Является ли оператор SaaS оператором персональных данных?

Question

[Алексей]

Собственно, сабж.

Почему снова и снова этот вопрос? Потому что внятного ответа на просторах интернета до сих пор так и не нашёл. Много текста, рассуждения бывалых и не очень юристов, и прочих с ними. В итоге - абсолютно противоположные выводы. Вот допустим, я - владелец SaaS-сервиса. Мои сервера (VDS) - у российского хостера. В моей SaaS-системе работают компании, которые обрабатывают в ней ПДн своих клиентов. Я в свою очередь обеспечиваю бесперебойную работу сервиса, защищая трафик с помощью SSL-шифрования. Являюсь ли я оператором ПДн?

Answer 1

[Алексей Андреев]

Да, вы в данном случае являетесь оператором персональных данных так как совершаете несколько действий из определения-
Обработка персональных данных — совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Comments

[Алексей]

Но я не совершаю действий, которые вы описали! Их совершает мой клиент, который работает в системе. А я - лишь поддерживаю её техническое состояние и развитие. Если следовать вашей логике, то лизинговую компанию, сдавшую автобус в лизинг автоперевозчику, можно назвать автоперевозчиком и потребовать с неё лицензию, ну и всё, что требуется от автоперевозчика! Это же абсурд!

[Алексей]

Алексей Андреев Ну и туда же: значит, провайдер, который даёт мне сервера и ПО, установленное на них, в аренду, чтобы я мог установить на них свой сервис, тоже является оператором ПД? Ну и прицепом - средством массовой информации, иноагентом, да и ещё бог знает кем - у него на серверах много всякого народу крутят свои сервисы. А провайдер всю их инфу хранит у себя на серверах!
Мне хотелось бы какого-то внятного объяснения, на законных основаниях, которое позволит апеллировать к нему в случае предъявления претензий. Ну и примеры, если кто-то их имеет.
Но в любом случае - спасибо за ваш отзыв!

[Алексей Андреев]

Алексей, У перевозчика договор с клиентом заключает организация занимающаяся не производством, а предоставляющая услуги перевозки, производитель, а так же продавец не заключает договора на услуги перевозки.

В вашем случае есть три лица учавствующих в доворе клиет/сотрудник вашего клиента(предоставляет свои ПД), ваш клиент и вы.
Ваш клиент является агентом, он распространяет ваши услуги, не важно, что конечный клиент этого не знает.
Что прописано у вас в договоре оферте на сайте?
Вы и ваш клиент в описываемой вами схеме являетесь операторами ПД.

[Алексей Андреев]

Алексей, довора в вашем случае могут быть
1. между клиентом вашего клиента и вашим клиентом, тогда в договоре должно быть прописано, что данные будут переданы третьему лицу.
2. Трехсторонний, тогда прописываются все участники.

[Алексей]

Алексей Андреев,
Дело в том, что я (как SaaS сервис), не заключаю никаких договоров с клиентами моих клиентов, т.е. с частными лицами, ПД которых хранит мой клиент. Если я не ошибаюсь, сама схема использования SaaS не требует законодательно заключать трёхсторонний договор. И таким образом, я не вижу причин как-то связывать себя обязательствами по обработке ПД.
Более того, в договоре оферты, который заключается между SaaS сервисом и клиентом (его статус как обработчика ПД сомнений не вызывает) есть отдельный пункт, в котором написано:
Исполнитель не является оператором персональных данных. Исполнитель предоставляет Заказчику программное обеспечение Сервиса как инструмент для обработки персональных данных клиентов Заказчика и не берёт на себя никаких обязательств по самостоятельной обработке персональных данных, которые Заказчик собирает, хранит и обрабатывает с помощью Сервиса.

В вашем случае есть три лица учавствующих в доворе клиет/сотрудник вашего клиента(предоставляет свои ПД), ваш клиент и вы.
Ваш клиент является агентом, он распространяет ваши услуги, не важно, что конечный клиент этого не знает.
Что прописано у вас в договоре оферте на сайте?
Вы и ваш клиент в описываемой вами схеме являетесь операторами ПД.

Это какая-то другая схема, не моя. У меня нет агентов, распространяющих мои услуги, т.к. мои услуги - это предоставление программного комплекса для обеспечения бизнеса моего клиента. Мой клиент не распространяет мой комплекс (сервис), и не даёт его конечному лицу в пользование.

