Translate

сряда, 20 септември 2017 г.


РЕГЛАМЕНТ (ЕС) 2016/679 и ISO 27001

ОБУЧЕНИЕ И КОНСУЛТАЦИИ ПО ИЗГРАЖДАНЕ НА

Система за управление на защитата на личните данни,
в съответствие с изискванията на РЕГЛАМЕНТ (ЕС) 2016/679

Обхвата на предлаганите обучение и консултации са специфични за различните организации и се определят основно от следващите два фактора:
1. Наличие на регистрация на  организацията,  като Администратор на лични данни по ЗЗЛД;
2. Наличие на изградена, функционираща и сертифицирана Система за управление на информационната сигурност (ISO 27001);
При всички случаи обучението и консултациите включват:
1. Преглед на изискванията на РЕГЛАМЕНТ (ЕС) 2016/679 ;
2. Преглед на основни дейности, които трябва да се свършат от организацията при изграждането на Система за управление на защитата на личните данни;
3. Подход за избор на контролни / защитни механизми, изискващи се за изпълнение на изискванията на РЕГЛАМЕНТ (ЕС) 2016/679
4. Подход за изграждане на Система за управление на защитата на личните данни
- като подсистема на Система за управление на информационната сигурност (ISO 27001);
- като самостоятелна система за сигурност.
5. Преглед на основните изисквания към Служителя по защитата на личните данни. 
6. Разработване на изискващите от Регламента документи,свързани със защитата на личните данни.

За въпроси и допълнителна информация:
Пламен Каменов
0886 655 315
E-mail: infosecservicebg@gmail.com

Забележка:
В следващата таблица са представени в обобщен вид изискванията в Регламент(ЕС) 2016/679 за зашита на личните данни и възможни контролни механизми (определени в ISO 27001) за тяхното изпълнение.



№

Изискване по Регламент 2016 / 679
№ на клауза

Изпълнение на изискването с внедряването на контрол, съгласно ISO 27001 / 27002

ОБХВАТ

1
Article 3 (territorial scope) and 27 (representatives)
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)
2
Article 4, section 1, subsection 1 (personal data)
A.8.2.1 (classification of information)

ОБРАБОТКА  НА  ЛИЧНИТЕ ДАННИ

1
Article 6 (common personal data) and 9 (sensitive data)
A.8.2.1 (classification of information)
2
Article 4, section 1, subsection 2 (processing)
A.8.1.3 (acceptable use of assets)
3
Article 4, section 1, subsection 7 (controller)
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)
4
Article 4, section 1, subsection 8 (processor)
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)
5
Article 6 (common person data - lawfulness of processing), 9 (sensitive data), 85 (processing and freedom of expression and information (journalistic, academic, artistic and literary purpose)), 86 (public access to official documents), 87 (national
identification number), 88 (employment) 89 (public interest, scientific, historical and statistical purposes) and 90 (secrecy)
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)
6
Article 4, section 1, subsection 16 (main establishment), 60 (cooperation between supervisory authorities, one-stop-shop and the consistency mechanism) and 55 (competence of
the supervisory authority)
A.6.1.3 (contact with authorities)

