Вопрос по защите ПДн – несколько юр.лиц - Форум по вопросам информационной безопасности

Коллеги, у кого подобные проблемы -делимся мнения, не стесняемся. Может быть совместно найдем выход :)

Проблема таже...
В головной компании есть дочки (много), каждая из них самостоятельное юр.лицо, база общая. В головной разработали положение, рарабатываем подобные в дочьках, с каждого субъекта дочек однозначно бум брать согласие на передачу, обработку и т.д. Парк ПЭВМ принадлежит головной.
Тут возникает еще один вопросец поскольку ФСТЭК отменило два своих дока по ПДн, то обязательная аттестация и декларирование нигде не прописаны, также как и наличие лицензии по ТЗКИ у оператора. Т.е. для себя можем защищать без лицензии, но как только это касается дочек (юр. лиц) нарываемся на оказание услуг по ТЗКИ, а это лицензируемый вид деятельности и т.д.и т.п.
пишу скомкано не вдаваясь в подробности эта тема уже задолбала

malotavrу
"По п. 1:
головная компания не вправе предоставлять доступ к ПД третьим лицам по договору или без него, если нет согласия субъекта на распространение его ПД."
По этому поводу не нашел в ФЗ № 152 явного указания на факт,что невозможна передача 3-ему лицу без согласия. Если без согласия передает, то должен уведомить РКН, что является оператором.
А та фирма которая получила ПДн до начала обработки должна уведомить субъекта о том,что она собирается обрабатывать его ПДн.
Поправьте меня,если я в чем-то не прав.
Исключением является случай когда фирма занимается лицензируемой деятельностью, и в этой деятельности есть запрет на передачу ПДн третьим лицам без согласия субъекта.
Единственное ,что при этом смущает - это определение "конфиденциальности" из ФЗ № 152 - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

to три икса
"обязательная аттестация и декларирование нигде не прописаны" - пункт 3 781 ПП "Достаточность принятых мер по обеспечению безопасности персональных данных при их обработке в информационных системах оценивается при проведении государственного контроля и надзора." - вот тогда-то и проверят и оценку соответствия выполнят)))))
На мой взгляд все же лучше аттестовать систему

Александр, согласен с вами.

александр, ПЭС
"По этому поводу не нашел в ФЗ № 152 явного указания на факт,что невозможна передача 3-ему лицу без согласия. Если без согласия передает, то должен уведомить РКН, что является оператором."

ст.6 п.1 152-ФЗ гласит "Обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи"

под исключения мы не попадаем

ст.3 "обработка персональных данных - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных"

т.е. осуществляю передачу вы обрабатываете ПДн, а если вы их обрабатываете - вы должно получить согласие, в противном случае нарушаете требования закона

Мне одна мысль покоя не дает... Будут ли являться ПДн, позволящими идентифицировать субъекта ПДн следующие данные: фамилия, имя, отчество, должность в организации? Согласно позиции сотрудника Роскомнадзора - будут, согласно логике - нет, причем что самое интересно с этим согласен тот-же сотрудник Роскомнадзора, но... Не смог найти документального опровержения либо подтверждения такой позиции, и представить мне ее не смогли.

Если бы можно было документально обосновать позицию что ФИО+должность не являются ПДн, позволяющими индентифицировать субъекта, общая задача значительно облегчилась бы.
Никто не пробовал это сделать?
Очень интересует мнение на сей счет господина malotavr`а

Можно в согласии субъектов указать, что комбинация ФИО+должность считается общедоступными ПДн

Всем привет! Тема хоть и старая, но до сих пор актуальная.

У нас в холдинге 7 компаний - отдельных ООО. Одна из них по договору оказывает услуги всем по административно-управленческой деятельности. А базы у всех одни и те же, сервер у всех один и тот же. На сервере все делается на 1С:ERP Управление предприятием. База там одна, и КЛИЕНТЫ и СОТРУДНИКИ в одном месте и разделены лишь правами доступа.

Знаю, что однозначно необходимо будет лицензировать деятельность по предоставлению услуг ТЗКИ.

Но так не хочется... Буду очень благодарен, если кто-нибудь подскажет способ обойти лицензирование.

2 Богатырев

Так а разве сам холдинг это не юр лицо? Получается если будете брать согласие на обработку ПДн холдингом, то передачи 3-им лицам не будет, так как это часть холдинга. Конечно это всё в теории.

И почему такая однозначность в лицензировании? Для каких вам нужд это надо? Ну на край, если вариант выше не подойдёт, разработаете для каждого юр лица свой комплект документов и скажете, что каждое ООО их само разработало. И попробуйте доказать, что это не так.