спасибо 🥰

🤷🏼‍♀️

да как раз таки наоборот : мало какие юр-лица занимаются именно что самой непосредственно ОБРАБОТКОЙ персональных данных , а лишь только используют аттрибуты персональных данных для их внесения , хранения , и обособленных актов сопоставления (на пропускной сверяют ФИО\фотку сотрудника , в бухгалтерии перечисляют на его счёт деньги , привлекают для участия в заключении договоров по работе , итп) .

обработка Персональных Данных (как и любых вообще данных без исключения) подразумевает во-первых некий ПРОЦЕСС , по трансформации и видоизменению данных ; и во-вторых , критерием , удостоверяющим что в отношении данных был произведён процесс их "обработки" (тоесть сделано их видоизменение или трансформация) - будет НЕСОВПАДЕНИЕ между ВХОДЯЩИМИ данными , и ИСХОДЯЩИМИ . но в отличие от этого - обычно имеет место не более чем : 1- сбор(внесение) данных , 2- хранение данных , 3- перемещение данных , 4- копирование данных , 5- уничтожение данных . заметьте , что в этом всём процессе ИСХОДНЫЕ Персональные Данные - всегда остаются незатронутыми : в каком виде вы их берёте в пользование , в таком же и работаете с ними . исключение составляют только те юр-лица , кому по роду деятельности следует именно что ВИДОИЗМЕНЯТЬ персональные данные : - учитель учит учеников и изменяются его баллы и оценки ; - банкир ведёт денежные счета своего подобечного и видоизменяет состояние движения денежных средств по ним ; - страховщик фиксирует состояние страхуемого имущества и ведёт мониторинг за изменением его сохранности ; - медик собирает анализы и проводит лечение , изменяя состоянрие персональных данных содержащих сведения об здоровье и анамнезе ; - оператор связи устанавливает соединение узла пользователя с узлами его целевых маршрутов в интернете\телефонии , для чего присваивает пользователю адрес сеанса связи и видоизменяет его по мере возникновения у оператора связи такой необходиомсти ; и т.д. только там , где ВХОДЯЩИЕ персональные данны отличаются от ИСХОДЯЩИХ персональных данных , и это вызвано либо НЕПОСРЕДСТВЕННО рутинной работой юр-лица , либо такой работой проделываемой ТРЕТЬИМИ ЛИЦАМИ , в результате передачи этим юр-лицом Персональных Данных третьим лицам , для их ими обработки - то только в этом случае и будет иметь место ПРОЦЕСС ОБРАБОТКИ персональных данных . но хранение\копироание\перемещение\удаление - это НЕ ОБРАБОТКА данных . потому что САМО СОДЕРЖИМОЕ данных в этом процессе - так и остаётся неизменным , а значит НИКАК не влияет на лицо , поставляющее вам свои персональные данные . ещё одним , отличающимся от вышеперечисленых , приемром того когда над Персональными Данными происходит-таки ОБРАБОТКА - это вынесение ТРЕТЬИМИ ЛИЦАМИ , которым юр-лицом была вверена обработка персональных данных - "рекламных коммерческих предложений" (обзвон со спамом от банковских учреждений , происходящий если абонент заводящий симку у оператора сотовой связи явным образом не указал , в ходе заключения договора с оператором сотовой связи , запрет на ПЕРЕДАЧУ И ОБРАБОТКУ третьим лицам своих Персональных Данных) . и вот как раз таки тут то и существуют - специализирующиеся на СБОРЕ И ОБРАБОТКЕ персональных данных в больших и многомерных объёмах , да ещё и в АВТОМАТИЗИРОВАНОМ режиме (big data алгоритмы , выявляющие корреляции между разрознеными элементами данных , и временно номинирующие для них произвольные числовые значения - в зависимости от итоговой задачи запроса к ним . например для составления статистических выборок по маркетингово значимым сведениям) .

На здоровье!

