Времена нестабильные, начинаю дублировать информацию в MAX, и в ВК
П.С. Мне это всё тоже без радости, развиваем в себе высокую адаптивность, не ворчите ❤️
П.С. Мне это всё тоже без радости, развиваем в себе высокую адаптивность, не ворчите ❤️
MAX
MAX – быстрое и легкое приложение для общения и решения повседневных задач
MAX позволяет отправлять любые виды сообщений и звонить даже на слабых устройствах и при низкой скорости интернета.
👍14🤔10👌10
После сообщения про новый канал коммуникации, кто-то дезертировал😁и я подумала, может есть те, кто вообще не понимают, где оказались и о чем пишу. Настало время обновить пост-знакомство.
Я Маргарита Лысова,
· начальник аналитического отдела департамента информационной безопасности ООО «Стандарт безопасности»,
· эксперт в области защиты персональных данных с 12-летним опытом руководства отделом контроля и надзора за соблюдением законодательства в сфере персональных данных территориального управления Роскомнадзора,
· юрист.
В этом канале мы обсуждаем всё, о чем болит голова у тех, кто работает с персональными данными:
✔Как должны выглядеть согласие на обработку персональных данных и политика конфиденциальности?
✔Как подать Уведомление об обработке персональных данных в Роскомнадзор?
✔Какие документы нужны самозанятому, ИП, крупной организации?
Помогу разработать обязательные документы и избежать штрафов.
Знаю, что делать, если пришло требование Роскомнадзора‼️
Только актуальная информация, кейсы из собственной и судебной практики.
Связаться со мной:
Telegram
MAX
ВК
Я Маргарита Лысова,
· начальник аналитического отдела департамента информационной безопасности ООО «Стандарт безопасности»,
· эксперт в области защиты персональных данных с 12-летним опытом руководства отделом контроля и надзора за соблюдением законодательства в сфере персональных данных территориального управления Роскомнадзора,
· юрист.
В этом канале мы обсуждаем всё, о чем болит голова у тех, кто работает с персональными данными:
✔Как должны выглядеть согласие на обработку персональных данных и политика конфиденциальности?
✔Как подать Уведомление об обработке персональных данных в Роскомнадзор?
✔Какие документы нужны самозанятому, ИП, крупной организации?
Помогу разработать обязательные документы и избежать штрафов.
Знаю, что делать, если пришло требование Роскомнадзора‼️
Только актуальная информация, кейсы из собственной и судебной практики.
Связаться со мной:
Telegram
MAX
ВК
👍16❤14👏13
Нет-нет да и да - знакомые обращаются за коротким советом по моей теме. Иногда вообще не по моей (#тыжюрист). И возникает дилемма – вписаться в «короткий» совет вечера на 2-3 после работы, чтобы разобраться во всех нюансах и не подвести знакомого, или аккуратно расставить границы. Догадались какой мой вариант?
Но я с собой борюсь, наверное, поэтому мне и попался отличный анекдот.
- Саша, хотел у тебя спросить совета.
- Погоди, тебе совет или консультацию?
- А в чем разница?
- Совет бесплатный, а консультация за деньги.
- Тогда совет, конечно!
- Мой тебе совет: запишись на консультацию! (*здесь могла бы быть Ваша (читай «моя») реклама😁)
Я это все к чему? Если на вопрос сходу и однозначно нельзя ответить да или нет, скорее всего коротким советом не обойтись.
Тот, кто хоть немного соприкасался с ФЗ «О персональных данных», понимает, что в этой сфере вообще не идет речи об однозначных ответах, сплошные тонкости.
Однако, есть и база.
Сегодня база об условиях сбора персональных данных на сайте (формы обратной связи, подписка на новости, регистрация и т.п).
На кого зарегистрировали сайт – это вообще без разницы. Индивидуальный предприниматель, физическое или юридическое лицо, Роскомнадзор или прокуратура спросят с любого: законно ли осуществляется обработка персональных данных?
Полный перечень условий обработки персональных данных определен в ч. 1ст. 6 ФЗ «О персональных данных» (не берем в расчет биометрию и специальные категории).
Сегодня остановимся на неправильном получении согласия на обработку персональных данных. Согласие субъекта персональных данных в перечне условий - первое, но мой бесплатный совет: поищите другое подходящее условие. Например, оферта или пользовательское соглашение/регламент работы сайта и т.п.
Частая ошибка при получении согласия на обработку персональных данных на сайте – вписать его в текст Политики конфиденциальности и галочка «Нажимая на кнопку, вы соглашаетесь с Политикой конфиденциальности».
Почему так нельзя?
Запоминайте!
