Обязанность обеспечения Безопасности ПДн при заключении договоров (юридический вопрос) - Форум по вопросам информационной безопасности

Всем привет!
Нужно мнения юристов.
Планируем заключить Договор с Клиентом со следующим условием (занимаемся обслуживанием ПО 1С):
"Существенным условием настоящего Договора является обязанность обеспечения сотрудниками ООО "Наша Компания", работающих на компьютерах ИСПДн ООО "Компания-Клиент", конфиденциальности персональных данных, ставших им известными при исполнении служебных обязанностей, и безопасности персональных данных при их обработке."
Смущает немного последний пункт, не кажется ли что Клиент хочет взвалить на нас обязанности по обеспечению безопасности ПДн, какие альтернативы можно предложить последнему пункту (Клиент не охотно соглашается исключить пункт по обеспечению безопасности ПДн), но с другой стороны обеспечение Безопасности ПДн - обязанность оператора (т.е. Клиента), а не наша. Не будет ли у нас проблем, и может ли Клиент, указывая на этот пункт свалить всю ответственность за обеспечение безопасности ПДн в ИСПДн на нас?

Т.е. ситуация такая: мы заключаем Договор на этих условиях, приходит проверка, у клиента не спроектирована система защита (или спроектирована, но достаточно плохо), и он указывая на этот пункт договора говорит проверяющим: мы не при делах, это они (т.е. мы) должны обеспечивать безопасность ПДн согласно договору № от чч.мм.гггг (хотя договор заключен именно на обслуживание системы 1С).

"у клиента не спроектирована система защита (или спроектирована, но достаточно плохо), и он указывая на этот пункт договора говорит проверяющим: мы не при делах, это они (т.е. мы) должны обеспечивать безопасность ПДн согласно договору № от чч.мм.гггг (хотя договор заключен именно на обслуживание системы 1С)" - ну вот вам здрасти, если у него коряво постороена система защиты то вы тут явно ни причем, с вас просто нужны обязательства что вы не сольете допустим ПДн из базы к себе на флешку например когда будете обслуживать, ну а при проверке пусть приставят к вам голову с ушами и глазами, чтобы не было потом недоразумений))

В этом пункте повествуется лишь о том, что в случае если утечка информации произойдет по вине ваших сотрудников( они вынесут какойнить носитель с бд, нарушений инструкций безопасности установленный в этой испдни т д) то оператор не несет отвественности за это дело.

это как расписка о неразглашении..

Ukrop, как я понял они требуют, чтобы информация, попавшая в вашу(-и) ИСПДн была защищена, а также не разглашалась сотрудниками.
Если придёт проверка к заказчику, то будут смотреть на их ИСПДн и на их нормативку, и наказывать их, если что-то не в порядке.
Если будут проверять вас, то будут смотреть на вашу(-и) ИСПДн, и накажут вас, если не будет обеспечена защита переданных сведений, содержащих ПДн согласно настоящему договору (так-то без договора вы и не имеете права обрабатывать чужие сведения, составляющие ПДн).
Теоретически, если их будут проверять, то могут обратить на договор и прийти к вам (хотя это врятли, т.к. у больших компаний подобных договоров море, а всех проверять у россвязькомнадзора нет ни средств, ни желания), но если у вас всё будет в порядке (даже при условии, что у заказчика на его объекте бардак), то можете спать спокойно.

дело в том что мы ничего не берем от клиента: базы не сливаем, ПДн клиента не обрабатываем, а приходим к клиенту, работаем в его ИСПДн: настраиваем систему 1С, формируем отчеты и т.д. Обязательства о неразглашении разумеется есть.

Похоже не то, что на вас ответственность в случае чего переложить хотят, если то, как вы описали ситуацию соответствует действительности.
Попробуйте настоять на изменении в указанном пункте договора слова "обеспечения" на "соблюдения" - и необходимая ответственность определена и лишнего на себя не возьмете.

Ukrop )))
Да хитрецы...а у Вас есть лицензии ФСТЭК, ФСБ?

Если нет, то Вы просто не имеете права заниматься защитой ПДн - нарушение закона о лицензировании.

Если лицензии есть, то не смешивайте ни в коем случае техническую поддержку и деятельность по защите ПДн в одном договоре - это разные области, обязанности, задачи, деньги и ответственность уже иная: по УК, ТК и АК.

Вам достаточно заключить соглашение о соблюдении конфиденциальности и не разглашении. В сети много примеров таких договоров.

2Любопытный | 27719
Если у клиента защита ПД строится на сертифицированной 1С от ФСТЭК - то да лицензия необходима...

если у них стоят другие продукты для защиты, то врядли им нужна лицензия для этого

vasya
Не правда - изучите закон о лицензировании

Ukor, вы в договоре указали "...и безопасности персональных данных при их обработке", значит вы должны обеспечивать безопасность, компания-клиент передает вам право на осуществление безопасности ПДн. п.4 ст.6 152-ФЗ.