Добрый! 1) Да, лучше поздно, чем никогда 2) Одно на всех, в уведомлении можно указать разные виды собираемых данных 3) Верно 4) Это не автоматизированный сбор данных, поэтому не нужно

@@ElbaKontur спасибо большое 🌹

Хранить документы с персональными данными нужно в надёжном месте, но критериев надёжности нет 🤷🏼‍♀️ Какие конкретно нужны меры безопасности и как не допустить утечку, решает работодатель. Это его право по ст. 18.1 Закона № 152-ФЗ и п. 15 Положения. Для хранения подойдёт сейф или ящик на замке. К такому месту не должно быть доступа у других людей, кроме ответственного за персональные данные. Хранить информацию в электронном виде разрешено только на сервере в России по ст. 18 Закона № 152-ФЗ.

Министерство уведомительных уведомлений!

Когда вы действительно не храните у себя персональные данные на компьютере, а заполняете сразу в сервис (например, в Эльбе), можно указать адрес ЦОД: 620144, Свердловская обл., г. Екатеринбург, ул. Народной воли, стр 19А.

Ольга, прочитала оба ваших вопроса, ситуации нестандартные и сложно найти официальные ответы или практику на этот счёт. Одно понятно, лучше уведомить, чем не уведомлять, к тому же сами данные в Роскомнадзор передавать не нужно - нужно лишь категорию этих данных. Как раз рассказываю об это на 3:21

Считается :(

Разово) Что-то новое придётся отправлять, только если начнёте собирать какой-то новый вид персональных данных сотрудников

Если не на бумагу записываете, то, получается, нужно

Нет, лишь раз. Ещё раз нужно будет, только если начнёте собирать какие-то новые персональные данные, которые в начальном уведомлении не указали.

@@ElbaKontur спасибо большое

Должны, да 👀

Должны, да. У вас же есть галочка о том, что клиенты соглашаются обработку перс данных?

​@@ElbaKontur Теперь понятно) А у вас есть пример для таких случаев? Думаю их будет большинство, тк в текущем примере только трудовые отношения...

А там всё похоже на самом деле. Разве что в поле «Правовое основание обработки персональных данных» можно указать Закон о защите прав потребителей, статью 16

Нет)

Если вы собираете его персональные данные для заключения договора, к примеру, то да ☹️

@@ElbaKontur что значит собираю данные?

@@ElbaKontur телефон, почта, паспорт и т.д. я вносил в договор

А тут видите речь не только про хранение, но и про сбор и запись персональных данных. В теории, если вы собираете данные и вбиваете в ворд, то вы уже их обрабатываете автоматизированно 🤷🏼‍♀️ Но кто это проверит, конечно - вопрос.

@@ElbaKontur для мне обработка цифровая и автоматизированная это всё-таки разные вещи (надо это уточнять, документ не читал)

@@mtgnx ​ в отношении (Персональных , и любых прочих) Данных : - внесение (так называемый "сбор") - хранение - перемещение - копирование - уничтожение это всё - НЕ обработка . "обработка" же - подразумевает во 1х процесс по трансформации и видоизменению данных , и во 2х критерием , удостоверяющим что в отношении данных было произведено их видоизменение или трансформация (это синонимы) - будет НЕСОВПАДЕНИЕ между ВХОДЯЩИМИ данными , и ИСХОДЯЩИМИ . а касаемо АВТОМАТИЗАЦИИ этого процесса - процесса ОБРАБОТКИ (а вовсе не каких то там внесения\хранения\перемещения\копирования\уничтожения) Персональных Данных (равно как и вообще любых других данных) - то конечно же тут должно опять же , наличествовать их именно что видоизменение и трансформация . тоесть для этого должен быть задействован софтверный алгоритм или аппаратное устройство , которые будут ВХОДЯЩИЕ данные изменять таким образом , чтобы они стали чем то отличаться от ИСХОДЯЩИХ данных . и не визуальное их отображение (например в Ворде может быть изменён от документа к документу , шрифт , отображающий Ф.И.О. сотрудника) , а именно что содержимое , делающее исходящие данные чем то отличающимися от исходных входящих так , чтоб в отношении этого отличия можно было квалифицировать что что-то произвело их юридически значимое изменение .

