вопрос по закону О персональных данных - Форум по вопросам информационной безопасности

Сегодня еще раз внимательно прочитал 152 закон, и вотна что наткнулся:
Статья 22
2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;


получается что оператору нужно заключить договор с субъектом, вписать там пункт что оператор не распространяет и не передает информацию 3м лицам. и получается что он освобождается от аттестации.

Сейчас звонил во ФСТЭК в нижний новгород, они эту информацию подтвердили.
Закон значит обсурдный. от него легко уйти. Зачем тогда его вообще принимали?

Это не закон абсурдный, а ваша интерпретация этого закона :)

1. Оператор вправе не направлять уведомление в РКН, если обработка ПД соуществляется с целью исполнения договора с субъектом. Т.е.

ЕСЛИ оператор связан с субъектом договором И (договор не предусматривает передачу данных третьим лицам ИЛИ субъект дал свое согласие на передачу своих ПД) ТО уведомлять РКН не требуется.

Если оператор обрабатывает ПД в случае,
когда он не вязан с субъхектом довговором,
когда такая обработка не является его обязанностью или правом, уставновленными законом, короче, во всех случаях, когда субъенкт не в курсе, что его ПД обрабатываются, оператор обязан уведомить о такой обработке РКН, который, по идее авторов закона и конвенции Совета Европы, будет заботиться о защите прав этого субъекта вместо него самого.

Так понятно?

2. Уведомление РКН и аттестация - две разные и не зависящие друг от друга вещи

А по поводу того, что вам там подтвердили во ФСТЭК, то вашему собеседнику проще было ответить "да", чтобы вы от него отстали, чем объяснять вам, что ФСТЭК не является уполномоченным органом по защите прав субъектов, и что статья 22 ФЗ - не в его адрес.

Нет не понятно. вы говорите что подача уведовлемени в роскомнадхор и аттестация это разные вещи. т.е. можно не подавая уведомления пройти аттестацию?

Все равно получается по закону что если оператор заключил договор(с необходимым пунктом) то он освобождается и от подачи уведомления, и ,на сколько я понимаю, от сертификации.

Прошу еще раз по нормальноу ответить, потому что тут очень спортный вопрос.

Еще я звонил в роскомнадзор там мои предположения тоже подтвердили. Значит либо они либо вы ошибаетесь.

Роман, Вы все дальше "запутываетесь"...
уведомление, аттестация теперьеще и сертификацию присовокупили.

Вместо того чтобы умничать лучше бы все объяснили. Во многих документах указывается - Сертификация(аттестация)

Оператор не во всех случая должен подавать уведомление в РКН, но защитить Gly он обязан в любом случае: подал или не подал (так как не обязан был подать). Аттсестовать он (оператор) тоже не всегда должен.

Извиняюсь, в моём сообщении №15240 Gly=ПДн

Роман,
ошибаетесь вы - в самой формулировке своих вопросов. На такие вопросы ни ФСТЭК, ни РКН не могут дать определенный ответ, поскольку эти вопросы бессмысленны. Не обижайтесь :)

Условия, при которых необходимо уведомление, указаны в статье 22 ФЗ. Никаких требований о применении каких-либо средств защиты и аттестации среди этих условий нет.

Условия, при котрых необходима аттестация, определены в документе ФСТЭК "Основные мероприятия...". Ничего относительно уведомления РКН в этих условиях нет.

Поэтому аттестация и уведомление никак друг от друга не зависят.

Использование сертифицированных средств защиты - одно из условий прохождения аттестации.

Если компания обрабатываете персональные данные миллиона своих обслуживаемых ею клиентов, он вправе нае направлять уведомление (обработка с уцелью исполнения договора), но аттестацию ей пройти придется (ИСПД первого класса). Для аттестаци ей, скорее всего, придется использовать сертифицированные средства защиты.

Если компания спросит у десяти прохожих, поддерживают лди они борьбу с коррупцией, опубликует их фамилии и ответы на своем сайте, ей не придется проходить аттестацию (ИСПД четвертого класса), но она обязана получить у них согласие и уведомить РКН (не подпадает по ч. 2 статьи 22 ФЗ)

Если компания спросит у десяти прохожих, поддерживают лди они борьбу с коррупцией, опубликует их фамилии и ответы на своем сайте, ей не придется проходить аттестацию (ИСПД четвертого класса), но она обязана получить у них согласие и уведомить РКН (не подпадает по ч. 2 статьи 22 ФЗ)

На счет уведомить Вы ошибаетесь: согласно п 5 ст 22 уведомление не требуется в случае если ПДн включают только ФИО субъектов. А их мнение о коррупции не является персональными данными ИМХО.

ИМХО - не ИМХО, но персональные данные - это ЛЮБАЯ информация, относящаяся к определенному субъекту :) Но это мелочи.

Для полной корректности заменте ответ на возраст или социальную группу, ОК?