Здравствуйте!
Интересует такой вопрос, как размещать сайт у хостинг-провайдера (в РФ) и при этом не нарушать 152-ФЗ и положения ПП 1119 по:
- организации режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
- обеспечению сохранности носителей персональных данных;?
У меня небольшой сайт на wordpress, БД MySql, OC Ubuntu из пдн: логин, e-mail, ip, cookies и в качестве наименования организации могут иногда фигурировать ФИО Индивидуального предпринимателя. Не понимаю как при этом ПП 1119 выполнить? Как вообще люди работают? Неужели все в защищенные облака уходят? Их не так ведь и много, а сайты с ПДн сплошь и рядом. Тем более если почитать договора с этими облаками, так они тоже ни за что не отвечают.
Все просо все забивают хер, полностью соответствовать 152 физически не возможно.
Можно лишь от части да и то в самых легких категориях. Есть уловки с ID вместо имен итд но в общем и целом это не особо решает проблему.
Если кому-то надо будет вас все-равно привлекут.
Этот закон изначально невыполним в полном объеме, я уже не говорю про 1 уровень.
Если же вы посмотрите на облока то там 3 уровень, особо упоротые места и дорогие можно поискать 2
1 уровня нет.
тогда принимайте на себя все риски или в случае чего готовьтесь оспаривать свою обязанность это делать и перекладывание ответственности на провайдера ¯\_(ツ)_/¯
Не ответ на вопрос, просто как вариант, забить на то что есть 152-фз.
Всякие яндекс-метрики не получают согласия пользователя что метрика фиксирует данные о их движении мышкой на сайте и сопоставляют куки(пусть и не дают всю информацию владельцу сайта, но сами обрабатывают и учитывают при показе рекламы в директе).
Вы вообще можете быть не зарегистрированы в яндексе и искать исключительно гуглом, но метрика на сайтах не спросив Вашего разрешения собирает информацию какие сайты Вы посещаете и учитывает её при формировании рекламы в директе.
Абсолютная глупость, именно владелец сайта обязан тыкать в лицо правила пользования сайтом и обработки куки, что мы и видим последнее время на сайтах, мол политика куки и пр., Там и должно быть прописано что сайт использует куки
utensu, двойной бред, ибо далеко не на всех сайтах с метриками и аналитиками имеется соответствующее уведомление.
Более того, при наличии оных, вас тупо ставят перед фактом, а не дают прав на выбор.
Что за ерунду вы несете? Какие куки? Вопрос о персональных данных, к коим никак не относится ваш браузер и все что вообще можно прочитать по кукам, куки полиси и забугорный GDRP же относится вообще к другому аспекту приватности, ничего общего с законодательством РФ не имеющий.
utensu, не соглашусь, если даже так как Вы написали, владелец сайта должен указать что сам собирает и обрабатывает данные, а так же что передаёт их другим компаниям или явным образом указать что Яндексу.
ThunderCat, сначала бы подумали, прежде чем утверждать про ерунду. Вебвизор фиксирует движение мышкой и нажатия клавиш, а так же в каких полях эти данные введены. Фактически когда кто то вводит в поле input="name" своё имя, если на сайте установлена метрика, яндекс уже собирает и обрабатывает данные. Где ерунда? С вебвизором знакомы?
WTERH, ну касаемо "ставят перед фактом", публичная оферта это допускает по нашему законодательству. То есть получается, что например вы посетили какой то сайт с метрикой, а до этого яндекс уже собрал по Вам историю, то Вас лишь ставили бы перед фактом что посещение Вами этого сайта учтено. Но что я говорю, даже никто не уведомляет о этом. По крайней мере лично я не видел ни одного сайта, который уведомляет о том что передаёт информацию по Вам яндексу. Если я не прав - дайте ссылку на пример, пожалуйста!
Фактически когда кто то вводит в поле input="name" своё имя, если на сайте установлена метрика, яндекс уже собирает и обрабатывает данные.
Собственно это как раз и относится к персональным данным, если вы их собираете (для чего то же вам нужно это поле?), и тут в любом случае нужно уже хранить ПД со всеми вытекающими, а насчет метрик - подозреваю что хранение в виде скриншотов для предоставления одному владельцу метрики имеет свои нюансы, например что "целевой сайт и так собирает ПД, мы просто предоставляем скрины КАК человек их вводил, то есть по сути никакого распространения ПД не происходит". ИМХО.
Все остальное что я перечислил к пд отношения так же не имеет, и при отсутствии запроса вышеперечисленных данных на сайте, никак не относится к закону РФ.
