ОБ ОРГАНИЗАЦИИ РАБОТЫ В ОБЕЗЛИЧЕННЫМИ ДАННЫМИ С СЛУЧАЕ ОБЕЗЛИЧИВАНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ В МИНИСТЕРСТВЕ СЕМЬИ, ТРУДА И СОЦИАЛЬНОЙ ЗАЩИТЫ НАСЕЛЕНИЯ РЕСПУБЛИКИ БАШКОРТОСТАН



МИНИСТЕРСТВО СЕМЬИ, ТРУДА И СОЦИАЛЬНОЙ ЗАЩИТЫ НАСЕЛЕНИЯ РЕСПУБЛИКИ БАШКОРТОСТАН

ПРИКАЗ

от 22 октября 2019 года № 624-о

ОБ ОРГАНИЗАЦИИ РАБОТЫ В ОБЕЗЛИЧЕННЫМИ ДАННЫМИ С СЛУЧАЕ ОБЕЗЛИЧИВАНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ В МИНИСТЕРСТВЕ СЕМЬИ, ТРУДА И СОЦИАЛЬНОЙ ЗАЩИТЫ НАСЕЛЕНИЯ РЕСПУБЛИКИ БАШКОРТОСТАН

Государственный комитет Республики Башкортостан по делам юстиции 13.11.2019 № 13918

В соответствии с постановлением Правительства Российской Федерации от 21 марта 2012 года № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами» приказываю:

1. Утвердить прилагаемые:

1.1. Правила работы с обезличенными данными в случае обезличивания персональных данных в Министерстве семьи, труда и социальной защиты населения Республики Башкортостан (приложение № 1).

1.2. Перечень должностей государственных гражданских служащих Республики Башкортостан, замещающих должности государственных гражданских служащих Республики Башкортостан в Министерстве семьи, труда и социальной защиты населения Республики Башкортостан, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных (приложение № 2).

2. Отделу делопроизводства и работы с информационными системами Министерства семьи, труда и социальной защиты населения Республики Башкортостан (Мамедовой А.Р.) направить настоящий приказ на государственную регистрацию в Государственный комитет Республики Башкортостан по делам юстиции.

3. Признать утратившим силу приказ Министерства труда и социальной защиты населения Республики Башкортостан от 20 сентября 2013 года № 356-о «Об организации работы с обезличенными персональными данными в Министерстве труда и социальной защиты населения Республики Башкортостан».

4. Контроль за исполнением настоящего приказа возложить на заместителя министра Каримову Л.А.

Исполняющий обязанности министра                                                    Ю.М.Мельников

Приложение № 1

к приказу Министерства семьи, труда

и социальной защиты населения

Республики Башкортостан

от 22 октября 2019 г. № 624-о

ПРАВИЛА РАБОТЫ С ОБЕЗЛИЧЕННЫМИ ДАНЫМИ В СЛУЧАЕ ОБЕЗЛИЧИВАНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ В МИНИСТЕРСТВЕ СЕМЬИ, ТРУДА И СОЦИАЛЬНОЙ ЗАЩИТЫ НАСЕЛЕНИЯ РЕСПУБЛИКИ БАШКОРТОСТАН

I. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящие Правила работы с обезличенными данными в случае обезличивания персональных данных в Министерстве семьи, труда и социальной защиты населения Республики Башкортостан (далее - Правила) разработаны в соответствии с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее - Федеральный закон), постановлением Правительства Российской Федерации от 21 марта 2012 года № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами», постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» (далее - постановление № 1119), приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций, Министерства связи и массовых коммуникаций Российской Федерации от 5 сентября 2013 года № 996 «Об утверждении требований и методов по обезличиванию персональных данных» (далее - приказ № 996), Методическими рекомендациями по применению приказа Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций № 996, утвержденными руководителем Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций А.А.Жаровым 13 декабря 2013 года (далее - Методические рекомендации).

1.2. Настоящие Правила определяют условия, процедуру и порядок работы с обезличенными данными в случае обезличивания персональных данных, в Министерстве семьи, труда и социальной защиты населения Республики Башкортостан (далее - Министерство).

II. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

2.1. В настоящих Правилах используются следующие понятия:

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

обезличенные данные - это данные, хранимые в информационных системах в электронном виде, принадлежность которых конкретному субъекту персональных данных невозможно определить без дополнительной информации;

деобезличивание - действия, в результате которых обезличенные данные принимают вид, позволяющий определить их принадлежность конкретному субъекту персональных данных, то есть становятся персональными данными.

III. УСЛОВИЯ И ПРОЦЕДУРЫ ОБЕЗЛИЧИВАНИЯ ПЕРЕСЫЛЬНЫХ ДАННЫХ

3.1. Обрабатываемые в Министерстве персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Федеральным законом.

