Бухгалтерский учет, налогообложение, отчетность, МСФО, анализ бухгалтерской информации, 1С:Бухгалтерия

Обработка персональных данных в "зарплатных" конфигурациях "1С:Предприятия 8"

18.01.2010
Отправить на почту
Написать комментарий

Согласно Федеральному закону от 27.06.2006 № 152-ФЗ "О персональных данных" практически любая информация о физическом лице является персональными данными, а любая организация или индивидуальный предприниматель, обладающие этой информацией, становятся операторами персональных данных. Хотя окончательное вступление в силу названного закона перенесено на 2011 год, ряд требований необходимо соблюдать уже сейчас. О том, что от операторов требует закон, и как к этим требованиям подготовлены программы "1С:Зарплата и Управление Персоналом 8" и "1С:Зарплата и кадры бюджетного учреждения 8"* и пойдет речь в настоящей статье методистов фирмы "1С".

Содержание


Примечание:
* Механизм доступен в конфигурациях "Зарплата и управление персоналом" 2.5.19 и "Зарплата и кадры бюджетного учреждения" 1.0.8 при использовании платформы "1С:Предприятие" версии 8.2.10

Согласно подзаконным актам степень защиты данных зависит от класса информационной системы, который в свою очередь определяется количеством субъектов (в нашем случае физических лиц), количеством организаций и спецификой персональных данных*. Инструментарий конфигураций способен обеспечить защиту персональных данных в соответствии с требованиями Федерального закона от 27.06.2006 № 152-ФЗ (далее - Федеральный закон № 152-ФЗ) к информационным системам классов 3 и 2, в которые и входят большинство систем наших пользователей.

Примечание:
* Подробнее см. статью Организационные вопросы защиты персональных данных.

Что мы предлагаем пользователям для "защиты"?

Для защиты персональных данных в информационных системах класса 3 необходимо фиксировать события аутентификации (входа в систему) и отказа от аутентификации, которые по умолчанию включены. Для соответствия требованиям Федерального закона № 152-ФЗ к информационным системам класса 2 необходимо в числе прочего регистрировать события доступа и отказа в доступе к конкретным персональным данным. Иначе говоря, нужно "уметь" ответить на вопросs "Кто, когда, получил доступ к зарплате Иванова?", и "Кто и когда его получить пытался, но не смог" (из-за ограничения прав)?".

В новой версии 8.2.10 платформы "1С:Предприятие 8" добавлены возможности, которые решают эту задачу. А именно: регистрация событий доступа и отказа в доступе к данным и, соответственно, просмотр сведений о зарегистрированных событиях с точностью до полей данных.

Нужно понимать, что регистрация события Доступ довольно ресурсоемкая. И хотя предварительные замеры производительности позволяют утверждать, что не будет заметного пользователю увеличения времени выполняемых операций, однако поскольку результат запроса к защищаемым данным будет фиксироваться вместе с записью о событии, размер журнала регистрации существенно увеличится. Исходя из этого:

  • с одной стороны, требуется обеспечить соответствие требованиям закону - защитить все области персональных данных;
  • с другой стороны, необходимо минимизировать потери производительности.

Перед разработчиками прикладного решения встает задача - обеспечить гибкую настройку режима соответствия требованиям Федерального закона № 152-ФЗ. В типовых решениях гибкость настройки достигается за счет:

  • выделения областей персональных данных;
  • управления "детальностью" регистрации событий.

Что сделано в "зарплатных" конфигурациях?

Итак, данные, подпадающие под определение "персональные", разбиваются на четыре области:

  • личные сведения;
  • сведения об образовании и компетенциях;
  • сведения об имуществе;
  • сведения о доходах.

Пользователю (администратору информационной системы) предлагается установить области данных, для которых будет выполняться регистрация событий доступа и отказа в доступе (см. рис. 1).

Рис. 1. Форма настройки режима защиты персональных данных.