ThunderCat, хранение происходит не в виде скринов. Мерика сохраняет как dom дерево сайта, так и данные которые вводились и интервалы времени. Формально это уже хранение и обработка информации и не важно показывает их Яндекс одному пользователю или нет. Считаю на сайте в обязательном порядке требуется указывать что сайт не только собирает данные но и передаёт сторонним организациям.
>>Все остальное что я перечислил к пд отношения
Так собирать можно любые данные: адрес доставки например в интернет магазине, e-mail телефон. Биометрию в виде фотографий. К тому же яндекс эту информацию ещё и дополнительно использует для формирования рекламы в директ.
Относиться можно по разному. Только факт остаётся, что крупные организации, ещё и завязанные на правительство пофигистически относятся к законам и годами их нарушают.
Так собирать можно любые данные: адрес доставки например
только что же пояснил по поводу пд вводимых на сайте, это относится к сайту, а не к метрике, что кстати(не поленился почитать) и прописано в соглашении Яндекса:
9. Пользователь настоящим уведомлен и соглашается с тем, что при включении функции «Вебвизор», с момента установки счётчика на страницы сайта Пользователя, Сервис предоставляет Пользователю функциональную возможность записывать в автоматическом режиме сессии посещений посетителями страниц сайта Пользователя (далее – Сессии Посещений). Яндекс не размещает такие записи Сессий Посещений в открытом доступе и не предоставляет такие записи Сессий посещений третьим лицам, за исключением тех, доступ которым к таким записям Пользователь предоставил самостоятельно.
10. Пользователь настоящим уведомлен и соглашается с тем, что при использовании функции «Параметры посетителей» Пользователю предоставляется возможность передавать в Сервис дополнительные обезличенные данные о посетителях страниц сайта Пользователя (далее – Параметры посетителей). Яндекс не размещает Параметры посетителей в открытом доступе и не предоставляет Параметры посетителей третьим лицам. Начиная использовать функцию «Параметры посетителей», Пользователь гарантирует, что:
Параметры посетителей являются обезличенными и не позволяют идентифицировать конкретного посетителя страницы сайта Пользователя;
В случае, если совокупность данных, включенных в Параметры посетителей, представляет собой объект интеллектуальных или иных прав, то Пользователем получены все необходимые права и согласия на предоставление Яндексу прав использования данных, включенных в Параметры посетителей, а их использование Яндексом в соответствии с настоящими Условиями не нарушает права третьих лиц, включая, но не ограничиваясь, интеллектуальные права.
ниже еще пункты связанные с пд, можете почитать, сомневаюсь что юристы такой крупной компании пропустили какой-то из вариантов прикрыть свой зад.
ThunderCat,
Всё вот это: "10. Пользователь настоящим уведомлен и соглашается с тем, что при использовании функции «Параметры посетителей» Пользователю предоставляется возможность передавать в Сервис дополнительные обезличенные данные о посетителях страниц сайта Пользователя (далее – Параметры посетителей). Яндекс не размещает Параметры посетителей в открытом доступе и не предоставляет Параметры посетителей третьим лицам. Начиная использовать функцию «Параметры посетителей», Пользователь гарантирует, что:
Параметры посетителей являются обезличенными и не позволяют идентифицировать конкретного посетителя страницы сайта Пользователя;"
не означает что данные на деле обезличены, что по ним нельзя идентифицировать конкретного человека, и что яндекс не использует данные для показа рекламы. Последнее на практике многократно замечено, что после посещения какого то ресурса на котором стоит метрика с гугла, затем директ начинает кпоказывать рекламу связанную с контентом.
То что яндекс написал это в соглашении - что ж, можно сделать вывод что у яндекса есть скил "умение писать" и не более. Касаемо того что сайт передаёт информацию о 3-ей стороне(то есть Яндексу например) владельцы сайтов как правило не предупреждают.
не означает что данные на деле обезличены, что по ним нельзя идентифицировать конкретного человека, и что яндекс не использует данные для показа рекламы.
на самом деле означает. Система знает что на сайте человек искал "сепульки синие", система знает что этот же человек зашел на другой сайт, и имеет данные о предпочтениях этого пользователя, но пользователя по ним нельзя идентифицировать как Иванова Ивана Ивановича, проживающего по улице Басеиной, 66/6, кв. 6. Точка.
ThunderCat, на одном сайте заполнил e-mail и адрес, на другом e-mail и паспортные даные, на третьем e-mail и сепульки, и на всех сайтах метрика, и вот уже у яндекса полная картинка складывается :)
Параметры посетителей являются обезличенными и не позволяют идентифицировать конкретного посетителя страницы сайта Пользователя;
вам прямо говорят что пользовательская информация нежелательна в метрике, ее не трекают отдельными датасетами, а хранят блобом, то есть "навалом, как пришло", всю ответственность вы берете на себя как поставщик данных для метрики. В идеале на страницах с личной информацией метрику тупо отключают. Но так как вы не особо читаете же соглашения фри сервисов(?), то как бы вот... Яндексу же сугубо фиолетово как зовут и где живет чувак любящий сепульки, ему важно в браузер рекламу новых сепулек скинуть по признаку "любит сепульки".
