принял обязательство отвечать перед банком за исполнение заемщиком обязательств по кредитному договору. Последний не выполнил свои обязательства в установленный кредитным договором срок, сведения о поручителе как о неблагонадежном клиенте были занесены в автоматизированную информационную систему банка "Стоп-лист", что, в свою очередь, явилось основанием для отказа в предоставлении ему кредита. При этом банк даже не уведомил гражданина о ненадлежащем выполнении заемщиком своих обязательств по кредитному договору. Кроме того, в договоре поручительства не было указано, что в случае ненадлежащего выполнения заемщиком своих обязательств банк вправе вносить сведения о поручителе в информационную систему "Стоп-лист". Таким образом, банком осуществлялась обработка персональных данных гражданина путем включения сведений о нем в информационную систему "Стоп-лист" без его согласия, что нарушает требования ч. 1 ст. 9 Федерального закона № 152-ФЗ от 27 июля 2006 г. "О персональных данных", согласно которой субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе. Помимо этого в порядке, предусмотренном ч. 1 ст. 14 этого же закона, гражданин обращался в банк с требованием предоставить ему возможность ознакомления со сведениями, занесенными о нем в информационную систему "Стоп-лист", а также о блокировании этих сведений и их уничтожении. Банком было отказано в удовлетворении требований гражданина.

По результатам рассмотрения дела Ленинский районный суд г. Владивостока удовлетворил исковые требования Управления Роскомнадзора по Приморскому краю к Сбербанку России о защите нарушенных прав гражданина и обязал банк уничтожить сведения о гражданине из информационной системы "Стоп-лист" .

Чем этот пример показателен? Банки, храня персональные данные значительного числа своих клиентов, не задумываясь, перемещают их из одной базы данных в другую , причем чаще всего не ставя об этом в известность субъекта персональных данных, не говоря уже о том, чтобы получить у него согласие на такие действия с его персональными данными. Конечно, банковская деятельность имеет ряд особенностей, и часто персональные данные клиентов используются не только для выполнения заключаемых банком договоров, но и для осуществления контроля банка за исполнением клиентом его обязательств, но это значит, что на любые манипуляции с персональными данными уже требуется согласие их субъекта.

Затруднения в толковании положений

Почему же не сделать любые операции с персональными данными законными? Безусловно, для этого, скорее всего, потребуется привлечение сторонних специалистов, так как даже юристы правовых управлений крупных банков являются первоклассными профессионалами лишь в определенной области, и со спецификой работы в сфере персональных данных им приходится знакомиться практически с нуля. Так что наилучший выход - привлечение к работам по организации системы защиты персональных данных компаний, специализирующихся в области оказания услуг по организации работы с персональными данными, в том числе способных провести аудит на предмет соответствия предпринимаемых вами мер нетехнической защиты требованиям законодателя.

Результаты аналитических исследований позволяют сделать выводы о том, что толкование каких положений Федерального закона № 152-ФЗ "О персональных данных" вызывает наибольшие затруднения.

В соответствии с частью 1 статьи 22 данного нормативного документа оператор обязан уведомить уполномоченный орган об осуществлении обработки персональных данных. Среди исключений - случай, когда обрабатываемые персональные данные были получены в связи с заключением договора, стороной которого является субъект персональных данных... и используются оператором исключительно для исполнения указанного договора на основании пункта 2 части 2 статьи 22 Федерального закона № 152-ФЗ "О персональных данных". Оперируя именно этим положением, некоторые банки не подают уведомление об обработке персональных данных, а многие и не считают себя операторами, что в корне неверно.

Также еще одна распространенная ошибка банков, как операторов персональных данных, связанная с договором, заключается в следующем. Согласно ст. 6 вышеназванного закона обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных за исключением случаев, среди которых осуществление обработки в целях исполнения договора, одной из сторон которого является субъект персональных данных. Поэтому многие банковские учреждения объясняют отсутствие у них согласия субъекта персональных данных именно фактом заключения такого договора.

Но давайте задумаемся, разве банк, являясь оператором, не использует полученные при заключении договора персональные данные субъекта, например, для рассылки уведомлений о новых услугах, для ведения "Стоп-листов"? Значит, обработка персональных данных осуществляется не только в целях исполнения договора, но и в иных целях, достижение которых представляет для банков коммерческий интерес, следовательно:

банки обязаны подавать уведомление об обработке персональных данных в уполномоченный орган;
банки должны осуществлять обработку персональных данных только с согласия субъекта.

А это значит, что банки должны организовать систему работы с персональными данными своих клиентов, то есть обеспечить нетехническую защиту таких данных.

Письменное согласие на обработку персональных данных

Что касается согласия субъекта персональных данных на обработку персональных данных, то Федеральный закон № 152-ФЗ "О персональных данных" обязывает операторов получать письменное согласие на обработку персональных данных только в определенных законом случаях. В то же время в соответствии с ч. 3 ст. 9 обязанность доказывать получение согласия субъекта на обработку его персональных данных возлагается на оператора. Чтобы при необходимости не тратить время на сбор таких доказательств (например, на поиск свидетелей), на наш взгляд, лучше в любом случае получать согласие от субъектов в письменной форме.

Приведем еще один аргумент за письменную форму обработки персональных данных. Зачастую деятельность банков предусматривает передачу данных (в том числе персональных) на территорию иностранного государства. По этому поводу ч. 1 ст. 12 Федерального закона № 152-ФЗ "О персональных данных" гласит, что до начала осуществления трансграничной передачи персональных данных оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных. Если такой защиты не обеспечивается, трансграничная передача персональных данных возможна только с письменного согласия субъекта персональных данных. Можно предположить, что сотруднику банка проще получить письменное согласие клиента на обработку персональных данных, чем устанавливать степень адекватности их защиты в иностранном государстве.

