Закон о персональных данных и одноклассники.ру - Форум по вопросам информационной безопасности

ООО Одноклассники зарегистрированы как оператор и ЧЕ?

Дак это же не значит что они ОПЕРАТОР ИСПД с данными людей которые выставляются на сайте !! У нас практически любая организация оператор почти везде есть кадры и бухгалтерия и в большенстве случаев обработка ведется в электронном виде !

Sekira,

Прочитайте внимательно запись реестра:
Категории субъектов, персональные данные которых обрабатываются: aизическиме лица (пользователи сайтаwww.odnoklassniki.ru

А интересно, почему столько опечаток и ошибок в реестре операторов ПД?

А вообще, каким образом предполагается защита ПДн в этом случае? Ну защитили они свои сервера (допустим), ну начнут трафик шифровать... А любой человек может регистрироваться на сайте и получить доступ к ПДн других пользователей с незащищенного (без сертифицированных средств защиты от НСД, межсетевого экрана, антивируса) компьютера.
Получается для сайтов подобным одноклассникам должны быть отдельные требования и нормы, предусматривающие что участники социальных сетей сами выкладывают для общего доступа сведения, которые считают нужными. Что то вроде формы согласия, что те сведения которые субъект ПДн передает на сайт, являются общедоступными.

Такие нормы в законе естью Другое дело, что они действительно предусматривают обязательное письменное согласие субъекта.

malotavr,

Именно письменное? Но ведь это означает смерть всех социальных сетей и многих форумов!

Вынужден признать, что недостаточно компетентен для ответа на этот вопрос :(

Согласно статье 8 требуется письменное согласие субъекта на включение его ПД в общедоступный источник. Я исходил из того, что согласие субъекта - это акцепт предложения опубликовть ПД, т.е. сделка. Сделка в письменной форме может заключаться не только подписанием бумажного документа, но и обменом электронными сообщениями (при определенных условвиях). В этом случае при правильно составленном соглашении (которое вы заключаете, регистрируясь в социальной сети), сам факт регистрации становится письменным согласием.

Однако некоторые юристы считают, что согласие и сделка имеют разную природу, и применять к понятию письменное согласие правила, установленые для письменных сделок, нельзя. Я с этим не согласен, но опровергнуть не могу, поэтому на своей правоте не настаиваю.

Одноклассники на самом деле не являются оператором ПДн. А уведомление в Роскомнадзор они отправили просто так, заодно.

Согласно ст.3 152-ФЗ оператор - это лицо, которое помимо обработки ПДн, ОПРЕДЕЛЯЕТ цели и содержание (т.е. состав обрабатываемых данны) обработки ПДн. Одноклассники не определяют целей и содержания обработки, т.к. каждый человек, использующий их сайт, добавляет данные туда исходя из собственых соображений для каких-то своих целей и в том объеме, который считаем сам (например, один пишет дату рождения, другой только год, третьий - только день и месяц, четвертый - вообще не пишет). И каждый конкретный пользователь сайт решает вопрос необходимости размещения там ПДн.
Одноклассники в такой ситуации не могут обеспечить необходимую защиту ПДн, т.к. для того чтобы ее обеспечить необходимо определять цели и содержание обработки, что не во власти одноклассников. Однако, по крайней мере конфиденциальность ПДн в рамках установленных пользователями ограничений (пользователь же может ограничить доступ к своим ПДн) одноклассники могут обеспечить, а также могут удалять ПДн по требованию субъектов и регуляторов.
Поэтому, с точки зрения закона одноклассники - лицо, обрабатывающие ПДн на основании договора. Договора присоединения. Они и текст этого договора опубликовали у себя на сайте.
А реальные операторы - лица, которые определяют необходимость такой обработки ПДн, цели и содержание обработки ПДн, вольны присоединяться к такому договору и поручать одноклассникам обработку ПДн или нет. И собственно каждый такой оператор (=пользователь сайта) должен соотносить угрозы с целями и необходимостью обработки, исходя из этого принимать решение о размещении там ПДн и соответственно нести ответственность за это.

"Согласно ст.3 152-ФЗ оператор - это лицо, которое помимо обработки ПДн, ОПРЕДЕЛЯЕТ цели и содержание (т.е. состав обрабатываемых данны) обработки ПДн."

Не хочу показаться занудой, но...

Цель обработки ПД определена владельцами портала и заявлена на стартовой странице портала. Цель обработки заявлена как предоставление пользователям возможности:
* искать одноклассников
* найти друзей
* переписываться с ними
* смотреть их фотографии
* организовывать встречи

Содержание ПД также определено владельцами портала и включает в себя:
- имя, фамилию и отчество субъекта
- фотографии субъекта
- места и году учебы
- места и годы работы
- места проведения отдыха
- идентификаторы субъектов, с которыми субъект, по его утверждению, лично знаком
- дополлнительную информацию о субъектке, включая дополнительные сведения о жизни, об учебе, о службе, о работе,

Это - объективные свидетельства, которые проверяющий может документально подтвержить, не орывая зада от стула :)

2malotavr

Где Вы такое прочитали на стартовой странице? Я такого не увидел, зато прочитал правила. Но даже если Вы и правы, все равно владелец ресурса не определяет фактическую целью обработки и содержание, а лишь предоставляет как Вы правильно заметили ВОЗМОЖНОСТЬ. Вот именно в этой мелочи и заключается суть. В обычной жизни есть хорошая аналогия подобному ресурсу - забор. Да, да, обычный забор или доска объявлений. Каждый может на нем что-нибудь написать, в том числе что-то нехорошее и незаконное. Но это вовсе не означает, что владелец забора или доски объявлений несет за это ответственность.

В данном случае фактическую цель и содержание обработки определяет каждый конкретный пользователь. Владелец ресурса никак не может повлять на это и не может знать целей обработки данных каждого своего пользователя. Поэтому именно пользователи являются операторами, а от владельца ресурса требуется лишь обеспечить защиту данных в тех разумных и технически возможных рамках и тех, о которых владелец ресурса сам написал в правилах.