В практике обслуживания информационных систем 1С часто возникает ситуация, когда специалисту необходимо забрать копию клиентской базы на свой сервер. Причины могут быть разными: от банального удобства при разработке и тестировании обновлений до обеспечения дополнительного резервного копирования на случай пожара или атаки шифровальщика на стороне клиента. Однако за такой технической простотой скрывается серьезный пласт юридической ответственности. Разберем детально, как сделать этот процесс легальным и безопасным для обеих сторон.
Проанализируем базовое законодательство. Согласно Федеральному закону № 152-ФЗ «О персональных данных», любая база 1С (особенно ЗУП или Бухгалтерия) содержит персональные данные (ПД). В этой цепочке клиент выступает в роли Оператора персональных данных, так как именно он собирает данные своих сотрудников и контрагентов. Вы же, как обслуживающая организация или частный специалист, становитесь лицом, осуществляющим обработку персональных данных по поручению оператора.
Важно понимать: закон не запрещает передачу базы, но он строго регламентирует условия этой передачи. Если вы просто «забрали флешку» или скачали архив по FTP без бумажного сопровождения, вы нарушаете закон в момент копирования первого же байта данных.
Выясним, какие документы должны лежать у вас в папке с договором, чтобы проверка Роскомнадзора не стала фатальной. Обычного договора на «ИТ-обслуживание» недостаточно. Рассмотрим структуру обязательного дополнения к договору:
Рассмотрим ситуацию с сотрудниками клиента. Помните, что клиент (как работодатель) обязан иметь письменные согласия от каждого своего сотрудника на передачу их ПД третьим лицам. Проанализируем риски: если в типовом согласии сотрудника клиента не указано, что данные могут передаваться «в ИТ-компании для целей технической поддержки», то передача базы вам будет незаконной со стороны клиента, а вы станете невольным соучастником этого нарушения.
Помимо персональных данных, база содержит коммерческую информацию: цены, закупки, списки поставщиков, обороты. Многие полагают, что подписание простого NDA (соглашения о неразглашении) решает все проблемы. Однако это заблуждение.
Чтобы NDA имело реальную юридическую силу в суде, у самого клиента должен быть введен Режим коммерческой тайны. Это означает наличие внутреннего положения, перечня сведений, составляющих тайну, и соответствующей маркировки. Если клиент сам не защищает свою информацию как тайную, вам будет крайне сложно нести за нее ответственность именно в рамках коммерческого права. Тем не менее, пункт о неразглашении информации в договоре крайне важен для минимизации репутационных рисков.
Разберем самый безопасный способ работы с клиентскими базами — обезличивание (десенситизация). Если ваша задача — поправить ошибку в коде или протестировать обновление, вам не нужны реальные ФИО сотрудников и их паспортные данные. Рассмотрим алгоритм действий перед тем, как забрать базу:
Посмотрим на пример логики, которую можно реализовать в такой обработке:
// Пример упрощенной очистки ПД в справочнике ФизическиеЛица
Запрос = Новый Запрос("ВЫБРАТЬ Ссылка ИЗ Справочник.ФизическиеЛица");
Выборка = Запрос.Выполнить().Выбрать();
Пока Выборка.Следующий() Цикл
ОбъектФизЛицо = Выборка.Ссылка.ПолучитьОбъект();
ОбъектФизЛицо.Наименование = "Сотрудник №" + ТекущаяДата();
ОбъектФизЛицо.ДатаРождения = '19800101';
ОбъектФизЛицо.ИНН = "";
ОбъектФизЛицо.Записать();
КонецЦикла;
После проведения таких манипуляций база перестает содержать персональные данные в понимании закона, и большинство требований ФЗ-152 на нее перестают распространяться. Это «золотой стандарт» работы профессионального франчайзи.
Если вы всё же решили хранить реальные копии (например, для бэкапа), проанализируем необходимые меры защиты на вашей стороне. Недопустимо хранить базы клиентов на обычных рабочих станциях сотрудников или на незащищенных файлообменниках.
Мы должны обеспечить следующие условия:
Client_Alpha должен иметь доступ только тот программист, который ведет этот проект.Выясним, чем грозит легкомысленное отношение к этому вопросу. Ответственность делится на три уровня:
Резюме для работы: Никогда не забирайте базу «просто так». Всегда оформляйте Поручение на обработку ПД в составе договора, используйте акты приема-передачи для каждой копии и, по возможности, всегда прибегайте к обезличиванию данных. Помните, что ответственность за сохранность данных на вашем сервере полностью ложится на ваши плечи с момента начала копирования.