@@mtgnx ​"обработке персональных данных" - можно противопоставить фиксацию атрибутов данных . в отличие от обработки персональных данных , которая подразумевает ОБЯЗАТЕЛЬНЫМ И НЕИЗБЕЖНЫМ , в ходе процесса рутиной работы над ними - их видоизменение (например снятие биометрических слепков или взятие медицинских анализов - это одновременно и фиксация атрибутов персональных данных - тоесть копирование букв из паспорта на бумагу бланка мед.обследования или биометрического сканирования ; или ведение банковскогго счёта - видоизменяет графу персональных данных "доход\расход" , а ведение учебного процесса подразумевает изменение персональных данных таких как оценки и тесты по учебным дисциплинам) , то если такое видоизменение не требуется , достаточно фиксировать их аттрибуты : такакая то Имя Фамилия нанимаемого сотрудника , такое то его место проживание , итп . и попросите сотрудника под роспись , чтобы он уведомил вас , если сменит какие либо из этих , вносимых вами в ваши "объекты делооборота" , аттрибуты данных (например имя-фамилию или место проживания) - чтобы вы могли прекратить использование преждних данных и начать использование новых . и обратите внимание что НА ВАШЕЙ стороне в этом процессе - отсутсвует именно что ОБРАБОТКА персональных данных : вы их попросту храните в постоянно неизменном виде , и ничего более .

Уф, хороший вопрос)) Найти на него ответ в законе, конечно, невозможно, но формально это похоже на автоматизированный сбор персональных данных, да)

Читал, что в случае, если вы всех не записываете руками в блокнотик, значит используете тех. средства, а это уже автоматизированная обработка, значит надо уведомлять РКН.

@@ElbaKontur а если просто запомнил в уме телефон, то это считается мозговой обработкой данных?)))))) как достали эти странные законы...

мау

👀👀

Добрый! А почему считаете, что это не является автоматизацией? У нас логика такая: пункт «Перечень действий с персональными данными» подразумевает под собой сбор, запись, систематизацию, накопление, хранение, уточнение, использование и даже удаление данных. Кажется, если запись и хранение происходит в программе, то это уже автоматизированный способ обработки.

@@ElbaKontur а вы отличаете изменные персональные данные и неизменные ? вы способны констатировать факт их изменения в случае если таковое произойдёт ? если да - то противопоставьте этому все те процессы работы с данными , в ходе которых по отношении к данным их изменения не происходит . разницу понимаете ?

И даже в этом случае нужно уведомлять ☹️

@@ElbaKontur понятно (

Давайте так: - Определен перечень лиц, осуществляющих обработку персональных данных и имеющих к ним доступ. Обеспечено безопасное хранение персональных данных и цифровая защита. - Электронная подпись с криптографической защитой СКЗИ КриптоПро, класс СКЗИ - КС1, идентификация и проверка подлинности пользователя при входе в информационную систему - Не осуществляется. - Тут нужно написать адрес, по которому вы собираете персональные данные, ваш офис или магазин.

@@ElbaKontur "Обеспечено безопасное хранение персональных данных и цифровая защита." - а оно обеспечено? По факту я не знаю. Возможно то, что я вбил паспорта своих сотрудников в Эльбе лежит где-нибудь в открытом доступе или даже Контур совершенно легально (какой-нибудь п.1124 пп 72б договора с Эльбой) подторговывает этими данными. По поводу криптопро и прочее. Насколько я понял пункт формы "Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством РФ" речь идёт как минимум о постановлении Правительства РФ № 1119, а как максимум ещё и о приказе ФСТЭК от 18.02.2013 г. N 21 и приказе ФСБ России от 10.07.2014 г. N 378. Давайте ограничимся самым простым, постановлением 1119, пункт 13а: "13. Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований: а) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;" В целом логично - как минимум доступ к компьютеру где лежат перс данные должен быть ограничен. Так вот, а я откуда знаю, что доступ к серверам эльбы вообще ограничен, что там рядом не трёт шваброй уборщица не уполномоченная тереть шваброй рядом с моими перс данными? По поводу "адрес, по которому вы собираете персональные данные, ваш офис или магазин" - спрашивают не место где я собрал данные, а "местонахождение базы данных" - а БД у меня в офисе не хранится. Она хранится в Эльбе. === На самом деле если взглянуть ещё и на приказы ФСТЭК и ФСБ (и замок на двери это просто цветочки по сравнению с тем, что на самом деле требуется), то понимаешь что там вообще всё весьма сложно для ИП с одним сотрудником точащего коньки на катке и хранящего номер паспорта этого сотрудника в Excel-ке на ноуте. ОК, мне повезло и я храню номер паспорта не в Excel-ке, а в Эльбе. И в связи с этими возможно вообще не правильно формулирую вопрос. Краеугольным моментом является то, что по факту я отдал все эти вопросы на аутсорс Эльбе. И в связи с этим являюсь ли я вообще лицом осуществляющим автоматизированную обработку перс данных? А если не являюсь, то в связи с этим тогда может не о чем уведомлять РКН, не попадаю ли я в этом случае под какое-то исключение (как в случае вноса ПД в тетрадку)?

