😎Privacy.Внутригрупповое соглашение о поручении обработки ПД: быть или не быть?

📱Автор: Елизавета Чепурина

Когда персональные данные стали набирать всё большую «популярность» среди юристов, а это произошло лишь в последние 2-3 года, внутри групп компаний стали подниматься вопросы совместной обработки данных.
Внутри групп обычно управляющая компания (УК) имеет ряд полномочий в части, например, выработки общего подхода к критериям обработки ПД в процессах, выбора используемых ИСПД, встречаются отдельные ИТ-компании, кадры и бухгалтерия работают одни на всех и т.д.

При классическом подходе эксперты использовали единый критерий «делегирования» и заключали внутригрупповые соглашения, где обработчиком становился тот, кто выполняет ту самую делегируемую функцию. Как будто же верно? Есть функция, оператор-аффилированная компания может в теории выполнять её сама, но делегирует это УК или другой компании группы - у нас поручение обработки ПД.

Но что, если всё глубже, но по итогу проще?..
Фактически, если использовать такой подход, мы получаем ситуации, где внутри группы «генеральным» обработчиком классически выходит УК, ИТ-компания выполняет для всех ИТ-функцию и, возможно, где-то сидят ещё основные силы кадров, бухгалтеров, юристов, а обычно — в самой УК. Никакого баланса нет: некоторые компании могут вовсе делегировать почти все свои функции другим компаниям группы, а УК рискует потом в регрессном порядке выплачивать все штрафы и подпортить репутацию, если в судебных решениях будет обозначена её роль.

Помимо этого, в силу особенностей конструкции ч. 3 ст. 6 152-ФЗ появляются специфические вопросы, связанные с обеспечением «согласия» для поручения, поскольку всё ещё у нас нет одного подхода, который был бы абсолютно верным ко всем процессам: подходит только согласие или мы можем использовать и иные основания? Если брать согласие, к которому обращаются компании «консервативного» толка, то мы должны понимать, что:
• без согласия мы не сможем обрабатывать ПД и из-за этого процесс сломается;
• собирать «обязательное» согласие мы формально не можем.

И тут обычно забывают разобрать два важных блока:
1. За что мы можем уцепиться для полного исключения поручения или для деления процессов на «с поручением/без поручения»?
2. Что будет, если поручения не будет?

Сейчас обозначим самое главное про первый блок, и как раз здесь раскрывается простота этой глубины, о которой мы говорили выше.
Простота кроется в определении оператора в 152-ФЗ, где обозначена часть про «совместность»: лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПД, определяющие цели, состав ПД и действия, совершаемые с ПД.

В силу отсутствия дополнительных критериев мы формально можем поделить процессы внутри группы:
1. процессы, которые мы совместно организовали и осуществляем, а также в которых определяем критерии обработки;
2. процессы, в которых компания исключительно делегирует свои функции другой компании.

Но как это сделать? Какие триггерные моменты будут, а какие критерии мы можем использовать для их разрешения?
Об этом мы расскажем подробнее на МК по поручению обработки ПД, после которого помимо самих знаний вы получите:

🔵Сборник набора формулировок по всем закреплённым и необязательным пунктам поручения (в т.ч, по делению процессов)
🔵Шаблоны различных форматов поручения

RPPA.pro | RPPAedu.pro | МК Поручение