Согласно Федеральному закону от 27.06.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) практически любая информация о физическом лице является персональными данными, а любая организация или индивидуальный предприниматель, обладающий такой информацией, становится оператором персональных данных. Хотя окончательное вступление в силу Закона № 152-ФЗ перенесено на 2011 г., ряд его требований необходимо выполнять уже сейчас. Поэтому в «зарплатных» решениях «1С: Предприятия 8» обеспечена возможность регистрации событий «Доступ» и «Отказ в доступе» к персональным данным.
Согласно подзаконным актам степень защиты данных зависит от класса информационной системы по работе с персональными данными (ИСПДн), который в свою очередь определяется количеством субъектов, организаций и спецификой персональных данных.
Конкретный перечень требований по защите персональных данных в зависимости от класса информационной системы приведен в Основных мероприятиях по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в ИСПДн, которые утверждены ФСТЭК России 15 декабря 2008 г.
В информационных системах 3-го класса необходимо фиксировать события аутентификации (входа в систему) и отказа от нее. В ИСПДн 2-го класса необходимо в числе прочего регистрировать события доступа и отказа в доступе к конкретным персональным данным. Иначе говоря, нужно уметь ответить на вопросы: кто, когда получил доступ к зарплате Иванова, кто и когда его получить пытался, но не смог (из-за ограничения прав)?
Нужно понимать, что регистрация события «Доступ» довольно ресурсоемкая. Размер журнала регистрации существенно увеличится, так как результат запроса к защищаемым данным фиксируется вместе с записью о событии. Поэтому, с одной стороны, требуется защитить все области персональных данных, а с другой — минимизировать потери производительности.
Области данных
В типовых решениях на платформе «1С:Предприятие 8» гибкость настройки достигается выделением областей персональных данных и управлением детальностью регистрации событий.
Персональные данные разбиваются на четыре области (группы):
-
личные сведения;
-
сведения об образовании и компетенциях;
-
сведения об имуществе;
-
сведения о доходах.
Пользователю (администратору информационной системы) предлагается установить области данных, для которых будет выполняться регистрация событий доступа и отказа в доступе.
Это вовсе не означает, что, частично «включив» регистрацию событий, требования Закона № 152-ФЗ выполняются тоже частично. Наиболее вероятным представляется сценарий, при котором доступ к таким областям данных, как сведения о доходах, находится, например, в руках ограниченного круга лиц и детально регистрировать каждое отдельное событие нет необходимости. В этом случае область данных можно «отключить» и тем самым снизить нагрузку на систему.
Регистрация списка лиц при доступе к данным определяет детальность сведений о событии. От этой настройки зависит, будет ли в журнале расшифровано, чья именно зарплата была прочитана, или будет указано: «Была прочитана зарплата» без расшифровки по записям.
Все события фиксируются в журнале регистрации, но просмотреть новые события в удобном формате ответов на вопросы можно в форме «Управление персональными данными». В нее попадает фиксированный набор видов событий, одновременно отражается список объектов и данных субъектов для событий доступа и отказ в доступе. Благодаря отбору по субъекту фактически появляется возможность получить ответ на вопрос: кто читал данные Иванова, Петрова, Сидорова?
Еще одна настройка связана с обеспечением конфиденциальности сведений о доходах. Необходимо исключить возможность сотрудников видеть сумму зарплаты коллег. Это возможно при выплате зарплаты по кассовым ведомостям. Настройка «Ограничивать количество сотрудников при печати платежных ведомостей» запрещает формирование печатной формы для платежных ведомостей, содержащих больше одного сотрудника. Выплату зарплаты в таком случае следует оформлять при помощи расходного кассового ордера.
Уничтожение данных
В Законе № 152-ФЗ упоминается обязанность оператора в ряде случаев уничтожить персональные данные по запросу субъекта. То есть по заявлению физического лица работодатель обязан удалить данные о его доходах, ИНН, страховой номер ПФР и другие сведения, хранить которые работодателя обязывает законодательство. Учитывая специфику «зарплатных» конфигураций, принято решение выполнять уничтожение только тех персональных данных, которые не подлежат обязательному хранению. Предполагается, что уничтожение данных может быть выполнено, например, по требованию кандидата, который представлял свои сведения на этапе подбора персонала и не стал сотрудником.
Уничтожение сведений выполняется пользователем с полными правами в форме «Управление персональными данными» (в той же, где и осуществляется просмотр событий). При уничтожении выполняется замена значений защищаемых полей пустыми значениями, иначе говоря, очистка полей, а ссылочная целостность базы данных сохраняется.
Справка
Закон № 152-ФЗ был принят в соответствии с Конвенцией Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» (ETS № 108, 1981 г.). Основная цель Закона № 152-ФЗ — защита прав и свобод человека при обработке его личной информации, в том числе права на неприкосновенность частной жизни. Предоставление права, с одной стороны, порождает обязанность — с другой:
• организовать документооборот, предусматривающий возможность получения согласия на обработку ПДн;
• направить уведомления в Россвязькомнадзор в необходимых случаях;
• провести классификацию ИСПДн;
• спланировать и провести мероприятия по защите персональных данных, в том числе разработать организационно-распорядительную документацию.