Контур, конечно, бережно хранит данные, формальный ответ такой: данные сотрудников хранятся на нашем сервере. Система аттестована на соответствие требованиям безопасности персональных данных по третьему уровню защищенности (УЗ 3). По поводу ЦОДа. Данные вы всё же где-то собираете и где-то их вносите в Эльбу - это и есть сбор и обработка персданных, поэтому ваш офис/магазин вполне подходит под это определение. По этой же причине вы являетесь оператором обработки персданных. Следовательно, обязанность уведомлять Роскомнадзор всё же у вас, а не у Контура.

@@ElbaKontur Ещё раз внимательно посмотрел на форму РКН. Предположение такое, информация о сотрудниках это "информационная система N1". Тогда в ситуации ИП с 1 сотрудником без Excel, но с Эльбой получается: Перечень действий: - неавтоматизированная (т.к. вношу вручную) - с передачей по сети Интернет (т.к. передаю в Эльбу) Осуществление трансграничной передачи персональных данных: - не осуществляется (согласно договору использования Контур.Эльба, п 7.3.4 - вот что я хотел от вас услышать, но пришлось искать самому) Теперь самое важное, по поводу ЦОДа. В форме написано: "Сведения о местонахождении базы данных информации, содержащей персональные данные граждан РФ" Т.е. там спрашивают не про место где я ввожу данные в базу данных (мой офис), а именно про место где эти данных хранятся (ЦОД Эльбы). Т.е. ВОПРОС остаётся такой - как заполнить раздел "Сведения о местонахождении базы данных информации, содержащей персональные данные граждан РФ" формы (pd.rkn.gov.ru/operators-registry/notification/form/) PS. А ещё у вас бардак с договором. Согласно какому договору фактически осуществляется работа с Эльбой? В самой Эльбе (в футере ссылка "Лицензионный договор") ведёт на договор №5/21 от 01.01.2021: elba.kontur.ru/About/License elba.kontur.ru/Static/StaticDocuments/License.pdf А вот в справочной Эльбы (e-kontur.ru/enquiry) (в футере ссылка "Лицензионный договор") вдруг неожиданно размещён договор №1905/21 от 03.09.2021: e-kontur.ru/Files/userfiles/file/Docs/License.pdf PPS. А тем, кому интересно (а должно быть интересно всем пользователям Эльбы, т.к. по факту это обязательное требование РКН о необходимости заключить договор-поручение на обработку ПДн с ЦОДом или облачным провайдером) смотрим пп 2.3 и 7 договора - очень хорошо, что это там есть и жалко, что в видосе про это вообще не было упомянуто.

@Контур.Эльба Очень жду ответа

🤫

О, это славные новости! А не могли бы вы ссылкой поделиться?

@@ElbaKontur pd.rkn.gov.ru/operators-registry/notification/

Да) e-kontur.ru/blog/15894/personal-data

Никто не иноагент, на самом деле :) Но Маше нравится концепция иноагента

@@ElbaKontur а в чем заключается эта концепция? Можете пояснить?

Да, физлицо тоже может быть оператором, который собирает или обрабатывает персональные данные 👩🏼‍💻

Как интересно: посиделки с друзьями, пообщались, выпили, закусили. Одно из физлиц собрало все данные (номера телефонов, адреса, в т. ч. электронной почты, номера авто, на которых гости приехали, и много чего другого - ну чем не база данных) - и все слил в Роскомнадзор. Ну зачем это все нужно (если исключить заботу о нашем благе)? Читаем Н. В. Гоголя «Мертвые души» - в переводе Аватар.

Б - безопасность

Ох, надеемся, такого всё же не случится 👀

Браво! Это единственный ответ на вопрос: а зачем нужно собирать ПД. Полагаю, это еще и верный ответ

Нам самим от этого не радостно, но такие уж времена.