Политика – для всех, и с ней можно только ознакомиться, а не подписать или согласиться с ее условиями. Это обязательный документ, в котором оператор определяет правила обработки персональных данных.
Согласие – каждый индивидуально за себя подпишет/кликнет мышью и волю свою изъявит, а потом отзовет, если захочет.
*И все-таки...😁
Обратиться за консультацией:
Telegram
MAX
ВК
#персональныеданные
#согласиенаобработку
#политикаконфиденциальности
Но я с собой борюсь, наверное, поэтому мне и попался отличный анекдот.
- Саша, хотел у тебя спросить совета.
- Погоди, тебе совет или консультацию?
- А в чем разница?
- Совет бесплатный, а консультация за деньги.
- Тогда совет, конечно!
- Мой тебе совет: запишись на консультацию! (*здесь могла бы быть Ваша (читай «моя») реклама😁)
Я это все к чему? Если на вопрос сходу и однозначно нельзя ответить да или нет, скорее всего коротким советом не обойтись.
Тот, кто хоть немного соприкасался с ФЗ «О персональных данных», понимает, что в этой сфере вообще не идет речи об однозначных ответах, сплошные тонкости.
Однако, есть и база.
Сегодня база об условиях сбора персональных данных на сайте (формы обратной связи, подписка на новости, регистрация и т.п).
На кого зарегистрировали сайт – это вообще без разницы. Индивидуальный предприниматель, физическое или юридическое лицо, Роскомнадзор или прокуратура спросят с любого: законно ли осуществляется обработка персональных данных?
Полный перечень условий обработки персональных данных определен в ч. 1ст. 6 ФЗ «О персональных данных» (не берем в расчет биометрию и специальные категории).
Сегодня остановимся на неправильном получении согласия на обработку персональных данных. Согласие субъекта персональных данных в перечне условий - первое, но мой бесплатный совет: поищите другое подходящее условие. Например, оферта или пользовательское соглашение/регламент работы сайта и т.п.
Частая ошибка при получении согласия на обработку персональных данных на сайте – вписать его в текст Политики конфиденциальности и галочка «Нажимая на кнопку, вы соглашаетесь с Политикой конфиденциальности».
Почему так нельзя?
Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или)подписывает субъект персональных данных. (ч. 1 ст. 9 ФЗ "О персональных данных"
Запоминайте!
Политика – для всех, и с ней можно только ознакомиться, а не подписать или согласиться с ее условиями. Это обязательный документ, в котором оператор определяет правила обработки персональных данных.
Согласие – каждый индивидуально за себя подпишет/кликнет мышью и волю свою изъявит, а потом отзовет, если захочет.
*И все-таки...😁
Обратиться за консультацией:
Telegram
MAX
ВК
#персональныеданные
#согласиенаобработку
#политикаконфиденциальности
👍11❤8🔥7👌6
Повод НЕ взять согласие на обработку персональных данных
За 13 лет работы я с разных сторон заглянула в процессы обработки персональных данных как крупных предприятий и органов власти, так и самозанятых. Проблема одна на всех – нет понимания, когда обработка персональных данных разрешена или допустима в соответствии с законодательством. Отсюда поголовное получение согласий, везде и пачками.
Поэтому решила каждую неделю обращать ваше внимание на то, когда согласие брать не требуется. Пусть в этом суетном мире станет одной ненужной бумажкой меньше!
Начнем с нетривиального…
Правительство РФ утвердило Правила ведения Федерального регистра лиц с отдельными заболеваниями (постановлением от 31 мая 2025 г. № 822, с 01.03.2026).
Государство формирует систему учета пациентов – для контроля оказания медицинской помощи и планирования бюджетных расходов, в том числе на дорогостоящее лечение и лекарственное обеспечение.
О ком будут внесены данные в регистр?
В регистр попадет значительная часть населения, в том числе все женщины, с которыми случились беременность и роды (🙋), а также пациенты с онкологическими заболеваниями, сахарным диабетом, психическими расстройствами, сердечно-сосудистыми заболеваниями, болезнями печени, хроническими обструктивными болезнями легких. Это если в общих чертах.
В регистр будут внесены как общие сведения о пациентах (фамилия, имя, отчество; пол; дата рождения; место рождения; гражданство; данные документа, удостоверяющего личность; место жительства; место регистрации; дата регистрации; СНИЛС; номер полиса обязательного медицинского страхования застрахованного лица), так и конкретика по заболеванию и его лечению.
Существование Федерального регистра лиц с отдельными заболеваниями обусловлено положениями Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», порядок ведения - Постановлением Правительства РФ от 31 мая 2025 г. № 822.
