Вопрос: Персональные данные третьих лиц

Лучший ответ: В новой версии Закона о персональных данных (от июля 2011 года) если лицо «А» (не важно юридическое или физическое) поручает Вам обработку персональных данных лица «Б», то именно лицо «А» ответственно за то, что оно имеет разрешение от лица «Б» на передачу его данных Вам.

Вы при этом являетесь «обработчиком ПДн», а лицо «А» — «оператором ПДн». 

Части 3, 4, 5 статьи 6-ой (новой редакции):

3. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее — поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона.
4. Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.
5. В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором.

Худший ответ: Как быть с данным вопросом с юридической точки зрения? Есть ли способ каким-то образом сделать такой сервис белым и пушистым для Регулятора?

Нет.

Пункт 2 части 1 статьи 6 ФЗ «О персональных данных» допускает обработку персональных данных лица без его согласия в целях, предусмотренных законами. Одним из таких законов является ФЗ «О почтовой связи». Во второй статье этого закона определено понятие адресных данных пользователей услуг почтовой связи (ФИО, почтовый адрес), а в статье 21 закреплено, что в случае неточности или неполноты адресных данных почтовое отправление возвращается отправителю. Т. е. суть почтовой связи, определенная в ФЗ «О почтовой связи», требует обработки персональных данных получателей почтовых отправлений, причем такая обработка, будучи регламентированной на уровне федерального закона, не требует согласия получателя в соответствии с вышеуказанным положением ФЗ «О персональных данных» (то же, кстати, касается и персональных данных отправителя почтового отправления).

Однако деятельность по оказанию услуг почтовой связи, как и связи в целом, является лицензируемой (пункт 36 части 1 статьи 12 ФЗ «О лицензировании отдельных видов деятельности»). Ваш проект не удовлетворяет критериям деятельности в области почтовой связи, поскольку не предусматривает создание единого производственно-технологического комплекса средств, обеспечивающего передачу почтовых отправлений (см. определение почтовой связи в статье 2 ФЗ «О почтовой связи»). А значит «индульгенция» на обработку персональных данных из ФЗ «О почтовой связи» на Вас распространяться не будет.

А значит никак :-)