Собственные и сторонние ИСПДн. Разбираемся в основных понятиях

Часть 2.

Раскроем подробно понятия собственные и сторонние ИСПДн, так как именно здесь чаще всего возникают трудности в понимании.

Хотя законодательством не установлено чёткое разделение на собственные и сторонние ИСПДн, такая классификация является условной и применяется в практике для удобства работы с этими системами.

Зачем нужно разграничение на ИСПДн собственные и сторонние

В отношении собственных ИСПДн оператор обязан реализовать организационные и технические меры для обеспечения защиты информации и безопасности ПДн.

При направлении уведомления в Роскомнадзор оператору необходимо включить сведения о местонахождении всех используемых баз ПДн, а также указать, кто именно обеспечивает технические средства для их хранения. Поэтому требуется подготовка — для сторонних ИСПДн следует выяснить местоположение ЦОД и ответственного за хранение данных (лицо, предоставляющее соответствующие технические ресурсы).

Разграничение необходимо для корректного отражения информации в локальных актах, касающихся обработки ПДн. Описание собственных ИСПДн будет шире по сравнению с внешними. В отношении собственных систем будут разработаны отдельные нормативные документы с целью внедрения организационных и технических мер. Сторонние ИСПДн будут фигурировать в локальных документах при описании осуществляемых с их использованием процессов обработки ПДн, а также при разграничении доступа к ПДн

В таблице ниже показаны признаки, по которым можно определить, собственная ИСПДн или сторонняя. Не обязательно, чтобы все перечисленные признаки присутствовали одновременно. Для точного определения иногда достаточно одного или двух, чтобы понять, что это за ИСПДн. Здесь мы приводим возможные признаки, по которым можно сориентироваться.

Но, в контексте договорных отношений между оператором и третьим лицом возможно разделение ответственности. Рассмотрев договор с третьей стороной, можно определить, кому принадлежит система.

Например, сайт в сети Интернет, где ЦОД не принадлежит оператору. Однако фактически оператор принимает решение о том, будет ли сайт обрабатывать ПДн, включая сбор, распространение ПДн, использование метрики и т. д. В данном контексте присутствует сторонняя ИСПДн, но функциональные возможности оператора шире. Именно оператор решает, будет ли сайт использоваться как ИСПДн или просто как информационная система, где ПДн не обрабатываются.

Таким образом, здесь может быть два варианта – ИСПДн рассматривается как внутренняя система оператора и как сторонняя система. Этот вопрос может быть урегулирован с владельцем ЦОДа в рамках соответствующего соглашения.

Примеры сторонних ИСПДн

Системы туроператоров, данные в которые вносит турагент: для туроператора ИСПДн – собственная, для турагента – сторонняя.

Системы онлайн-банка, используемые для начисления зарплаты работникам: работодатель, имея удалённый доступ к системе, передаёт посредством её ПДн сотрудников для начисления зарплаты, после чего уже банк обрабатывает данные. Для банка – собственная ИСПДн, для работодателя – сторонняя.

Системы платёжных агентов ЖКХ: оператор получает удалённый доступ к части ИСПДн расчётного центра, вносит определённые данные, а расчётный центр использует их для формирования начислений и квитанций на оплату.

Понимание этих различий играет важную роль в обеспечении эффективного управления информацией с соблюдением законодательства и минимизацией потенциальных рисков. Такая классификация упрощает процесс формирования уведомлений для Роскомнадзора и разработки внутренних документов. Представленные признаки помогут операторам быстро определить принадлежность к собственным или сторонним ИСПДн, что является важным элементом эффективного риск-менеджмента.