Информационная система холдинга и ПДн - Форум по вопросам информационной безопасности

2. Если иное не установлено федеральными законами, оператором информационной системы является собственник используемых для обработки содержащейся в базах данных информации технических средств, который правомерно пользуется такими базами данных, или лицо, с которым этот собственник заключил договор об эксплуатации информационной системы.

Повторяю, что оператором единой ИСПДн в данном случае будет как раз холдинг. Создание ИСПДн холдинг будет производить решениями и приказами, подписанными совместно руководителями юрлиц из состава холдинга, являющиеся собственниками своих частей единой системы. Закон этого не запрещает!!! Если запрещает, то покажите где.

Да и вообще, не понятно кто из нас ищет ответ и решение Вашей проблемы -- возможность сделать ИСПДн единой?! Если не устраивает, то "пилите", Фёдор, Вашу систему на несколько штук и проводите мероприятия отдельно для каждой системы, убеждая себя и всех, что сделать единую ИСПДн нет возможности...

Снежинка,
вы напрасно даете такие категоричные советы. В гражданском праве не существует понятия "холдинг", есть понятия "хозяйственное общество" и "дочернее хозяйственое общество". Основное общество вправе давать какие-либо указания дочернему обществу только в том случае, если это явно оговорено в уставе дочернего общества или в договоре между ними (см. статью 105 ГК РФ).

Федор,
процитированная вами норма как раз и дает вам возможность обосновать любую из конструкций. Проблема в том, что у вас границы АС не совпадают с границами владения вычислительной техникой (т. е. сервер СУБД может принадлежать одной компании, а серверы приложений, использующие данные из СУБД - другим компаниям). Наверное, в вашем случае проще всего будет заключить между компаниями холдинга договоры, передающие все серверы в оперативное управление одной из компаний. В этом случае ответственность за техническую защиту будет нести одна компания, но по прочим вопросам корректности обработки ПД отвечать будет та компания, которая непосредственно работает с данными.

Короче, нет на ваш вопрос однозначного ответа, нужно внимательно смотреть, как у вас все крутится.

Спасибо за помощь Снежинка, malotavr !

Будем думать, но пока прозрачного решения не заметно - договор на любую передачу оборудования приводит к проблеме "внереализационного дохода".

///Повторяю, что оператором единой ИСПДн в данном случае будет как раз холдинг.
... нет юр.лица на месте холдинга.
///Да и вообще, не понятно кто из нас ищет ответ и решение Вашей проблемы --
...простите, но решение должно иметь непротиворечивые основы.

Спасибо, malotavr. Вы абсолютно правы, что в ГК нет такого понятия "холдинг" и я. например, это знаю. Для Фёдора было важным найти возможное решение, чтобы в холдинге можно было использовать единую ИСПДн и я ему дала общую идею. Предложенная мной идея не противоречит закону, а это считаю главным.
Как обставить дело с юридической стороны не зная конкретных обстоятельств у них в холдинге и дать однозначный ответ на форуме очень сложно (в чём Вы правы). Предполагалось, что
Фёдор сделает это сам со своими юристами.

Снежинка, разрешите вопрос переформулировать.
Кто должен быть "правильным" Оператором ПДн объединённой ИСПДн, если есть семь дочерних компаний и одна управляющая? Передача оборудования невозможна по указанной ранее причине.
.
Однозначного ответа у меня нет. Странно, что проблема очевидно относится ко многим компаниям, но не считается проблемой. Может я совсем тупой и ищу проблемы где их нет?

> Предложенная мной идея не противоречит закону, а это считаю главным.

Снежинка, никоим образом не хотел вас обидеть, просто словосочетание "оператором будет холдинг" читается неоднозначно:
- оператором будет некая "ядровая" структура холдинга (управляющая компания, оператор инфраструктуры и т.п.)
- оператором будет холдинг в целом, т.е. все компании холдинга в совокупности.

