Поручение на обработку ПДн и согласие - Форум по вопросам информационной безопасности

" К сожалению. в России слово начальника, почти закон. "

Тогда чего Вы паритесь? Делайте все, что сказал начальник. И поменьше думайте ))

WORM
Хочу жить в правовом государстве и соблюдать заоны. ))

К тому же начальник про такие нюансы не рассказывал.

Тогда я бы не заморачивался.
1. Про "в целях упрощения" - никак не фиксировать и делать неофициально. Как я уже говорил, работник всё равно должен сам явиться в банк для идентификации. Так что прикидываться ветошью и говорить, что передали только сведения о том, что вот эта личность является нашим работников и просим включить его в наш зарплатный проект, а больше нечего не передавали - работник сам всё отнёс.
2. Про реестры - эти данные идентифицируют счёт, на который надо перевести деньги. Необходимый набор данных определён требованиями Банка России, которые устанавливает их в соответствии с возложенными на него законодательством обязанностями, плюс 115-ФЗ. Так что передача ПДн осуществляется в целях исполнения законодательства.

Вот ведь развели флейм на пустом месте.

> Обязан ли оператор требовать от Банка удаления всех сведений о таких лицах или на это отношения, связанные с Поручением, уже не распространяются?

Не только не обязан, но и не имеет права, даже при наличии такого требования от держателя карты.

Хранение сведений банками регулируется нормативными документами Банка России (во исполнение ФЗ "О банках и банковской деятельности") и ФСФМ (во исполнение ФЗ "О противодействии легализации..."). Документы устанавливают состав сведений и сроки их хранения. Требования клиентов, в том числе - бывших, по их удалению до истечения этих сроков, юридически ничтожны.

Пустом или нет, но есть один нюанс, который и не дает покоя (как в том самом анекдоте про Чапаева).
ПДн - отдельная категория защищаемой информации. Никаким другим ФЗ, кроме 152-ФЗ, она регулироваться в полной мере не может (об этом, собственно, написано в самом 152-ФЗ).
Главное - что считать достижением цели обработки ПДн работника в нашей ситуации? И чьей цели? Какой из связок: "работник-работодатель", "работник-банк" и "работодатель-банк"?
Положим, работаю я в ОАО "Рога-и-копыта". Предлагают оформить зарплатную карту. Оформляю (договором и с работодателем, и, как подсказывают, с банком - не важно, читайте дальше). Мои ПДн некоторое время моей работы в ОАО "РиК" пересылают в банк, мне, соответственно, банк переводит деньги на карту. Но тут, ужас, я уволился и, главное, мне теперь эта карта без надобности. Работодатель обязан обработку (не хранение!) моих ПДн прекратить. А банк? Он по-идее тоже обязан. Только каково основание?
Короче, внимательно читаем договоры между "мной" и банком, между банком и работодателем, выясняем, а не остаюсь ли я клиентом банка и дальше (за счет, например, перевода имеющейся карты в качестве зарплатной, но уже в другой организации, куда "я" позже устроился). И думаем. Если ни в одном договоре про сроки обработки ПДн банком ничего не сказано + я выбросил (снял с "учета") карту за ненадобностью + на мне "не висит" каких-либо задолженностей перед банком = банк обязан прекратить обрабатывать мои ПДн в тридцатидневный срок согласно 152-ФЗ. Ибо цель обработки формально достигнута. И никакой другой ФЗ или иной подзаконный акт не сможет этому воспрепятствовать.

Могу быть не прав, конечно. Но видится все это мне именно так.

Почему все всегда читают только то, что им нравится? В 152-ФЗ же ясно написано, что согласие на обработка - это единственное основание для обработки. Есть ещё куча других оснований по которым согласия субъекта никто спрашивать и не будет.
То же самое касается и отзыва согласия. Чётко прописано, что оператор может продолжить обработку при наличии других оснований. А в случае, если такими основаниями является федеральный закон, то не просто может, но и обязан продолжить.

Блин, не проснулся ещё:

Почему все всегда читают только то, что им нравится? В 152-ФЗ же ясно написано, что согласие на обработку - это НЕ единственное основание для обработки. Есть ещё куча других оснований по которым согласия субъекта никто спрашивать и не будет.
То же самое касается и отзыва согласия. Чётко прописано, что оператор может продолжить обработку при наличии других оснований. А в случае, если такими основаниями является федеральный закон, то не просто может, но и обязан продолжить.

Да не спорю я с этим! :)
Просто хочется понять, есть ли четко прописанное (в частности в банковском деле) такое основание, когда оно не подкреплено договором между субъектом и банком, как в моей примере выше. Частный случай (уволился, и карта больше не нужна), конечно, но все же... Примеры с архивами приводить не надо - тут вопрос именно в обработке, а не в хранении.

Карта - всего лишь средство идентификации и аутентификации клиента, так же, как и паспорт при личном обращении. Если есть действующая карта, то обязательно есть действующий счёт, который обслуживается банком по договору между клиентом и банком. От того, что работник уволился, ничего не меняется.
А что касается оснований - если сейчас начать перечислять всё, чего Банк России на пару с ФСФМ в нормативной документации понаворотил, то и часа не хватит.

> Частный случай (уволился, и карта больше не нужна), конечно, но все же...

По карте проводились операции, среди них были операции на сумму >15000 р. (т.е. подлежащие обязательному контролю по линии "противодействия легализации"). Нормативные акты по противодействую легализации определяют, какие именно данные (включая данные о карте и ее держателе) и в течение какого срока после закрытия счета должны храниться. Вот вам и обработка на основании закона. не требующая согласия клиента.

И даже если (гипотетически) возникнет конфликт между "антиотмывочными" нормами и требованиями ФЗ-152, то банк будет исполнять первые: ФСФМ по объему и оперативности применения карательоных мер кроет Роскомнадзор, как бык овцу.