Снова близится 15е число, и это значит, что надо не забыть сообщить об изменениях в уведомлении об обработке персональных данных, если они произошли в августе.
У "Стандарта безопасности" изменения были и мы дисциплинировано вчера оформили Уведомление об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных.
Напоминаю, что форма уведомления здесь.

Мама с папой не велят!
Или когда уже и не спросят

В одном из аудитов поднимали вопрос - с какого возраста несовершеннолетний может подписать согласие на обработку персональных данных, договор об оказании платных медицинских услуг, ИДС (информированное добровольное согласие на медицинское вмешательство).

Что за штука ИДС? Все видели , все подписывали при обращении в медицинские учреждения. Без этого документа доктор даже не пожмякает пальпирует и давление не измеряет. Ну это так, лирическое отступление, для тех кто не очень в теме.

На первый взгляд вообще все просто. Согласно ч. 2 ст. 54 Федерального закона от 21.11.2011 № 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации" (ФЗ №323) несовершеннолетние в возрасте старше пятнадцати лет или больные наркоманией несовершеннолетние в возрасте старше шестнадцати лет имеют право на ИДС или на отказ от него. Тот же смысл несет п. 1 ч. 2 ст. 20 ФЗ № 323.
При этом законодатель не делает различий для отдельных видов медицинских вмешательств, будь то осмотр, термометрия или забор крови. Особняком стоит только трансплантация, когда ИДС подписывает только совершеннолетний реципиент. За несовершеннолетнего реципиента ИДС подписывает законный представитель.

Таким образом, человеческие детёныши в возрасте 15-17 лет могут абсолютно легально подписывать ИДС на любой вид медицинского вмешательства самостоятельно (помним про трансплантацию и лиц, больных наркоманией). Законным представителям подписывать за них ИДС не нужно.

Вы вот наверное думаете, а зачем же это мне дали в руки лопату и я стала копать в этом направлении, где связь с персональными данными?

Связь абсолютно закономерна, Если ФЗ № 323 позволяет напрямую коммуницировать с несовершеннолетним, то и согласие на обработку персональных данных (если оно действительно требуется) подписывает сам несовершеннолетний. Цели собирать персональные данные родителя такого несовершеннолетнего уже нет, важно исключить из практики избыточный сбор персональных данных.

Могут ли подростки 15-17 лет заключать договоры на предоставление платных медицинских услуг?

Вот тут начинается интересное.
Несовершеннолетний 14-18 лет вправе без согласия родителей, усыновителей или попечителей совершать мелкие бытовые сделки и ряд других сделок, предусмотренных п. 2 ст. 28 ГК РФ.
В остальных случаях, несовершеннолетние в возрасте от 14 до 18 лет совершают сделки, за исключением названных в п. 2 ст. 26 ГК РФ, с письменного согласия своих законных представителей - родителей, усыновителей или попечителя (п. 1 ст. 26 ГК РФ). При этом сделка, совершенная таким несовершеннолетним, действительна также при ее последующем письменном одобрении его родителями, усыновителями или попечителем.

Вряд ли заключение договора на предоставление платных медицинских услуг кто-то осмелится отнести к мелким бытовым сделкам 🤔Пункт 2 ст. 28 ГК РФ про такие сделки ни-ни.

Что в итоге?
Детки-конфетки в возрасте 15-17 лет вправе самостоятельно заключить договор о предоставлении платных медицинских услуг только при наличии письменного согласия их законных представителей. А ИДС и согласие на обработку персональных данных при этом могут подписать сами подростки, без каких-то условностей.

Когда вообще вам это может пригодиться, если вы не сотрудник медицинской организации?

Вот отправили Вы свою несовершеннолетнюю кровинушку учиться в другой город, а он заболел, пришлось отправиться в медицинский центр, там отказываются оформлять документы без подписи родителя.
Теперь знаете, где требуется ваше согласие, а где уже оторвался от мамкиной юбки/папкиной штанины)

На последок. Как получить согласие клинике, если родителей нет рядом? Можно в договоре указать срок, когда такое согласие будет предоставлено.