ПРИНЦИПИ

1
Article 5 (principles)
A.8.2.3 (handling of assets)
2
Article 5, section 1, subsection a (lawful, fair and
transparent) and Article 6, section 1, subsection a (consent) and Article 7 (consent), 8 (consent for children) and article 9, section 2, subsection a (consent)
A.18.1.4 (l) (compliance with Privacy and protection
of personally identifiable information)
A.12.1.1 (documented operating procedures)
3
Article 5, section 1, subsection a (lawful, fair and
transparent) and Article 6, section 1, subsection f (legitimate interests)
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)
A.12.1.1 (documented operating procedures)
4
Article 5, section 1, subsection a (lawful, fair and
transparent) and Article 6, section 1, subsection b (contract) or subsection c (legal obligation)
A.18.1.4 (l) (compliance with Privacy and protection
of personally identifiable information)
5
Article 5, section 1, subsection a (lawful, fair and
transparent) and Article 6 (Lawfulness of processing), 9 (sensitive information), 85 (processing and freedom of expression and information (journalistic, academic, artistic and literary purpose)), 86 (public access to official documents), 87 (national identification number), 88 (employment law), 89 (public interest, scientific, historical and statistical purpose) and 90 (secrecy)
A.18.1.4 (l) (compliance with Privacy and protection
of personally identifiable information)
A.12.1.1 (documented operating procedures)
6
Article 5, section 1, subsection a (lawful, fair and
transparent)
A.18.1.4 (l) (compliance with Privacy and protection
of personally identifiable information)
7
Article 5, section 1, subsection b (purpose limitation)
A.18.1.4 (l) (compliance with Privacy and protection
of personally identifiable information)
8
Article 5, section 1, subsection c (data minimisation)
A.18.1.4 (l) (compliance with Privacy and protection
of personally identifiable information)
A.12.1.1 (documented operating procedures)
9
Article 5, section 1, subsection d (accuracy) (see also Article 16-21)
A.12.1.1 (documented operating procedures)
10
Article 5, section 1, subsection d (accuracy) (see also Article 16-21)
A.12.1.1 (documented operating procedures)
11
Article 5, section 1, subsection e (storage limitation)
A.12.1.1 (documented operating procedures)
12
Article 5, section 1, subsection f (integrity and confidentiality) (see also article 32)
A.5.1.1 (policies for information security)
A.6.1.5 (information security in project management)
A.14.1.1 (security requirements analysis and specification)
A.14.2.5 (secure system engineering principles)

ПРАВА НА ОБЕКТИТЕ НА ЛИЧНИТЕ ДАННИ

1
Article 12, section 2 (transparency)
A.12.1.1 (documented operating procedures)
2
Article 12, section 3 (transparency)
A.12.1.1 (documented operating
procedures)
3
Article 13, section 1 and 2 (information to be provided when personal data is collected from the data subjects), Article 14, section 1 and 2 (information to be provided when personal data
is not obtained from the data subject)
Article 15, section 1 (Right of access by the data subject)
A.12.1.1 (documented operating procedures)
A.6.1.1 (information security roles and responsibilities)
A.18.1.4 (l) (compliance with privacy and protection of personal identifiable information)
A.8.2.1 (classification of information)
A.13.2.1 (information transfer policies and procedures)
4
Article 16 (rectification), Article 17 (Right to erasure) and Article 18 (Right to restriction of processing)
A.12.1.1 (documented operating procedures)
5
Article 19 (Notification obligation)
A.12.1.1 (documented operating
procedures)
6
Article 20 (data portability)
A.12.1.1 (documented operating procedures)
7
Article 21 (Right to object)
A.12.1.1 (documented operating
procedures)
A.18.1.4 (l) (compliance with the privacy and protection of personal data)
8
Article 22 (profiling)
A.12.1.1 (documented operating procedures)
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)