Участники информационного взаимодействия, поставщики и пользователи, функции определены законодательством, поэтому согласие пациента на включение его данных в такой регистр не требуется. Более того, исключение записей из регистра не предусмотрено!
П.С. Можете и бубубу на тему, что нас опять куда-то включили, написать)
#персональныеданные
#согласиенаобработку
Оставайся на связи
ВК
Telegram
За 13 лет работы я с разных сторон заглянула в процессы обработки персональных данных как крупных предприятий и органов власти, так и самозанятых. Проблема одна на всех – нет понимания, когда обработка персональных данных разрешена или допустима в соответствии с законодательством. Отсюда поголовное получение согласий, везде и пачками.
Поэтому решила каждую неделю обращать ваше внимание на то, когда согласие брать не требуется. Пусть в этом суетном мире станет одной ненужной бумажкой меньше!
Начнем с нетривиального…
Правительство РФ утвердило Правила ведения Федерального регистра лиц с отдельными заболеваниями (постановлением от 31 мая 2025 г. № 822, с 01.03.2026).
Государство формирует систему учета пациентов – для контроля оказания медицинской помощи и планирования бюджетных расходов, в том числе на дорогостоящее лечение и лекарственное обеспечение.
О ком будут внесены данные в регистр?
В регистр попадет значительная часть населения, в том числе все женщины, с которыми случились беременность и роды (🙋), а также пациенты с онкологическими заболеваниями, сахарным диабетом, психическими расстройствами, сердечно-сосудистыми заболеваниями, болезнями печени, хроническими обструктивными болезнями легких. Это если в общих чертах.
В регистр будут внесены как общие сведения о пациентах (фамилия, имя, отчество; пол; дата рождения; место рождения; гражданство; данные документа, удостоверяющего личность; место жительства; место регистрации; дата регистрации; СНИЛС; номер полиса обязательного медицинского страхования застрахованного лица), так и конкретика по заболеванию и его лечению.
Существование Федерального регистра лиц с отдельными заболеваниями обусловлено положениями Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», порядок ведения - Постановлением Правительства РФ от 31 мая 2025 г. № 822.
Участники информационного взаимодействия, поставщики и пользователи, функции определены законодательством, поэтому согласие пациента на включение его данных в такой регистр не требуется. Более того, исключение записей из регистра не предусмотрено!
П.С. Можете и бубубу на тему, что нас опять куда-то включили, написать)
#персональныеданные
#согласиенаобработку
Оставайся на связи
ВК
Telegram
Telegram
Про персональные данные | Маргарита Лысова
Эксперт по защите персональных данных, юрист, 12 лет в деле
Автор канала: https://t.me/margarita_lysova
Автор канала: https://t.me/margarita_lysova
❤14🔥14🙏12👍3🤔1
Соседские разборки или «А давайте скинемся на штраф?!»
ТСЖ опубликовало в мессенджере Telegram фамилию, инициалы имени и отчества, номер квартиры одного из жильцов, который не давал на это согласие. Гражданин возмутился и пожаловался в Роскомнадзор.
Спойлер в заголовке – для ТСЖ закончилось плохо.
ТСЖ утверждало, что законно обрабатывало персональные данные гражданина в соответствии с пп. 2 и 7 ч. 1 ст. 6 ФЗ «О персональных данных» (обработка разрешена или необходима согласно законодательству, обработка персональных данных осуществляется для осуществления прав и законных интересов оператора).
Суд с этим не согласился, указав на то, что такое раскрытие информации вне закона, усилив позицию ст. 152.2 Гражданского кодекса Российской Федерации: если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
Решением Арбитражного суда Краснодарского края ТСЖ привлечено к административной ответственности по ч. 1.1 ст. 13.11 КоАП РФ в виде штрафа в размере 150 000 рублей.
Суд апелляционной инстанции не усмотрел оснований для иного вывода.
Почему нарушение квалифицировано по ч. 1.1 ст. 13.11 КоАП РФ?
Ранее ТСЖ привлекалось к административной ответственности за незаконную обработку персональных данных (по ч. 1 ст. 13.11 КоАП РФ). Имело место отягчающее обстоятельство – повторное однородное нарушение в течение одного года. Прошла неделя с вступления в силу постановления по первому нарушению до новой публикации…
❗️ Подведем черту
Используйте общедомовые/соседские/дачные чаты для цивилизованного решения общих вопросов, без указания каких-либо данных соседей или будьте готовы к претензиям и штрафам.
Размещение персональных данных в открытом доступе создает угрозу причинения имущественного вреда субъекту персональных данных.
Если ТСЖ получило штраф, то источником для его уплаты являются взносы членов товарищества.
