Первое и самое важное — понять, кем будет сервис командировок: оператором или обработчиком персональных данных.

От этого зависит, какие документы нужно подписать, кто за что отвечает и — что критично — кто будет разбираться с трансграничной передачей данных.

Модель "оператор-оператор"

1. Сервис сам определяет, зачем и как обрабатывает данные

2. Сервис сам решает, как хранить и защищать данные 

3. Вы не управляете объёмом данных и не определяете правила бронирования.

Пример: Агрегатор командировок покупает билеты, бронирует отели, сам взаимодействует с перевозчиками и гостиницами. Вы просто передаете ему данные сотрудников, а дальше он действует как самостоятельный оператор.

Такая модель свидетельствует о простой передаче персональных данных между сторонами — операторами. Именно сервис уведомляет РКН о трансграничной передаче и несет ответственность за такую передачу. Вы передаете данные сервису внутри РФ и на этом ваша зона ответственности заканчивается.

Документы:

В договоре с сервисом рекомендуем предусмотреть:

1. перечень передаваемых персональных данных (ФИО, паспорт, дата рождения и т.д.);

2. цели, для которых сервис получает данные и действует как оператор;

3. обязанность сервиса соблюдать конфиденциальность;

4. обязанность сервиса обеспечивать защиту ПД по ст. 19 ФЗ «О персональных данных»;

5. порядок уничтожения данных после прекращения договора.

Модель "оператор-обработчик"

1. Цели и действия с данными определяете вы

2. Сервис не использует данные в своих интересах

Пример: Сервис только хранит данные сотрудников в вашей внутренней подсистеме, формирует приказы о командировках по вашему шаблону, уничтожает данные по вашему запросу — и ничего больше.

Такая модель свидетельствует о поручении обработки персональных данных оператором. Между сторонами необходимо заключать отдельное соглашение — поручение  на обработку персональных данных.

Документы:

Заключите с контрагентом поручение на обработку персональных данных. Оно может быть оформлено как отдельный документ, приложение или раздел договора. Содержание поручения определяются ч. 3 ст. 6 ФЗ «О персональных данных» и должно включать:


1. перечень персональных данных;

2. перечень действий с данными (хранение, систематизация и т.д.);

3. цели обработки;

4. обязанность соблюдать конфиденциальность;

5. обязанность обеспечивать безопасность ПД; 

6. требования к защите обрабатываемых персональных данных в соответствии со ст. 19 ФЗ «О персональных данных»;

7. требования по ст. 18.1 и ч. 5 ст. 18 ФЗ «О персональных данных»;

8. обязанность предоставлять документы по запросу оператора.

Если есть сочетание двух моделей отношений

Функционал сервиса может сочетать в себе не только сценарий бронирования билетов, где сервис выступает самостоятельным оператором, но и иные сценарии, при которых сервис выполняет ваши поручения:

1. разработка и хранение приказов о командировках;

2. формирование внутренних отчетов по вашим шаблонам;

3. уничтожение данных по вашему запросу.

Если сервис сочетает в себе несколько сценариев, то допускается работать и по модели «оператор-оператор», и по модели «оператор-обработчик» (в зависимости от функционала). 

Пропишите прямо в каких процессах обработки сервис действует как оператор, а в каких — как обработчик. И дальше руководствуйтесь правилами, указанными выше.