Это вовсе не означает, что частично "включив" регистрацию событий, мы "частично" выполняем требования закона. Просто наиболее вероятным кажется сценарий, при котором доступ к таким областям данных, как сведения о доходах, например, находится в руках у очень ограниченного круга лиц и детально регистрировать каждое отдельное событие нет необходимости. В этом случае область данных можно "отключить" и снизить нагрузку на систему.

Регистрация списка лиц при доступе к данным определяет "детальность" сведений о событии. От этой настройки зависит, будет ли в журнале расшифровано "чья именно зарплата была прочитана" или будет указано: "была прочитана зарплата" без расшифровки по записям.

Все события фиксируются в журнале регистрации, но просмотреть новые события в удобной форме "ответов на вопросы" можно в форме Управление персональными данными (см. рис. 2). В форму отбираются: фиксированный набор видов событий, одновременно отражается список объектов и данных субъектов для событий доступа и отказ в доступе. Благодаря отбору по субъекту фактически появляется возможность получить ответ на вопрос: "Кто читал данные Иванова? Петрова? Сидорова?"

Рис. 2. Форма Управление персональными данными.

Еще одна настройка связана с обеспечением конфиденциальности сведений о доходах. Необходимо исключить возможность сотрудников видеть сумму зарплаты коллег. Это может произойти при выплате зарплаты по кассовым ведомостям. Настройка Ограничивать количество сотрудников при печати платежных ведомостей запрещает формирование печатной формы для платежных ведомостей, содержащих больше одного сотрудника. Выплату зарплаты в таком случае следует оформлять при помощи расходного кассового ордера.

В законе упоминается обязанность оператора в ряде случаев уничтожить персональные данные по запросу субъекта. Таким образом, по заявлению физического лица работодатель обязан удалить: данные о его доходах, ИНН, страховой номер ПФР и другие сведения, хранить которые работодателя обязывает законодательство. Учитывая специфику зарплатных конфигураций, принято решение выполнять уничтожение только тех персональных данных, которые не подлежат обязательному хранению. Предполагается, что уничтожение данных может быть выполнено, например, по требованию кандидата, который предоставлял свои сведения на этапе подбора персонала, но в последствии так и не стал сотрудником.

Уничтожение сведений выполняется только пользователем с полными правами в новой форме Управление персональными данными (той же, где и производится просмотр событий) - см. рис. 2. При уничтожении выполняется замена значений защищаемых полей пустыми значениями, иначе говоря, очистка полей, а ссылочная целостность базы данных сохраняется.

Как это работает?

Теперь несколько слов о том, как обеспечивается настройка регистрации новых событий Доступ и Отказ в доступе. Методы объектов платформы, выполняющие установку использования регистрации событий, требуют в качестве параметров: имя таблицы информационной базы, массив полей доступа (защищаемые данные), массив полей регистрации (то есть содержащих сведения о субъекте). Например:

  • таблица РегистрРасчета.ОсновныеНачисленияРаботниковОрганизаций,
  • поля доступа: Показатель1, Показатель2, Показатель3, Показатель4, Показатель5, Показатель6, Результат;
  • поля регистрации: Сотрудник, Физлицо.

Разумеется, таблиц, в которых содержатся персональные данные, в "зарплатных" конфигурациях немало. Информация о них сведена в таблицу значений, имеющую соответствующие колонки: ИмяТаблицы, ПоляДоступа, ПоляРегистрации. В каждой строке этой таблицы значений содержится информация о ее принадлежности к определенной области данных (одной из четырех), что устанавливает соответствие между данными и настройками режима защиты данных. При включении настройки для области данных выполняется установка использования регистрации событий для таблиц БД, принадлежащих этой области. Таблица значений преобразована в формат XML и в таком виде поставляется в составе конфигурации в макете двоичных данных СведенияОПерсональныхДанных.

Важно отметить, что с помощью появившейся в платформе возможности можно решать далеко не только эту, но и другие задачи контроля доступа к данным.