Получается, что сосед (если он, конечно, собственник) жалобой в Роскомнадзор сам выстрелил себе в колено.
#персональныеданные
#фз152
ТСЖ опубликовало в мессенджере Telegram фамилию, инициалы имени и отчества, номер квартиры одного из жильцов, который не давал на это согласие. Гражданин возмутился и пожаловался в Роскомнадзор.
Спойлер в заголовке – для ТСЖ закончилось плохо.
ТСЖ утверждало, что законно обрабатывало персональные данные гражданина в соответствии с пп. 2 и 7 ч. 1 ст. 6 ФЗ «О персональных данных» (обработка разрешена или необходима согласно законодательству, обработка персональных данных осуществляется для осуществления прав и законных интересов оператора).
Суд с этим не согласился, указав на то, что такое раскрытие информации вне закона, усилив позицию ст. 152.2 Гражданского кодекса Российской Федерации: если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
Решением Арбитражного суда Краснодарского края ТСЖ привлечено к административной ответственности по ч. 1.1 ст. 13.11 КоАП РФ в виде штрафа в размере 150 000 рублей.
Суд апелляционной инстанции не усмотрел оснований для иного вывода.
Почему нарушение квалифицировано по ч. 1.1 ст. 13.11 КоАП РФ?
Ранее ТСЖ привлекалось к административной ответственности за незаконную обработку персональных данных (по ч. 1 ст. 13.11 КоАП РФ). Имело место отягчающее обстоятельство – повторное однородное нарушение в течение одного года. Прошла неделя с вступления в силу постановления по первому нарушению до новой публикации…
Используйте общедомовые/соседские/дачные чаты для цивилизованного решения общих вопросов, без указания каких-либо данных соседей или будьте готовы к претензиям и штрафам.
Размещение персональных данных в открытом доступе создает угрозу причинения имущественного вреда субъекту персональных данных.
Если ТСЖ получило штраф, то источником для его уплаты являются взносы членов товарищества.
Получается, что сосед (если он, конечно, собственник) жалобой в Роскомнадзор сам выстрелил себе в колено.
#персональныеданные
#фз152
Please open Telegram to view this post
VIEW IN TELEGRAM
👍25🔥24💯19❤8🥰1🙏1
This media is not supported in your browser
VIEW IN TELEGRAM
👍22🔥15🍌15
Благими намерениями вымощена дорога в суд или хотели как лучше, получилось как всегда…
Женщина письменно обратилась в Министерство спорта Республики М... (это я так силюсь не вгонять никого в краску) и не получила ответ.
Заявительница в комментариях под постом на официальной странице Главы Республики М… в социальной сети обнаружила, что Министерство ведет дискуссию по вопросу, указанному в ее обращении, с пользователем социальной сети, которая представилась родственницей заявительницы (фамилия совпадает).
Родственница вела переписку о неполучении от Минспорта ответа на обращение заявительницы.
Минспорта запросили у родственницы-комментатора адрес электронной почты для дублирования ответа на обращение.
Таким образом, родственнице на ее электронную почту, направленную в личные сообщения, Минспортом был направлен ответ на чужое обращение, заявителем по которому она не являлась.
Указанный документ содержал персональные данные заявительницы, а именно: Ф.И.О. полностью, адрес регистрации/проживания. Согласие на предоставление персональных данных заявительницы третьим лицам отсутствовало.
История умалчивает о том, какие взаимоотношения между заявительницей и неравнодушной родственницей, но факт остается фактом – персональные данные переданы без правовых оснований третьему лицу, конфиденциальность нарушена.
Вопреки доводам Министерства, суд отказал в применении положений статьи 2.9 КоАП РФ о малозначительности. Однако, штраф был заменен на предупреждение.
Финансовых потерь удалось избежать на этот раз, но так больше не повезет, если в течение года Министерством будет допущено нарушение, связанное с незаконной обработкой персональных данных.
❗️ Подведем черту
🔹Кто обратился, тому и необходимо направить ответ на обращение, даже если очень хочется стать ближе к людям и снизить градус бюрократии.
🔹Воздержитесь от предоставления в социальных сетях развернутых комментариев по ранее направленным официальным обращениям, тем более от дублирования ответов на адреса, отличающиеся от указанных в обращении.
Больше всех на эти «братские» крючки рискуют попасть медицинские организации и схлопотать штраф до 700 000 рублей.
Направьте этот пост всем, кто непосредственно работает с людьми, и может «перестараться». А то я не хочу говорить, что предупреждала😁
#персональныеданные
#фз152
Женщина письменно обратилась в Министерство спорта Республики М... (это я так силюсь не вгонять никого в краску) и не получила ответ.