Обращаем ваше внимание на то, что сведения, которые должны содержаться в письменном согласии, перечислены в ч. 4 ст. 9 вышеупомянутого Федерального закона, и этот перечень исчерпывающий. А подпись под фразой, например, в кредитном договоре: "Я согласен на использование своих персональных данных", согласно Федеральному закону № 152-ФЗ "О персональных данных", согласием на их обработку не является!

Казалось бы, всего несколько пунктов закона, а сколько осложнений, вплоть до судебных тяжб, может вызвать их неправильное толкование. К тому же сегодня, когда персональные данные субъектов зачастую становятся товаром в конкурентной борьбе различных структур, успешное решение вопросов их защиты, обеспечение безопасности информационных систем банковских и кредитных учреждений становится залогом сохранения репутации, честного имени любой организации.

С каждым днем повышается информированность граждан о возможных негативных последствиях распространения их персональных данных, чему способствует появление профильных изданий. Есть и информационные ресурсы различных компаний. Одни из них в целом освещают весь широкий спектр вопросов, связанных с понятием "информационной безопасности", другие -посвящены обзорам мер и средств технической защиты, кто-то, наоборот, делает упор на проблемах, связанных с нетехнической защитой. Другими словами, информация по вопросам защиты персональных данных становится все более доступной, а значит, граждане, будут более подкованы в области защиты своих прав.

Особенно востребованной для российских подразделений иностранных компаний она стала в связи с добавление части 5 статьи 18 в 152-ФЗ «О персональных данных»: «…оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации». В законе есть ряд исключений, но согласитесь, на случай проверки регулятором хочется располагать козырями понадежнее, чем «а нас это не касается».

Наказания для нарушителей весьма серьезные. Онлайн-магазины, социальные сети, информационные сайты, другие бизнесы, связанные с интернетом в случае претензий со стороны надзорных органов могут быть фактически закрыты. Возможно, при первой проверке регулятором будет дано время на устранение недочетов, но срок обычно ограниченный. Если проблема не будет решена очень быстро (что без предварительной подготовки сделать затруднительно), убытки никак уже не компенсировать. Блокировка сайтов приводит не только к паузе в продажах, это означает потерю рыночной доли.

Появление в «черном списке» нарушителей закона о ПДн для офлайн-компаний проходит менее драматично. Но это влечет за собой репутационные риски, что для иностранных компаний является существенным фактором. Кроме того, сейчас почти не осталось видов деятельности, которых вообще не касается защита персональных данных. Банки, торговля, даже производство – все ведут клиентские базы, а значит, попадают под действие соответствующих законов.

Здесь важно понимать, что внутри компаний вопрос тоже нельзя рассматривать изолированно. Защиту ПДн не получится ограничить установкой сертифицированных средств защиты на серверах и запиранием бумажных карточек в сейфы. У персональных данных много точек входа в компанию – отделы продаж, HR, службы обслуживания клиентов , иногда также учебные центры, закупочные комиссии и другие подразделения. Управление защитой ПДн – комплексный процесс, который затрагивает IT , документооборот, регламенты, юридическое оформление.

Давайте рассмотрим, что потребуется для запуска и обслуживания такого процесса.

Какие данные считаются персональными

Строго говоря, любая информация, которая относится прямо или косвенно к определенному физическому лицу – это его персональные данные. Заметьте, речь идет о людях, не о юридических лицах. Получается, достаточно указать ФИО и адрес проживания, чтобы инициировать защиту этих (а также связанных с ними) данных. Тем не менее, получение электронного письма с чьими-либо персональными данными в виде подписи и телефонного номера еще не повод их защищать. Ключевой термин: «Понятие сбора персональных данных». Для прояснения контекста несколько статей Закона «О персональных данных» хочу выделить особо.

Статья 5. Принципы обработки персональных данных. Следует иметь четкие цели, из которых ясно следует, зачем эта информация собирается. Иначе даже при полном соблюдении всех остальных норм и правил вероятны санкции.

Статья 10. Специальные категории персональных данных. Например, кадровая служба может фиксировать ограничения для командировок, в том числе беременность сотрудниц. Разумеется, такие дополнительные сведения также подлежат защите. Это сильно расширяет понимание ПДн, а также список отделов и информационных хранилищ компании, в которых нужно уделять внимание защите.

Статья 12. Трансграничная передача персональных данных. Если информационная система с данными о гражданах РФ находится на территории страны, которая не ратифицировала Конвенцию о защите персональных данных (например, в Израиле), следует придерживаться положений российского законодательства.

Статья 22. Уведомление об обработке персональных данных. Обязательное условие для того, чтобы не привлекать излишнее внимание регулятора. Ведете предпринимательскую деятельность, связанную с ПДн – сообщите об этом сами, не дожидаясь проверок.

Где могут находиться персональные данные

Технически ПДн могут находиться где угодно, начиная с печатных носителей (бумажные картотеки) до машинных носителей (жесткие диски, флэшки, компакт-диски и прочее). То есть в фокусе внимания любые хранилища данных , попадающие под определение ИСПДн (информационные системы персональных данных).

