Оператор РЖД вправе передавать обработку персональных данных третьим лицам только при наличии конкретного договора, который соответствует требованиям Федерального закона № 152-ФЗ. В качестве обработчиков могут выступать специализированные компании по IT-поддержке, облачные провайдеры, бухгалтерские и кадровые агентства, если их деятельность напрямую связана с выполнением функций, порученных оператором.
Перед заключением договора необходимо проверить, что обработчик обеспечивает защиту данных на уровне, установленном внутренними нормативными актами РЖД и законодательством. В договоре должны быть закреплены обязанности по ведению журналов доступа, хранению резервных копий, обеспечению конфиденциальности и немедленному уведомлению о любых инцидентах, связанных с утечкой или несанкционированным доступом к персональным данным.
Важно разграничивать категории персональных данных. Для сотрудников допускается привлечение кадровых агентств и систем управления персоналом, а для пассажиров – сервисов бронирования и аналитических платформ. Любая передача данных третьим лицам без формализованного соглашения и контроля считается нарушением законодательства и может привести к административной ответственности оператора.
РЖД также обязано вести учет всех обработчиков и регулярно проверять соответствие их деятельности требованиям защиты персональных данных. Внутренние аудиты и контрольные проверки позволяют снизить риски несанкционированного доступа и обеспечивают прозрачность взаимодействия с внешними организациями.
Какие организации могут быть операторами-подрядчиками по обработке ПД
Операторы РЖД могут поручать обработку персональных данных только организациям, способным обеспечить соблюдение требований Федерального закона № 152-ФЗ и нормативов по информационной безопасности. К таким подрядчикам относятся:
1. ИТ-компании и разработчики программного обеспечения. Они обеспечивают хранение, передачу и защиту данных, предоставляют облачные решения, системы управления клиентскими базами и биллинговые платформы. Должны иметь сертификацию на обработку ПД и внедрённые меры шифрования.
2. Аутсорсинговые сервисы по обработке персональных данных. Включают контакт-центры, сервисы обратной связи и службы поддержки клиентов. Необходимо заключение договора с описанием объёма данных, целей обработки и технических мер защиты.
3. Компании по аналитике и обработке больших данных. Они могут обрабатывать анонимизированные и персонализированные данные для маркетинговых и статистических целей. Обязательна проверка соответствия требованиям безопасности и правил по обезличиванию информации.
4. Поставщики облачных и дата-центровых услуг. Эти организации должны предоставлять гарантии физической и сетевой безопасности, резервного копирования и мониторинга доступа к персональным данным.
Перед заключением договора РЖД должно проверить у подрядчика наличие:
- действующих сертификатов ISO/IEC 27001 или аналогичных;
- политик информационной безопасности;
- процедур контроля доступа и ведения журналов обработки ПД;
- документально закреплённого согласия на обработку ПД от клиентов, если это необходимо.
Все отношения с операторами-подрядчиками должны фиксироваться договором, который строго регламентирует цели обработки, порядок передачи данных и ответственность сторон за нарушение требований законодательства о персональных данных.
Особенности передачи персональных данных сторонним ИТ-компаниям
Передача персональных данных сторонним ИТ-компаниям требует строгого соблюдения требований Федерального закона №152-ФЗ. РЖД может поручить обработку данных исключительно организациям, способным гарантировать сохранность информации и выполнение целей, определённых оператором.
Ключевыми условиями передачи данных являются:
| Условие | Описание |
|---|---|
| Договорные обязательства | ИТ-компания должна заключить договор с РЖД, предусматривающий конкретные меры защиты, ограничения обработки и ответственность за нарушение законодательства о персональных данных. |
| Технические меры безопасности | Обработка данных должна проводиться на защищённых серверах с шифрованием, регулярным резервным копированием и контролем доступа сотрудников. |
| Целевое использование | ИТ-компания имеет право обрабатывать персональные данные только для целей, согласованных с РЖД. Любое использование вне рамок договора запрещено. |
| Контроль и аудит | РЖД сохраняет право проводить аудит безопасности и проверку соответствия ИТ-компании требованиям законодательства и внутренним политикам оператора. |
| Ответственность | Компания обязана компенсировать ущерб в случае утечки данных или несоблюдения установленных требований. Ответственность фиксируется в договоре и может включать штрафные санкции. |
Передача персональных данных сторонним ИТ-компаниям не допускается без документального подтверждения их соответствия требованиям безопасности. РЖД рекомендует проводить предварительную проверку протоколов обработки, наличие сертификаций ISO/IEC 27001 и локальных механизмов защиты информации.
При выборе подрядчика целесообразно учитывать опыт работы с государственными структурами, количество реализованных проектов с аналогичной нагрузкой и возможность предоставления отчётности по каждому этапу обработки данных.
Условия заключения договора с внешними обработчиками ПД
Договор с внешним обработчиком персональных данных должен быть заключен в письменной форме и содержать обязательное указание на цель обработки данных, виды обрабатываемых ПД и категории субъектов данных. В документе необходимо зафиксировать обязанности обработчика по обеспечению конфиденциальности и соблюдению требований законодательства о защите ПД, включая Федеральный закон №152-ФЗ.
