Как оформить обработку, если у нескольких компаний один сайт и общий сервер
Общий сервер сам по себе не запрещён; проблема источника – фактическое владение данными другой компанией без оформления её роли в обработке.
Короткий ответ
Нужно определить, кто получает данные с каждой формы, кто имеет к ним доступ и на каком основании. Размещение отдельных политик для каждой компании не решает проблему, если все сведения фактически доступны владельцу общего сервера, а его участие в обработке не оформлено.
В разборе от 21 ноября 2023 года описаны три оператора на одном сайте. Проблема состоит не в самом количестве компаний на сервере, а в том, что данные оказались во владении другого ООО без поручения обработки.
Если компания обслуживает инфраструктуру и работает с данными по заданию оператора, нужно рассмотреть условия части 3 статьи 6 закона № 152-ФЗ. В поручении определяют необходимые действия, состав данных, цели и обязанности по защите. Названия договора «хостинг» или «поддержка сайта» недостаточно, если фактические действия в нём не описаны.
Если же владелец сервера использует сведения для собственных задач, эту деятельность нельзя скрыть за техническим поручением. Тогда отдельно оцениваются его роль и основание получения данных.
Например, заявка на обучение может адресоваться одной компании, а заказ другого товара – другой. Нужно понять, разделены ли базы и права сотрудников, получает ли серверная компания обе заявки и что она с ними делает. Политика на соответствующей странице должна согласовываться с этой реальностью.
Статья 19 закона № 152-ФЗ требует обеспечить безопасность обработки. Поэтому договоры нужно сопоставить с техническим доступом: отдельными учётными записями, полномочиями, резервными копиями и порядком удаления.
Общий сервер использовать можно при подходящей правовой и технической организации. Первая задача – сделать видимыми реальные потоки данных, затем оформить соответствующие роли и ограничить доступ, а не просто добавить ещё один текст политики.
Если нужно применить ответ к Вашей ситуации или документам, Заказать подготовку комплекта документов: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Кто отвечает за нарушения при совместной обработке данных в группе компаний?
- Как оформить конфиденциальность при обмене данными между самостоятельными операторами?
- Заменяет ли один холдинг оформление передачи кадровых данных между компаниями?
- Нужны ли в согласии работника реквизиты договора с бухгалтерским аутсорсером?
- Может ли зарплатный аутсорсер быть обработчиком и оператором одновременно?