География расположения – отдельный большой вопрос. С одной стороны, персональные данные россиян (физических лиц, являющихся гражданами РФ) должны храниться на территории Российской Федерации. С другой стороны, на текущий момент это скорее вектор развития ситуации, чем свершившийся факт. Многие международные и экспортные компании, различные холдинги, совместные предприятия исторически имеют распределенную инфраструктуру – и в одночасье это не изменится. В отличие от методов хранения и защиты ПДн, которые должны быть скорректированы практически сейчас, сразу.

Минимальный список отделов, участвующих в записи, систематизации, накоплении, хранении, уточнении (обновлении, изменении), извлечении ПДн:

Кадровая служба.
Отдел продаж.
Юридический отдел.

Поскольку редко где царит идеальный порядок, в реальности к этому «ожидаемому» списку часто могут добавляться самые непредсказуемые подразделения. Например, на складе могут быть записаны персонифицированные сведения о поставщиках, или служба охраны может вести собственный подробный учет всех входящих на территорию. Таким образом, кстати, состав ПДн для сотрудников может быть дополнен данными по клиентам, партнерам, подрядчикам, а также случайным и даже чужим посетителям – ПДн которых становятся «криминалом» при фотографировании на пропуск, сканировании удостоверения личности и в некоторых других случаях. СКУД (системы контроля и управления доступом) запросто могут послужить источником проблем в контексте защиты ПДн. Поэтому ответ на вопрос «Где?» с точки зрения соблюдения Закона звучит так: повсеместно на подотчетной территории. Точнее можно ответить, только проведя соответствующий аудит. Это первый этап проекта по защите персональных данных. Полный список его ключевых фаз:

1) Аудит текущей ситуации в компании.

2) Проектирование технического решения.

3) Подготовка процесса по защите персональных данных.

4) Проверка технического решения и процесса по защите ПДн на соответствие законодательству РФ и регламентам компании.

5) Внедрение технического решения.

6) Запуск процесса по защите персональных данных.

1. Аудит текущей ситуации в компании

Прежде всего, уточните в кадровой службе и в других подразделениях, использующих бумажные носители с персональными данными:

Есть ли формы согласия на обработку персональных данных? Они заполнены и подписаны?
Соблюдается ли «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 15 сентября 2008 года № 687?

Определите географическое расположение ИСПДн:

В каких странах они находятся?
На каком основании?
Есть ли договоры на их использование?
Какая технологическая защита применяется для предотвращения утечки ПДн ?
Какие организационные меры принимаются для защиты ПДн?

В идеале, информационная система с ПДн россиян должна соответствовать всем требованиям закона 152-ФЗ «О персональных данных», даже если находится за границей.

Наконец, обратите внимание на внушительный список документов, который требуется в случае проверки (это еще не все, только основной перечень):

Уведомление об обработке ПДн.
Документ, определяющий ответственного за организацию обработки ПДн.
Перечень сотрудников, допущенных к обработке ПДн.
Документ, определяющий места хранения ПДн.
Справка об обработке специальных и биометрических категорий ПДн.
Справка об осуществлении трансграничной передачи ПДн.
Типовые формы документов с ПДн.
Типовая форма согласия на обработку ПДн.
Порядок передачи ПДн третьим лицам.
Порядок учета обращений субъектов ПДн.
Перечень информационных систем персональных данных (ИСПДн).
Документы, регламентирующие резервирование данных в ИСПДн.
Перечень используемых средств защиты информации.
Порядок уничтожения ПДн.
Матрица доступа.
Модель угроз.
Журнал учета машинных носителей ПДн.
Документ, определяющий уровни защищенности для каждой ИСПДн в соответствии с ПП-1119 от 1 ноября 2012 года «Об утверждении требований к защите персональных данных при их обработки в информационных системах персональных данных».

2. Проектирование технического решения

Описание организационных и технических мер, которые должны быть приняты для защиты ПДн, приводится в Главе 4. «Обязанности оператора» Закона 152-ФЗ «О персональных данных». Техническое решение должно базироваться на положениях статьи 2 Закона 242-ФЗ от 21 июля 2014 года.

Но как соблюсти закон и обрабатывать ПДн граждан РФ на территории России в случае, когда ИСПДн все же находится за границей? Тут есть несколько вариантов:

Физический перенос информационной системы и БД на территорию РФ . Если технически реализуемо – это будет проще всего.
Оставляем ИСПДн за границей, но в России создаем ее копию и налаживаем одностороннюю репликацию ПДн граждан РФ из российской копии в иностранную. При этом в зарубежной системе нужно исключить возможность модификации ПДн граждан РФ, все правки только через российскую ИСПДн.
ИСПДн несколько и все они за границей. Перенос может быть дорогостоящим, либо вообще технически неосуществим (например, нельзя выделить часть базы с ПДн граждан РФ и вынести ее в Россию). В этом случае, решением может стать создание новой ИСПДн на любой доступной платформе на сервере в России, откуда будет осуществляться односторонняя репликация в каждую зарубежную ИСПДн. Отмечу, что выбор платформы остается за компанией.

Если ИСПДн полностью и монопольно не перенесена в Россию, не забудьте в справке о трансграничной передаче данных указать, кому и какой именно набор ПДн отсылается. В уведомлении об обработке нужно указать цель передачи персональных данных. Повторюсь, эта цель должна быть законной и четко обоснованной.