ThunderCat, "В идеале на страницах с личной информацией метрику тупо отключают." - вот хорошо, что Вы осведомлены в вопросе и выключаете метрику на страницах с личной информацией. Что? Правда что-ли выключаете? Да ладно? Ну скажите же уже что Вы хотя формально и вкурсе что так бы и надо сделать, только матрика работает одинкаово на всех страницах?
>>Яндексу же сугубо фиолетово как зовут и где живет чувак любящий сепульки, ему важно в браузер рекламу новых сепулек скинуть по признаку "любит сепульки".
Знаете, как говорят в продажах? Не отвечайте за клиента. Так вот то же самое - зачем отвечаете за яндекс?
P.S. я про вебвизор в большей степени говорю
И ещё P.S. Садовский в 2013-2014 году тоже говорил, что всё - ссылки больше не работают :D (угарный был видос, сколько "прошаренных" в зале собрал)
ThunderCat, чтобы Вы просто понимали, хотя я и не разделяю Вашей позиции, благодарю Вас за Ваше мнение и этот диалог(к тому же с приведёнными аргументами). На деле из таких диалогов иногда получаются ценные выводы.
во первых - пользуюсь гугловской практически на всех проектах, во вотрых - в наших банановых странах закон о ПД работает иначе, так что я не особо парюсь о метрике яндекса по обоим причинам.
Так вот то же самое - зачем отвечаете за яндекс?
Я не отвечаю за яндекс, я говорю в целом о технологии отслеживания предпочтений, ибо в свое время нечто подобное писал, и изучил вопрос достаточно подробно. И да - меньше всего в ней интересны ПД индивидуально идентифицирующие ПЕРСОНУ, гораздо интереснее отслеживать ПОЛЬЗОВАТЕЛЕЙ(если вы понимаете разницу).
К тому что Яндекс ТЕОРЕТИЧЕСКИ может вытащить какие-либо ПД из "потока сознания" вообще никак не интересно никому имхо(ну кроме чуваков в шапочках из фольги).
"Я не отвечаю за яндекс, я говорю в целом о технологии отслеживания предпочтений, ибо в свое время нечто подобное писал, и изучил вопрос достаточно подробно" - считаю, что это именно Ваш опыт такой "безобидный к ПД", то что доводилось писать мне собирало много чего. И я не говорю сейчас о том, что владение этой информацией о пользователе или владельце ПД для него чем то сильно вредно, я о том что в целом информации для вероятностной информации достаточно удаётся вытаскивать(хотя и не каждый раз).
"не интересно никому имхо", как хорошо что Вы тут написали "имхо", даже опровергать не придётся, "ну кроме чуваков в шапочках из фольги" я тоже понимаю что имхо.
" в наших банановых странах закон о ПД работает иначе", понятно, изначально думал Вы тоже из России.
nivescio, А кто сказал, что адрес GatesBill@microsoft.com непременно идентифицирует Билли?
персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных); (ФЗ-152)
Мыло не идентифицирует человека. Да, оно будет соответствовать какому-то юзеру, но однозначной связи между юзером и мылом установить нельзя.
Когда я пишу рассказы - в них есть герои. У них есть имена и фамилии. И где-то есть люди, которые носят именно такие имена и фамилии. Но это же не значит, что я пишу рассказы про них!
Если отказаться от сбора персональных данных не представляется возможным, то информационный ресурс становится информационной системой персональных данных, а владелец информационного ресурса становится оператором персональных данных. На оператора возлагается ответственность за выполнение требований по защите персональных данных, и в соответствии с 152 ФЗ, оператор вправе поручить обработку персональных данных другому лицу на основании договора. В договоре должен быть определен перечень действий, осуществляемых с персональными данными, а также обязанность такого лица соблюдать конфиденциальность и обеспечивать защиту персональных данных с указанием требований к системе защиты в соответствии со статьей 19 федерального закона 152ФЗ. Договор Облачного провайдера Cloud4Y содержит все необходимые обязательства по защите персональных данных, которые в свою очередь подтверждены наличием аттестата соответствия на облачную инфраструктуру.
Подробнее вы можете почитать здесь https://www.cloud4y.ru/cloud-hosting/oblako-fz-152/
Кстати, а ИСПДн в такой конфигурации: сайт на wordpress, БД MySql, OC Ubuntu из пдн: логин, e-mail, ip, cookies и в качестве наименования организации могут иногда фигурировать ФИО Индивидуального предпринимателя, может претендовать на 4-й уровень защищенности? Т.е. можно признать для неё угрозы 1-го и 2-го типа неактуальными?
