Информационная система холдинга и ПДн - Форум по вопросам информационной безопасности

Про операторов связи да, с некоторой натяжкой ) это просто один из аргументов, хотя пожалуй и не самый лучший.
А так - обсуждалось крайние года.. три минимум, наверное - все зависит от общения с регулятором, т.к. однозначного прочтения нет и несоответствий в руководящих документах более чем хватает. То есть заведомо верного решения не существует, или как минимум оно неадекватно дорогое в реализации.

По сути же - решение определять оператора как лицо, именно организующее обработку, на практике применяется и проверки регуляторов успешно проходит. Кроме того, оно особо ничему не противоречит - мы просто указываем конкретное лицо, ответственное за соблюдение норм закона. Т.е. отличие юридическое, и состоит в том, что обязанность и ответственность перед "внешним миром" по обеспечению всех характеристик ПДн мы перекладываем на одно, явно определенное лицо - оператора. В случае инцидента, независимо от того, в какой части он случится технически, ответственным также будет оператор - а уже внутренние разборки кто за что отвечает в его распределенной системе - это его внутреннее дело.

Касательно ст.3 - "организующие и (ИЛИ) осуществляющие", мы отнюдь не выкидываем первую часть. Оператор у нас организует, и определяет цели обработки. То есть наоборот - мы учитываем одновременно и первую, и вторую части определения и считаем, что без второй части определение уже неполное. Союз "или" дает нам возможность выбора - организовать обработку, или осуществлять самому, а часть определения после "а также" по данному прочтению отделяет обработчика от оператора.

Естественно, это не универсальный рецепт на все случаи жизни - случаи бывают разные, и организационно-правовая форма бывает запутаной что черт ногу сломит и еще разные нюансы. Получится или нет обосновать решение в каждом конкретном случае - предсказать до проверки невозможно, тут уже область управления рисками. Однозначно правильных рецептов по 152 нет, слишком много в существующих нормативных документах как двойных толкований, так и прямых логических несоответствий. Но описаный подход имеет место быть и практически успешно применяется.

> Т.е. оператором будет тот, кто ОРГАНИЗОВАЛ ОБРАБОТКУ ПДн И ЭКСПЛУАТИРУЕТ СИСТЕМУ!

Оператором информационной системы - да. Оператором в терминах ФЗ-152 - не факт. Оператор в ФЗ-152 - это совсем отдельное понятие, не сваязаное с эксплуатацией операционной системы или владением ею.

ФЗ 152 по отношению в ФЗ 149 является специальным, а ФЗ 149 общим. Поэтому неоднозначные толкования специального нормативного акта скорее всего будут осуществляться с учётом общих норм ФЗ 149.
И там и там рассматривается информационная система у которой есть оператор. Информационные системы ФЗ 152 и 149 отличаются между собой тем, что в первом случае оговаривается конкретный вид обрабатываемой информации (а именно ПДн).
Зависимость от вида обрабатываемой информации при определении оператора системы (если ПДн, то организационный термин, если любой другой вид информации, то технический) не надёжна.

В общем, сколько людей - столько и мнений. Я не претендую на медаль в своих выводах. Каждый раз приходится договариваться с проверяющими и объяснять свою позицию. А это дело случая.

Для AIB:
Вы только не подумайте, что идея толковать оператора ИСПДн как "организационное" понятие (у нас уже всё по понятиям) я пытаюсь отмести. Наоборот, мне эта идея очень даже симпатична. Более того, г-ну Фёдору она может значительно "облегчить" жизнь. Оператором ИСПДн у него будет управляющая компания холдинга, а остальные "третьи лица" будут просто обработчики ПДн. Если его юристы всё это правильно оформят, то будем за него все вместе радоваться. Ура, ура, ура!
Всех чмоки :-)

> ФЗ 152 по отношению в ФЗ 149 является специальным, а ФЗ 149 общим

Снежинка, я вас очень хорошо понимаю, но вижу небольшой изъян в исходной посылке. Понятия общий/специальный относятся не к нормативным актам, а к нормам этих актов.

Т.е., если бы в ФЗ-152 говорилось об операторе _информационной системы персональных данных_, мы бы имели частный случай оператора _информационной системы_, и вы были бы абсолютно правы. Но это не так хотя бы уже потому, что оператором может быть лицо, вообще не имеющее ИСПД.

//////остальные "третьи лица" будут просто обработчики ПДн.

понятия "обработчик" пока нет в _этой_ версии ФЗ-152.

///Если

и это главное!

о результатах донесу.

"обработчик" также является Оператором. по определению Оператора.

2Федор: в _этой_версии_ есть понятие третьего лица, этого достаточно. О результатах лично мне можно не докладывать, они у меня уже давно есть :) описываю я только то, что успешно применялось на практике.
Но Ваша система - она Ваша, рецепты через форум давать не берусь.

2Снежинка: совершенно верно - все дело в правильном оформлении и общении :) . Некоторые банки даже приняв СТО БР с регуляторами конфликтуют, а кто-то успешно доказывает, что паспортные данные не ПДн. Я всего-лишь описал, в каком направлении возможно двигаться, судя по практике и обрывочной статистике - с таким подходом вполне можно рассчитывать найти общий язык с регулятором.

Оператора же по 152 ИМХО неверно определять как частный случай оператора по 149 уже потому, что оператор ИСПДн может вовсе не иметь никакой ИС по 149.
Если в 149 он определен как "оператор информационной системы", то в 152 - просто как "оператор", а не "оператор ИСПДн". Далее, в 149 он раскрыт как "лицо, осуществляющие деятельность по эксплуатации информационной системы", а в 152 - как "лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных", с акцентом на данных и без уточнения, имеется ли при этом какая-либо ИС у самого этого лица. А "информационная система персональных данных", с учетом того, что она может обрабатывать персональные данные "с использованием средств автоматизации или БЕЗ использования таких средств", в случае "без таких средств" уже совсем не однозначно является ИС по 149, продолжая оставаться ИСПДн.
Таким образом, это все-таки достаточно разные понятия. Прямых указаний о том, что 152 основывается на положениях 149, также нигде нет.

Далее можно еще ссылаться на Евроконвенцию и все в таком духе, но имхо нет смысла продолжать. Главное - что все зависит от обоснования и общения, уже и так было сказано ) . На моей практике особых проблем такой подход сам по себе не вызывал. Главное не считать, что достаточно снять с себя операторство и можно забыть про меры защиты, вот это уже вероятнее всего не встретит понимания :) .

/// При таком подходе "третье лицо" будет оператором ИС (т.к. это техническое понятие), но не оператором ИСПДн (т.к. это понятие организационное).

исходя из первой части определения Оператора, обработчик тоже яваляется Оператором, потому что "(или) осуществляющие обработку персональных данных"

/// а часть определения после "а также" по данному прочтению отделяет обработчика от оператора.

получается:
(Организация.And(or).Обработка).and.АТАКЖЕ

обработчик здесь лишний, потому что он без .and.АТАКЖЕ.

Если использовать формальную логику, то как раз рассматриваю как

оператор := ( ( организует | обрабатывает ) & а_также )

(там же не "исключающее или", множество положительных ответов "и" уже включено :) )

Т.е. подразумеваю, что первой части для определения оператора недостаточно. И если ее нет, то он "не_оператор". Кто - не важно, главное, что "не оператор".

Как назвать "не_оператора" - второй вопрос, обработчиком, третьим лицом или еще как. Я в документах предпочитаю прямо обозвать - "не оператор" (не является оператором и тп).