3. Подготовка процесса по защите персональных данных

Процесс защиты персональных данных должен определять как минимум следующие моменты:

Список ответственных за обработку персональных данных в компании.
Порядок предоставления доступа к ИСПДн. В идеале, это матрица доступа с уровнем доступа для каждой должности или конкретного сотрудника (чтение/чтение-запись/модификация). Либо перечень доступных ПДн для каждой должности. Здесь все зависит от реализации ИС и требований компании.
Аудит доступа к персональным данным и анализ попыток доступа с нарушением уровней доступа.
Анализ причин недоступности персональных данных.
Порядок реагирования на запросы субъектов ПДн относительно своих ПДн.
Пересмотр перечня персональных данных, которые передаются за пределы компании.
Пересмотр получателей персональных данных, в том числе за границей.
Периодический пересмотр модели угроз для ПДн, а также смена уровня защищенности персональных данных в связи с изменением модели угроз.
Поддержка документов компании в актуальном состоянии (список выше, и его можно-нужно дополнять, при необходимости).

Здесь можно детализировать каждый пункт, но особое внимание хочу обратить на уровень защищенности. Он определяется на основе следующих документов (читать последовательно):

1. «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» (ФСТЭК РФ 14 февраля 2008 года).

2. Постановление Правительства РФ № 1119 от 1 ноября 2012 года «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

3. Приказ ФСТЭК № 21 от 18 февраля 2013 года «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Также, не забудьте учесть необходимость наличия таких категорий расходов, как:

Организация проектной команды и управление проектом.
Разработчики для каждой из платформ ИСПДн.
Серверные мощности (собственные, или арендуемые в дата-центре).

К завершению второго и третьего этапов проекта вы должны иметь:

Расчет затрат.
Требования к качеству.
Сроки и календарный план проекта.
Технические и организационные риски проекта.

4. Проверка технического решения и процесса по защите ПДн на соответствие законодательству РФ и регламентам компании

Короткий по формулировке, но важный этап, в рамках которого нужно удостовериться в том, что все запланированные действия не противоречат законодательству РФ и правилам компании (например, политикам безопасности). Если этого не сделать, в фундамент проекта будет заложена бомба, которая может «рвануть» в дальнейшем, уничтожив пользу от достигнутых результатов.

5. Внедрение технического решения

Здесь все более-менее очевидно. Конкретика зависит от исходной ситуации и решений. Но в общем случае должна получиться примерно следующая картина:

Выделены серверные мощности.
Сетевые инженеры предоставили достаточную пропускную способность каналов между приемником и передатчиком ПДн.
Разработчики наладили репликацию между базами данных ИСПДн.
Администраторы предотвратили изменения в ИСПДн, находящихся за границей.

Ответственное лицо за защиту ПДн или «владелец процесса» могут быть одним и тем же лицом или разными. Сам факт, что «владелец процесса» должен подготовить всю документацию и организовать весь процесс защиты ПДн. Для этого должны быть уведомлены все заинтересованные лица, сотрудники проинструктированы, а IT-служба содействовать внедрению технических мер по защите данных.

6. Запуск процесса по защите персональных данных

Это важный этап, и в некотором смысле цель всего проекта – поставить контроль на поток. Помимо технических решений и нормативной документации здесь критично важна роль владельца процесса. Он должен отслеживать изменения не только в законодательстве, но также в IT-инфраструктуре. Значит, необходимы соответствующие навыки и компетенции.

Кроме того, что критично важно в условиях реальной работы, владельцу процесса по защите ПДн нужны все необходимые полномочия и административная поддержка руководства компании. Иначе он будет вечным «просителем», на которого никто не обращает внимания, и через некоторое время проект можно будет перезапускать, снова начиная с аудита.

Нюансы

Несколько моментов, которые легко упустить из виду:

Если вы работаете с дата-центром, нужен договор об оказании услуг предоставления серверных мощностей, согласно которому ваша компания хранит данные на легальных основаниях и контролирует их.
Нужны лицензии на программное обеспечение, которое используется для сбора, хранения и обработки ПДн, либо договоры об его аренде.
В случае расположения ИСПДн за границей нужен договор с компанией, владеющей там системой – для гарантии соблюдения законодательства РФ применительно к персональным данным россиян.
Если персональные данные передаются подрядчику вашей компании (например, партнеру по IT-аутсорсингу), то в случае утечки ПДн от аутсорсера вы будете нести ответственность по претензиям. В свою очередь, ваша компания может предъявить претензии аутсорсеру. Возможно, этот фактор может повлиять на сам факт передачи работ на аутсорс.

И еще раз самое главное – защиту персональных данных нельзя взять и обеспечить. Это процесс. Непрерывный итерационный процесс, который будет сильно зависеть от дальнейших изменений в законодательстве, а также от формата и строгости применения этих норм на практике.

ПОЛОЖЕНИЕ

о защите персональных данных

Клиентов (абонентов)

в ООО «Ортес-Финанс»

Термины и определения

1.1. Персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, адрес электронной почты, телефонный номер, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

1.2. Обработка персональных данных — действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование.

1.3. Конфиденциальность персональных данных — обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным, требование не допускать их распространения без согласия субъекта или иного законного основания.

1.4. Распространение персональных данных — действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.

1.5. Использование персональных данных — действия (операции) с персональными данными, совершаемые в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъектов персональных данных либо иным образом затрагивающих их права и свободы или права и свободы других лиц.

1.6. Блокирование персональных данных — временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи.

1.7. Уничтожение персональных данных — действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.

1.8. Обезличивание персональных данных — действия, в результате которых невозможно без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

1.9. Общедоступные персональные данные — персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.

1.10. Информация — сведения (сообщения, данные) независимо от формы их представления.

1.11. Клиент (субъект персональных данных) - физическое лицо потребитель услуг ООО «Ортес-Финанс», далее «Организация».