3.2. Руководители структурных подразделений Министерства, осуществляющие контроль за обработкой персональных данных, в срок, не превышающий тридцати календарных дней с даты достижения цели обработки персональных данных, готовят предложения по обезличиванию персональных данных, обоснование такой необходимости, выбирают метод обезличивания и направляют служебную записку на имя министра семьи, труда и социальной защиты населения Республики Башкортостан, (первого заместителя министра семьи, труда и социальной защиты населения Республики Башкортостан), заместителя министра семьи, труда и социальной защиты населения Республики Башкортостан, курирующих соответствующие структурные подразделения Министерства.

3.3. Министр семьи, труда и социальной защиты населения Республики Башкортостан, (первый заместитель министра семьи, труда и социальной защиты населения Республики Башкортостан), заместитель министра семьи, труда и социальной защиты населения Республики Башкортостан, рассмотрев предложения по обезличиванию персональных данных, принимает решение о необходимости обезличивания персональных данных на основании предложений руководителей структурных подразделений Министерства в форме поручения (далее - Поручение) в срок, не превышающий тридцати календарных дней с даты достижения цели обработки персональных данных.

3.4. Приказом Министерства утверждается Перечень должностей государственных гражданских служащих Республики Башкортостан, замещающих должности государственных гражданских служащих Республики Башкортостан в Министерстве семьи, труда и социальной защиты населения Республики Башкортостан, ответственных за проведение мероприятий по обезличиванию обрабатываемых персональных данных (далее - уполномоченные лица). Уполномоченные лица осуществляют обезличивание обрабатываемых в Министерстве персональных данных методом по обезличиванию персональных данных в течение тридцати календарных дней после принятия решения о необходимости обезличивания персональных данных, указанных в Поручении, в соответствии с приказом № 996, Методическими рекомендациями.

3.5. В соответствии с пунктом 4 Требований и методов по обезличиванию персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ, утвержденных приказом № 996, к свойствам обезличенных данных относятся:

полнота (сохранение всей информации о конкретных субъектах или группах субъектов, которая имелась до обезличивания);

структурированность (сохранение структурных связей между обезличенными данными конкретного субъекта или группы субъектов, соответствующих связям, имеющимся до обезличивания);

релевантность (возможность обработки запросов по обработке персональных данных и получения ответов в одинаковой семантической форме);

семантическая целостность (сохранение семантики персональных данных при их обезличивании);

применимость (возможность решения задач обработки персональных данных, стоящих перед оператором, осуществляющим обезличивание персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ (далее - оператор, операторы), без предварительного деобезличивания всего объема записей о субъектах);

анонимность (невозможность однозначной идентификации субъектов данных, полученных в результате обезличивания, без применения дополнительной информации).

3.6. В соответствии с пунктом 5 Требований и методов по обезличиванию персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ, утвержденных приказом № 996, к характеристикам (свойствам) методов обезличивания персональных данных, определяющим возможность обеспечения заданных свойств обезличенных данных, относятся:

обратимость (возможность преобразования, обратного обезличиванию (деобезличивание), которое позволит привести обезличенные данные к исходному виду, позволяющему определить принадлежность персональных данных конкретному субъекту, устранить анонимность);

вариативность (возможность внесения изменений в параметры метода и его дальнейшего применения без предварительного деобезличивания массива данных);

изменяемость (возможность внесения изменений (дополнений) в массив обезличенных данных без предварительного деобезличивания);

стойкость (стойкость метода к атакам на идентификацию субъекта персональных данных);

возможность косвенного деобезличивания (возможность проведения деобезличивания с использованием информации других операторов);

совместимость (возможность интеграции персональных данных, обезличенных различными методами);

параметрический объем (объем дополнительной (служебной) информации, необходимой для реализации метода обезличивания и деобезличивания);

возможность оценки качества данных (возможность проведения контроля качества обезличенных данных и соответствия применяемых процедур обезличивания установленным для них требованиям).

3.7. В Министерстве необходимо применять следующие методы обезличивания персональных данных:

метод введения идентификаторов (замена части сведений (значений персональных данных) идентификаторами с созданием таблицы (справочника) соответствия идентификаторов исходным данным) (далее - таблица соответствия);

метод изменения состава или семантики (изменение состава или семантики персональных данных путем замены результатами статистической обработки, обобщения или удаления части сведений);

метод декомпозиции (разбиение множества (массива) персональных данных на несколько подмножеств (частей) с последующим раздельным хранением подмножеств);

метод перемешивания (перестановка отдельных записей, а также групп записей в массиве персональных данных).

3.8. При выборе метода обезличивания персональных данных Министерству следует руководствоваться целями и задачами обработки персональных данных.