Обработка персональных данных в "зарплатных" конфигурациях "1С:Предприятия 8"

Примечание:
* Механизм доступен в конфигурациях "Зарплата и управление персоналом" 2.5.19 и "Зарплата и кадры бюджетного учреждения" 1.0.8 при использовании платформы "1С:Предприятие" версии 8.2.10

Согласно подзаконным актам степень защиты данных зависит от класса информационной системы, который в свою очередь определяется количеством субъектов (в нашем случае физических лиц), количеством организаций и спецификой персональных данных*. Инструментарий конфигураций способен обеспечить защиту персональных данных в соответствии с требованиями Федерального закона от 27.06.2006 № 152-ФЗ (далее - Федеральный закон № 152-ФЗ) к информационным системам классов 3 и 2, в которые и входят большинство систем наших пользователей.

Примечание:
* Подробнее см. статью Организационные вопросы защиты персональных данных.

Что мы предлагаем пользователям для "защиты"?

Для защиты персональных данных в информационных системах класса 3 необходимо фиксировать события аутентификации (входа в систему) и отказа от аутентификации, которые по умолчанию включены. Для соответствия требованиям Федерального закона № 152-ФЗ к информационным системам класса 2 необходимо в числе прочего регистрировать события доступа и отказа в доступе к конкретным персональным данным. Иначе говоря, нужно "уметь" ответить на вопросs "Кто, когда, получил доступ к зарплате Иванова?", и "Кто и когда его получить пытался, но не смог" (из-за ограничения прав)?".

В новой версии 8.2.10 платформы "1С:Предприятие 8" добавлены возможности, которые решают эту задачу. А именно: регистрация событий доступа и отказа в доступе к данным и, соответственно, просмотр сведений о зарегистрированных событиях с точностью до полей данных.

Нужно понимать, что регистрация события Доступ довольно ресурсоемкая. И хотя предварительные замеры производительности позволяют утверждать, что не будет заметного пользователю увеличения времени выполняемых операций, однако поскольку результат запроса к защищаемым данным будет фиксироваться вместе с записью о событии, размер журнала регистрации существенно увеличится. Исходя из этого:

  • с одной стороны, требуется обеспечить соответствие требованиям закону - защитить все области персональных данных;
  • с другой стороны, необходимо минимизировать потери производительности.

Перед разработчиками прикладного решения встает задача - обеспечить гибкую настройку режима соответствия требованиям Федерального закона № 152-ФЗ. В типовых решениях гибкость настройки достигается за счет:

  • выделения областей персональных данных;
  • управления "детальностью" регистрации событий.

Что сделано в "зарплатных" конфигурациях?

Итак, данные, подпадающие под определение "персональные", разбиваются на четыре области:

  • личные сведения;
  • сведения об образовании и компетенциях;
  • сведения об имуществе;
  • сведения о доходах.

Пользователю (администратору информационной системы) предлагается установить области данных, для которых будет выполняться регистрация событий доступа и отказа в доступе (см. рис. 1).

Рис. 1. Форма настройки режима защиты персональных данных.

Это вовсе не означает, что частично "включив" регистрацию событий, мы "частично" выполняем требования закона. Просто наиболее вероятным кажется сценарий, при котором доступ к таким областям данных, как сведения о доходах, например, находится в руках у очень ограниченного круга лиц и детально регистрировать каждое отдельное событие нет необходимости. В этом случае область данных можно "отключить" и снизить нагрузку на систему.

Регистрация списка лиц при доступе к данным определяет "детальность" сведений о событии. От этой настройки зависит, будет ли в журнале расшифровано "чья именно зарплата была прочитана" или будет указано: "была прочитана зарплата" без расшифровки по записям.

Все события фиксируются в журнале регистрации, но просмотреть новые события в удобной форме "ответов на вопросы" можно в форме Управление персональными данными (см. рис. 2). В форму отбираются: фиксированный набор видов событий, одновременно отражается список объектов и данных субъектов для событий доступа и отказ в доступе. Благодаря отбору по субъекту фактически появляется возможность получить ответ на вопрос: "Кто читал данные Иванова? Петрова? Сидорова?"

Рис. 2. Форма Управление персональными данными.

