Персональные данные, Москва

Трансграничный обмен. Комплекс связанных вопросов - пошаговый развернутый ответ экспертов.
Компания организует различного рода выездные мероприятия, на которые приглашаются как внешние специалисты (не являющиеся сотрудниками компании), так и собственные сотрудники. Привлеченные внешние специалисты высылают компании по электронной почте, а компания далее пересылает файлы, содержащие ПДн (в т.ч. паспортные данные) внешним компаниям-подрядчикам для бронирования билетов и/или гостиниц для своих сотрудников и внешних специалистов. Таким образом, по сути система хранит ПДн. Является ли такая система ИСПДн? Что необходимо предпринять компании?
Здесь есть несколько важных моментов. Во-первых, необходимо уяснить в каких отношениях находится внешний специалист и компания, есть ли у них какие-либо договорные отношения.
Если внешний специалист привлекается на договорной основе, то есть компания связана некими обязательствами и должна в силу этих обязательств вывести его куда-то, организовать ему проживание и пр., то данный случай можно подвести под п.2 части 2 статьи 6 ФЗ-152 («обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных») и, таким образом, никакого согласия не требуется (формально оно уже дано в момент заключения такого договора). То, что субъект сам пересылает свои ПДн по E-mail, это его дело. В этом случае он является субъектом ПДн, а не оператором и на него требования закона в части защиты в канале связи информации, как ни странно, формально не распространяются. У него есть альтернатива: либо самому руками принести в компанию свои данные, либо передать по электронной почте. Главное в этом случае, что бы четко была обозначена такая альтернатива....