права доступа к отдельным клиентам

[Likefire]

Пожалуй, подниму тему наверх, поскольку есть проблема...
Значит, у нас есть пользователь, некий Иванов Ваня. Ему присвоена роль, по которой он может смотреть контакты только своего подразделения и в активных контактах у него не числится ни один контакт параллельного департамента (это правильно). Но к одному контакту потребовалось дать доступ. Для этого ответственный за контакт забрался в пункт меню "Предоставить доступ..." соответсвующего контакта и добавил Иванова Ваню в пользователи, пометив одну единственную галку "Чтение". После этого Ваня Иванов увидел в списке активных контактов тот контакт (о чудо!) и кроме того даже смог отредактировать поля этого контакта и успешно сохранить свои изменения (что пипец как неправильно). Собсна я щас пребываю в состоянии культурного шока: как такое может быть, если доступ открыт тока на чтение (я потом спецом открыл и перепроверил)?