ЗАДЪЛЖЕНИЯ НА ОРГАНИЗАЦИЯТА

1
Article 24, section 1 (responsibility of the controller)
A.5.1.1 (policies for information security)
A.5.1.2 (review of the policies for information security)
A.18.2.2 (compliance with security policies and standards)
2
Article 24, section 2 (responsibility of the controller)
A.5.1.1 (policies for information security)
A.5.1.2 (review of the policies for information security)
3
Article 25, section 1 (data protection by design and by default) and section 2 (data protection by design
and by default)
A.5.1.1 (policies for information security)
A.6.1.5 (information security in project management)
A.14.1.1 (security requirements of information systems)
A.14.2.5 (secure system engineering principles)
4
Preamble 78 (data protection by design in tendering procedure)
A.15.1.1 (information security policy for supplier relationships)
A.15.1.2 (addressing security with supplier agreements)
A.13.2.2 (agreements on information transfer)
5
Article 28, section 1 (processor)
A.15.1.1 (information security policy for supplier relationships)
A.15.1.2 (addressing security with supplier agreements)
A.13.2.1 (information transfer policies and procedures)
A.13.2.2 (agreements on information transfer)
6
Article 28, section 2 (processor)
A.15.1.1 (information security policy for supplier relationships)
A.15.1.2 (addressing security with supplier agreements)
A.13.2.1 (information transfer policies and procedures)
A.13.2.2 (agreements on information transfer)
7
Article 28, section 3 (processor)
A.9.2.2 (user access provisioning)
A.9.4.1 (information access restriction)
A.12.1.1 (documented operating procedures)
A.13.2.2 (agreements on information transfer)
A.15.1.1 (information security policy for supplier relationships)
A.15.1.2 (addressing security with supplier agreements)
A.16.1.3 (reporting information security weaknesses)
8
Article 30, section 1 (records of processing activities)
A.12.1.1 (documented operating procedures)
9
Article 30, section 2 (records of processing activities)
A.12.1.1 (documented operating procedures)
10
Article 32, section 1 and section 2 (security of processing)
A.5.1.1 (policies for information security)
A.6.1.5 (information security in project management)
A.14.1.1 (security requirements of information systems)
A.14.2.5 (secure system engineering principles)
11
Article 32, section 1, subsection a (security of processing)
A.10.1.1 (policy on the use of cryptographic controls)
A.9.4.1 (information access restriction)
12
Article 32, section 1, subsection b (security of processing)
A.5.1.1 (policies for information security)
A.14.1.1 (security requirements of information systems)
A.14.2.5 (secure system engineering principles)
13
Article 32, section 1, subsection c (security of processing)
A.12.3.1 (information backup)
A.17.1.1 (planning information security continuity)
A.17.1.2 (implementing information security continuity)
14
Article 32, section 1, subsection d (security of processing)
A.14.2.8 (system security testing)
A.14.2.9 (system acceptance testing)
A.12.7.1 (information systems audit controls)
A.15.2.1 (monitoring and review of supplier services)
A.18.2 ( information security reviews)
15
Article 32, section 4 (security of processing)
A.5.1.1 (policies for information security)
A.14.1.1 (security requirements of information systems)
A.14.2.5 (secure system engineering principles)
16
Article 33, section 1 and section 3 (notification of security incidents to the supervisory authority)
A.16.1.1 (responsibilities and procedures)
A.16.1.5 (response to information security incidents)
A.6.1.3 (contact with authorities)
17
Article 33, section 5 (notification of security incidents to the supervisory authorities)
A.16.1.7 (collection of evidence)
A.12.4 (logging and monitoring)
18
Article 33, section 2 (notification of security incidents to the supervisory authorities)
A.16.1.3 (reporting information security weaknesses)
19
Article 34 (data breach is to be communicated to data subjects)
A.16.1.5 (response to information security incidents)
20
Article 35, section 1 (data protection impact assessment)
A.6.1.5 (information security in project management)
A.14.1.1 (security requirements of information systems)
A.14.2.5 (secure system engineering principles)
21
Article 36, section 1 (prior consultation)
A.6.1.3 (contact and regulatory authorities)
22
Article 37 (designation of the data protection officer)
A.6.1.1 (information security roles and responsibilities)

СПЕЦИАЛНИ СЛУЧАИ

1
Article 44 (general principle for transfers)
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)
2
Article 44 (general principle for transfers)
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)
3
Article 46 (transfer)
A.15.1.2 (addressing security with supplier agreements)
4
Article 46 and article 47 (transfers)
A.15.2.1 (monitoring and review of supplier services)
5
Many articles in the Regulation allows for national interpretation/ implementation
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)
6
Many articles in the Regulation make it possible for national interpretation / implementation.
A.18.1.4 (l) (compliance with Privacy and protection of personally identifiable information)
Публикувано от в Няма коментари:

сряда, 13 септември 2017 г.


