Связьнадзор и закон о ПД

[grfmaniak]

Связьнадзор прислал письмо, в котором требует уведомить об обработке ПД. Однако, в пп 2 п 2 ст 22 этого самого закона черным по белому написано:

 

 

===

Статья 22. Уведомление об обработке персональных данных

 

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

 

2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

 

1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;

 

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

===

 

Мы как раз и не осуществляем никакого распространения ПД, используем их только для исполнения договоров, никому без согласия не выдаем. Чего ж тогда им надо от нас??

 

[Andrei]

ИМХО, просят сообщить, что все же ПД вы обрабатываете. Вы ведь обрабатываете? Вот так и напишите как тут написали.

[grfmaniak]

Там не просто просят уведомить, а еще и угрожают ответственностью по ст 19.7 административного кодекса. И это при том, что мы вообще не обязаны их уведомлять ни о чем, так как обрабатываем, но не распространяем.

[Антон Богатов]

Просто напишите им ответ, мол, "на Ваш исх. № от ____, сообщаю, что....." далее изложите ваши доводы. Все.

В области ПД надзор работает в режиме спамбота - слишком много поднадзорных субъектов, индивидуальный подход технически невозможен.

[ALaddin]

Там не просто просят уведомить, а еще и угрожают ответственностью по ст 19.7 административного кодекса. И это при том, что мы вообще не обязаны их уведомлять ни о чем, так как обрабатываем, но не распространяем.

По мнению РСН ВСЕ предприятия, у которых есть наемные работники являются операторами по обработке персональных данных. И мотивируют это так: у Вас есть наемные работники, Вы работаете с ними по трудовому договору, т.е. требуете с них персональные данные. Работник уволился, т.е. у Вас с ним прекратились договорные отношения, но его персональные данные Вы продолжаете хранить. А хранение - это тоже обработка, поэтому ВЭЛКАМ в поднадзорные :(

[Галушко Дмитрий]

Там не просто просят уведомить, а еще и угрожают ответственностью по ст 19.7 административного кодекса. И это при том, что мы вообще не обязаны их уведомлять ни о чем, так как обрабатываем, но не распространяем.

По мнению РСН ВСЕ предприятия, у которых есть наемные работники являются операторами по обработке персональных данных. И мотивируют это так: у Вас есть наемные работники, Вы работаете с ними по трудовому договору, т.е. требуете с них персональные данные. Работник уволился, т.е. у Вас с ним прекратились договорные отношения, но его персональные данные Вы продолжаете хранить. А хранение - это тоже обработка, поэтому ВЭЛКАМ в поднадзорные :(

Не все РСН так думают.

А особо умным надо указать на нормы п.2 ст. 22 ФЗ от 27.07.2006 N 152-ФЗ

 

2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных; - это про договоры об оказании услуг связи

Edited January 25, 2010 by Галушко Дмитрий

[ALaddin]

Дмитрий, ну кто что хочет, тот то и видит. В Ваших словах я не увидел опровержения утверждения Роскомнадзора.

1. Трудовые отношения связывают. Да, пока эти отношения есть. Человек уволился - трудовые отношения прекратились, но данные по этому человеку Вы продолжаете хранить. Т.е. этот пункт нас не спасает.

2. По договору на услуги связи. Если Вам приходит запрос из суда/прокуратуры/ментов на предоставление данных по абоненту в рамках расследования по уголовному делу, Вы эти данные даете? Даете. А разрешение у абонента не берете? Не берете. Я уж молчу про передачу базы данных абонентов в МРК. Так что этот пункт тоже не спасает на 100%

 

Есть еще варианты? А то мне очень не хочется уведомление в РСОК посылать...

[grfmaniak]

Дмитрий, ну кто что хочет, тот то и видит. В Ваших словах я не увидел опровержения утверждения Роскомнадзора.

1. Трудовые отношения связывают. Да, пока эти отношения есть. Человек уволился - трудовые отношения прекратились, но данные по этому человеку Вы продолжаете хранить. Т.е. этот пункт нас не спасает.

Ну храним и что? Не распространяем же. А раз не распространяем - уведомлять не надо.

 

2. По договору на услуги связи. Если Вам приходит запрос из суда/прокуратуры/ментов на предоставление данных по абоненту в рамках расследования по уголовному делу, Вы эти данные даете? Даете. А разрешение у абонента не берете? Не берете. Я уж молчу про передачу базы данных абонентов в МРК. Так что этот пункт тоже не спасает на 100%

А в договоре написано что "абонент соглашается с тем, что его персональные данные могут быть предоставлены всяким там судам", и абонент подписал договор, а значит разрешение получено. Таким образом БЕЗ разрешения опять же не распространяем.

Edited January 28, 2010 by grfmaniak

[Andrei]

Дмитрий, ну кто что хочет, тот то и видит. В Ваших словах я не увидел опровержения утверждения Роскомнадзора.