1.12. Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В рамках настоящего Положения Оператором признается Общество с ограниченной ответственностью «Ортес-Финанс»;

2. Общие положения.

2.1. Настоящее Положение об обработке персональных данных (далее — Положение) разработано в соответствии с Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом "Об информации, информационных технологиях и о защите информации", Федеральным законом 152-ФЗ "О персональных данных", иными федеральными законами.

2.2. Цель разработки Положения — определение порядка обработки и защиты персональных данных всех Клиентов Организации, данные которых подлежат обработке, на основании полномочий оператора; обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

2.3. Порядок ввода в действие и изменения Положения.

2.3.1. Настоящее Положение вступает в силу с момента его утверждения Генеральным директором Организации и действует бессрочно, до замены его новым Положением.

2.3.2. Изменения в Положение вносятся на основании Приказов Генерального директора Организации.

3. Состав персональных данных.

3.1. В состав персональных данных Клиентов, в том числе входят:

3.1.1. Фамилия, имя, отчество.

3.1.2. Год рождения.

3.1.3. Месяц рождения.

3.1.4. Дата рождения.

3.1.5. Место рождения.

3.1.6. Паспортные данные

3.1.7. Адрес электронной почты.

3.1.8. Номер телефона (домашний, сотовый).

3.2. В Организации могут создаваться (создаются, собираются) и хранятся следующие документы и сведения, в том числе в электронном виде, содержащие данные о Клиентах:

3.2.1. Заявка на обследование о возможности подключения физического лица.

3.2.2. Договор (публичная оферта).

3.2.3. Подтверждение о присоединении к договору.

3.2.5. Копии документов, удостоверяющих личность, а также иных документов, предоставляемых Клиентом, и содержащих персональные данные.

3.2.6. Данные по оплатам заказов (товаров/услуг), содержащие платежные и иные реквизиты Клиента.

4. Цель обработки персональных данных.

4.1. Цель обработки персональных данных - осуществление комплекса действий направленных на достижение цели, в том числе:

4.1.1. Оказание консультационных и информационных услуг.

4.1.2. Иные сделки, не запрещенные законодательством, а также комплекс действий с персональными данными, необходимых для исполнения вышеуказанных сделок.

4.1.3. В целях исполнения требований законодательства РФ.

4.2. Условием прекращения обработки персональных данных является ликвидация Организации, а также соответствующее требование Клиента.

5. Сбор, обработка и защита персональных данных.

5.1. Порядок получения (сбора) персональных данных:

5.1.1. Все персональные данные Клиента следует получать у него лично с его письменного согласия, кроме случаев, определенных в п. 5.1.4 и 5.1.6 настоящего Положения и иных случаях, предусмотренных законами РФ.

5.1.2. Согласие Клиента на использование его персональных данных хранится в Организации в бумажном и/или электронном виде.

5.1.3. Согласие субъекта на обработку персональных данных действует в течение всего срока действия договора, а также в течение 5 лет с даты прекращения действия договорных отношений Клиента с Организацией. По истечении указанного срока действие согласия считается продленным на каждые следующие пять лет при отсутствии сведений о его отзыве.

5.1.4. Если персональные данные Клиента возможно получить только у третьей стороны, Клиент должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Третье лицо, предоставляющее персональные данные Клиента, должно обладать согласием субъекта на передачу персональных данных Организации. Организация обязана получить подтверждение от третьего лица, передающего персональные данные Клиента о том, что персональные данные передаются с его согласия. Организация обязана при взаимодействии с третьими лицами заключить с ними соглашение о конфиденциальности информации, касающейся персональных данных Клиентов.

5.1.5. Организация обязана сообщить Клиенту о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа Клиента персональных данных дать письменное согласие на их получение.

5.1.6. Обработка персональных данных Клиентов без их согласия осуществляется в следующих случаях:

5.1.6.1. Персональные данные являются общедоступными.

5.1.6.2. По требованию полномочных государственных органов в случаях, предусмотренных федеральным законом.

5.1.6.3. Обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора.

5.1.6.4. Обработка персональных данных осуществляется в целях заключения и исполнения договора, одной из сторон которого является субъект персональных данных - Клиент.

5.1.6.5. Обработка персональных данных осуществляется для статистических целей при условии обязательного обезличивания персональных данных.

5.1.6.6. В иных случаях, предусмотренных законом.

5.1.7. Организация не имеет права получать и обрабатывать персональные данные Клиента о его расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни.

5.2. Порядок обработки персональных данных:

5.2.1. Субъект персональных данных предоставляет Организации достоверные сведения о себе.

5.2.2. К обработке персональных данных Клиентов могут иметь доступ только сотрудники Организации, допущенные к работе с персональными данными Клиента и подписавшие Соглашение о неразглашении персональных данных Клиента.

5.2.3. Право доступа к персональным данным Клиента в Организации имеют:

 Генеральный директор Организации;

 Работники, ответственные за ведение финансовых расчетов (менеджер, бухгалтер).

 Работники Отдела по работе с Клиентами (начальник отдела продаж, менеджер).

 Работники IT (технический директор, системный администратор).

 Клиент, как субъект персональных данных.

5.2.3.1. Поименный перечень сотрудников Организации, имеющих доступ к персональным данным Клиентов, определяется приказом Генерального директора Организации.

5.2.4. Обработка персональных данных Клиента может осуществляться исключительно в целях установленных Положением и соблюдения законов и иных нормативных правовых актов РФ.

5.2.5. При определении объема и содержания, обрабатываемых персональных данных Организация руководствоваться Конституцией Российской Федерации, законом о персональных данных, и иными федеральными законами.