3.9. При выборе метода обезличивания следует также учитывать:

объем персональных данных, подлежащих обезличиванию;

форму представления данных (отдельные записи, файлы, таблицы баз данных и т.д.);

область обработки обезличенных данных (необходим ли другим операторам доступ к обезличиваемым данным);

способы хранения обезличенных данных (локальное хранение, распределенное хранение и т.д.);

применяемые в информационных системах Министерства меры по обеспечению безопасности данных.

3.10. Процедура обезличивания обеспечивает практическую реализацию методов обезличивания:

а) при реализации метода введения идентификаторов персональные данные в исходном множестве заменяются идентификаторами согласно таблице соответствия; деобезличивание достигается обратной заменой идентификаторов на значения персональных данных по таблице соответствия;

б) при реализации метода изменения состава или семантики должны содержаться правила удаления либо замены значений персональных данных субъектов на новые значения, вычисляемые по заданным правилам; при замене значений атрибутов на новые требуется устанавливать правила обратной замены, если это необходимо для деобезличивания;

в) при реализации метода декомпозиции по заданному правилу (алгоритму) производится разделение исходного массива персональных данных на несколько частей, каждая из которых содержит заданный набор атрибутов всех субъектов; сведения, содержащиеся в каждой части, не позволяют идентифицировать субъектов персональных данных;

г) при реализации метода перемешивания проводится перемешивание отдельных значений или групп значений атрибутов субъектов персональных данных между собой по установленному правилу; деобезличивание достигается с использованием процедуры, обратной процедуре перемешивания.

IV. ПОРЯДОК РАБОТЫ С ОБЕЗЛИЧЕННЫМИ ДАННЫМИ В МИНИСТЕРСТВЕ СЕМЬИ, ТРУДА И СОЦИАЛЬНОЙ ЗАЩИТЫ НАСЕЛЕНИЯ РЕСПУБЛИКИ БАШКОРТОСТАН

4.1. При хранении обезличенных данных Министерство обязано обеспечивать конфиденциальность дополнительной (служебной) информации о выбранном методе реализации процедуры обезличивания и параметрах процедуры обезличивания.

4.2. При использовании Министерством процедуры обезличивания не допускается совместное хранение персональных данных и обезличенных данных.

4.3. При передаче вместе с обезличенными данными информации о выбранном методе реализации процедуры обезличивания и параметрах процедуры обезличивания Министерство обеспечивает конфиденциальность канала (способа) передачи данных.

4.4. При реализации процедуры деобезличивания Министерство:

обеспечивает обработку и защиту деобезличенных данных, в соответствии с требованиями Федерального закона;

выполняет требования к защите персональных данных при их обработке в информационных системах персональных данных, в соответствии с постановлением № 1119;

обеспечивает безопасность персональных данных при их обработке в информационной системе с помощью системы защиты персональных данных, в соответствии с постановлением № 1119.

4.5. После обработки персональные данные, полученные в результате завершения деобезличивания, уничтожаются, согласно порядку уничтожения обработанных персональных данных, утвержденному приказом Министерства.

Приложение № 2

к Приказу Министерства семьи, труда

и социальной защиты населения

Республики Башкортостан

от 22 октября 2019 г. № 624-о

ПЕРЕЧЕНЬ ДОЛЖНОСТЕЙ ГОСУДАРСТВЕННЫХ ГРАЖДАНСКИХ СЛУЖАЩИХ РЕСПУБЛИКИ БАШКОРТОСТАН, ЗАМЕЩАЮЩИХ ДОЛЖНОСТИ ГОСУДАРСТВЕННЫХ ГРАЖДАНСКИХ СЛУЖАЩИХ РЕСПУБЛИКИ БАШКОРТОСТАН В МИНИСТЕРСТВЕ СЕМЬИ, ТРУДА И СОЦИАЛЬНОЙ ЗАЩИТЫ НАСЕЛЕНИЯ РЕСПУБЛИКИ БАШКОРТОСТАН, ОТВЕТСТВЕННЫХ ЗА ПРОВЕДЕНИЕ МЕРОПРИЯТИЙ ПО ОБЕЗЛИЧИВАНИЮ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Министр семьи, труда и социальной защиты населения Республики Башкортостан.

2. Первый заместитель министра семьи, труда и социальной защиты населения Республики Башкортостан.

3. Заместитель министра семьи, труда и социальной защиты населения Республики Башкортостан.

4. Начальник Управления.

5. Помощник министра.

6. Начальник отдела.

7. Заместитель начальника отдела.

8. Заместитель начальника отдела - заведующий сектором.

9. Заведующий сектором.

10. Советник.

11. Главный специалист-эксперт.

12. Ведущий специалист-эксперт.

13. Старший специалист 2 разряда.