Дмитрий и не говорил, что в этих случаях нет обработки перс.данных. Обработка есть. Он всего лишь указал на то, что "оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных" в ряде перечисленных выше случаев. Только и всего. Т.е. обработка перс.данных есть, а уведомлять РСОК не обязательно.

[ALaddin]

Т.е. обработка перс.данных есть, а уведомлять РСОК не обязательно.

Хм... Ну если так посмотреть на вопрос, то может быть...

 

Надо теперь посмотреть имею ли я право обрабатывать ПДн без уведомления...

 

Andrei, а Вы уведомление отправили?

[Andrei]

Мы написали в ТУ РСН ответ в духе аргументации топик-стартера. Т.е. вроде как и обращение РСН без ответа не оставили, но и уведомлением это не назовешь.

Хотя сомнения остались. Например, для доставки счетов абонентам мы заключили договор с местным отделением "Почты России", разумеется сообщаем им адрес, куда надо отнести счет. С одной стороны - это передача перс.данных третьему лицу. Но с другой стороны, во-первых, абонент дал согласие на использование его перс.данных, во-вторых, это сделано в рамках исполнения наших обязанностей по договору на оказание услуг и в соответствии с Правилами оказания услуг (счет должен быть доставлен абоненту). Как это трактовать? Не понятно.

[Галушко Дмитрий]

Т.е. обработка перс.данных есть, а уведомлять РСОК не обязательно.

Хм... Ну если так посмотреть на вопрос, то может быть...

 

Надо теперь посмотреть имею ли я право обрабатывать ПДн без уведомления...

 

Andrei, а Вы уведомление отправили?

Так ведь в соответствии с п.2 ст.22 ФЗ Об ПдН прописываем в договоре "согласие на распространение и предоставление ПдН исключительно для исполнения и заключения настоящего договора". Edited January 29, 2010 by Галушко Дмитрий

[fradkov]

Мы написали в ТУ РСН ответ в духе аргументации топик-стартера. Т.е. вроде как и обращение РСН без ответа не оставили, но и уведомлением это не назовешь.

Хотя сомнения остались. Например, для доставки счетов абонентам мы заключили договор с местным отделением "Почты России", разумеется сообщаем им адрес, куда надо отнести счет. С одной стороны - это передача перс.данных третьему лицу. Но с другой стороны, во-первых, абонент дал согласие на использование его перс.данных, во-вторых, это сделано в рамках исполнения наших обязанностей по договору на оказание услуг и в соответствии с Правилами оказания услуг (счет должен быть доставлен абоненту). Как это трактовать? Не понятно.

Андрей, как результаты? РСН дал обратную связь;)?

[Andrei]

РСН дал обратную связь;)?

Нет, но недавно прислали информацию о законе о персональных данных с просьбой разместить ее на сайте дляф абонентов. И все же настоятельно рекомендуют такое уведомление об обработке персональных данных прислать, мотивируя это тем, что мы же передаем сведения о своих сотрудниках в пенсионные фонд, фонд ОМС и т.п. Так что...

[Галушко Дмитрий]

РСН дал обратную связь;)?

Нет, но недавно прислали информацию о законе о персональных данных с просьбой разместить ее на сайте дляф абонентов. И все же настоятельно рекомендуют такое уведомление об обработке персональных данных прислать, мотивируя это тем, что мы же передаем сведения о своих сотрудниках в пенсионные фонд, фонд ОМС и т.п. Так что...

Так это в рамках трудовых отношений...

У теров отчетность перед Центом по ПД...

[Связной (С)]

абонент дал согласие на использование его перс.данных

Сфера использования уточняется или в общем и целом "везде и всем"?

 

 

[Связной (С)]

1. Трудовые отношения связывают. Да, пока эти отношения есть. Человек уволился - трудовые отношения прекратились, но данные по этому человеку Вы продолжаете хранить. Т.е. этот пункт нас не спасает.

 

Ну храним и что? Не распространяем же. А раз не распространяем - уведомлять не надо.

Отношения уже не связывают. В том и дело, что обработка это не только распространение, но и хранение, уничтожение и т.д. Edited May 31, 2010 by Связной (С)

[Связной (С)]

2. По договору на услуги связи. Если Вам приходит запрос из суда/прокуратуры/ментов на предоставление данных по абоненту в рамках расследования по уголовному делу, Вы эти данные даете? Даете. А разрешение у абонента не берете? Не берете. Я уж молчу про передачу базы данных абонентов в МРК. Так что этот пункт тоже не спасает на 100%

 

А в договоре написано что "абонент соглашается с тем, что его персональные данные могут быть предоставлены всяким там судам", и абонент подписал договор, а значит разрешение получено. Таким образом БЕЗ разрешения опять же не распространяем.

Суд - это исполнение договора?

3 условия:

- не распространяются

- не предоставляются без согласия

- используются исключительно для исполнения договора

[Andrei]

Так это в рамках трудовых отношений...

У теров отчетность перед Центом по ПД...

А не важно в рамках каких отношений обрабатываются персональные данные. И теруправления РСОК проверяют защиту перс.данных независимо от того, в каких целях эта обоработка ведется.