5.3. Защита персональных данных:

5.3.1. Под защитой персональных данных Клиента понимается комплекс мер (организационно-распорядительных, технических, юридических), направленных на предотвращение неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных субъектов, а также от иных неправомерных действий.

5.3.2. Защита персональных данных Клиента осуществляется за счёт Организации в порядке, установленном федеральным законом РФ.

5.3.3. Организация при защите персональных данных Клиентов принимает все необходимые организационно-распорядительные, юридические и технические меры, в том числе:

 Антивирусная защита.

 Анализ защищённости.

 Обнаружение и предотвращение вторжений.

 Управления доступом.

 Регистрация и учет.

 Обеспечение целостности.

 Организация нормативно-методических локальных актов, регулирующих защиту персональных данных.

5.3.4. Общую организацию защиты персональных данных Клиентов осуществляет Генеральный директор Организации.

5.3.5. Доступ к персональным данным Клиента имеют сотрудники Организации, которым персональные данные необходимы в связи с исполнением ими трудовых обязанностей.

5.3.6. Все сотрудники, связанные с получением, обработкой и защитой персональных данных Клиентов, обязаны подписать Соглашение о неразглашении персональных данных Клиентов.

5.3.7. Процедура оформления доступа к персональным данным Клиента включает в себя:

 Ознакомление сотрудника под роспись с настоящим Положением. При наличии иных нормативных актов (приказы, распоряжения, инструкции и т.п.), регулирующих обработку и защиту персональных данных Клиента, с данными актами также производится ознакомление под роспись.

 Истребование с сотрудника (за исключением Генерального директора) письменного обязательства о соблюдении конфиденциальности персональных данных Клиентов и соблюдении правил их обработки в соответствии с внутренними локальными актами Организации, регулирующих вопросы обеспечения безопасности конфиденциальной информации.

5.3.8. Сотрудник Организации, имеющий доступ к персональным данным Клиентов в связи с исполнением трудовых обязанностей:

 Обеспечивает хранение информации, содержащей персональные данные Клиента, исключающее доступ к ним третьих лиц.

 В отсутствие сотрудника на его рабочем месте не должно быть документов, содержащих персональные данные Клиентов.

 При уходе в отпуск, во время служебной командировки и в иных случаях длительного отсутствия сотрудника на своем рабочем месте, он обязан передать документы и иные носители, содержащие персональные данные Клиентов лицу, на которое локальным актом Общества (приказом, распоряжением) будет возложено исполнение его трудовых обязанностей.

 В случае если такое лицо не назначено, то документы и иные носители, содержащие персональные данные Клиентов, передаются другому сотруднику, имеющему доступ к персональным данным Клиентов по указанию Генерального директора Организации.

 При увольнении сотрудника, имеющего доступ к персональным данным Клиентов, документы и иные носители, содержащие персональные данные Клиентов, передаются другому сотруднику, имеющему доступ к персональным данным Клиентов по указанию Генерального директора.

 В целях выполнения порученного задания и на основании служебной записки с положительной резолюцией Генерального директора, доступ к персональным данным Клиента может быть предоставлен иному сотруднику. Допуск к персональным данным Клиента других сотрудников Организации, не имеющих надлежащим образом оформленного доступа, запрещается.

5.3.9. Менеджер по кадровой работе обеспечивает:

 Ознакомление сотрудников под роспись с настоящим Положением.

 Истребование с сотрудников письменного обязательства о соблюдении конфиденциальности персональных данных Клиента (Соглашение о неразглашении) и соблюдении правил их обработки.

 Общий контроль за соблюдением сотрудниками мер по защите персональных данных Клиента.

5.3.10. Защита персональных данных Клиентов, хранящихся в электронных базах данных Организации, от несанкционированного доступа, искажения и уничтожения информации, а также от иных неправомерных действий, обеспечивается Системным администратором.

5.4. Хранение персональных данных:

5.4.1. Персональные данные Клиентов на бумажных носителях хранятся в сейфах.

5.4.2. Персональные данные Клиентов в электронном виде хранятся в локальной компьютерной сети Организации, в электронных папках и файлах в персональных компьютерах Генерального директора и сотрудников, допущенных к обработке персональных данных Клиентов.

5.4.3. Документы, содержащие персональные данные Клиентов, хранятся в запирающихся шкафах (сейфах), обеспечивающих защиту от несанкционированного доступа. В конце рабочего дня все документы, содержащие персональные данные Клиентов, помещаются в шкафы (сейфы), обеспечивающие защиту от несанкционированного доступа.

5.4.4. Защита доступа к электронным базам данных, содержащим персональные данные Клиентов, обеспечивается:

 Использованием лицензированных антивирусных и антихакерских программ, не допускающих несанкционированный вход в локальную сеть Организации.

 Разграничением прав доступа с использованием учетной записи.

 Двух ступенчатой системой паролей: на уровне локальной компьютерной сети и на уровне баз данных. Пароли устанавливаются Системным администратором Организации и сообщаются индивидуально сотрудникам, имеющим доступ к персональным данным Клиентов.

5.4.4.1. Несанкционированный вход в ПК, в которых содержатся персональные данные Клиентов, блокируется паролем, который устанавливается Системным администратором и не подлежит разглашению.

5.4.4.2. Все электронные папки и файлы, содержащие персональные данные Клиентов, защищаются паролем, который устанавливается ответственным за ПК сотрудником Организации и сообщается Системному администратору.

5.4.4.3. Изменение паролей Системным администратором осуществляется не реже 1 раза в 3 месяца.

