Так кто же несёт ответственность за то, что в СЭД, не аттестованную для работы с персональными данными, попали документы с ними?

Я спорила об этом с владельцем и оператором СЭД, в которой работали более 3000 юридических лиц. Оба были уверены: «Это ответственность исключительно того юрлица, которое пихает в систему ПДн». Я доказывала: нет, это ответственность владельца и оператора системы.

Ответственность владельца и оператора ИС в такой ситуации вытекает из совокупности правовых и практических факторов, даже если сама СЭД формально не квалифицируется как ИСПДн (информационная система персональных данных).

👉Факт обработки ПДн. Если в систему загружаются и обрабатываются перс данные (сбор, хранение, передача), возникает объект регулирования ФЗ № 152-ФЗ «О персональных данных». Закон смотрит не на название системы, а на суть процесса. Тот, кто организует и осуществляет такую обработку, по определению закона становится оператором. Владелец инфраструктуры (например, заказчик, который предоставил и поддерживает СЭД) и оператор (лицо, управляющее её эксплуатацией) фактически организуют этот процесс: они обеспечивают среду, куда данные попадают, и контролируют доступ. Значит, на них ложится обязанность обеспечить законность всей цепочки, даже если система изначально проектировалась для общего документооборота, а не для ПДн.

👉Определение целей и состава данных. Оператор и владелец определяют, какие именно перс данные и в каком объёме будут передаваться через СЭД участниками. Именно это — ключевой критерий оператора по 152-ФЗ: лицо, которое определяет цели обработки и состав данных. Даже если данные загружают сотрудники подключённых юрлиц, владелец и оператор задают «правила игры»: какие поля в формах допустимы, какие данные разрешены к передаче, какие есть ограничения. Таким образом, они не просто пассивно предоставляют «трубу», а активно формируют контекст обработки.

👉Контроль и меры безопасности. Владелец и оператор несут ответственность за то, чтобы в системе были реализованы адекватные меры защиты: разграничение прав доступа, аудит действий, шифрование при передаче, резервное копирование с защитой. Если участники системы (юрлица) загружают ПДн, а в СЭД нет необходимых механизмов, чтобы ограничить доступ к этим данным только авторизованным пользователям внутри контура или предотвратить утечку, ответственность за последствия (неправомерный доступ, распространение) ложится на тех, кто не обеспечил должный уровень защиты.

👉Договорная и орг ответственность. В соглашениях между владельцем/оператором и участниками СЭД обычно закрепляются зоны ответственности. Часто прямо прописывается, что оператор обеспечивает безопасность среды, а участники несут ответственность за корректность и законность самих загружаемых данных. Однако это не снимает с владельца и оператора обязанности контролировать, чтобы сама среда не создавала рисков (например, не позволяла случайно раскрыть данные широкому кругу лиц). Если в договоре или внутренних регламентах не прописаны чёткие механизмы контроля, а риски реализуются, это становится основанием для претензий.

👉Последствия для субъекта данных. В конечном счёте ответственность определяется через защиту прав субъекта ПДн. Если из-за особенностей работы СЭД данные, загруженные участником, стали доступны третьим лицам или были использованы не по назначению, пострадавший будет обращаться к тому, кто организовал среду обработки — к владельцу и оператору.

Таким образом, даже при отсутствии у СЭД статуса ИСПДн факт организации обработки перс данных, определение целей и состава, а также обеспечение безопасности среды порождают у владельца системы и её оператора комплекс обязанностей по 152-ФЗ.

Их ответственность — не в том, что данные попали в систему (это делает участник), а в том, как организована сама возможность такой обработки и насколько минимизированы риски для субъекта данных.

О том, что с этим делать - в предшествующем посте.