Заявительница в комментариях под постом на официальной странице Главы Республики М… в социальной сети обнаружила, что Министерство ведет дискуссию по вопросу, указанному в ее обращении, с пользователем социальной сети, которая представилась родственницей заявительницы (фамилия совпадает).
Родственница вела переписку о неполучении от Минспорта ответа на обращение заявительницы.
Минспорта запросили у родственницы-комментатора адрес электронной почты для дублирования ответа на обращение.
Таким образом, родственнице на ее электронную почту, направленную в личные сообщения, Минспортом был направлен ответ на чужое обращение, заявителем по которому она не являлась.
Указанный документ содержал персональные данные заявительницы, а именно: Ф.И.О. полностью, адрес регистрации/проживания. Согласие на предоставление персональных данных заявительницы третьим лицам отсутствовало.
История умалчивает о том, какие взаимоотношения между заявительницей и неравнодушной родственницей, но факт остается фактом – персональные данные переданы без правовых оснований третьему лицу, конфиденциальность нарушена.
Операторы и иные лица, получившие доступ к персональным данным,
обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом (ст. 7 ФЗ «О персональных данных»).
Вопреки доводам Министерства, суд отказал в применении положений статьи 2.9 КоАП РФ о малозначительности. Однако, штраф был заменен на предупреждение.
Финансовых потерь удалось избежать на этот раз, но так больше не повезет, если в течение года Министерством будет допущено нарушение, связанное с незаконной обработкой персональных данных.
🔹Кто обратился, тому и необходимо направить ответ на обращение, даже если очень хочется стать ближе к людям и снизить градус бюрократии.
🔹Воздержитесь от предоставления в социальных сетях развернутых комментариев по ранее направленным официальным обращениям, тем более от дублирования ответов на адреса, отличающиеся от указанных в обращении.
Больше всех на эти «братские» крючки рискуют попасть медицинские организации и схлопотать штраф до 700 000 рублей.
Направьте этот пост всем, кто непосредственно работает с людьми, и может «перестараться». А то я не хочу говорить, что предупреждала😁
#персональныеданные
#фз152
Please open Telegram to view this post
VIEW IN TELEGRAM
👍23🕊19💘18✍12🐳3❤1🙏1💯1
За последнюю неделю мне столько прилетело «смотри, это же нарушение ФЗ «О персональных данных?», что уже за голову хочется схватиться.
Рада, что мои читатели, даже те, кто совсем далек от сферы права, настолько в теме, что сами видят огрехи. В том числе для этого и затевалась моя публичность.
Накануне годовщины работы в коммерции гоняю мысли достигла ли я того, чего хотела…. Еще немного погоняю, и торжественно расскажу 1 апреля.
Вы пока подумайте над тем относятся ли фотографии бьюти-мастеров на тему «ногти, отдельные части тела, брови, ресницы и т.п.» к персональным данным? 🤔
Такое домашнее задание, а я потом расскажу.
Рада, что мои читатели, даже те, кто совсем далек от сферы права, настолько в теме, что сами видят огрехи. В том числе для этого и затевалась моя публичность.
Накануне годовщины работы в коммерции гоняю мысли достигла ли я того, чего хотела…. Еще немного погоняю, и торжественно расскажу 1 апреля.
Вы пока подумайте над тем относятся ли фотографии бьюти-мастеров на тему «ногти, отдельные части тела, брови, ресницы и т.п.» к персональным данным? 🤔
Такое домашнее задание, а я потом расскажу.
❤14👌10⚡7🐳5👍1
Люблю праздники, поэтому с удовольствием отмечу тот факт, что сегодня 1 год работы в ООО «Стандарт безопасности»❤️
Долгих рассуждений и сравнений с «бывшим» не будет.
Решает не место, а люди!
По большому счету все равно где работать, главное - с кем.
Посмотрим, сможем ли мы трудиться вместе до пенсии😁
Про цели … главная достигнута - произошел уход от мышления в формате административных регламентов. Гораздо шире посмотрели на ФЗ «О персональных данных», теперь думаем не только о том, как правильно, но и чтоб работать не мешало.
Однажды нареченнные ПДшными ведьмами*, ими и остаемся.
*в хорошем смысле этого слова: ведьмы - ведают знаниями 🪄
Долгих рассуждений и сравнений с «бывшим» не будет.
Решает не место, а люди!
По большому счету все равно где работать, главное - с кем.
Посмотрим, сможем ли мы трудиться вместе до пенсии😁
Про цели … главная достигнута - произошел уход от мышления в формате административных регламентов. Гораздо шире посмотрели на ФЗ «О персональных данных», теперь думаем не только о том, как правильно, но и чтоб работать не мешало.