5.4.5. Копировать и делать выписки персональных данных Клиента разрешается исключительно в служебных целях с письменного разрешения Генерального директора Организации.

5.4.6. Ответы на письменные запросы других организаций и учреждений о персональных данных Клиентов даются только с письменного согласия самого Клиента, если иное не установлено законодательством. Ответы оформляются в письменном виде, на бланке Организации, и в том объеме, который позволяет не разглашать излишний объем персональных данных Клиента.

6. Блокировка, обезличивание, уничтожение персональных данных

6.1. Порядок блокировки и разблокировки персональных данных:

6.1.1. Блокировка персональных данных Клиентов осуществляется с письменного заявления Клиента.

6.1.2. Блокировка персональных данных подразумевает:

6.1.2.2. Запрет распространения персональных данных любыми средствами (e-mail, сотовая связь, материальные носители).

6.1.2.4. Изъятие бумажных документов, относящихся к Клиенту и содержащих его персональные данные из внутреннего документооборота Организации и запрет их использования.

6.1.3. Блокировка персональных данных Клиента может быть временно снята, если это требуется для соблюдения законодательства РФ.

6.1.4. Разблокировка персональных данных Клиента осуществляется с его письменного согласия (при наличии необходимости получения согласия) или заявления Клиента.

6.1.5. Повторное согласие Клиента на обработку его персональных данных (при необходимости его получения) влечет разблокирование его персональных данных.

6.2. Порядок обезличивания и уничтожения персональных данных:

6.2.1. Обезличивание персональных данных Клиента происходит по письменному заявлению Клиента, при условии, что все договорные отношения завершены и от даты окончания последнего договора прошло не менее 5 лет.

6.2.2. При обезличивании персональные данные в информационных системах заменяются набором символов, по которому невозможно определить принадлежность персональных данных к конкретному Клиенту.

6.2.3. Бумажные носители документов при обезличивании персональных данных уничтожаются.

6.2.4. Организация обязана обеспечить конфиденциальность в отношении персональных данных при необходимости проведения испытаний информационных систем на территории разработчика и произвести обезличивание персональных данных в передаваемых разработчику информационных системах.

6.2.5. Уничтожение персональных данных Клиента подразумевает прекращение какого-либо доступа к персональным данным Клиента.

6.2.6. При уничтожении персональных данных Клиента работники Организации не могут получить доступ к персональным данным субъекта в информационных системах.

6.2.7. Бумажные носители документов при уничтожении персональных данных уничтожаются, персональные данные в информационных системах обезличиваются. Персональные данные восстановлению не подлежат.

6.2.8. Операция уничтожения персональных данных необратима.

6.2.9. Срок, после которого возможна операция уничтожения персональных данных Клиента, определяется окончанием срока, указанным в пункте 7.3 настоящего Положения.

7. Передача и хранение персональных данных

7.1. Передача персональных данных:

7.1.1. Под передачей персональных данных субъекта понимается распространение информации по каналам связи и на материальных носителях.

7.1.2. При передаче персональных данных работники Организации должны соблюдать следующие требования:

7.1.2.1. Не сообщать персональные данные Клиента в коммерческих целях.

7.1.2.2. Не сообщать персональные данные Клиента третьей стороне без письменного согласия Клиента, за исключением случаев, установленных федеральным законом РФ.

7.1.2.3. Предупредить лиц, получающих персональные данные Клиента о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено;

7.1.2.4. Разрешать доступ к персональным данным Клиентов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные Клиентов, которые необходимы для выполнения конкретных функций.

7.1.2.5. Осуществлять передачу персональных данных Клиента в пределах Организации в соответствии с настоящим Положением, нормативно-технологической документацией и должностными инструкциями.

7.1.2.6. Предоставлять доступ Клиента к своим персональным данным при обращении либо при получении запроса Клиента. Организация обязана сообщить Клиенту информацию о наличии персональных данных о нем, а также предоставить возможность ознакомления с ними в течение десяти рабочих дней с момента обращения.

7.1.2.7. Передавать персональные данные Клиента представителям Клиента в порядке, установленном законодательством и нормативно-технологической документацией и ограничивать эту информацию только теми персональными данными субъекта, которые необходимы для выполнения указанными представителями их функции.

7.2. Хранение и использование персональных данных:

7.2.1. Под хранением персональных данных понимается существование записей в информационных системах и на материальных носителях.

7.2.2. Персональные данные Клиентов обрабатываются и хранятся в информационных системах, а также на бумажных носителях в Организации. Персональные данные Клиентов также хранятся в электронном виде: в локальной компьютерной сети Организации, в электронных папках и файлах в ПК Генерального директора и работников, допущенных к обработке персональных данных Клиентов.

7.2.3. Хранение персональных данных Клиента может осуществляться не дольше, чем этого требуют цели обработки, если иное не предусмотрено федеральными законами РФ.

7.3. Сроки хранения персональных данных:

7.3.1. Сроки хранения гражданско-правовых договоров, содержащих персональные данные Клиентов, а также сопутствующих их заключению, исполнению документов - 5 лет с момента окончания действия договоров.

7.3.2. В течение срока хранения персональные данные не могут быть обезличены или уничтожены.

7.3.3. По истечении срока хранения персональные данные могут быть обезличены в информационных системах и уничтожены на бумажном носителе в порядке установленном в Положении и действующем законодательстве РФ. (Приложение Акт об уничтожении персональных данных)

8. Права оператора персональных данных

Организация вправе:

8.1. Отстаивать свои интересы в суде.

8.2. Предоставлять персональные данные Клиентов третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.).

