Законопроект о внесении изменений в 152-ФЗ

[В.Травников]

В свете последних поручений Медведева, законопроект Резника, претерпевший значительные изменения, предлагают Думе принять во 2-м чтении.
Понятно, что в этом виде он скорее всего и будет принят. Теперь стало более-менее ясно, что же такое "автоматизированная обработка" и "использование средств автоматизации"...
зачем-то в отдельный пункт выделено исключение по 115-ФЗ...

Короче, очень интересные времена настают. Не успеваем уже вникать в изменения в наши концептуальные документы

[Berckut]

Наконец-то двинулось!

[В.Травников]

Операторы, которые осуществляют обработку персональных данных до 1 июля 2011 года, обязаны принять решение, предусмотренное частью 8 статьи 19 настоящего Федерального закона (решение о присоединении или создании стандарта безопасности пд, прим. мое) и представить в уполномоченный орган по защите прав субъектов персональных данных, сведения, предусмотренные пунктами 5, 71, 10 и 11 части 3 статьи 22 настоящего Федерального закона, не позднее 1 января 2013 года.

интересно... как отреагирует ЦБ? Т.е. я теперь до 1.01.2013 могу "принимать решение"?

[ОСАНИК]

очередной срок, это они полгода брали, чтоб изменения внести,
еще полтора года!

[Toparenko]

интересно... как отреагирует ЦБ? Т.е. я теперь до 1.01.2013 могу "принимать решение"?

Не забывайте, что вчера во втором и третьем чтении принят законопроект "О национальной платежной системе"

Статья 27. Обеспечение защиты информации в платежной системе

1. Операторы по переводу денежных средств, банковские платежные агенты (субагенты), операторы платежных систем, операторы услуг платежной инфраструктуры обязаны обеспечивать защиту информации о средствах и методах обеспечения информационной безопасности, персональных данных и об иной информации, подлежащей обязательной защите в соответствии с законодательством Российской Федерации. Правительство Российской Федерации устанавливает требования к защите указанной информации.
2. Контроль и надзор за выполнением требований, установленных Правительством Российской Федерации, осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с защищаемой информацией.
3. Операторы по переводу денежных средств, банковские платежные агенты (субагенты), операторы платежных систем, операторы услуг платежной инфраструктуры обязаны обеспечивать защиту информации при осуществлении переводов денежных средств в соответствии с требованиями, установленными Банком России, согласованными с федеральными органами исполнительной власти, предусмотренными частью 2 настоящей статьи. Контроль за соблюдением установленных требований осуществляется Банком России в рамках надзора в национальной платежной системе в установленном им порядке, согласованном с федеральными органами исполнительной власти, предусмотренными частью 2 настоящей статьи.

Статья 39. Порядок вступления в силу настоящего Федерального закона

3. Статьи 1, 2, пункты 1, 6 - 11, 20 - 25 статьи 3, статьи 15 и 16, части 1 - 7 статьи 17, статьи 18 - 25, 27 - 37 настоящего Федерального закона вступают в силу по истечении одного года после дня официального опубликования настоящего Федерального закона.

Что вместе с частью 5 ст.19 ЗоПД легитимизируют Комплекс СТО БР, но легче от этого не становится...

Статья 19. Меры по обеспечению безопасности персональных данных при их обработке

5. Правительство Российской Федерации вправе установить требования по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, эксплуатируемых при осуществлении определенных видов деятельности, и не являющихся государственными и муниципальными информационными системами персональных данных, в зависимости от характеристик угроз безопасности этих данных с учетом частей 1 и 2 настоящей стат

Да и вопрос принимать или не принимать решение о присоединении к СТО БР отпадает сам собой

[ОСАНИК]

т.е. с учетом пункта
2(1) Операторы, которые осуществляют обработку персональных данных до 1 июля 2011 года, обязаны принять решение, предусмотренное частью 8 статьи 19 настоящего Федерального закона и представить в уполномоченный орган по защите прав субъектов персональных данных, сведения, предусмотренные пунктами 5, 71, 10 и 11 части 3 статьи 22 настоящего Федерального закона, не позднее 1 января 2013 года.

Банк принимает решение "...о принять решение о присоединении к стандарту обеспечения безопасности персональных данных, за исключением случаев, предусмотренных частью 22 статьи 25 настоящего Федерального закона".
т.е. механизм направки подтверждения присоедения к СТО в ЦБ с последующим направлением в регуляторам меняется.
будем направлять в уполномоченный орган (какой? не ЦБ). будет меняться наверное и форма

[Toparenko]

будем направлять в уполномоченный орган (какой? не ЦБ). будет меняться наверное и форма

Здесь все не так уж сложно.
К 01.01.13 перенаправить уведомление в РКН. Туда потребуется добавить:
7) Перечень СКЗИ
7.1) ФИО (или аутсорсера/инсорсера) ответственного за ЗПДн и его контакты
10) Наличе трансгранички (а она будет как минимум по Мастеркарду, ВестрнЮниуну и т.п.)
11) В соответствии с ч.3 ст.27 закона о национальной платежной системе кредитная организация выполняет требования Комплекса БР ИББС 201?