Еще одна настройка связана с обеспечением конфиденциальности сведений о доходах. Необходимо исключить возможность сотрудников видеть сумму зарплаты коллег. Это может произойти при выплате зарплаты по кассовым ведомостям. Настройка Ограничивать количество сотрудников при печати платежных ведомостей запрещает формирование печатной формы для платежных ведомостей, содержащих больше одного сотрудника. Выплату зарплаты в таком случае следует оформлять при помощи расходного кассового ордера.

В законе упоминается обязанность оператора в ряде случаев уничтожить персональные данные по запросу субъекта. Таким образом, по заявлению физического лица работодатель обязан удалить: данные о его доходах, ИНН, страховой номер ПФР и другие сведения, хранить которые работодателя обязывает законодательство. Учитывая специфику зарплатных конфигураций, принято решение выполнять уничтожение только тех персональных данных, которые не подлежат обязательному хранению. Предполагается, что уничтожение данных может быть выполнено, например, по требованию кандидата, который предоставлял свои сведения на этапе подбора персонала, но в последствии так и не стал сотрудником.

Уничтожение сведений выполняется только пользователем с полными правами в новой форме Управление персональными данными (той же, где и производится просмотр событий) - см. рис. 2. При уничтожении выполняется замена значений защищаемых полей пустыми значениями, иначе говоря, очистка полей, а ссылочная целостность базы данных сохраняется.

Как это работает?

Теперь несколько слов о том, как обеспечивается настройка регистрации новых событий Доступ и Отказ в доступе. Методы объектов платформы, выполняющие установку использования регистрации событий, требуют в качестве параметров: имя таблицы информационной базы, массив полей доступа (защищаемые данные), массив полей регистрации (то есть содержащих сведения о субъекте). Например:

  • таблица РегистрРасчета.ОсновныеНачисленияРаботниковОрганизаций,
  • поля доступа: Показатель1, Показатель2, Показатель3, Показатель4, Показатель5, Показатель6, Результат;
  • поля регистрации: Сотрудник, Физлицо.

Разумеется, таблиц, в которых содержатся персональные данные, в "зарплатных" конфигурациях немало. Информация о них сведена в таблицу значений, имеющую соответствующие колонки: ИмяТаблицы, ПоляДоступа, ПоляРегистрации. В каждой строке этой таблицы значений содержится информация о ее принадлежности к определенной области данных (одной из четырех), что устанавливает соответствие между данными и настройками режима защиты данных. При включении настройки для области данных выполняется установка использования регистрации событий для таблиц БД, принадлежащих этой области. Таблица значений преобразована в формат XML и в таком виде поставляется в составе конфигурации в макете двоичных данных СведенияОПерсональныхДанных.

Важно отметить, что с помощью появившейся в платформе возможности можно решать далеко не только эту, но и другие задачи контроля доступа к данным.

Отправить на почту
Написать комментарий

Комментарии 0

Пока нет комментариев
Это ответ на комментарий (отмена - x)
Отображаемое имя:

