Информационное сообщение Федеральной службы по техническому и экспортному контролю от 6 июня 2018 г. № 240/13/2549 “О некоторых вопросах по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»

В ФСТЭК России поступают обращения от физических лиц о проведении ФСТЭК России проверки наличия у запрашиваемых организаций лицензии на обработку персональных данных.

ФСТЭК России информирует, что в соответствии с Федеральным законом от 4 мая 2011 г. № 99-ФЗ «О лицензировании отдельных видов деятельности» и Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» обработка персональных данных не является лицензируемым видом деятельности.

В соответствии с пунктом 5 части 1 статьи 12 Федерального закона от 4 мая 2011 г. № 99-ФЗ «О лицензировании отдельных видов деятельности» лицензированию подлежит деятельность по технической защите конфиденциальной информации. Перечень работ и услуг, составляющих указанный лицензируемый вид деятельности, определен Положением о лицензировании деятельности по технической защите конфиденциальной информации, утвержденным постановлением Правительства Российской Федерации от 3 февраля 2012 г. № 79.

Вместе с тем в соответствии с частью 1 статьи 19 Федерального закона «О персональных данных» от 27 июля 2006 г. № 152-ФЗ оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных.

В пункте 3 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 установлено, что безопасность персональных данных при их обработке в информационный системе обеспечивает оператор этой системы, который обрабатывает персональные данные, или лицо, осуществляющее обработку персональных данных по поручению оператора на основании заключенного с этим лицом договора. Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке в информационной системе.

В соответствии с пунктом 2 Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21, для выполнения работ по обеспечению безопасности персональных данных могут привлекаться на договорной основе юридическое лицо или индивидуальный предприниматель, имеющие лицензию на деятельность по технической защите конфиденциальной информации.