Поручение на обработку ПДн и согласие - Форум по вопросам информационной безопасности

Товарищи.

Проконсультируйте, пожалуйста.

Согласно 152-ФЗ закону:
В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором.


Насколько мне известно зарплатные карты, т.е. договора на обслуживание карт считаются поручением на обработку - об этом говорил начальник из Федеральной службы - РКН (не регионального управления, а именно из ФС).

Нужно брать согласие на обработку ПД (с работников).

Согласие действует пока действует в течение трудовых отношений.
Т.е. если человек уволился, то Оператор больше не должен обрабатывать ПДн этого субъекта в части зарплатной карты.
Оператор больше не передает такую инфу, но в банке то данные о субъекте остались и насколько мне извстно (а здесь я не уверен), то банки хранят ПДн в течении какого-то срока согласно какому-то там закону (?).
И получается, что вроде бы как Оператор больше не совершает передачу, а так же юридически значимых действий с ПДн этого субъекта, но банк продолжает их обрабатывать (как минимум хранить и систематизировать)

Вопрос вот в чем:
Обязан ли оператор требовать от Банка удаления всех сведений о таких лицах или на это отношения, связанные с Поручением, уже не распространяются?

Думаю, что не обязан. Отношения с банком регулируются заключенным договором, в котором обязанности сторон прописаны, в т.ч. обязанность банка соблюдать конфид-ть и безоп-ть ПДн в ходе обработки. Сроки обработки ПДн в банке определяются не только договором, но и законодательством (Налоговый кодекс, пенсионка и т.п.). Поэтому даже если потребовать от банка уничтожить ПДн, он не сможет этого сделать.

Вообще, является ли зарплатный договор случаем поручения на обработку - вопрос спорный. Банк занимается банковской деятельностью и сам определяет цели обработки ПДн. Он же не в интересах работодателя хранит ПДн, а в интересах его работников, а что и как делать с ПДн, цель обработки - определяет сам банк.
Существует мнение довольно авторитетных экспертов, что этот случай не есть поручение обработки, а имеет место два разных оператора.
Что до мнения РКН- то оно часто меняется: был Шередин - было одно, пришла Приезжева - совсем другое.

7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Т.е., если "банки хранят ПДн в течении какого-то срока согласно какому-то там закону" (к сожалению, здесь я тоже ничего конкретного сказать не могу, банк может осуществлять обработку ПДн субъекта в течение необходимого срока (согласно ФЗ) после достижения цели обработки.

Кроме того, если субъект подписывает с банком договор на обслуживание, в нем также могут быть оговорены дополнительные условия и сроки уничтожения ПДн

Приветствую!
Попробуем разобраться. По логике вещей, обязан, но по факту не совсем, поскольку взаимодействие оператор-банк носит гражданско-правовой характер, то есть выходит за рамки урегулированных трудовым законодательством отношений. Отчасти именно поэтому требуется письменное разрешение от каждого работника оператора на передачу его/ее ПДн в сторонние организации (в частности, в банк).
Таким образом, оператор ПДн должен получить от субъекта-владельца ПДн письменный запрет на передачу своих ПДн в другие организации (в частности, для поручения обработки ПДн в банке). Который затем оператор ПДн должен направить в банк. И банк обязан обработку ПДн такого субъекта прекратить. Основание - обязательства по договору между оператором ПДн и банком выполнены, поскольку период трудовых отношений между субъектом ПДн и оператором ПДн истек. Но тут 2 нюанса:
1. Субъект не должен являться клиентом данного банка помимо договорных отношений с оператором ПДн. К примеру, субъект ПДн не имеет еще одной/нескольких карты, заведенной в данном банке по личной инициативе. Иначе, банк имеет право продолжить обработку его ПДн, но без привязки к оператору (и не на основании договора с оператором, разумеется).
2. Договор между оператором ПДн и банком должен предусматривать окончание срока действия в индивидуальном порядке для каждого субъекта ПДн при завершении трудовых отношений между субъектом ПДн и оператором ПДн. К примеру, в договоре "оператор-банк" указано, что банк обязан прекратить обработку ПДн конкретного сотрудника оператора ПДн в случае завершения трудовых отношений между этим сотрудником и оператором ПДн при условии уведомления банка оператором ПДн и наличии письменного отказа субъекта ПДн. Если аналогичной фразы в договоре "оператор-банк", то банк руководствуется собственной принятой политикой обработки/хранения/систематизации ПДн, рассматривая субъекта ПДн как частное лицо, без привязки к организации-оператору.