1С бесплатно 1С-Отчетность 1С-Такском 1С:ERP Управление предприятием 1С:Бесплатно 1С:Бухгалтерия 8 1С:Бухгалтерия 8 КОРП 1С:Бухгалтерия автономного учреждения 1С:Бухгалтерия государственного учреждения 1С:Бюджет муниципального образования 1С:Бюджет поселения 1С:Вещевое довольствие 1С:Деньги 1С:Документооборот 1С:Зарплата и кадры бюджетного учреждения 1С:Зарплата и кадры государственного учреждения 1С:Зарплата и управление персоналом 1С:Зарплата и управление персоналом КОРП 1С:Комплексная автоматизация 8 1С:Лекторий 1С:Предприятие 1С:Предприятие 7.7 1С:Предприятие 8 1С:Розница 1С:Управление небольшой фирмой 1С:Управление производственным предприятием 1С:Управление торговлей 1СПАРК-Риски 1СПредприятие 8 2-НДФЛ 3-НДФЛ 4-ФСС 5 минут 54-ФЗ 6-НДФЛ CRM IT-компании авансовый платеж автозаполнение реквизитов Агентский договор. Учет административная ответственность адресный классификатор акцизы алкоголь алкогольная продукция амортизационная премия амортизация арбитражная практика аттестация рабочих мест аудит аудиторские организации база для начисления страховых взносов база по страховым взносам база по налогу на прибыль банк и касса в 1с банкротство без ККТ безвозмездная передача имущества безнадежная задолженность безналичные расчеты бланки строгой отчетности больничное пособие больничный листок бухгалтер бухгалтерия автономного учреждения бухгалтерская отчетность бухгалтерские события бухгалтерский баланс бухгалтерский учет бухучет бюджет муниципального образования бюджет поселения бюджетная отчетность бюджетный учет ввоз товаров взаимозависимые_лица взноcы в ПФР взносы в ФОМС взносы в ФСС взносы на травматизм взыскание налогов видео 1С видео-уроки 1С водный налог возврат налогов возврат переплаты возмещение расходов восстановление НДС выездная налоговая проверка выездная проверка выплата зарплаты выплаты по ГПД выплаты работникам выплаты физическим лицам вычет НДС вычет по НДС вычеты по НДФЛ ВЭД ГК РФ госпошлина государственная регистрация гражданско-правовой договор графики работы дебиторка декларация о плате за негативное воздействие на окружающую среду декларация по алкоголю декларация по налогу на прибыль декларация по НДС День Бухгалтерии детские пособия ДиректБанк договор комиссии договор подряда договор поставки договорная политика документальное оформление документооборот долговые обязательства должная осмотрительность доходы организации ЕГАИС ЕГРЮЛ единый расчет по страховым взносам ЕНВД ЕСН ЕСХН задолженность по налогам займы закон о бухгалтерском учете занимательная бухгалтерия заработная плата зарплата зарплатные налоги защита персональных данных заявление о постановке на учет земельный налог изменения 2015 изменения в законодательстве изменения в законодательстве 2012 изменения в законодательстве 2013 изменения-2017 имущественные вычеты имущественные налоги имущественный налоговый вычет индивидуальный предприниматель иностранные компании иностранный контрагент иностранный работник интернет-компании интернет-магазины ИП ИП на ЕНВД ип на усн ИС 1С:ИТС исправление бухгалтерских ошибок исправление ошибок ИТС ИФНС кадастровая стоимость кадровое оформление камеральная проверка кассовая дисциплина кассовые операции кассовый чек КБК КИК ККТ КЛАДР ключевая ставка книга на УСН книга покупок книга продаж КоАП РФ коды видов продукции командировка командировочные расходы компенсации работникам компенсационные выплаты компенсация за отпуск консолидированная группа контролируемые сделки контрольные соотношения корректировочный счет-фактура коэффициент-дефлятор крупнейшие налогоплательщики курсовые разницы лекарственные препараты лизинг лизинговое имущество ликвидация организации лицензирование малый бизнес маркировка изделий маркировка изделий из натурального меха маркировка меховых изделий маркировка товара материальная выгода материальная помощь материнский капитал миниденьги модернизация основных средств МРОТ МСФО наличные расчеты налог на игорный бизнес налог на имущество налог на имущество физических лиц налог на прибыль налоги физических лиц налоговая база по налогу на прибыль налоговая база по ндс налоговая декларация налоговая задолженность налоговая ответственность налоговая отчетность налоговая политика налоговая проверка налоговая ставка налоговое администрирование налоговые льготы налоговые споры налоговый агент налоговый агент НДФЛ налоговый агент по ндс налоговый агент по ндфл налоговый агент по