8.3. Отказать в предоставлении персональных данных в случаях, предусмотренных законом.

8.4. Использовать персональные данные Клиента без его согласия, в случаях предусмотренных законодательством РФ.

9. Права Клиента

Клиент имеет право:

9.1. Требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

9.2. Требовать перечень обрабатываемых персональных данных, имеющихся в Организации и источник их получения.

9.3. Получать информацию о сроках обработки персональных данных, в том числе о сроках их хранения.

9.4. Требовать извещения всех лиц, которым ранее были сообщены неверные или неполные его персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях.

9.5. Обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия при обработке его персональных данных.

10. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных

10.1. Работники Организации, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с действующем законодательством Российской Федерации и внутренними локальными актами Организации.

контроль за исполнением необходимых правил. Список использованной литературы:

1. Федеральный закон «О банках и банковской деятельности»

2. www.Grandars.ru [Электронный ресурс] Режим доступа: http://www.grandars.ru/student/finansy/vozniknovenie-bankov.html (Дата обращения: 5.05.2016)

3. In-bank.ru [Электронный ресурс] Режим доступа: http://journal.ib-bank.ru/post/411 (Дата обращения: 5.05.2016)

Хлестова Дарья Робертовна

E-mail: [email protected]

ОСОБЕННОСТИ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В БАНКОВСКОЙ СФЕРЕ

Аннотация

В данной статье рассмотрены особенности защиты персональных данных клиента в банковской сфере. Перечислен ряд нормативно- правовых актов, на основе которого должна строиться система обработки и защиты персональных данных в банке. Выделен список мер для организации обеспечения безопасности данных в банковских учреждениях.

Ключевые слова

Персональные данные, обеспечение безопасности в банках, информационная безопасность,

защита персональных данных

Защита персональных данных в век информационных технологий стала особенно актуальной. Случаев, когда злоумышленники получают доступ к любой конфиденциальной информации, атакуя информационные системы организаций, становится всё больше. Несомненно, атаки не обходят стороной и банковскую сферу. Поскольку в банковских системах содержится большое число персональных данных клиентов, их безопасность должна находиться под пристальным вниманием государства и самих владельцев кредитно-финансовых учреждений.

Для начала стоит разобраться какие же персональные данные человека могут стать доступны банку, если он станет его клиентом. Итак, это обязательно: фамилия, имя и отчество; дата и место рождения; гражданство; место регистрации и фактического проживания; все данные паспорта (серия, номер, когда и кем выдан документ); номер мобильного и домашнего телефона; место работы, занимаемая должность. В большинстве случаев учреждения запрашивают у лица, и дополнительную информацию, но и без неё список данных, которые человек доверяет банку получается внушительным. Конечно, клиент надеется, что его персональные данные при обработке и хранении будут надежно защищены.

Для того чтобы кредитно-финансовые учреждения могли качественно организовать систему обработки и защиты персональных данных, необходимо обозначить перечень нормативно- правовых актов, на которые стоит опираться банку при работе с персональными данными клиентов: Конституция Российской Федерации- самый главный документ страны; Трудовой кодекс РФ; Гражданский кодекс и Уголовный кодекс РФ; федеральный закон № 152 «О персональных данных»; федеральный закон № 149 «Об

информации, информационных технологиях и о защите информации»; федеральный закон № 395-1 «О банках и банковской деятельности». Так же в банках при создании системы обработки и хранения персональных данных создаётся ряд локальных документов, обеспечивающий дополнительный контроль за работой с данными.

Банковская организация при получении от клиента его персональных данных принимает на себя обязанность проводить все организационно- технические мероприятия по защите, доверенной ему информации от несанкционированного доступа (случайного или преднамеренного), блокирования, модификации, уничтожения и иных противоправных действий. Стоит выделить ряд мер, для качественной организации обработки и защиты персональных данных в банках: назначение ответственных за обработку и обеспечение безопасности данных в информационной системе банка; осуществление мер контроля и ознакомление сотрудников с соответствующей нормативно- правовой базой и внутренними документами, на которых базируется система безопасности данных банка; определение угроз при обработке персональных данных в банке и мер их противодействию; оценка эффективности применяемых организационно-технических мер по обеспечению защиты данных, до введения системы защиты в эксплуатацию; учёт всех машинных носителей персональных данных; установление правил доступа к системе обработки и защиты для сотрудников; в случае выявления несанкционированного доступа к защищаемым данным принятие мер по ликвидации угрозы и восстановление утерянных данных. И обязательное мероприятие для банков с действующей системой хранения и защиты персональных данных клиента- постоянный контроль и совершенствование системы безопасности.

Таким образом, стоит отметить, что обработка, хранение и защита персональных данных в банках должна осуществляться на основании условий, определенных нормативно- правовой базой Российской Федерации. Каждая кредитно-финансовая организация должна: соблюдать принцип законности при организации защиты персональных данных своих клиентов; проводить полный комплекс мер по организационно- технической защите данных; при создании локальных документов, связанных с обеспечением информационной безопасности опираться на лучшие российские и международные практики в данной сфере; выполнять все требования контролирующих органов (ФСТЭК, Роскомнадзор, ФСБ) по обеспечению защиты персональных данных клиента.

Список использованной литературы:

1. Хлестова Д.Р., Попов К.Г. «К вопросу о правовых аспектах защиты персональных данных»

2. Федеральный закон «О банках и банковской деятельности»

3. Банк России [Электронный ресурс] Режим доступа: http://www.cbr.ru/ (Дата обращения: 06.05.2016)