Однажды нареченнные ПДшными ведьмами*, ими и остаемся.
*в хорошем смысле этого слова: ведьмы - ведают знаниями 🪄
❤32👍31🎉30🌚4
Да здравствует наш суд, самый гуманный суд в мире!
Вопрос почему там, где санкция - штраф от 3 млн руб, назначено предупреждение, останется без ответа (без моего точно), но это решение по ч. 12 ст. 13.11 КоАП РФ в отношении оператора связи все же имеет ценность.
В Роскомнадзор поступило уведомление об инциденте, из которого следовало, что в результате DDOS-атаки неустановленных лиц на инфраструктуру оператора связи нарушены права субъектов персональных данных, обрабатываемых оператором.
Неустановленными лицами получен доступ к персональным данным абонентов: ФИО, серия и номер паспорта, дата рождения, адрес. Количество скомпрометированных строк - 4226.
Из дополнительного уведомления оператора в Роскомнадзор следовало, что в результате атаки злоумышленники получили доступ к сетевому оборудованию, физическим серверам и виртуальной инфраструктуре.
Данные оказались слиты в Telegram в группе хакерской группировки и содержали данные абонентов из биллинговой системы, в том числе их логины и пароли.
❗️ Разгромной развязки не будет, но обращу внимание на следующие аспекты
🔷Оператор связи был признан потерпевшим в уголовном деле по ст. 272.1 УК РФ, но это не исключает его вину за собственное бездействие, повлекшее инцидент, и административную ответственность по ст. 13.11 КоАП РФ.
🔷Датой правонарушения (а это влияет на срок привлечения к административной ответственности) признана дата выявления новости в телеграмм-канале, а не момент взлома.
🔷Оператор предоставил в Роскомнадзор отчет ООО «БИЗон» о расследовании инцидента, на основании которого суд заключил, что оператор крайне пренебрежительно относился к требованиям информационной безопасности: своевременно не изменял пароли учетных записей пользователей, не деактивировал учетные записи уволенных сотрудников, использовал программное обеспечение, имеющее критические уязвимости, а также использовал некорректную конфигурацию системы безопасности в операционной системе, чем создавал угрозу утечки персональных данных большого количества пользователей.
Сколько пальцев загнули?🤔
Хакеры получили доступ к инфраструктуре оператора как минимум 30.05.2025, а оператор обнаружил утечку спустя практически 2 недели, когда система легла.
🔷Вишенка на торте - оператор связи является субъектом критической информационной инфраструктуры и ссылался на то, что Приказ ФСТЭК России от 11.02.2013 № 17* допускает утечку данных в информационных системах 3 класса защищенности😱
Судом данный довод отклонен на основании того, что ни в одном из нормативных правовых актов Российской Федерации не содержится допущение утечки информации, содержащей персональные данные третьих лиц для какой-либо из категорий объектов критической информационной инфраструктуры Российской Федерации. Отнесение общества к какой-либо категории критической информационной инфраструктуры Российской Федерации не дает ему право нарушать права субъектов персональных данных.
*Напоминаю, что с 1 марта 2026 вступил в силу Приказ ФСТЭК № 117, утвердивший новые Требования о защите информации в государственных информационных системах, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений.
Но это уже совершенно другая история😊
П.С.
Посмотреть вебинар по КИИ
Вопрос почему там, где санкция - штраф от 3 млн руб, назначено предупреждение, останется без ответа (без моего точно), но это решение по ч. 12 ст. 13.11 КоАП РФ в отношении оператора связи все же имеет ценность.
В Роскомнадзор поступило уведомление об инциденте, из которого следовало, что в результате DDOS-атаки неустановленных лиц на инфраструктуру оператора связи нарушены права субъектов персональных данных, обрабатываемых оператором.
Неустановленными лицами получен доступ к персональным данным абонентов: ФИО, серия и номер паспорта, дата рождения, адрес. Количество скомпрометированных строк - 4226.
Из дополнительного уведомления оператора в Роскомнадзор следовало, что в результате атаки злоумышленники получили доступ к сетевому оборудованию, физическим серверам и виртуальной инфраструктуре.
Данные оказались слиты в Telegram в группе хакерской группировки и содержали данные абонентов из биллинговой системы, в том числе их логины и пароли.
🔷Оператор связи был признан потерпевшим в уголовном деле по ст. 272.1 УК РФ, но это не исключает его вину за собственное бездействие, повлекшее инцидент, и административную ответственность по ст. 13.11 КоАП РФ.
