Поручение на обработку ПДн и согласие - Форум по вопросам информационной безопасности

" 1) А вообще-то, раз сотрудники заключают с Банком отдельные соглашения, стоит ли бояться наказания со стороны РКН (не Банка) за то, что не уведомили и тем самым, обрабатываем ПДн без согласия? "

Бояться всегда стоит по той причине, что сотрудники РКН зачастую так глубоко в закон не вникают. Они могут тупо сказать, что вы поручили банку обработку, а вы уже будете доказывать, что Вы не верблюд (ссылаясь на договоры с банком самих работников, формулировки Закона и проч.).


" 2) Если-таки написать письмо спустя год (по некоторым сотрудникам - год, по некоторым, пара месяцев, а по некоторым итого - неделя) написать в Банк можно ли считать инцедент (перед РКН, не банком) исчерпаным или таки факт, что вроде бы как обработка ПДн осуществлялсь аж целый год - уже нарушение и никуда от него надеяться? "

Мне кажется, можно: будет лишний аргумент в разговоре с РКН (см. выше): мол, все, что могли сделали, меры приняли, а ежели банк чего-то обрабатывает - так это в рамках договора с самим работником.

А вообще не худо бы договор переписать и вообще убрать из него цели обработки ПДн, способы и др. А оставить только то, что мы, мол, вам передаем ПДн наших работников, а посему требуем соблюдать их конфиденциальность и безопасности в соответствии с ФЗ.

to Беркут
Спасибо за разъяснения! А то уже голову сломал, должны ли быть договора или не обязательны.

to Лапоть
Опасения понятны, от них, к сожалению, не застрахуешься, даже если в целом прав...
Если фактическая обработка не проводилась (а она не проводилась, ибо сотрудник больше не сотрудник), то ради успокоения души можно отправить единую бумагу в Банк сейчас. Но, исходя из того, что имеются прямые договора, такое уведомление вовсе не обязательно. Потому как что оно есть, что его нет - банк обязан самостоятельно решить вопросы со своим клиентом в рамках заключенного договора. И, получается, что вины оператора ПДн как таковой на работодателе нет.
Могу, конечно, ошибаться. Но логика выходит очевидной.

...извиняюсь за оффтоп...
Чувствую, придется нам с тов. WORM договариваться об очередности или писать общие посты. А то в подавляющем большинстве веток форума пишем в сущности одно и то же, но, как показывает практика, иногда этим путаем авторов вопросов... :)

2 oko
Да ладно Вам :) Раз пишем одинаково, значит, больше вероятность, что ответ правильный :)

"А вообще не худо бы договор переписать и вообще убрать из него цели обработки ПДн, способы и др. А оставить только то, что мы, мол, вам передаем ПДн наших работников, а посему требуем соблюдать их конфиденциальность и безопасности в соответствии с ФЗ."

К сожалению, "... в поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона" (152-фз, ст.6 ч.3)

Соответственно, если указанный выше договор с банком является поручением на обработку ПДн, то убрать из него эту информацию нельзя.

" Соответственно, если указанный выше договор с банком является поручением на обработку ПДн, то убрать из него эту информацию нельзя. "

Если.

Если.

Этот вопрос, насколько я понял, прорабатывался ранее:
"4) С чего я взял про Поручение? Да года 3 назад об этом говорил начальник из РКН, что такие договора с Банком - это де факто Поручение. С тех пор эти отношения рассматриваются именно так."

Или Вы предлагаете убрать указанную информацию как раз для того, чтобы договор перестал считаться поручением?
Но тогда возникает вопрос об основаниях и целях передачи ПДн в Оператором в банк в принципе.

Если верить этому начальнику, то любой договор, в рамках которого ПДн передаются из фирмы А в фирму Б - это уже поручение.

Цель формулируется произвольным образом. Вовсе не обязательно писать в договоре "передать персональные данные для ....". Цель - реализация зарплатного проекта, перечисление з/п и т.п.

Закон 152 не определяет, что для передачи ПДн нужны какие-то основания, он устанавливает условия их передачи: соблюдение конфиденциальности и прав субъектов.

По нынешнему трудовому законодательству работник сам должен говорить работодателю, куда ему деньги перечислять.
Разъясните отставшему от жизни, что за данные в банк вы передаёте?

Для Мозговой Андрей
"Или Вы предлагаете убрать указанную информацию как раз для того, чтобы договор перестал считаться поручением?"

На самом деле я хотел (да и сейчас 100% понимания нет) понять вот если расценивать договор с банком в рамках зарплатного проекта, как поручение, то при увольнении сотрудника (при условии, что согласие действует в течении трудовых отношений) нужно ли предпринимать дополнительные действия (письмо писать, с битой приходить - шутка и т.д.) в банк (стороной, которому поручена обработка ПДн) для прекращения этой обработки банком ли достаточно просто перестать передавать сведения в банк, а банк будет уже обрабатывать ПДн лиц, не как сотрудников, а согласно своим (ранее заключенным) договорам.

Для WORM
К сожалению. в России слово начальника, почти закон. (((


Беркут
1-я и единственная передача - это довольно обширный пакет документов на ФЛ - сотрудника.
Т.е. так предусмотренна пресловутым договором, который расценивается, как поручение.
Вообще-то это все может и сам сотрудник передать при заключение отдельного договора с банком, но, как я понимаю, в целях упрощения (для бухгалтерии и банка, но не для отвественного за обработку ПДн) процедуры всё передается одним пакетом от ЮЛ.

2-я и последующие передачи это фио, номер счета и (вроде бы!) дата рождения и суммы для перечисления - т.н. реестры.