А из-за этой двусмыслености возникает путаница в понимании вашего ответа. Смотрите:

> Кто должен быть "правильным" Оператором ПДн объединённой ИСПДн

Есть два понятия:
- "оператор" в контексте _персональных данных_ (понятие из ФЗ-152, под которым понимается лицо, имеющее дело с данными)
- "оператор _информационной системы_" персональных данных (понятие из ФЗ-149, под которым понимается лицо, владеющее СВТ ИС или эксплуатирующее их).

Эти понятия имеют разную природу. Можно сделать объединенную ИСПД, передать ее, например, в оперативное управление управляющей компании холднига, переложив на нее, как на оператора ИСПД, все вопросы технической защиты (если это каки-то образом облегчит жизнь холдингу). При этом все компании холдинга, использующие эти ИСПД для обработки данных, по-прежнему останутся операторами ПД, просто на них останется только организационная часть защиты прав субъектов.

В обоих случаях "оператором будет холдинг" ;)

Понятие из Федерального закона № 149-ФЗ:
оператор информационной системы - гражданин или юридическое лицо, ОСУЩЕСТВЛЯЮЩЕЕ ДЕЯТЕЛЬНОСТЬ ПО ЭКСПЛУАТАЦИИ ИНФОРМАЦИОННОЙ СИСТЕМЫ, в том числе по обработке информации, содержащейся в ее базах данных (ч. 12, ст. 2).

Понятие из Федерального закона № 152-ФЗ:
оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, ОРГАНИЗУЮЩЕЕ И (ИЛИ) ОСУЩЕСТВЛЯЮЩЕЕ ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ, а также определяющие цели и содержание обработки персональных данных (ч. 2, ст. 3).

Т.е. оператором будет тот, кто ОРГАНИЗОВАЛ ОБРАБОТКУ ПДн И ЭКСПЛУАТИРУЕТ СИСТЕМУ! Как я понимаю, ИСПДн де-факто уже создана холдингом и технически действует (эксплуатируется юрлицами холдинга). Осталось только де-юре это всё узаконить, т.е. привести в соответствие. Нарисуйте техническую систему юристам, они помогут "узаконить" её несколькими способами. Всё зависит от ситуации (и может быть от желания ещё).

152-ФЗ: "...а также определяющие цели и содержание обработки персональных данных".

И по моему ИМХО оператор ИСПДн - это тот, кто определяет цели и задачи. Одно из обоснований: в противном случае под операторство невольно попадают все операторы связи.
При этом оператор может поручить обработку данных третьим лицам:
". В случае, если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке." (ст.6),
"Операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных, за исключением случаев, предусмотренных частью 2 настоящей статьи." (ст.7),
то есть в законе имеется разделение на операторов и третьих лиц, ведущих обработку (т.к. обработка - это в т.ч. и хранение, и передача), но не являющихся операторами.
При таком подходе "третье лицо" будет оператором ИС (т.к. это техническое понятие), но не оператором ИСПДн (т.к. это понятие организационное).

Ой, не факт. На мой взгляд они оба будут операторами ИСПДн. Обратите ещё раз внимание на ч. 2
ст. 3 ФЗ № 152. Если обработку оператор создавший ИСПДн (определивший цели и содержание обработки ПДн), отдаёт "третьему лицу" функции по непосредственной обработке, то третье лицо будет являться тоже оператором, поскольку выполняет делегированные ему первым оператором полномочия в части обработки ПДн. В этом случае "третье лицо" автоматически становится оператором ИСПДн согласно первой части определения оператора в законе 152 "...ЛИЦО, организующее и (ИЛИ) ОСУЩЕСТВЛЯЮЩЕЕ ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ...".
А так получается, что первая часть определения оператора откинута в сторону за ненадобностью, поскольку она нас не устраивает из основания "в противном случае под операторство невольно попадают все операторы связи".
Для операторов связи есть закон "О связи". На сколько я помню, по отношению к "связной" деятельности это закон является специальным.