Интересный вопрос про согласие субъекта ПДн - Форум по вопросам информационной безопасности

День добрый всем!

Вольнодумие натолкнуло на одну очень интересную тему, очень хотелось бы обсудить с вами вместе.

Допустим я обычное ООО "РиК", не важно чем занимаюсь, но у меня работают люди. С каждого работающего я собираю письменное согласие на обработку ПДн, как это требует ФЗ.
У меня договор с Банком, в который я каждый месяц перечисляю зарплату сотрудникам на карточки, предоствляя при этом в Банк, с письменного согласия сотрудника, необходимые персональные сотрудника для оформления банковской карточки и начисления з/п.

Также я собираю Согласие на передачу с каждого сотрудника в письменном виде, в котором указывается конкретный Банк, куда передаются его ПДн, с указанием юридического адреса Банка и прочих реквизитов, конкретные сотрудника которые передаются в Банк, конкретную цель передачи ПДн и срок прекращения действия согласия.

В общем у меня, т.е. у ООО "РиК" с законностью сбора и обработки ПДн вроде все хорошо: есть согласие субъекта на обработку ПДн в рамках ООО "РиК", а также согласие на передачу ПДн Банку (или любой другой организации, не суть важно ), т.е. вся обработка законна.

Теперь представим себя на месте банка, в который поступили персональные данные сотрудников ООО "РиК". В Банк для начисления з/п обращаются множество организаций, следовательно Банк по идее должен со всех субъектов, чьи ПДн обрабатываются (в данном случае с сотрудников ООО "РиК") получить письменное согласие на обработку ПДн чтобы как-то узаконить обработку ПДн.
Кроме того Банк должен уведомить Роскомнадзор что осуществляет обработку ПДн , ООО "РиК" это делать не должно (т.к. отношения трудовые с сотрудниками).

...
продолжая цепочку
...
Банк например хочет передать ПДн своих клиентов в Страховую компанию, со своих клиентов он собирает письменное согласие на передачу ПДн конкретной страховой компании, и передает их страховой компании.

Теперь страховая компания должна узаконить обработку ПДн и собрать с полученных от Банка субъектов ПДн согласие на обработку ПДн.

И так замкнутый круг.

Вопрос вот к чему: Обязательно ли ООО РиК, в цепочке передачи персональных данных от ООО "РиК" в Банк, собирать согласие с сотрудникаов на передачу ПДн конкретному Банку. и не будет ли собранное ООО РиК согласие со своих сотрудников на передачу ПДн в Банк - являться для Банка согласием на обработку ПДн сотрудников ООО "РиК"??? Т.е. я к чему виду: если ты обрабатываешь ПДн субъекта, то ты и сам должен с него собрать согласие в письменном виде, я все правильно понимаю?



Мы процессинговая компания (занимаемся централизованным приемом платежей с населения за услуги ЖКХ), у нас имеется большая база с ПДн граждан. Данные нам поступают от управляющих компаний. Лично у нашей компании никаких согласий с субъектов ПДн нет.

Конклюдентные действия....!?
Либо в первоначальном согласии на обработку указываются в соответствии с целями обработки варианты передачи данных иным организациям.

> С каждого работающего я собираю письменное согласие на обработку ПДн, как это требует ФЗ.

Не требует

> Также я собираю Согласие на передачу с каждого сотрудника в письменном виде, в котором указывается конкретный Банк, куда передаются его ПДн

И напрасно, так как банк заключает с каждым вашим сотрудником договор банковского обслуживания и обрабатывает ПД на условиях этого договора.

> Банк например хочет передать ПДн своих клиентов в Страховую компанию

Сведения о клиентах банка составляют банковскую тайну, и банк не только не хочет, но и не имеет права заключать в отношении своих клиентов какие-либо договоры со страховыми компаниями и передавать компании ПД своих клиентов. Все остальное делается по прыямому поручению клиента или его агента (котрым, например, являетя работодатель). Если же вы имеете в виду ГК "Агентство по страхованию вкладов", то в этом случае передача ПД производится на основании и условиях федерального закона.

> Мы процессинговая компания... Данные нам поступают от управляющих компаний. Лично у нашей компании никаких согласий с субъектов ПДн нет.

Вы либо банк, либо нет. Если банк, то вы обрабатываете ПД на основании платежного поручения. В этом случае заполнение поручения является установленной законом формой заключения договора между клиентом и вами. Если вы не банк, то нужно очень внимательно изучать детали организации вашей работы, так как у меня есть некоторые сомнения в том, что вы вообще имеете право заниматься тем, чем занимаетесь.

to malotavr:
Я понял что вы имеете ввиду

"Согласие субъекта персональных данных, предусмотренное частью 1 настоящей статьи, не требуется в следующих случаях:

1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора; - это в случае если Банк передает в ГК "Агентство по страхованию вкладов", но где сам закон, который "устанавливет цель обработки, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора"? Вот найдите хотя бы один закон в котором полностью найдется вышеперечисленное, с выдержками пожалуйста... Там то круг субъектов не определен, то полномочий оператора нет, то еще чего, давайте разберемся!!!

2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;" ( вы имеете ввиду как я понял Трудовой договор) - т.е. вы хотите сказать что в любой компании собирать письменные согласия с субъектов, которые числятся штатными сотрудниками вовсе необязательно, если им тупо начисляется з/п и ведется обычный кадровый учет? - вы посмотрите на реальную практику проверок Роскомнадзора, у нас в России - все перестраховываются... ну докажите мне (как регулятору ) что "обработка ПДн сотрудников осуществляется в целях исполнения трудового договора" - как это доказать? они считают что согласие субъектов должно быть в письменном виде как не крути...;

> Вот найдите хотя бы один закон в котором полностью найдется вышеперечисленное, с выдержками пожалуйста...

Ну вот, заставили вынудили меня внимательно переситать ФЗ "О страховании вкладов физических лиц в банках Российской Федерации" от 23.12.2003 N 177-ФЗ. Банки вообще не пердают ПД клиентов агетству по страхованию вкладов ;)

> 2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;" ( вы имеете ввиду как я понял Трудовой договор)

Нет, я имел в виду трудовой кодекс (для кадрового учета), налоговый кодекс (в части уплаты ЕСН), "О бухгалтерском учете" и т.п.

> ну докажите мне (как регулятору ) что "обработка ПДн сотрудников осуществляется в целях исполнения трудового договора" - как это доказать? они считают что согласие субъектов должно быть в письменном виде как не крути...;

Вот больше мене при проверке заняться нечем будет ;) Я просто напомню вам, что это ваша обязанность как надзорного органа доказывать, что обработка ПД ведется _не_ с целью исполнения трудового договора. Очень будет любопытно посмотреть, как вы это проделаете

Видите ли, инспектор надзорпного органа не вправе что-то там "считать" - его решение должно быть основано на положениях нормативных актов ;)