Соответственно надо будет исключить цели обработки по ПОД/ФТ и прочие, по которым кредитная организация является ЛООПДППО

[ОСАНИК]

ЛООПДППО

это что за прелестное название?

[Toparenko]

это что за прелестное название?

См. части 2-4 ст.6 законопроекта ко 2-му чтению: "Лицо, осуществляющее обработку персональных данных по поручению оператора"
Вот так у нас обозвали того, кого в Европах называют обработчиком

[АИБ]

Коллеги, мы в лучшем положении, у нас СТО БР уже есть, согласованные с регуляторами. Остальные обязаны присоединяться к пока несуществующим стандартам.

[Toparenko]

Остальные обязаны присоединяться к пока несуществующим стандартам.

Зато у них больший простор для маневра т.к. им не требуется согласовывать свои стандарты - главное, чтоб их не оспорили в суде, т.е. чтоб не было профанации

[BARD]

т.е. звявку о присоединениии к СТО БР теперь можно отправить до 2013 года?

[Toparenko]

т.е. звявку о присоединениии к СТО БР теперь можно отправить до 2013 года?

Не-а

Ст. 27 закона об НПС вступает в силу через год после опубликования. И тогда уже не желающих просто отлучат от НПС - и это будет касаться не только кредитно-банковских организаций

[ОСАНИК]

Toparenko,
Ст. 27 закона об НПС вступает в силу через год после опубликования. И тогда уже не желающих просто отлучат от НПС - и это будет касаться не только кредитно-банковских организаций

т.е. получаются разногласия в законодательных актах?

[В.Травников]

так а в чем разногласия-то?
закон о НПС требует начать выполнять стандарт безопасности ЦБ в определенный срок, а закон о ПД требует присоединиться к какому-либо стандарту в определенный срок и начать его выполнять...

просто для нас, как работающих в банке - это одно и то же и наименьший срок определился первым законом

[Toparenko]

т.е. получаются разногласия в законодательных актах?

Всем остальным еще требуется написать стандарты, а для банков он уже есть.

Естественно можете не присоединяться к НПС, но это уже другие проблемы

[eag1e]

похоже была ложная тревога

17 июня, несмотря на рекомендации Думы, законопроект В.М. Резника, предлагающий радикальные изменения ФЗ-152 «О персональных данных» и значительную либерализацию порядка обработки персональных данных, на заседание Думы вынесен не был.
Того же 17 июня постановлением Государственной Думы № 5477-5 ГД был утвержден «Календарь рассмотрения вопросов Государственной Думой с 28 июня по 8 июля 2011 года», т.е. до конца весенней сессии. Второго чтения не предусмотрено и там.
Так что ждать придется осеней сессии, если, конечно, опять не произойдет чего-то экстраординарного.

http://emeliyannikov.blogspot.com/2011/06/152.html

[Шауро Евгений]

Цыплят по осени считают :-)

[master333]

А к 1 июля 2011 надо что-то в ЦБ высылать?

[eag1e]

действующие требования никто не отменял...

[Stnslav]

Приняли что ли во втором чтении проект закона?
Вроде на другиф форумах посты соответствующие появились.
На сайте гос.думы текст к третьему чтению.
http://asozd.duma.gov.ru/main.nsf/%2...RN=282499-5&02
Правда не понял, а когда второе было?

[eag1e]

нет, второго чтения не было. этот текст там давно висит.

[Stnslav]

Ну вот, а я обрадовался
Странно, а зачем повесили проект третьего чтения, когда второго не было.
А вдруг там не такие изменения будут.

[Алексей Лукацкий]

Со всеми обо всем договорились (кроме ст.19). Поэтому пришли к мнению, что можно законопроект принимать сразу в двух чтениях - 2-м и 3-м. Так и поправки Аксакова принимали в конце прошлого года.

[Gamura]

Ну что, во втором чтении приняли. А третье когда, осенью?

[Toparenko]

Ну что, во втором чтении приняли. А третье когда, осенью?

Завтра

[alexmib]

Может кто-нибудь какое-нить открытое письмо Медведеву инициирует?

[Stnslav]

И зачем было играть в "демократию"? Парламентские чтения, общественные обсуждения и т.п. Лишний раз убеждаешься, что решает все не здравый смысл, а бабло. И на поручение президента им ради этого бабла наплевать. Кстати, видимо на президента и останется только надеяться. Может не подпишет закон и отправит на новую доработку. Уж лучше бы вообще ст. 19 не меняли бы. В предлагаемой редакции положение операторов только хуже будет. Да и формулировки некоторых требований опять неоднозначны. В общем нетленка о ЧВС. "Хотели как лучше, а получилось..."

[Алексей Лукацкий]

Не совсем так. Поменяли очень многое в части защиты прав субъектов. Подход стал более сбалансированным и интересы оператора теперь учитываются лучше. А вот в части защиты самих ПДн ситуация обратная.

[Stnslav]

Не совсем так. Поменяли очень многое в части защиты прав субъектов. Подход стал более сбалансированным и интересы оператора теперь учитываются лучше. А вот в части защиты самих ПДн ситуация обратная.

Но большинство форумян, присутствующих в этом разделе форума, интересует именно вопросы защиты ПДн. Поэтому такой минор в посте был.