В договоре следует определить меры защиты данных, применяемые обработчиком: технические, организационные и административные. Необходимо указать процедуры уведомления оператора РЖД о любых инцидентах, связанных с утечкой или несанкционированным доступом к ПД, а также сроки реагирования.
Договор должен предусматривать контроль за соблюдением условий обработки, включая право оператора РЖД на проведение аудитов и проверок, а также обязательство обработчика предоставлять отчеты по использованию и хранению данных.
Следует зафиксировать порядок возврата и уничтожения ПД после завершения обработки или по требованию оператора, включая конкретные сроки и методы уничтожения. Все изменения условий договора должны быть оформлены письменно и согласованы обеими сторонами.
Особое внимание уделяется подтверждению прав на передачу данных третьим лицам. Договор должен прямо запрещать обработку ПД без согласия оператора, а любые субподрядчики должны быть утверждены письменно и подчиняться тем же требованиям конфиденциальности.
Обязательным является закрепление ответственности обработчика за нарушение условий договора, включая компенсацию убытков и штрафные санкции за несоблюдение законодательства о ПД, что минимизирует риски для оператора РЖД.
Ответственность РЖД при передаче данных субподрядчикам
РЖД сохраняет полную ответственность за обработку персональных данных даже при передаче их сторонним организациям. Передача возможна только на основании письменного договора, который обязывает субподрядчика соблюдать требования ФЗ-152 и внутренних регламентов компании.
В договоре необходимо четко определить цели обработки, объем данных, порядок их хранения и сроки уничтожения. Нарушение этих условий субподрядчиком не освобождает РЖД от ответственности перед субъектами данных и контролирующими органами.
РЖД обязано проводить регулярные проверки субподрядчиков, включая аудит информационной безопасности и контроль соответствия процедур требованиям закона. Все выявленные нарушения должны фиксироваться в акте и устраняться в установленный срок.
В случае инцидента с персональными данными ответственность РЖД включает уведомление Роскомнадзора и затронутых субъектов данных в сроки, установленные законом, а также принятие мер по предотвращению повторных случаев. Несоблюдение контроля за субподрядчиком ведет к административной и гражданской ответственности оператора.
Рекомендуется включать в договоры с субподрядчиками положения о страховании рисков утечки данных и возможность проведения внепланового аудита по инициативе РЖД. Это снижает юридические риски и обеспечивает соблюдение принципов минимизации и защиты персональных данных.
Передача данных в облачные сервисы и требования к защите информации
Оператор РЖД может передавать персональные данные в облачные сервисы при условии, что провайдер соответствует требованиям законодательства о защите персональных данных. Необходимо заключение договора, где фиксируются права и обязанности сторон, включая обеспечение конфиденциальности, целевого использования и сроков хранения данных.
Передача данных в облачные сервисы допускается только при наличии технических и организационных мер защиты: шифрование информации при передаче и хранении, разграничение доступа, журналирование действий пользователей, регулярное тестирование безопасности. Провайдер должен иметь сертифицированные системы защиты информации и процедуры резервного копирования.
При выборе облачного сервиса следует проверять: физическое расположение серверов, соответствие требованиям Федеральной службы по техническому и экспортному контролю (ФСТЭК) и Федеральной службы безопасности (ФСБ), а также наличие политики обработки персональных данных, внутреннего контроля и регулярного аудита.
Все действия с персональными данными должны фиксироваться и быть доступны для проверки оператором. При передаче данных в зарубежные облака требуется соблюдение требований ст. 18.1 Федерального закона №152-ФЗ, включая уведомление Роскомнадзора и соблюдение норм международной передачи данных.
Облако должно использовать протоколы шифрования, поддерживать контроль целостности данных и предоставлять возможности ограничения доступа по ролям. Рекомендуется внедрение двухфакторной аутентификации и автоматического мониторинга аномальной активности.
Обработка персональных данных внутри группы компаний РЖД
Внутри группы компаний РЖД обработка персональных данных осуществляется в рамках единой информационной политики с учётом требований Федерального закона № 152-ФЗ «О персональных данных». Оператор может поручить обработку данных дочерним и зависимым организациям при условии соблюдения нескольких обязательных правил.
- Передача данных возможна только при наличии письменного договора, где закреплены права и обязанности сторон, а также ответственность за соблюдение мер защиты.
- Обработка должна ограничиваться целями, для которых данные собираются, включая кадровый учёт, расчёт зарплаты, оформление командировок и контроль доступа в корпоративные системы.
- Не допускается передача данных третьим лицам без отдельного согласия субъекта данных или на основании иных законных оснований.
- Все компании группы обязаны использовать защищённые каналы передачи данных, шифрование и многоуровневую систему контроля доступа.
Рекомендации для организации обработки:
- Определить внутреннего ответственного за защиту персональных данных в каждой компании группы.
- Проводить регулярные проверки и аудит соблюдения процедур обработки и хранения данных.
- Обеспечить ведение реестра всех обработок персональных данных с указанием целей, категорий данных и сроков хранения.