#персональныеданные
#152фз
#медицина

☝️Маленький, но очень важный нюанс про уведомления на портале Роскомнадзора, или как не стать депресусликом

Многие идут по пути формирования уведомления об обработке персональных данных и об изменений сведений, так сказать по старинке, в бумажном виде (формируют на портале Роскомнадзора, распечатывают и с подписью отправляют в территориальное управление).

После успешного формирования любого из уведомлений на портале Роскомнадзора документу присваивается номер и ключ.
В случае обнаружения в уведомлении об обработке персональных данных орфографических ошибок, недочетов, да просто забыли что-то указать, можно зайти в пустую форму уведомления, ввести номер уведомления и ключ в строку «Заполнить форму данными из ранее направленного уведомления», откроется уведомление для редактирования, всё то, что отправили в первом, «неудачном» уведомлении. Здесь исправляете всё, что планировали, вновь отправляете и только исправленный вариант с подписью уполномоченного лица направляете в территориальное управление Роскомнадзора по адресу регистрации оператора в налоговом органе.

Уведомление об обработке персональных данных подается один раз!
После того, как сведения внесены в реестр операторов персональных данных (проверить по ИНН https://pd.rkn.gov.ru/operators-registry/operators-list), сообщить об изменениях необходимо путем направления Уведомления об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных.
Оно формируется аналогично первичному уведомлению, за исключением – заполнять необходимо не все разделы, а только с красными * и те, что хотите дополнить или исправить.

Расширенный эмоциональный диапазон гарантирован, когда попытаетесь «Заполнить форму данными из ранее направленного уведомления», если аналогично первому примеру не получилось все учесть с первого дубля. Введёте номер уведомления и ключ уведомления об изменении сведений и ничего хорошего не произойдет, заполнена будет только информация с красными *, а это вообще ни о чем – наименование, адрес и всякое такое. Все придется заполнять заново.

✏Решение проблемы. Пользоваться функционалом «Сохранить черновик», если нет уверенности в том, что все делаете правильно и есть необходимость посовещаться с коллегами.

Как вносить изменения дальше, когда Роскомнадзор уже учел уведомление об изменении сведений, а вам опять есть о чем рассказать?
Заходите в пустую форму Уведомления об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, заполняйте поля с красными звездочками и информация по целям обработки персональных данных отобразится в форме с возможностью редактирования: оставить без изменений или изменить.


#персональныеданные
#152фз
#роскомнадзор

Настало время офигительных историй или чем я занимаюсь в свободное от работы время.

Сегодня наконец-то удалось пойти в бассейн. И знаете, есть такие кто вжух-вжух по дорожке (это я), а есть кто приходит с подружкой и 40 минут беседуют в воде.

И вот выныриваю я на фразе «что вообще в этой политике писать?»

Ну мало ли какая политика может быть… учетная, например, - подумала я и нырнула дальше.

Следующий мой круг, а подружки все на том же месте, на соседней дорожке: «какие цели обработки персональных данных?»

Ой, мои хорошие, подумала, все-таки про нее, родимую, говорят - политику конфиденциальности.

Эээх, визитки-то с собой нет 😁а то бы можно было и добро причинить людям…

Еще раз убедилась , что занимаюсь актуальными вопросами, нравится это всё ☺️

Пишите в личные сообщения @margarita_lysova, если работа с персональными не дает вам покоя ✏️

Нельзя просто уйти из Роскомнадзора и перестать рассказывать о безопасности личных данных.
Зарекалась не отнимать у коллег хлеб😁 Но они явно не в обиде

Подтверждение тому, что я все делаю правильно, сообщение от подписчика в тему сторис о работе со студентами - недавняя история из жизни о мошенничестве с персональными данными⬆️.
И такая дребедень каждый день, то тюлень позвонит, то олень.

Вообще нравится мне название информационной кампании "Клади трубку" - это прям совет № 1 в любой непонятной ситуации!

Простые, но такие важные правила ⬇
И не ленитесь, отправьте близкому кругу, особенно старшим родственникам 📨

Важно ли вам ощущать себя в безопасности?

