РКН - совместные операторы.pdf
Совместные операторы персональных данных по 152-ФЗ.
В чате к данному каналу (нужно вступить, что бы просмотреть историю) разгорелась дискуссия о том, существуют ли совместные операторы персональных данных по 152-ФЗ. Теория совместных операторов персональных данных, например, описана в Европейском праве (art. 26 GDPR). Эксперты часто продолжали эту логику в российское право, основываясь на упоминании "совместно с другими" в определении оператора в 152-ФЗ.
Были участники дискуссии по обе стороны баррикад. Подписчик канала и участник чата обратился в Роскомнадзор за разъяснением (спасибо, Павел).
Роскомнадзор указывает в своем ответе и даже выделяет жирным, что в понятии "оператор" указано лицо в единственном числе. Соответственно не может быть совместных операторов (2 и более лиц), которые выступают как единый оператор персональных данных.
Я также считаю, что по 152-ФЗ нет совместных операторов, а отсылка к совместности относится только к признаку оператора. Т.е. если компания с кем-то организовала обработку персональных данных (там еще есть продолжение, здесь не суть), то это формальный признак того, что эта компания является оператором персональных данных.
Так как Роскомнадзор прямо спросили про уведомление, то он дополняет ответ отсылкой к уведомлению, где всегда указывается одно лицо. Могу дополнить, что закон много где оперирует оператором, как одним лицом.
"Совместное операторство" можно использовать в обиходе, но деюре всегда нужно решить когда компания оператор, а когда занимает позицию "обработчика", отражать эту логику в документах.
Если в вашей компании комплаенс построен вокруг "совместного операторства", приложенное письмо - триггер обратить на это внимание.
Судебной практики по совместным операторам по 152-ФЗ нет, пост отражает позицию автора и УРКН по ЦФО. Если не согласны, можно написать в комментариях.
_________
Вопрос заданный Роскомнадзору:
Согласно пп.2.) ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ О персональных данных: Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
В связи с этим прошу предоставить разъяснения по следующему вопросу: Может ли являться (признаваться) Оператором ( одним (единым) Оператором исходя из формулировки закона) сразу несколько лиц (разных юридических лиц).
В случае если по мнению Роскомнадзора Оператором ( одним (единым) оператором исходя из формулировки закона) может признаваться сразу несколько лиц, то как тогда осуществляется уведомление Роскомнадзора в порядке части 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ О персональных данных, так как на настоящий момент времени, при исполнении части 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ О персональных данных невозможно предоставить в Роскомнадзор сведения об Операторе, состоящих из несколько разных лиц (юридических лиц).
В чате к данному каналу (нужно вступить, что бы просмотреть историю) разгорелась дискуссия о том, существуют ли совместные операторы персональных данных по 152-ФЗ. Теория совместных операторов персональных данных, например, описана в Европейском праве (art. 26 GDPR). Эксперты часто продолжали эту логику в российское право, основываясь на упоминании "совместно с другими" в определении оператора в 152-ФЗ.
Были участники дискуссии по обе стороны баррикад. Подписчик канала и участник чата обратился в Роскомнадзор за разъяснением (спасибо, Павел).
Роскомнадзор указывает в своем ответе и даже выделяет жирным, что в понятии "оператор" указано лицо в единственном числе. Соответственно не может быть совместных операторов (2 и более лиц), которые выступают как единый оператор персональных данных.
Я также считаю, что по 152-ФЗ нет совместных операторов, а отсылка к совместности относится только к признаку оператора. Т.е. если компания с кем-то организовала обработку персональных данных (там еще есть продолжение, здесь не суть), то это формальный признак того, что эта компания является оператором персональных данных.
Так как Роскомнадзор прямо спросили про уведомление, то он дополняет ответ отсылкой к уведомлению, где всегда указывается одно лицо. Могу дополнить, что закон много где оперирует оператором, как одним лицом.
"Совместное операторство" можно использовать в обиходе, но деюре всегда нужно решить когда компания оператор, а когда занимает позицию "обработчика", отражать эту логику в документах.
Если в вашей компании комплаенс построен вокруг "совместного операторства", приложенное письмо - триггер обратить на это внимание.
Судебной практики по совместным операторам по 152-ФЗ нет, пост отражает позицию автора и УРКН по ЦФО. Если не согласны, можно написать в комментариях.
_________
Вопрос заданный Роскомнадзору:
Согласно пп.2.) ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ О персональных данных: Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
В связи с этим прошу предоставить разъяснения по следующему вопросу: Может ли являться (признаваться) Оператором ( одним (единым) Оператором исходя из формулировки закона) сразу несколько лиц (разных юридических лиц).
В случае если по мнению Роскомнадзора Оператором ( одним (единым) оператором исходя из формулировки закона) может признаваться сразу несколько лиц, то как тогда осуществляется уведомление Роскомнадзора в порядке части 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ О персональных данных, так как на настоящий момент времени, при исполнении части 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ О персональных данных невозможно предоставить в Роскомнадзор сведения об Операторе, состоящих из несколько разных лиц (юридических лиц).