Основная боль: когда все всем передают, а кто оператор?
Снаружи — типовой запрос на соответствие. А внутри:
- Заказчики,
- Грузоотправители,
- Грузополучатели,
- Перевозчики,
- Экспедиторы,
- И аффилированные компании (в рамках аудита речь шла об одной аффилированной компании), между которыми тоже идет активный обмен данными.
Разобраться, кто именно и где является оператором персональных данных, а где — лицом, обрабатывающим ПДн по поручению оператора (внутри команды мы таких участников обычно называем обработчиками по поручению), было непросто.
На практике это означало, что:
— нет юридически выстроенных механизмов передачи данных между аффилированными лицами,
— нет описанных процессов обработки ПДн,
— нет понимания, какие ИС участвуют в обработке, и кто за них отвечает.
А значит есть высокие риски при любой жалобе или проверке.