Лично мне –да. Жизненно необходимо чувствовать стабильность во всем – окружение, обстановка, место. Если какой-то элемент шатается и я начинаю «барахлить».
Поэтому есть потребность создать в отношении себя модель угроз безопасности и спроектировать систему защиты. Я в процессе…

Кто не в теме, это не психологические термины. Это профессиональная деформация информационной безопасностью 🤭
Знаете, что за зверюга такая модель угроз? Хотите расскажу, кому, зачем и почему она нужна? Ставь 🔥 , если -да

Существует стереотип о женской говорливости (в сравнении с мужчинами), научного подтверждения этому нет, зато есть практическое - в моем лице. Иногда по пол дня на телефоне, собирая информацию о процессах обработки данных клиентов. Или наоборот досконально, в подробностях, разбираем как внедрить то, что уже написано нами на бумаге. И то и то крайне важно для хорошего результата. В общем, ежедневно трудимся для безопасности☺

Даже после насыщенного беседами рабочего дня, я готова продолжить разговоры дома. Там все не менее интересно.

И вам приятных собеседников, особенно на пороге выходных 😊

Ну что, начнем разбираться с угрозами безопасности?
При подготовке уведомления в Роскомнадзор все (ну как все… все, кто делает с чувством, толком, расстановкой, а не «дайте списать») были вынуждены заглянуть в статью 19 ФЗ «О персональных данных», она касается мер по обеспечению безопасности персональных данных.

Безопасность персональных данных обеспечивается, в частности, определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

Примерно на этом чтение статьи заканчивается и «дайте списать?»🙃

Информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

С каждой новой фразой как будто бы становится только сложнее? Да ну ладно вам... 🤗

Любая компания обрабатывает данные – фамилия, имя, отчество, номер телефона, адрес электронной почты и погнали дальше, кто во что горазд. Представить, что кто-то до сих пор учитывает деловые коммуникации и данные своих сотрудников на бумаге, уже не реально. Поэтому все эти персональные данные, а также «штуковина» (система), которая их обрабатывает, и есть ИСПДн.

Проще говоря, ИСПДн — это хранилище информации, и всё, что помогает эту информацию собирать, хранить, обрабатывать и защищать. Например, кадровые и бухгалтерские системы, системы учета клиентов, системы электронного документооборота и т.п.

Возвращаемся в начало, если есть персональные данные, значит их необходимо защищать. Чтобы что-то защитить, неплохо было бы понять откуда вообще можно ждать опасности, кто враг? Невозможно выстроить эффективную защиту, не зная от чего конкретно защищаться.

Вот представьте, вам предложили поехать в отпуск, но не сказали куда. Вы взяли с собой панаму, чтобы защититься от солнца, а вас привезли созерцать пингвинов в неприветливую Антарктиду… Упс, панама не пригодится, все мечты о шапке-ушанке.

Чего мы боимся, при работе с персональными данными? Что под влиянием чего-либо произойдет уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.

Рассмотрим типы актуальных угроз, их 3:
угрозы 1-го типа (самые серьезные) — связаны с наличием недекларированных (незадокументированных) возможностей в системном программном обеспечении. Это неизвестные уязвимости в операционных системах, антивирусах, служебных программах. Эти угрозы наиболее сложны для выявления, поскольку находятся на уровне базового ПО;

угрозы 2-го типа— связаны с недекларированными возможностями в прикладном программном обеспечении. К этой категории относятся уязвимости в СУБД, бухгалтерских программах, CRM-системах и другом специализированном ПО, используемом для обработки персональных данных;

угрозы 3-го типа— включают все остальные
угрозы, не относящиеся к первым двум категориям. К таким угрозам можно отнести неавторизованный доступ, неправомерные действия персонала, вредоносное ПО (вирусы, трояны, шифровальщики) и т.п.

Определение типа угроз безопасности персональных данных, актуальных для ИСПДн, производится оператором с учетом оценки возможного вреда, проведенной во исполнение п.5 ч. 1 ст. 18.1 ФЗ «О персональных данных», и в соответствии с нормативными правовыми актами, принятыми во исполнение ч. 5 ст.19 ФЗ «О персональных данных».
На практике для большинства негосударственных информационных систем актуальными признаются угрозы 3-го типа. Угрозы 1-го и 2-го типов, как правило, характерны для государственных информационных систем, систем с повышенными требованиями к защите информации или систем, обрабатывающих специальные категории персональные данные.

Дальше будем разбираться? Ставь –🔥
Или «ой всё, не нуди…» -😴

#персональныеданные
#152фз