Вопрос по защите ПДн – несколько юр.лиц - Форум по вопросам информационной безопасности

Прошу помощи… :(

Описание ситуации:
Есть Компания, работающая под одним брендом. Достаточно давно, в целях снижения затрат и обеспечения большей управляемости, компания была разбита на несколько юр. лиц. (грубо говоря имеем компанию А – основную и n юридических лиц в которых только сотрудники числятся и по которым часть взаиморасчетов с Клиентами идет).
В итоге получаем одно здание, в котором расположено несколько юридических лиц, в здании единая сеть, помимо бухгалтерских и кадровых систем, присутствуют системы CRM и Service Desk. Все оборудование и ПО принадлежит основной компании и обсуживается ее IT отделом. Бухгалтерией и кадрами по всем юр. лицам занимаются отдел персонала и бухгалтерский отдел основной компании.

Ну и собственно сама проблема:
Не можем понять, каким образом выполнить требования закона 152-фз в связи с вышеописанной ситуацией.
Получилось несколько вариантов, но по каждому куча вопросов:
1. Заключать всем юридическим лицам договор с основной компанией.
Что тогда будет являться предметом договора?
Необходимо ли будет основной компании получать согласия на обработку ПДн контактных лиц по договорам юр. лиц?
Необходима ли будет основной компании лицензия на ТЗКИ, при условии, что по классификации получается ИСПДн категории К3?
2. Говорить, что у всех юридических лиц, кроме основного, обрабатываются персональные данные только сотрудников.
Про то, что это не соответствует действительно промолчу…
Если у оператора даже компьютеров и бухгалтера в штате нет насколько это вообще реально?
3. Сделать по всем юридическим лицам одинаковый комплект документов и в случае проверки показывать каждый раз проверяющим одну и туже систему, только от лица разных юр. лиц

Надеюсь на то что сможете подсказать как быть, возможно мы что-то упустили и есть другие варианты.
Заранее спасибо за помощь.

а клиенты - физ лица?
Я так понимаю, для начала надо соглашения оконфиденциальности каждый с каждым (n*(n+1) соглашений в итоге)

Клиенты - это юридические лица, но у каждого юридического лица есть "контактные лица" - конечные потребители услуги. Работа с которыми фиксируется в системах. По этим контактным лицам хранится фамилия, имя, отчество, должность.
Заключать с каждым контактным лицом соглашение - не реально, клиентов (юр.лиц) больше тысячи. Пробуем выйти из ситуации заключением доп соглашений к договорам с клиентами, в которых каждое контактное лицо дает согласие на обработку.

Вопрос все еще актуален, неужели ни кто не сталкивался с подобной ситуацией?

Аналогичная ситуация. И как выкручиваться пока не знаем. Слава Богу вступили в силу изменения к ФЗ-152 ...

Сергей, если будут идеи - поделитесь, судя по всему форумчане помочь не смогут, будем разбираться самостоятельно...

Пытался в разговоре задать вопрос специалистам Роскомнадзора, но какого-то внятного ответа к сожалению не получил. Сильно светиться перед ними тоже не охота, к проверке мы пока не готовы...

Владимир,
вам в любом случае требуется согласие контактных лиц на обработку их ПД. Поскольку стороной по договору оказания услуг является юридлическое лицо, наличие такого договора не освобождает вас от обязанности получить сакое согласие. При этом согласие на обработку должно включать в себя согласие на передачу ПД третьим лицам (дочерним компаниям).

Увы, другого честного варанта нет.

По п. 1:
головная компания не вправе предоставлять доступ к ПД третьим лицам по договору или без него, если нет согласия субъекта на распространение его ПД.

По п. 2:
имущество и кадровый состав дочерних компаний РКН волновать не должны. Возможно, можно поступить проще - сотрудников, имеющих доступ к CRM, можно принчять на работу совместителыями в головную компанию :) В этом случае доступ к ПД будут иметь только сотрудники головной компании и распространения ПД не будет. Но, поскольку согласие на обработку все равно требуется, вам от этого не легче.

По п. 3:
непонятно, как вы будете выкручиваться, если у дочерней компании поинтересуются, кто является собственником средств обработки ПД.

> имущество и кадровый состав дочерних компаний РКН волновать не должны
> ...кто является собственником средств обработки ПД

Сам себе противоречу :)

Имел в виду, что у законопослушного оператора .легко может не быть бухгалтера (может у него секретарша в перерыве между приготовлением кофе бухгалтерские проводки делает) и без компов (может, он их арендует). Но задекларировав, чьей техникой вы пользуетесь, вы подтвердите факт распространения ПД головной компанией.

malotavr, спасибо за ответ, приблизительно так мы и рассуждали когда искали пути решения...

Понятно что договор с юр.лицом не дает нам право на обработку ПДн его сотрудников, именно по этому мы и рассматриваем возможность заключения доп. соглашений к договорам.
Доп. соглашение по сути и будет являться согласием на обработку, просто там будет не одно контактное лицо, а несколько, каждое из которых подпишется. Вариант получения согласия от каждого сложен в реализации (фактически не возможен с приемлимыми затратами), так как клиентов-юр.лиц порядка 1500. С одной стороны форма будет не соответствовать рекомендуемой, с другой стороны это лучше чем ничего :(

Ориентировочно пока получилось следующее:

[собственно сам перечень в виде таблицы, содержащий: фамилия, имя, отчество, должность, подпись]
1. Указанные лица настоящим выражают своё согласие на обработку вышеуказанной информации Исполнителем в своих информационных системах.
2. Цель обработки данных:
- возможность контроля Исполнителем уровня качества выполняемых его специалистами работ Заказчику;
- возможность оперативного взаимодействия в ходе выполнения работ по настоящему договору.
3. Срок обработки: до момента расторжения договора.
4. Исполнитель обязуется принимать все разумные и необходимые меры для сохранения максимально возможной секретности указанной информации перед любыми третьими лицами, не участвующими в переговорах и отношениях сторон.


в общем как-то так... отправили нескольким крупным клиентам, ждем реакцию их юристов

> Но задекларировав, чьей техникой вы пользуетесь, вы подтвердите факт распространения ПД головной компанией.

в этом одна из основных проблем, это мы знаем что юр.лицо "такое-то" фактически наша дочка, но объяснять это каждому контактному лицу... сами представьте ситуацию когда вам оказывает услуги компания А и просит чтобы вы разрешили ей передавать ваши ПДн компанию Б... в 90% случаев пошлют имхо