oko, а что Вы понимаете под прекращением обработки ПДн?
Банк руководствуется действующим законодательством и обязан N лет хранить сведения в том числе и об операциях со счетами своих клиентов. Пока эти сроки не истекут, он не просто имеет право, но и обязан продолжать обработку (как минимум хранить) ПДн.

Законы, не относящиеся к ФЗ-152, тут ни при чем. Вот Статья 21 ФЗ-152:
"5. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами."
Отзыв в данной ситуации идет автоматически, поскольку по ТК РФ истек срок трудовых отношений "субъект-оператор" (если мы говорим о "работник-работодатель", конечно). Собственно, весь вопрос в том, как оператор изначально позиционировал свои отношения с банком и на каких условиях он с ним договорился. Если в договоре "оператор-банк"... и т.д. - уже писал выше.

"...если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных... "

Соответственно, нужно смотреть, что указано в договоре между субъектом и оператором и (если он есть) между субъектом и банком на обслуживание карты.

"... либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами"

Опять же, если есть ФЗ, регламентирующий срок хранения банком ПДн клиентов, банк не только вправе, но и обяза руководствоваться этим ФЗ

to Мозговой Андрей
В типовом случае между субъектом и оператором имеется только трудовой договор + согласие на передачу ПДн в банк для оформления карты. В других случаях, да, нужно смотреть остальные пункты аля "кто под чем подписывался не глядя".
А по второму приведенному пункту. Ключевое тут "без согласия на основании ФЗ-152 или других ФЗ". Т.е. что делать, если ОПЕРАТОР (а не третье лицо, которому он передал ПДн) изначально не имел права на обработку/хранение ПДн, не взяв письменного согласия с субъекта ПДн, на основании ФЗ-152 или иных ФЗ? Ответ - блокировать, уничтожать, запрещать обработку - и все в течении 30 дней.

Еще раз повторю, что согласно ФЗ-152 оператор обязан принять меры по уничтожению/запрету обработки ПДн в тех организациях, которым он (оператор) это поручил. Как? Это уже другой вопрос. Который подводит нас к моим прошлым постам - на основании договорных отношений между, в нашей ситуации, банком и оператором. Если в договоре есть лазейка - банк имеет право хранить/обрабатывать ПДн столько, сколько установил для себя сам (посмотрите положения по ПДн для разных банков - на что только они не ссылаются). А виноватым будет оператор ПДн, потому как он несет полную ответственность в соответствии с ФЗ-152.

2 oko.
А вот с.9, ч.2.
" В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона. "

В пунктах, на которую ссылается данная статья как раз и указано, что обработка может вестись без согласия, если "обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей".

Да и в процитированная Вами статья явно предусматривает исполнение и других законов, определяющих цели, сроки обработки и др.

Так что Законы, не относящиеся к ФЗ-152, очень даже при чем.

А вопрос как раз и упирается в то, является банк оператором или нет. Если является - выполняет все, что лежит на операторе, если нет - только то, что прописано в договоре на поручение обработки.

Не является. С этим уже определились - в соответствии с ФЗ-152, банк - третья сторона, которой поручено обрабатывать ПДн некоторой организацией-оператором. Если, конечно, у него нет также дополнительного договора с тем же самым субъектом ПДн "в частном порядке".
Главный вопрос в другом. А есть ли ФЗ кроме 152, регламентирующие порядок обработки/хранения/т.п. с ПДн в банковской сфере? Только случай задолженности, насколько я помню. Но это не вписывается в рамки общего обсуждения, которым мы тут занимаемся. Потому и говорю, что другие ФЗ в нашем конкретном случае никак не участвуют.