РЕГЛАМЕНТ (ЕС) 2016 / 679 - ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

Дистанционно обучение и консултации за  изграждане на Система за управление на защитата на личните данни, в съответствие с изискванията на РЕГЛАМЕНТ (ЕС) 2016 / 679

 За допълнителна информация:

 Пламен Каменов
0888 655 315
e-mail: infosecservicebg@gmail.com

 Забележка: Следващата информация е представена, така, както е публикувана в сайта на Комисията за за защита на личните данни (КЗЛД). 
Какво трябва да знаят администраторите на лични данни за задълженията си по Регламент 2016/679 
на Европейския парламент и на Съвета от 27 април 2016 ?

1. От кога ще започне да се прилага новия Общ регламент за защита на личните данни?
Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) е обнародван в Официален вестник на Европейския съюз на 4 май 2016 г.
Общият регламент въвежда множество значителни промени спрямо действащата правна рамка и поставя завишени изисквания към субектите в системата за защита на личните данни, което е причина за неговото отложено прилагане, считано от 25 май 2018 г.

2. Ще се прилага ли новият Регламент за администратори на лични данни, които обработват данни извън територията на Европейския съюз?
Да, с новия Регламент се разширява териториалният обхват на европейските правила за защита на личните данни и те ще важат и за администратори, които не са установени в ЕС, но обработват лични данни на граждани, които се намират в ЕС. Това ще важи в случаите, когато дейностите по обработване на данни от страна на такива администратори, са свързани с:
· Предлагането на стоки и услуги на физически лица, намиращи се в съюза, независимо дали от субекта на данни се изисква плащане;
или
· Наблюдението на тяхното поведение, доколкото това поведение са проявява в рамките на съюза.

3. Какво представлява фигурата „съвместни администратори“?
Понятието „съвместни администратори“ означава, че двама или повече администратори съвместно определят целите и средствата на обработването на лични данни. Физическото лице, за което се отнасят данните (субект на данни), може да упражнява своите права в областта на защитата на личните данни по отношение всеки и срещу всеки от администраторите. Съвместните администратори са длъжни да определят по прозрачен начин съответните си отговорности за изпълнение на задълженията си по регламента.

4. Кои са задълженията за администраторите и обработващите лични данни спрямо новия Общ регламент за защита на данните?

Общият регламент за защита на личните данни въвежда редица задължения за администраторите и обработващи лични данни, някои от които са изцяло нови и непознати в досега действащата правна уредба. Те са :
· Обработване на данните в съответствие с принципите за защита на личните данни, заложени в регламента, като е в състояние да докаже това (отчетност);
· Осигуряване на защита на данните на етапа на проектирането и по подразбиране;
· Определяне на длъжностно лице по защита на личните данни в изрично посочените от регламента случаи, поддържане на регистър на дейностите по обработване, за които отговаря;
· Уведомяване на надзорния орган и субекта на данни в случай на нарушаване на сигурността на личните данни, както и да документиране на всяко нарушение на сигурността на личните данни, в т. ч. фактите, свързани с нарушението, последиците от него, предприетите действия за справяне с нарушението;
· Извършване на оценка на въздействието върху защитата на данните;
· Провеждане на предварителна консултация с надзорния орган преди обработването, когато оценката на въздействието покаже, че обработването ще породи висок риск, ако АЛД не предприеме мерки за ограничаване на риска
· Прилагане на подходящи технически и организационни мерки за осигуряване на сигурност на данните. В регламента са посочени и конкретни технически и организационни мерки за сигурност, като:
- Псевдонимизация;
- Криптиране;
- Гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване;
- Своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент;
- Редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки.
- Сътрудничество с надзорния орган за защита на личните данни при изпълнение на задълженията, произтичащи то регламента.