🔷Датой правонарушения (а это влияет на срок привлечения к административной ответственности) признана дата выявления новости в телеграмм-канале, а не момент взлома.
🔷Оператор предоставил в Роскомнадзор отчет ООО «БИЗон» о расследовании инцидента, на основании которого суд заключил, что оператор крайне пренебрежительно относился к требованиям информационной безопасности: своевременно не изменял пароли учетных записей пользователей, не деактивировал учетные записи уволенных сотрудников, использовал программное обеспечение, имеющее критические уязвимости, а также использовал некорректную конфигурацию системы безопасности в операционной системе, чем создавал угрозу утечки персональных данных большого количества пользователей.
Сколько пальцев загнули?🤔
Хакеры получили доступ к инфраструктуре оператора как минимум 30.05.2025, а оператор обнаружил утечку спустя практически 2 недели, когда система легла.
🔷Вишенка на торте - оператор связи является субъектом критической информационной инфраструктуры и ссылался на то, что Приказ ФСТЭК России от 11.02.2013 № 17* допускает утечку данных в информационных системах 3 класса защищенности😱
Судом данный довод отклонен на основании того, что ни в одном из нормативных правовых актов Российской Федерации не содержится допущение утечки информации, содержащей персональные данные третьих лиц для какой-либо из категорий объектов критической информационной инфраструктуры Российской Федерации. Отнесение общества к какой-либо категории критической информационной инфраструктуры Российской Федерации не дает ему право нарушать права субъектов персональных данных.
*Напоминаю, что с 1 марта 2026 вступил в силу Приказ ФСТЭК № 117, утвердивший новые Требования о защите информации в государственных информационных системах, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений.
Но это уже совершенно другая история😊
П.С.
Посмотреть вебинар по КИИ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍25🔥25🤯24🌭9🥴4
2 вечера подряд провела в салоне и вспомнила, что так и не поделилась своими размышлениями на тему фото до/после процедур - что это вообще?
Под изображением гражданина следует понимать внешний облик гражданина, включающий в себя не только лицо, но внешний вид в целом. Таким образом, положения ст.152.1 ГК РФ направлены на охрану изображения гражданина в целом.
Изображение может позволить увидеть уникальность личности и узнать ее или, наоборот. По некоторым фото со спины даже пол с трудом можно распознать, не то что уж узнать кого-то. Слава оверсайзу😁
Если мы говорим о фотографии частей тела - изображения глаз, бровей, рук или ног, где отсутствуют какие-либо уникальные признаки (например, татуировка, или родимое пятно, отличительная родинка) считаю, что, такое изображение:
-не является изображением в контексте ст. 152.1 ГК РФ,
- не относится к персональным данным, т.к. не обладает идентифицирующими признаками даже косвенными.
Но! Это не значит, что клиент обязан участвовать в такой «локальной» фотосессии, мастер обязательно должен спросить. У клиента должно быть право отказаться от съемки.
Рекомендую в правила оказания услуг или оферту включить условие о возможности фотографирования частей лица/тела и использования их в своем портфолио на сайте или социальных сетях, о чем мастер предупреждает во время съемки и, если клиент не возразил в момент фотосъемки, то он согласился на такое дальнейшее использование фотографии.
Такая оговорка нейтрализует проблемы.
А как вы относитесь к фото до/после, соглашаетесь ?
Под изображением гражданина следует понимать внешний облик гражданина, включающий в себя не только лицо, но внешний вид в целом. Таким образом, положения ст.152.1 ГК РФ направлены на охрану изображения гражданина в целом.
Изображение может позволить увидеть уникальность личности и узнать ее или, наоборот. По некоторым фото со спины даже пол с трудом можно распознать, не то что уж узнать кого-то. Слава оверсайзу😁
Если мы говорим о фотографии частей тела - изображения глаз, бровей, рук или ног, где отсутствуют какие-либо уникальные признаки (например, татуировка, или родимое пятно, отличительная родинка) считаю, что, такое изображение:
-не является изображением в контексте ст. 152.1 ГК РФ,
- не относится к персональным данным, т.к. не обладает идентифицирующими признаками даже косвенными.
Но! Это не значит, что клиент обязан участвовать в такой «локальной» фотосессии, мастер обязательно должен спросить. У клиента должно быть право отказаться от съемки.
Рекомендую в правила оказания услуг или оферту включить условие о возможности фотографирования частей лица/тела и использования их в своем портфолио на сайте или социальных сетях, о чем мастер предупреждает во время съемки и, если клиент не возразил в момент фотосъемки, то он согласился на такое дальнейшее использование фотографии.
Такая оговорка нейтрализует проблемы.
А как вы относитесь к фото до/после, соглашаетесь ?
