Типовой порядок обработки персональных данных: заглушка к Закону или начало новых трудностей?

Проблематика практического применения законодательства о защите персональных данных имеет почти двухлетнюю историю, однако какой-либо ясности и определенности в этом вопросе пока не наблюдается.

Все началось с того, что с принятием Закона «О защите персональных данных» для украинских предприятий возникла новая непредвиденная проблема: фактически нужно реформировать существующую информационную систему, поскольку каждый, кто стал (или собирается стать) официальным зарегистрированным владельцем или распорядителем базы персональных данных, обязан обеспечить защиту этих данных от несанкционированного доступа и незаконной обработки.

Нервозность по поводу регистрации баз персональных данных, пик которой пришелся на декабрь прошлого года, потихоньку спала. Страсти утихли. К тому же дату, с которой могут применяться штрафные санкции, «отодвинули» аж на полгода.

Основной причиной «отодвигания» даты является то, что в текущей редакции Закон о защите персональных данных имеет много пробелов. В частности, Закон во многих нормах имеет ссылки на другие нормативно-правовые акты, которые еще не приняты, а также не предусмотрено, какие условия должен создать владелец базы данных для надлежащей защиты персональных данных.

Во исполнение Закона был разработан Типовой порядок обработки персональных данных в базах персональных данных, утвержденный приказом Минюста №3659/5 от 30.12.2011 г (вступил в силу 20 января). Однако этот Порядок содержит, по большому счету, лишь лозунги. И если защита персональных данных в форме картотек еще более-менее понятна, то вопросы надлежащей защиты информации в автоматизированных системах пока остаются открытыми:

• как производить регистрацию фактов несанкционированного доступа;
• какие технические средства безопасности должны быть применены при обработке персональных данных в обязательном порядке;
• какая именно должна быть антивирусная защита в информационной (автоматизированной) системе;
• что конкретно должны собой представлять «технические средства бесперебойного питания элементов информационной (автоматизированной) системы» – обычные UPS или серьезные системы с генераторными установками и т.п.;
• какие существуют средства защиты информации, которые имеют сертификат соответствия или положительное экспертное заключение по результатам государственной экспертизы в сфере технической и(или) криптографической защиты информации.