Информационное сообщение ФСТЭК России от 06.06.2018 N 240/13/2549 "О некоторых вопросах по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных"

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

ИНФОРМАЦИОННОЕ СООБЩЕНИЕ

от 6 июня 2018 г. N 240/13/2549

О НЕКОТОРЫХ ВОПРОСАХ

ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ

ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

В ФСТЭК России поступают обращения от физических лиц о проведении ФСТЭК России проверки наличия у запрашиваемых организаций лицензии на обработку персональных данных.

ФСТЭК России информирует, что в соответствии с Федеральным законом от 4 мая 2011 г. N 99-ФЗ "О лицензировании отдельных видов деятельности" и Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных" обработка персональных данных не является лицензируемым видом деятельности.

В соответствии с пунктом 5 части 1 статьи 12 Федерального закона от 4 мая 2011 г. N 99-ФЗ "О лицензировании отдельных видов деятельности" лицензированию подлежит деятельность по технической защите конфиденциальной информации. Перечень работ и услуг, составляющих указанный лицензируемый вид деятельности, определен Положением о лицензировании деятельности по технической защите конфиденциальной информации, утвержденным постановлением Правительства Российской Федерации от 3 февраля 2012 г. N 79.

Вместе с тем в соответствии с частью 1 статьи 19 Федерального закона "О персональных данных" от 27 июля 2006 г. N 152-ФЗ оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных.

В пункте 3 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 установлено, что безопасность персональных данных при их обработке в информационный системе обеспечивает оператор этой системы, который обрабатывает персональные данные, или лицо, осуществляющее обработку персональных данных по поручению оператора на основании заключенного с этим лицом договора. Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке в информационной системе.

В соответствии с пунктом 2 Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. N 21, для выполнения работ по обеспечению безопасности персональных данных могут привлекаться на договорной основе юридическое лицо или индивидуальный предприниматель, имеющие лицензию на деятельность по технической защите конфиденциальной информации.

Начальник 1 управления

ФСТЭК России

Н.МАРТИНЕЦ

Задайте вопрос юристу:
+7 (499) 703-46-71 - для жителей Москвы и Московской области
+7 (812) 309-95-68 - для жителей Санкт-Петербурга и Ленинградской области