Предписание по защите персональных данных - ограничения и штрафы согласно Федеральному закону № 152-ФЗ

Не нужен Вам сертификат по такой цене.

Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных" требует в ст. 18.1 от Вас изготовления политики персональных данных.

И всё.

Указанная статья закона даёт Вам свободу, что указывать.

Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор САМОСТОЯТЕЛЬНО определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами.

Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.

Вас просто пытаются напугать. Никто за это не закроет предприятие, потому что приостановка деятельности может быть только если допущены какие-то серьезные нарушения, которые могут повлечь за собой непоправимый вред. Практикуют это обычно при угрозах жизни и здоровью. (ст. 3.12. КоАП РФ)

Не стоит переживать.

Здравствуйте, Клара!

Ответ на ваш вопрос: наличие вас в реестре операторов персональных данных не означает, что средства зашиты информации, которые вы используете в своей организации сертифицированы и прошли процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз. То есть используемые вами средства защиты информации могут не обеспечивать нейтрализацию угроз информации, а значит не соответствовать требованиям закона, а в частности Постановлению Правительства РФ от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных". Но в то же время таких угроз у вас может не быть, в этом случае Роскомнадзор вас не накажет, в противном случае вам стоит опасаться административной ответственности по п. 2 ст. 13.12. КоАП РФ за нарушение правил защиты информации, а именно «использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну» штраф на юридических лиц - от двадцати тысяч до двадцати пяти тысяч рублей с конфискацией несертифицированных средств защиты информации или без таковой.

В части того, что это письмо не более чем агрессивный маркетинг я соглашусь предыдущими ораторами. Размер штрафа явно преувеличен, в прочем в действительности он тоже не так мал, если Роскомнадзор выявит совокупность нарушений. Такой санкции за нарушения в области защиты информации, как приостановление деятельности предприятия, КоАП РФ не предусматривает.

Надеюсь, мой ответ будет Вам полезен.

С уважением!

Юрист, Сергей Николаевич Кудряшов.