НДФЛ налоговый вычет налоговый вычет по ндфл налоговый контроль налоговый мониторинг налоговый учет налоговый учет расходов налогообложение доходов налогоплательщик начисление амортизации начисление пени НДПИ НДС НДС по ставке 10% НДС при экспорте НДС-2015 НДФЛ негативное воздействие на окружающую среду неотделимые улучшения неприменение ккт нерезиденты НИОКР НК РФ НМА новая форма декларации новая форма расчета новости нулевая ставка обзор обзор бухгалтерских событий обзор новостей обособленное подразделение обособленные подразделения обучение 1с обязанности налогоплательщика обязательное социальное страхование обязательное страхование от несчастных случаев на производстве оказание услуг ОКВЭД2 онлайн-касса онлайн-ккт онлайн-ККТ освобождение от налогообложения освобождение от ндс освобождение от ндфл основные средства отпускные отходы отчетность в ПФР отчетность в пфр отчетность в росприроднадзор отчетность в росстат отчетность в Росстат отчетность в фсс отчетность организации отчетность по страховым взносам отчетность предпринимателя оформление счета-фактуры оформление счетов-фактур охрана труда патентная система патентная система налогообложения ПБУ 18 первичные документы передача имущества перенос убытков персонифицированный учет плата за негативное воздействие на окружающую среду плата за проезд грузовиков платежи платежное поручение платежные документы 1с повышение налогов повышение ставок подакцизные товары подача уведомления подтверждающие документы подтверждение расходов полномочия налоговых органов пониженные тарифы поправки в НК РФ поправки в тк рф порядок маркировки товаров пособие по беременности и родам пособие по временной нетрудоспособности пособие по нетрудоспособности пособие по уходу за ребенком посреднические договоры постановка на учет постановка на учет в налоговом органе права налогоплательщика представление сведений применение ККТ приостановление операций по счету проверки бизнеса продажа алкогольной продукции прожиточный минимум производственный календарь проф. Пятов ПСН путевой лист работники-иностранцы раздельный учет расходы на ГСМ расходы на рекламу расходы организации расчет больничного листа расчет заработной платы расчет НДПИ расчет себестоимости расчет страховых взносов расчетный счет расчеты с работниками регистрация ККТ регистрация юридических лиц реестр ККТ реорганизация розничная торговля росалкогольрегулирование РСВ-1 самое новое в 1С:Бухгалтерии самозанятые граждане свод отчетов секреты 1С:ЗУП сельскохозяйственный товаропроизводитель система "Платон" служебная командировка снижение ставок совмещение налоговых режимов составление и сдача отчетности составление и сдача отчетности социальное страхование социальные вычеты социальный налоговый вычет спецоценка условий труда средний заработок ставка НДС Ставка НДФЛ ставка рефинансирования ставки страховых взносов стандартные вычеты стандартный налоговый вычет стандарты бухучета статистика статистическая отчетность статотчетность страхование страховые взносы страховые взносы в пфр страховые взносы в фсс страховые взносы для самозанятых страховые взносы на травматизм страховые тарифы судебная практика судебное решение судебный вердикт суточные счет-фактура табачные изделия таможенные платежи таможенный союз ТК РФ торговый сбор транспортный налог трудовая книжка трудовой договор увольнение по инициативе руководителя увольнение по соглашению сторон уголовная ответственность УКД универсальный корректировочный документ УПД уплата госпошлины уплата налога уплата налогов уплата НДС уплата сбора упрощенная система налогообложения УСН уставный капитал уточненка учет аренды учет в АО учет в бюджетных учреждениях учет в госорганизациях учет в ООО учет в сельском хозяйстве учет в строительстве учет в туризме учет дивидендов учет доходов при усн учет импорта учет лизинга учет МПЗ учет на производстве учет ОС учет основных средств учет премий учет расходов учет расходов при усн учет реализации учет субсидий учет товаров учет ценных бумаг учет экспорта учетная политика факсимиле федеральный стандарт бухгатерского учета ФИАС фиксированные страховые взносы финансовый анализ ФНС РФ форма 6-НДФЛ форма заявления формы документов хроники 54-ФЗ штрафные санкции экологические платежи экспорт продукции электронная отчетность электронная подпись электронные счета-фактуры электронный документооборот электронный формат энциклопедия проверок

Все теги