- Ограничить доступ к персональным данным только сотрудникам, которым информация необходима для выполнения служебных обязанностей.
- Разработать инструкции по инцидентам безопасности и процедуру уведомления в случае утечки данных.
Соблюдение этих мер позволяет группе компаний РЖД централизованно управлять персональными данными и минимизировать риски нарушения законодательства.
Контроль соблюдения требований законодательства у привлечённых обработчиков
Оператор РЖД обязан проводить проверку соответствия обработчиков персональных данных требованиям Федерального закона № 152‑ФЗ. Основные меры включают аудит безопасности, проверку процедур хранения и передачи данных, а также оценку квалификации сотрудников обработчика.
Договор с обработчиком должен предусматривать право оператора на регулярные инспекции и отчётность по обработке данных. Рекомендуется фиксировать результаты проверок в письменной форме, включая выявленные нарушения и сроки их устранения.
Необходимо контролировать внедрение обработчиком технических и организационных мер защиты, например: шифрование данных при передаче, разграничение прав доступа, ведение журналов действий с персональными данными, резервное копирование и план восстановления после инцидентов.
Оператор должен устанавливать график мониторинга: минимум раз в год проводится комплексная проверка, дополнительно – выборочные проверки при изменении объёмов или видов обрабатываемых данных.
При выявлении несоответствий оператор обязан направлять обработчику требования по их устранению и фиксировать контрольные сроки. В случае системных нарушений договор с обработчиком подлежит пересмотру или расторжению.
Для минимизации рисков рекомендуется вести реестр всех привлечённых обработчиков с указанием видов данных, объёмов обработки, используемых мер защиты и результатов проверок.
Все действия по контролю должны документироваться: внутренние инструкции, протоколы проверок и отчёты об устранении нарушений являются доказательной базой в случае проверок Роскомнадзора.
Документирование и проверка операций с персональными данными подрядчиков
Оператор РЖД обязан фиксировать все операции с персональными данными, выполняемые подрядчиками, чтобы обеспечивать контроль за соблюдением требований закона о персональных данных.
Основные требования к документированию:
- Заключение письменного договора или соглашения о передаче и обработке персональных данных с указанием объема, целей и сроков обработки.
- Ведение реестра операций с персональными данными, включающего сведения о типах данных, целях обработки, сроках хранения и основаниях передачи.
- Фиксация фактов передачи данных, включая дату, способ передачи, лицо, передающее и получающее данные.
- Регулярное обновление документации при изменении условий обработки или состава данных.
Проверка операций с персональными данными подрядчиков включает:
- Аудит соответствия обработке данных условиям договора и требованиям законодательства.
- Контроль мер информационной безопасности, включая шифрование, ограничение доступа и ведение журналов активности.
- Периодическую проверку субподрядчиков, если данные передаются третьим лицам.
- Анализ отчетов о происшествиях и инцидентах с персональными данными, выявление причин и устранение нарушений.
- Формирование актов проверки с указанием выявленных несоответствий и принятых мер.
Документирование и проверка должны проводиться регулярно, не реже одного раза в год, а при существенных изменениях в процессах обработки – незамедлительно. Все документы необходимо хранить в течение не менее пяти лет для возможности подтверждения правомерности обработки.
Вопрос-ответ:
Кто может стать исполнителем обработки персональных данных для РЖД?
Исполнителем обработки персональных данных может быть организация или физическое лицо, имеющее возможность соблюдать требования законодательства о защите информации. Это могут быть подрядчики, которые выполняют услуги по технической поддержке, хранению или анализу данных, но при этом обязаны использовать информацию только в рамках договора и инструкций оператора.
Какие условия должен соблюдать исполнитель данных для работы с персональными данными?
Исполнитель обязан обеспечить конфиденциальность, защиту информации от несанкционированного доступа и использовать данные исключительно для целей, указанных в договоре. Он также должен применять технические и организационные меры защиты информации, вести учет действий с данными и иметь возможность подтвердить соблюдение требований закона в случае проверки.
Можно ли поручить обработку персональных данных иностранной компании?
Да, это возможно, но только при соблюдении российских норм о передаче данных за пределы страны. РЖД должна убедиться, что иностранный исполнитель применяет меры защиты информации, соответствующие российскому законодательству, и существует договор, ограничивающий использование данных строго в указанных целях.
Какая ответственность лежит на РЖД при передаче персональных данных третьим лицам?
РЖД сохраняет ответственность за соблюдение требований закона о персональных данных даже при передаче информации исполнителю. Это значит, что оператор должен проверить квалификацию и меры защиты у исполнителя, заключить договор с условиями обработки данных и контролировать действия сторон, чтобы предотвратить нарушения прав граждан.
Как можно убедиться, что подрядчик правильно обрабатывает персональные данные?
Контроль может осуществляться через аудит, запросы отчётов о действиях с данными и требования соблюдения политики безопасности. Договор с исполнителем должен предусматривать регулярное подтверждение соответствия требованиям законодательства, а также санкции за нарушение условий обработки, чтобы защитить права субъектов данных и уменьшить риски утечки или несанкционированного использования.
Загрузка...