5. Кога администраторът и обработващият са длъжни да определят длъжностно лице по защита на данните?
Определянето на длъжностно лице по защита на данните е задължително в следните случаи:
· Когато обработването се извършва от публичен орган или структура, освен когато става въпрос за съдилища при изпълнение на съдебните им функции;
· Когато основните дейности на администратора или обработващия лични данни се състоят в операции по обработване, които поради своето естество, обхват и/или цели изискват редовно и систематично мащабно наблюдение на субектите на данни;
· Когато основните дейности на администратора или обработващия лични данни се състоят в мащабно обработване на специалните категории данни и на лични данни, свързани с присъди и нарушения.

6. Кои права на субекта на данни трябва да спазва администраторът съгласно Общия регламент за защита на личните данни?
Според Регламента субектът на данни (физическото лице, за което се отнасят данните) има право на:
· Информираност;
· Достъп до собствените си лични данни;
· Коригиране (ако данните са неточни);
· Изтриване на личните данни (правото „да бъдеш забравен“);
· Ограничаване на обработването от страна на администратора или обработващия лични данни;
· Преносимост на личните данни между отделните администратори;
· Възражение спрямо обработването на негови лични данни;
· Субектът на данни има право и да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за субекта на данните или по подобен начин го засяга в значителна степен;
· Право на защита по съдебен или административен ред, в случай че правата на субекта на данни са били нарушени.

7. Въвежда ли новият Регламент по-строг контрол върху обработващите лични данни?
Да! Обработващият е задължен да спазва всички установени правила и норми за защита на личните данни и носи солидарна отговорност за причинени вреди заедно с администратора. Регламентът въвежда задължението обработващият лични данни да търси съгласието на администратора всеки път когато възлага обработването на подизпълнител. Съгласието на администратора в тези случаи следва да бъде дадено предварително, като може да бъде под формата на конкретно или общо разрешение, в писмена форма. В случай на общо писмено разрешение, обработващият е длъжен да информира администратора винаги за всякакви планирани промени за включване или замяна на други обработващи данни.

8. Трябва ли администраторите на лични данни в България да се регистрират пред Комисията за защита на личните данни както до сега?
Не, задължението за регистрация отпада, считано от 25 май 2018 г.

9. По какъв начин ще бъде осъществяван надзора за спазване на новата правна рамка по защита на личните данни?
Единственият надзорен орган по защита на личните данни в Република България е Комисията за защита на личните данни. Като такъв Комисията ще осъществява контрол за спазването на изискванията на регламента. В рамките на своите правомощия Комисията има право да разглежда жалби от физически лица, да извършва проверки на администратори и обработващи лични данни, да издава становища, задължителни предписания и имуществени санкции. Новият Регламент значително увеличава максималния размер на налаганите глоби и имуществени санкции – до 10 млн. евро или до 2 % от годишния оборот на дружеството за предходната година (която от двете суми е по-висока).

10. Трябва ли администраторите на лични данни да спазват новия Регламент ако обработват единствено псевдонимизирани лични данни?
Най-общо – да! Псевдонимизираните лични данни[1] не са изключени извън приложното поле на новия Общ регламент. Псевдонимизация означава обработването на лични данни по такъв начин, че личните данни не могат повече да бъдат свързвани с конкретен субект на данни, без да се използва допълнителна информация, при условие че тя се съхранява отделно и е предмет на технически и организационни мерки с цел да се гарантира, че личните данни не са свързани с идентифицирано физическо лице или с физическо лице, което може да бъде идентифицирано. Именно поради тези специфики на псевдонимизираните данни, Регламентът предвижда по-малко строги правила за обработване на псевдонимизирани данни, като по този начин насърчава администраторите да използват тази техника.

