Как отличить передачу персональных данных и поручение на обработку персональных данных

Поручение имеет место, когда:

• оператор способен самостоятельно обрабатывать ПДн для достижения цели, но по разным причинам передает эту функцию полностью или частично своему контрагенту — обработчику;

• обработка ПДн регулируется отдельным соглашением между оператором и обработчиком;

• обработчик за вознаграждение выполняет действия с ПДн, которые напрямую связаны с достижением целей, установленных оператором.

Передача имеет место, когда:

• передача ПДн не является основным предметом договора, а служит вспомогательной функцией;

• все действия с ПДн ограничиваются передачей данных между сторонами.

1. Оператор – лицо, которое осуществляет обработку персональных данных, определяя: 

• цели обработки ПДн;

• состав подлежащих обработку ПДн; 

• действия с ПДн. 

2. Обработчик – лицо, действующее по поручению оператора при обработке персональных данных. Он не заинтересован в самих персональных данных и не решает, зачем и как их обрабатывать — он просто выполняет порученную ему обработку.

3. Субобработчик — факультативное лицо, которое обработчик может привлекать для совместного выполнения поручения.

Пример 1: Компания для ведения бухгалтерского учета привлекает бухгалтера на аутсорсинге.   

В данном случае оператором будет компания, а обработчиком — бухгалтер на аутсорсинге. 

Пример 2: Компания 1 владеет CRM-сервисом, в котором Компания 2 хранит данные своих клиентом. 

В данном примере Компания 2  — оператор, который поручает хранение и систематизацию данных обработчику — Компании 1.

Пример 1: Передача данных сотрудников банка для подключения к зарплатному проекту. 

В данном случае и работодатель и банк будут операторами, которые обрабатывают данные в своих целей: работодатель – для выплаты заработной платы, банк – для исполнения договора. 

Оператор несет ответственность перед субъектами.

Стороны заключают поручение на обработку персональных данных.

Поручение может быть оформлено: 

• как отдельный от основного договора документ;

• как приложение к основному договору; 

• как раздел основного договора.

Тут все зависит от того, кому передаются ПДн. 

Если лицо коммерческое, то передача может быть оформлена: 

• как отдельный от основного договора документ;

• как приложение к основному договору;

• как раздел основного договора. 

Если передача осуществляется государственному органу, например, ФНС, то передача не оформляется договором, а обеспечивается силой закона.

По общему правилу передающая сторона должна получить согласие на передачу персональных данных третьим лицам. 

Но если передача необходима по другим основаниям, согласие не требуется. Например, согласие не нужно, если:

• передача необходима для исполнения договора, где субъект является выгодоприобретателем (например, заключение между работодателем и организации, которая осуществляет профессиональную переподготовку). 

• передача необходима в силу закона (передача данных ФНС)