ВС: оператор обязан контролировать защиту персданных

Что произошло

Верховный суд не принял довод о том, что за утечку должен отвечать только технический подрядчик. Для оператора это напоминание: передачу обработки можно поручить, но собственные обязанности по организации и контролю никуда не исчезают.

Почему это важно

По теме: Как проверить сайт и процессы на соответствие 152-ФЗ · Как проверить, какие персональные данные фактически собирает сайт?.

Запросите у обработчика не только заверение о безопасности, но и сведения о доступах, регистрации инцидентов и проверках защиты. По ним оператор сможет оценить исполнение поручения.

При смене подрядчика составьте перечень передаваемых баз, сотрудников с доступом и резервных копий. Затем согласуйте, как подтверждается удаление лишних экземпляров и кому сообщают о подозрительной активности. Отчёт обработчика должен позволять проверить конкретную систему и период. Общее письмо «всё защищено» не помогает оператору понять, какие меры действительно приняты и что изменилось после инцидента, особенно если обработку ведут несколько компаний.