11. Задължени ли са администраторите на лични данни да осигуряват по-високо ниво на защита на личните данни на децата?
На децата се полага специална защита на личните данни, тъй като те не познават достатъчно добре съответните рискове, заплахи и евентуални неблагоприятни последици от неправомерното обработване на данни, както и своите права. Тази специална защита следва да се прилага по-специално за използването на лични данни на деца за целите на маркетинга или за създаване на личностни или потребителски профили и събирането на лични данни по отношение на деца при ползване на услуги, предоставяни пряко на деца. Когато обработването е насочено към дете, всяка информация и комуникация следва да се предоставя с ясни и недвусмислени формулировки, които да бъдат лесноразбираеми за детето.
Във връзка с прякото предлагане на услуги на информационното общество на деца, обработването на данни на дете е законосъобразно, ако детето е поне на 16 години. Ако детето е под 16 години това обработване е законосъобразно само ако и доколкото такова съгласие е дадено или разрешено от носещия родителска отговорност за детето.


[1] Псевдонимизация – техника за защита на неприкосновеността, при която личните данни се обработват по начин, които не позволява идентификацията на физическото лице без употребата на допълнителна информация, която следва да се съхранява отделно от тези данни, под защитата на технически и организационни мерки.
Публикувано от в Няма коментари:

вторник, 12 септември 2017 г.


РЕГЛАМЕНТ (ЕС) 2016/679

ОБУЧЕНИЕ И КОНСУЛТАЦИИ ПО ИЗГРАЖДАНЕ НА

Система за управление на защитата на личните данни,
в съответствие с изискванията на РЕГЛАМЕНТ (ЕС) 2016/679

Обхвата на предлаганите обучение и консултации са специфични за различните организации и се определят основно от следващите два фактора:
1. Регистрация на  организацията,  като Администратор на лични данни по ЗЗЛД;
2. Наличност в организацията на изградена, функционираща и сертифицирана Система за управление на информационната сигурност (ISO 27001);

При всички случаи обучението и консултациите включват:

1. Преглед на изискванията на РЕГЛАМЕНТ (ЕС) 2016/679 ;
2. Преглед на основни дейности, които трябва да се свършат от организацияга при изграждането на Система за управление на защитата на личните данни;
3. Избор на контролни / защитни механизми за изпълнение на изискванията на РЕГЛАМЕНТ (ЕС) 2016/679
4. Подход за изграждане на Система за управление на защитата на личните данни
- като подсистема на Система за управление на информационната сигурност (ISO 27001);
- като самостоятелна система за сигурност.

За въпроси и допълнителна информация:
Пламен Каменов
0886 655 315

E-mail: infosecservicebg@gmail.com
Публикувано от в Няма коментари:

неделя, 10 септември 2017 г.
РЕГЛАМЕНТ (ЕС) 2016/679

НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
ОТ 27 АПРИЛ 2016 ГОДИНА, ОТНОСНО:

ЗАЩИТАТА НА ФИЗИЧЕСКИТЕ ЛИЦА
ВЪВ ВРЪЗКА С ОБРАБОТВАНЕТО НА ЛИЧНИ ДАННИ
И ОТНОСНО СВОБОДНОТО ДВИЖЕНИЕ НА ТАКИВА ДАННИ,
И ЗА ОТМЯНА НА ДИРЕКТИВА 95/46/EО
(ОБЩ РЕГЛАМЕНТ ОТНОСНО ЗАЩИТАТА НА ДАННИТЕ)

НОВИ УСЛУГИ НА INFOSECSERVICE !

ПРОФЕСИОНАЛНИ УСЛУГИ - ОБУЧЕНИЕ И КОНСУЛТАЦИИ ЗА ИЗГРАЖДАНЕ НА СИСТЕМА ЗА УПРАВЛЕНИЕ НА ЗАЩИТАТА НА ЛИЧНИТЕ ДАННИ, В СЪОТВЕТСТВИЕ С ИЗИСКВАНИЯТА НА РЕГЛАМЕНТ (ЕС) 2016/679.



Публикувано от в Няма коментари:
Абонамент за: Публикации (Atom)