Поручение на обработку ПДн и согласие - Форум по вопросам информационной безопасности

Товарищи.
Очень интересная беседа.

Каждый работник заключал отдельныое соглашение с Банком.

А Оператор заключил отдельный договор на обслуживание, где осуществлялась передача ПДн.

Были взятысогласия, при том с пометкой, что Оператор поручает обработку.


Тут загвоздка в том, что
в согласии было указанно, что согласие действует в течение трудовых отношений.
Значит, когда трудовые отношения прекратились, то Оператор обязан был прекратить обработку, что и было сделано. Но Банк об этом в письменной форме (!) уведомлен не был.
С другой стороны сам банк имел (может быть и имеет) собственные договора с ФЛ (сотрудниками) и после увольнения лица договор с банком автоматически не расторгался, т.е. сотрудник уже целиком и полностью переходил на автономные договорные отношения с банком.

Вопрос в том: нужно ли было СОГЛАСНО 152-ФЗ уведомлять Банк, которому поручена обработка, об этом факте (письменно) или достаточно было просто по факту прекратить передавать в банк какие-либо данные по конкретному лицу?

Т.е. приедт проверяющий из РКН.
Увидит, что имеет место быть договор-поручение с Банком. Спросит про то, были ли увольнения. Когда узнает. что были, попросит показать документ, подстверждающий, что Оператор надлежащим образом обеспечил прекращение обработки ПДн банком в рамках договора-поручения, т.е. на практике предьявил бумажку: письмо с требованием опрекращении соотвествующей обработки по конкретному лицу (лицам).

По поводу сроков хранения ПДн почитайте разъяснения РКН:
http://rkn.gov.ru/news/rsoc/news17877/

Банк кроме того, что он получил ПДн на обработку, еще и ведет банковскую деятельность. Со всем и вытекающими. И чтоб перечислить работникам зарплату, банк выполняет определенные действия с ПДн. Что это за действия - решает банк, а не другой дядя. А коли так - банк правильнее считать оператором, который ПДн получает не от самого субъекта, а от третьей стороны, действует банк в интересах субъекта. И под определение "оператор" банк подпадает довольно хорошо.

Практика показывает, что при проверках РКН банк рассматривается именно как оператор, а не как лицо, которому кто-то поручил обработку.

В духе всех рассмотренных выше положений и пунктов ФЗ-152 - нужно было отсылать уведомление в Банк по каждому случаю окончания трудовых отношений "работник-оператор". Примет ли Банк какие-то меры или нет - другой вопрос.
Но меня смущает вот это: "Каждый работник заключал отдельныое соглашение с Банком". Можете пояснить подробнее, с какой целью были заключены соглашения и их ограничения?

2 Лапоть

Коли имеет место договора между работниками и банком, значит, банк однозначно оператор и сам решает, когда и что ему прекращать (в рамках закона, разумеется).

Нужно читать договор. Если там так и написано "на обслуживание", то это еще не есть поручение обработки банку. Это договор о передаче ПДн от одного ЮЛ другому ЮЛ. Закон в этом случае обязывает получить согласие субъекта НА ПЕРЕДАЧУ ПДн другому ЮЛ (оператору, коим является банк). Эта обязанность вытекает из требования конфиденциальности ПДн. Поручения обработки здесь нет.

Если в договоре написано "Фирма А поручает обработку ПДн Банку Б" и прописано, что и как с ними делать - это другое дело. Но возникает вопрос "на хрена?", если отношения между банком и работниками регулируются отдельными договорами?

" Вопрос в том: нужно ли было СОГЛАСНО 152-ФЗ уведомлять Банк, которому поручена обработка, об этом факте (письменно) или достаточно было просто по факту прекратить передавать в банк какие-либо данные по конкретному лицу? "

Надежнее конечно, уведомить банк о том, что гражданин уволился и даже потребовать прекратить обработку ПДн гражданина, но это останется без последствий: у банка свой договор с данным гражданином, и он прекратит обработку, когда исчезнут законные ее основания.