[Алексей Андреев]

Алексей, термин saas не прописан в законе, а вот агентские отношения коим и является saas, прописаны.

Ваш клиент продает ваши услуги от своего имени, не более.

[Алексей]

Алексей Андреев, Постойте, мы с вами, кажется заплутали))
Ещё раз, с самого начала. Я предлагаю сервис в секторе b2b. Сервис - это просто программное обеспечение, на котором работает мой клиент. Я отвечаю только за то, чтобы этот сервис работал в режиме 24/7, и обеспечивал весь заявленный функционал.
ВСЁ! НИКАКИХ агентских функций по распространению моего сервиса я на своих клиентов не возлагаю. Мои услуги - это техническая поддержка работы сервиса, и мой клиент не продаёт мои услуги своим клиентам. Он продаёт им товары, не имеющие к моему сервису ровно никакого отношения. И по ходу он собирает со своих клиентов ПД.

Вообще, здесь, как у нас это обычно бывает в законодательстве, явная недоработка. Вот например, провайдер, о котором я упомянул. Я специально задавал вопрос своему провайдеру: Если я на своём сайте буду хранить ПД своих посетителей, вы как провайдер будете являться оператором ПД? Они мне ответили - однозначно нет! Но если обратиться к закону, к тому пункту, который вы привели, то всё не так однозначно. Ведь данные фактически храню не я, а провайдер, на серверах, которые принадлежат ему, и к которым он имеет прямой доступ. К тому же он выполняет ежедневное резервное копирование всего, что есть на сайте, перенося это в резервные хранилища. Но я никогда не видел на чьём-либо интернет-ресурсе, где я оставляю свои персональные данные, трёхстороннего договора, где одной из сторон был бы провайдер, у которого он "хостится". Или двустороннего договора, где бы ресурс говорил мне, что он передаёт мои персональные данные для обработки третьему лицу, под которым подразумевается именно провайдер.
Т.е. есть сайт продавца зимних шапочек, который собирает с покупателей их ПД, и есть провайдер, который обеспечивает техническую сторону, и в целом очевидно, что провайдер не является оператором ПД. А это значит, что есть граница, на которой закон о ПД перестаёт действовать для провайдера. Так вот где она, эта граница?

[Алексей Андреев]

Короче, раз, вы ничего не делаете, то и не переживайте.

[Алексей Андреев]

Давайте такую формулировку вам дам - если вы можете не нарушая законы произвести любую из операций описаных в определении обработки ПД с персональными даными хранящимися в вашей системе, то вы являетесь оператором ПД. Имеется в виду именно записи, а не файлы бд, накопители и сервера.

[Алексей]

Это не подходит. Я уже говорил выше: провайдер, у которого я арендую серверы и программное обеспечение, может сделать, не нарушая договор, многое из того, что описано в законе. У него прямой доступ к данным есть. И более того, он делает это постоянно, например, когда переносит данные в резервное хранилище. И его сисадмин может в любое время достать из БД любую запись ПД, о конкретном человеке. Он же от этого не становится оператором ПД! "Может" в данном контексте не равно "Делает", потому что эти действия не входят в условия договора, который провайдер заключает со мной, как с арендатором.

А что касается

Имеется в виду именно записи, а не файлы бд, накопители и сервера.

то мне неясно, какое это имеет значение. Одна запись с персональными данными человека - это ПД, несколько записей, перенесённые в файл - это тоже ПД, несколько таких файлов, сброшенных на резервный сервер в виде zip-архива - и это тоже ПД. Способ их хранения в законе никак не оговорен, а потому значения не имеет.
И к тому же для моего сервиса ПД - это всего лишь требование к функционалу, который предназначен для решения задачи обработки ПД. Возвращаясь к вышесказанному: компания, производящая автобусы для перевозки пассажиров, не становится перевозчиком пассажиров только потому, что смысл её работы - создать средство (оборудование), обеспечивающее удобную и безопасную перевозку пассажиров.
Мы с вами можем долго дискутировать, но мне не это нужно. Я хочу узнать, есть ли в законе о ПД такое место, которое конкретно в моём случае проводит чёткую границу между мной и моим клиентом, и между провайдером и мной, в вопросе обработки ПД. Ваши доводы мне пока в этом не помогли, к сожалению. Но тем не менее - спасибо за желание найти истину))