26 ноября 2010, 20:45 Alexander Matchugovsky: А если в двух словах, то что от нас на этот раз хотят требовать? :)

26 ноября 2010, 20:52 Peter Sobolev: Грубо говоря - накладывают ряд ограничений на действия организаций и физлиц, которые хранят и обрабатывают имена, фамилии, год рождения и т.п. людей. В зависимости от ситуации либо требуется договор, либо письменное разрешение, либо определённые условия чтобы были соблюдены. Короче там много чего написано. Если всё это воспринимать как указания к действию - работать будет невозможно. Ну и есть несколько мест, когда авторы закона просто не разбираются в технических вопросах.
Например про трансграничную передачу данных требования звучат довольно глупо. Учитывая, что любая страница с Javascript-ом или Flash в браузере является программой (без всяких оговорок), так что при связи с сервером на хостинге в другой стране произойдёт та самая трансграничная передача данных.

26 ноября 2010, 23:20 Peter Sobolev: Есть правда и польза. Скажем, 3.15.1:
1. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено.
---
Ну т.е. идея в том, что спамеры в лице телекома, сотовых операторов и т.п. потенциально могут найти себе проблемы. Причем, доказывать права рассылки/раззвонки придется им.

26 ноября 2010, 23:21 Peter Sobolev: Ну и, соответственно, пункт 2 оттуда же:
2. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи. 2L

27 ноября 2010, 00:09 Dmitry Osipov: Петя, 152-фз вступил в силу 26.01.2007 :) А до 1.1.11 было отсрочено наказание за его невыполнение, да и то только по СПнД, введенным в действие до 1.1.10. Основная идея прежняя: "... Но у нас опять кончимлись деньги -- пожалуйста, заплатите налоги". Ты к нему инструкции, регламенты и прочую мурню читал? ПрЭлесть.

27 ноября 2010, 00:11 Dmitry Osipov: В подшефной школе, кстати, по моей наводке уже второй год берут с родителей подписку не только о согласии на обработку ПнД, но и о согласии на размещение фотографий ребенка на сайте школы и т.д. (я им где-то десяток пунктов набросал).

28 ноября 2010, 00:15 Dmitry Osipov: Олимпиады, спортивные соревнования, открытые уроки -- мало ли событий иллюстрируются фотографиями?

28 ноября 2010, 00:40 Peter Sobolev: Дима: про регламенты и т.п. дай ссылочку? Там ничего похожего не упоминается.

28 ноября 2010, 00:56 Dmitry Osipov: Петя, конечно, только с работы. В законе, разумеется, нет никаких упоминаний -- там же вообще процедуры как таковые не расписаны. А вот соответствующие организации уже расстарались. Блин, чего только за последний год не развелось по 152-фз... И семинары (платные) для руководителей и технических специалистов (по отдельности), и услуги по проведению аудита, подготовке внутренних регламентов и сопровождению при проверках... Маленьким организациям, на мой взгляд, принципиально выгоднее на бумажный учет перейти.

28 ноября 2010, 01:06 Peter Sobolev: Меня вот что интересует - всерьез гуляет некое суждение, что организациям надо в связи с этим законом получать лицензию на обработку персональных данных. Не очень понятно, откуда оно возникло. И главное - как может лицензирование сочетаться с этим законом (часть статей просто теряет смысл в этом случае).

28 ноября 2010, 01:16 Dmitry Osipov: Нет, при всех неприятностях с таким экстремизмом сталкиваться не приходилось. Вот необходимость прикупить у карманных организаций пару железяк не слишком дешевых может возникнуть легко. И пару софтин. ESET, кстати, уже некоторое время назад подсуетился.

30 ноября 2010, 16:59 Dmitry Osipov: Вот очень приятный ресурс: wikisec.ru. Много полезного. Где-то был еще он-лайн ресурс для внутреннего аудита, найду -- кину

30 ноября 2010, 17:00 Dmitry Osipov: Ну и сразу заметил: не ПнД, разумеется, а ПДн. Вечно у меня с аббревиатурами траблы...

1 декабря 2010, 22:33 Peter Sobolev: Возвращаясь к тебе лицензирования. Почитал тут.. Проблема такая - закон требует обеспечить защиту ПД. А без лицензии (на услуги связанные с защитой информации) непонятно как доказать, что ты эту защиту обеспечиваешь.

2 декабря 2010, 10:13 Dmitry Osipov: Очень просто: сертифицировать ИСПДн в фирме, имеющей лицензию. Они тебе и комплект внутренней документации напишут, включая изменения в должностные инструкции. Этих кенгурят сейчас знаешь, сколько... Я ж говорю: очередной баблоотсасыватель. Оценка защиты 1 раб.места по К2 -- 10-20 крублей.