Если у вас количество персональных данных менее 100 тыс. то в большинстве случаев это будет уровень защищенности 4. Угрозы 1, 2-го типов могут быть признаны неактуальными в модели угроз исходя из принятых мер защиты, уровня ущерба, типа нарушителя.
"Если у вас количество персональных данных менее 100 тыс. то в большинстве случаев это будет уровень защищенности", ссылку на норму законодательства можно по этому поводу?
См Требования к защите персональных данных, утвержденные постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 пункт 9. Здесь же см. про определение типа актуальных угроз.
VitaliyPavlov, А можно угрозы третьего типа тоже признать неактуальными? :) И этим уйти от обязанности обеспечивать 4-й уровень защищенности? :) Например в пользовательском соглашении включить пункт, что пользователь соглашается с тем, что НСД к его ПДн не нанесет ему существенного вреда?
По этому поводу у меня есть вот такой ответ от Минкомсвязи, Московского РКН и нескольких РКН по Северо-западу:
«Считаем возможным пояснить, что анализ положений локальных актов, регламентирующих порядок и условия использования основных метрических интернет-сервисов, показал, что, в большинстве случаев, объем собираемой информации включает в себя:
персональная информация, предоставленная Пользователем при регистрации (создании учетной записи), такая как имя, номер телефона, адрес и возраст;
электронные данные (HTTP-заголовки, IP-адрес, файлы cookie, веб-маяки/пиксельные теги, данные об идентификаторе браузера, информация об аппаратном и программном обеспечении);
дата и время осуществления доступа к сайтам и/или сервисам;
информация об активности пользователя во время использования сайтов и/или сервисов (например, история поисковых запросов);
информация о геолокации пользователя;
иная информация о пользователе, необходимая для обработки в соответствии с условиями, регулирующими использование метрического интернет-сервиса.
Таким образом, полагаем, что получаемая при использовании функционала метрических интернет-сервисов информация позволяет определить уникального посетителя сайта, формировать сведения о его предпочтениях и поведении на сайте, что позволяет ее отнести к сведениям, подпадающим под определение «персональные данные»».
Нахрена надо? :) Хороший вопрос :) Что бы, не нарушать :) А иначе любой на меня жалобу в РКН может накатать, а они тогда обязаны принять меры.
Идентифицировать на улице не позволяет, а "определить уникального посетителя сайта, формировать сведения о его предпочтениях и поведении на сайте" - позволяет, "что позволяет ее отнести к сведениям, подпадающим под определение «персональные данные».
Кроме того у меня есть ЛК Организаций, и в качестве наименования организации иногда может фигурировать ФИО индивидуального предпринимателя, а это уже сто процентов ПДн, хоть и общедоступные, а всё равно их надо охранять как зеницу ока.
Персональные данные физического лица – это: фамилия, имя, отчество гражданина; дата его рождения, а также место рождения; адрес постоянного и временного проживания; сведения о семье и социальном положении гражданина; данные о его образовании, профессии и должности; сведения о доходах и имущественном положении; биометрические персональные данные. Кроме того, есть информация, которую суд может расценить как относящуюся к подобным данным. Например, суды признавали, что персональными данными являются: информация о смерти физического лица (постановление АС Поволжского округа от 25.09.14 по делу № А49-2005/2014); номер мобильного телефона (апелляционное определение Алтайского краевого суда от 01.10.13 по делу № 33–9241/2015); фотографии физического лица (апелляционное определение Свердловского областного суда от 09.04.15 по делу № 33–5232/2015).
Источник: https://www.law.ru/article/21683-chto-vhodit-v-per...
ThunderCat, Тогда уж не я путаю, а Роскомнадзор.
Вот материалы более свежего дела (№ А56-6698/2016 от 01.07. 16 г. 13AAC) https://sudact.ru/arbitral/doc/J8ihyq5cYyo1/
цитата:
"Исполнитель передает заказчику сведения об абоненте и его поисковых запросах в сети Интернет, включающие:
Хэш-ID Пользователя - уникальный идентификатор Активного Пользователя;
время просмотра web-страницы;
URL - стандартизированный способ записи адреса web-страницы в сети Интернет;
HTTP referer один из заголовков запроса клиента протокола HTTP. Содержит URL источника запроса;
User Agent часть HTTP запроса, начинающаяся с «User-agent:» или «User-Agent.»;
HTTP Cookie.
Информация, получаемая ПАО «Ростелеком», позволяет прямо или косвенно идентифицировать пользователя как определенное физическое лицо (субъект персональных данных)."
Средний
Простой
