Підготовка бакалаврів

Метою навчальної дисципліни є формування у студентів здатностей до здобуття необхідних теоретичних засад у розумінні термінології з питань захисту приватності та отримання базових знань, усвідомленні єдиних міжнародних стандартів, розуміння особливостей захисту приватності в країнах ЄС та США, набуття практичних навичок щодо виконання обов’язків посадових осіб, що організовують виконання робіт, пов’язаних із захистом персональних даних при їх обробці на виконання вимог статті 24 Закону «Про захист персональних даних», проведення аудиту з питань захисту персональних даних та проведення оцінки відповідності на відповідність ДСТУ «Недоторканість приватного життя». Основні завдання навчальної дисципліни. Згідно з вимогами освітньо-професійної програми студенти після засвоєння навчальної дисципліни мають продемонструвати такі результати навчання:

o

знання:

- ризиків в контексті приватності.

- організації роботи, пов’язаної з обробкою персональних даних, зокрема: − в рамках створеної чи створюваної Комплексної системи захисту інформації (згідно вимог Закону України «Про захист інформації в автоматизованих системах) або Системи управління інформаційною безпекою (п. А.15.1.4 ДСТУ СУІБ 1.0/ISO/IEC 27001:2010); − при удосконаленні окремих бізнес-процесів/банківських продуктів, що забезпечують виконання операцій: • в рамках поточної діяльності; • щодо кредитів і скорингу; • щодо роботи з колекторами; • щодо функціонування веб-сайтів; • щодо функціонування систем відеоспостереження; • що вимагають передачі персональних даних третім особам або передачі іноземним суб’єктам відносин, пов’язаних з персональними даними.

- роботи зі скаргами громадян стосовно обробки їх персональних даних.

- процедури проведення перевірок уповноваженим органом з питань захистом персональних даних.

- створення/оцінка відповідності комплексних систем захисту інформації або систем управління інформаційною безпекою в інформаційних (автоматизованих) системах, які обробляють персональні дані.

o

уміння:

- виконувати функції посадових осіб, що організовують виконання робіт, пов’язаних із захистом персональних даних при їх обробці на виконання вимог статті 24 Закону «Про захист персональних даних» за такими напрямами:

Інформування та консультування володільця або розпорядника персональних даних з питань додержання законодавства про захист персональних даних; • взаємодія з Уповноваженим Верховної Ради України з прав людини та визначеними ним посадовими особами його секретаріату з питань запобігання та усунення порушень законодавства про захист персональних даних • забезпечення реалізації прав суб’єктів персональних даних; • повідомлення керівника у разі виявлення порушень законодавства про захист персональних даних з метою вжиття заходів, яких необхідно у зв’язку з цим вжити • аналіз загроз безпеці персональних даних при їх обробці.

- Аналізувати ризики в контексті приватності (розгляд ризиків застосування процедур обробки персональних даних, які створюють загрози втручання в приватне життя). − інформування суб’єктів ПД (ст.12 Закону «Про захист персональних даних»); − наявність законних підстав для обробки ПД (ст.11 Закону «Про захист персональних даних»); − забезпечення прав суб’єктів ПД стосовно: • доступу до ПД (п.3 ч.2 ст.8 Закону «Про захист персональних даних»), а також реалізації суб’єктом персональних даних права знати механізми автоматизованої обробки персональних даних (п.12 ч.2 ст.8 Закону «Про захист персональних даних»); • заперечення проти обробки (п.5 ч.2 ст.8 Закону «Про захист персональних даних»), • зміни, видалення або знищення (п.6 ч.2 ст.8 Закону «Про захист персональних даних»); • відкликання згоди на обробку персональних даних (п.11 ч.2 ст.8 Закону «Про захист персональних даних»), а також на захист від автоматизованого рішення, яке має для нього правові наслідки (п.13 ч.2 ст.8 Закону «Про захист персональних даних»).

•

− Проводити навчання з метою зростання обізнаності з питань організації захисту персональних даних.

o

досвід:

− Проведення аудиту з питань захисту персональних даних (відповідність вимогам законодавства, кращих практик та кодексів поведінки, контрактним вимогам): • документовані політики в сфері захисту персональних даних, якими затверджено цілі обробки ПД, склад ПД та процедури їх обробки; • коди практики та настанови, встановлені компанією з метою забезпечення визначених законодавством вимог щодо захисту

ПД, або, додатково, з метою демонстрації дотримання організацією підвищених вимог щодо захисту ПД; • організаційні та технічні заходи, спрямовані на досягнення встановлених цілей та заходи, спрямовані на виявлення недоліків та удосконалення процедур обробки ПД; • дотримання компанією на практиці процедур, встановлених згаданими вище документами. − Проведення оцінки відповідності: • міжнародним стандартам щодо побудови, аналізу та вдосконалення систем управління персональними даними, зокрема стандартів ISO 9001:2000 та ISO 27001:2005; галузевого стандарту ДСТУ СУІБ 1.0/ISO/IEC 27001:2010; • міжнародного стандарту ISO/IEC 29100:20111, британського стандарту BS 10012:20092; • стандарту Європейського комітету із стандартизації CWA 1549913 , CWA 15499-24 , CWA 152625, CWA 161136 • ДСТУ «захист недоторканості приватного життя». − Організація роботи, пов’язаної з обробкою ПД в рамках створюваної Комплексної системи захисту інформації (Закон України «Про захист інформації в автоматизованих системах») або Системи управління інформаційною безпекою (п. А.15.1.4 ГСТУ СУІБ 1.0/ISO/IEC 27001:2010) • участь у розробці технічного завдання на розробку Комплексної системи захисту інформації (КСЗІ) або системи управління інформаційною безпекою (СУІБ) в частині організації захисту ПД (системи управління персональними даними); • експертна оцінка (аудит) існуючих документів стосовно організації обробки ПД; • рекомендації щодо удосконалення системи обробки ПД; • аналіз основних бізнес-процесів та процедур обробки ПД (категорії суб’єктів ПД, категорії ПД, процедури їх обробки) • оцінка ризиків в контексті приватності; • розробка рекомендацій щодо зменшення ризиків; • розробка документів політики захисту ПД; • розробка положень, методик та процедур щодо захисту ПД, зокрема документів, що визначають:  порядок функціонування підрозділу або відповідальної особи, яка організовує роботу, пов’язану із захистом персональних даних, при їх обробці; 1

ISO/IEC 29100:2011 Information technology — Security techniques — Privacy framework BRITISH STANDARD BS 10012:2009 Data protection – Specification for a personal information management system 3 CWA 15499-1 Personal Data Protection Audit Framework (EU Directive EC 95/46) Part I: Baseline Framework - The protection of Personal Data in the EU 4 CWA 15499-2 Personal Data Protection Audit Framework (EU Directive EC 95/46) Part II: Checklists, questionnaires and templates for users of the framework - The protection of Personal Data in the EU 5 CWA 15262 Inventory of Data Protection Auditing Practices 6 CWA 16113:2010 Personal Data Protection Good Practices 2

 документи, що визначають процедури обробки ПД в підрозділах. Розробка положень посадових інструкцій, положень інших документів  запровадження організаційних та технічних заходів щодо захисту ПД;  функціонування та удосконалення системи обробки ПД (системи управління персональними даними).