👍31🥰21❤20✍13🥱1
Говорят, два юриста - три мнения.
В сфере персональных данных это ощущается особенно остро при выборе подхода к выявлению целей обработки персональных данных и их описанию.
Для каждой цели необходимо определить: чьи и какие данные, каким способом и как долго обрабатывать и хранить, а также в каком порядке уничтожаются, когда цель достигнута или утрачена.
Это обязательный минимум по целям для политики в отношении обработки персональных данных/ локального акта по ст. 18.1 ФЗ «О персональных данных».
И тут как раз возникает вариативность.
Можно остановиться на целях крупными мазками, максимально кругло «обработка в целях соблюдения какого-то законодательства» или детализировать цели обработки на процессы, а это уже поле непаханное.
Назрел вопрос, как бы вы хотели видеть описание целей в своей организации, при условии , что поле распахивать не вам ?😁
В сфере персональных данных это ощущается особенно остро при выборе подхода к выявлению целей обработки персональных данных и их описанию.
Для каждой цели необходимо определить: чьи и какие данные, каким способом и как долго обрабатывать и хранить, а также в каком порядке уничтожаются, когда цель достигнута или утрачена.
Это обязательный минимум по целям для политики в отношении обработки персональных данных/ локального акта по ст. 18.1 ФЗ «О персональных данных».
И тут как раз возникает вариативность.
Можно остановиться на целях крупными мазками, максимально кругло «обработка в целях соблюдения какого-то законодательства» или детализировать цели обработки на процессы, а это уже поле непаханное.
Назрел вопрос, как бы вы хотели видеть описание целей в своей организации, при условии , что поле распахивать не вам ?😁
💯14🔥1👏1
Важно ли для вас видеть детально процессы обработки?
Anonymous Poll
79%
Хочу видеть все процессы обработки
21%
Пусть будет максимально кругло
👍21🐳4
Всем привет, феерического возвращения не будет, но вы не расходитесь в любом случае😁
Я по-прежнему люблю ПДшечки и всё, что с ними связано, поэтому просто продолжу транслировать свое экспертное мнение.
Любое ли фото - это биометрические персональные данные?
Не рассказывала бы, если б не видела в этом трудности «в полях».
Фотографии с публичных мероприятий (конференций, круглых столов, выставок, иных публичных сборищ) не относятся к биометрическим персональным данным, потому как не используются для идентификации субъектов персональных данных.
Обычно цель их изготовления - пресс- и пост-релиз, отчет о проведении перед вышестоящей организацией и т.п. При этом идентификация участников публичного мероприятия, если она требуется, осуществляется не на основании фотографии, а путем предоставления документа, удостоверяющего личность.
Не забывайте, фотоизображение лица, случайно попавшего в кадр, также не будет являться биометрическими персональными данными. Даже если вы кого-то узнали (читай «идентифицировали»).
Но! В любом случае не забывайте о правовых основаниях обработки ПДн, особенно при распространении.
🔹изображение + иные персональные данные - условие из ч. 1 ст. 6 ФЗ «О персональных» (если распространить можно только с согласия, то ст. 10.1 ФЗ «О персональных данных»);
🔹только изображение - согласие в соответствии со ст. 152.1 Гражданского кодекса РФ (если нет иных оснований опубликовать изображение).
Я по-прежнему люблю ПДшечки и всё, что с ними связано, поэтому просто продолжу транслировать свое экспертное мнение.
Любое ли фото - это биометрические персональные данные?
Не рассказывала бы, если б не видела в этом трудности «в полях».
Фотографии с публичных мероприятий (конференций, круглых столов, выставок, иных публичных сборищ) не относятся к биометрическим персональным данным, потому как не используются для идентификации субъектов персональных данных.
Обычно цель их изготовления - пресс- и пост-релиз, отчет о проведении перед вышестоящей организацией и т.п. При этом идентификация участников публичного мероприятия, если она требуется, осуществляется не на основании фотографии, а путем предоставления документа, удостоверяющего личность.
Не забывайте, фотоизображение лица, случайно попавшего в кадр, также не будет являться биометрическими персональными данными. Даже если вы кого-то узнали (читай «идентифицировали»).
Но! В любом случае не забывайте о правовых основаниях обработки ПДн, особенно при распространении.
🔹изображение + иные персональные данные - условие из ч. 1 ст. 6 ФЗ «О персональных» (если распространить можно только с согласия, то ст. 10.1 ФЗ «О персональных данных»);
🔹только изображение - согласие в соответствии со ст. 152.1 Гражданского кодекса РФ (если нет иных оснований опубликовать изображение).
🔥11💯2