to WORM
Что-то мы переливаем из пустого в порожнее и я уже сам начинаю путаться. Два случая:
1. Если работник (субъект) и работодатель (оператор) связаны некоторым трудовым договором, и работник также связан с банком собственным договором, то да - банк будет являться также оператором ПДн. Вне зависимости от поручений.
2. Если ситуация аналогична п. 1, но работник и банк не связаны собственным договором (т.е. договор с банком о зарплатных картах заключал только оператор-работодатель), то буквально по ФЗ-152 оператором является "работодатель", а банк является всего лишь лицом, которому поручена обработка ПДн.
И я сейчас говорю о четком прочтении ФЗ-152, а не о логике, понимании и практике.
Кстати, пытаюсь все же найти ФЗ по банковской деятельности, перекликающиеся с обработкой ПДн (и, в частности, со сроками хранения). Пока пусто выходит.

to WORM
Что-то мы переливаем из пустого в порожнее и я уже сам начинаю путаться. Два случая:
1. Если работник (субъект) и работодатель (оператор) связаны некоторым трудовым договором, и работник также связан с банком собственным договором, то да - банк будет являться также оператором ПДн. Вне зависимости от поручений.
2. Если ситуация аналогична п. 1, но работник и банк не связаны собственным договором (т.е. договор с банком о зарплатных картах заключал только оператор-работодатель), то буквально по ФЗ-152 оператором является "работодатель", а банк является всего лишь лицом, которому поручена обработка ПДн.
И я сейчас говорю о четком прочтении ФЗ-152, а не о логике, понимании и практике.
Кстати, пытаюсь все же найти ФЗ по банковской деятельности, перекликающиеся с обработкой ПДн (и, в частности, со сроками хранения). Пока пусто выходит.

2 oko
Просто так написан закон: вариантов его интерпретаций масса.
Я свое мнение высказал, знаю, что строго доказать или опровергнуть его не получится.

to WORM
Главное, что во мнении по изначальному вопросу темы мы сошлись :)
А решать является ли банк оператором ПДн или не является все-равно будет конечный представитель регулятора в конкретном случае. Как говорится "бумаги нет, но существует мнение..." Аналогично ситуации с позицией ФСТЭК по ИСПДн в гос.органах. Вроде бы 21 Приказ, ан нет - 17, ибо любая ИС гос.органа = ГИС...

Между банком и работником заключается отдельный договор. В противном случае вам просто счёт никто не откроет, а если откроет, то банк лишится лицензии, т.к. не осуществил идентификацию клиента.
Так что банк обрабатывает ваши данные не по поручению работодателя, а в силу исполнения договора.

Господа!

1) Каждый сотрудник заключает с Банком типовое соглашение на банковскую карту.
(в договоре с Предприятием это оговаривается).
2) Сам договор с Предприятием - это, в том чиле, порядок передачи сведений в банк: какие, когда, как, а так же вопросы финансов.
3) В договоре имеется ссылка на 152-ФЗ и определены цели, способы обработки ПДн, а так же требование о соблюдении конфиденциальности, но там нет ни слова про поручение.
4) С чего я взял про Поручение? Да года 3 назад об этом говорил начальник из РКН, что такие договора с Банком - это де факто Поручение. С тех пор эти отношения рассматриваются именно так.
5) Исходя из п. 4. в Согласии, по мимо всего прочего есть указание, что Оператор Поручил обработку ПДн тому-то тому-то.
6) Опасения на счет НЕ уведомления есть не по отношению к Банку, а к теоретическому проверяющему из РКН, который, исходя из момента в п. 4 потребует подтвердить, что оператор предпринял необходимые меры для обеспечения прекращения обработки ПДн в рамках договора поручения.

Из всего этого можно попробовать сформулировать (очередные версии) вопросы:
1) А вообще-то, раз сотрудники заключают с Банком отдельные соглашения, стоит ли бояться наказания со стороны РКН (не Банка) за то, что не уведомили и тем самым, обрабатываем ПДн без согласия?

2) Если-таки написать письмо спустя год (по некоторым сотрудникам - год, по некоторым, пара месяцев, а по некоторым итого - неделя) написать в Банк можно ли считать инцедент (перед РКН, не банком) исчерпаным или таки факт, что вроде бы как обработка ПДн осуществлялсь аж целый год - уже нарушение и никуда от него недеться?