Регистрация в Роскомнадзоре

Question

Здравствуйте. В этой статье : https://journal.tinkoff.ru/personalnye-dannye/ сказано что всем организациям, собирающим персональные данные, необходимо зарегистрироваться в Роскомнадзоре. У нас есть два сайта http://www.faetonexpo.ru/ https://www.delegator24.ru/ Кроме того Саша, мы собираем данные людей когда их нанимаем на работу, когда заключаем с ними договор как с клиентами. речь об этих данных, в том числе паспортных. Вопрос заключается в следующем - стоит ли это делать вообще и надо ли это нашей организации, а также можно ли это обойти? Заранее спасибо.

Роман Исаев · Answer

Здравствуйте, вы обязаны уведомлять роскомнадзор об обработке персональных данных, в принципе рано или поздно вам письмо от роскомнадзора придет, на их сайте есть инструкции по заполнению данных уведомлений.Если не сделаете — будет ответственность по ст.17.1. коап рф КоАП Статья 19.7. Непредставление сведений (информации) Непредставление или несвоевременное представление в государственный орган (должностному лицу), орган (должностному лицу), осуществляющий (осуществляющему) государственный контроль (надзор), муниципальный контроль, сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, либо представление в государственный орган (должностному лицу), орган (должностному лицу), осуществляющий (осуществляющему) государственный контроль (надзор), муниципальный контроль, таких сведений (информации) в неполном объеме или в искаженном виде, за исключением случаев, предусмотренных статьей 6.16, частью 2 статьи 6.31, частью 4 статьи 14.28, статьями 19.7.1, 19.7.2, 19.7.2-1, 19.7.3, 19.7.5, 19.7.5-1, 19.7.5-2, 19.7.7, 19.7.8, 19.7.9, 19.8, 19.8.3 настоящего Кодекса, — (в ред. Федеральных законов от 05.05.2014 N 119-ФЗ, от 05.05.2014 N 125-ФЗ, от 04.06.2014 N 142-ФЗ, от 24.11.2014 N 373-ФЗ) влечет предупреждение или наложение административного штрафа на граждан в размере от ста до трехсот рублей; на должностных лиц — от трехсот до пятисот рублей; на юридических лиц — от трех тысяч до пяти тысяч рублей.

Алексей Гущин · Answer

Здравствуйте, Татьяна. По общему правилу, установленному частью 1 ст. 22 Федерального закона от 27.08.2006 N 152-ФЗ (далее — Закон N 152-ФЗ), оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных. Соответствующим органом в настоящее время является Роскомнадзор (п. 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного постановлением Правительства РФ от 16.03.2009 N 228). Согласно ст. 3 Закона N 152-ФЗ под оператором персональных данных понимается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; а обработкой персональных данных является любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Каждый работодатель, в силу требований законодательства, в любом случае обязан собирать, хранить, передавать персональные данные, то есть вести их обработку. В связи с этим на практике он признается оператором персональных данных независимо от прочих обстоятельств (смотрите, например, постановление Четвертого арбитражного апелляционного суда от 01.10.2012 N 04АП-3907/12, решение Центрального районного суда г. Сочи от 02.03.2012 N 12-40/2012, решение Арбитражного суда Еврейской автономной области от 22.02.2012 N А16-1291/2011, решение Северодвинского городского суда Архангельской области от 26.02.2015 N 12-207/2015, решение Чкаловского районного суда г. Екатеринбурга Свердловской области от 26.03.2015 N 12-57/2015). Таким образом, требование части 1 ст. 22 Закона N 152-ФЗ распространяется в том числе и на работодателей. Вместе с тем частью 2 ст. 22 Закона N 152-ФЗ установлен перечень случаев, когда оператор персональных данных не обязан уведомлять Роскомнадзор об обработке персональных данных . Одним из таких случаев является обработка персональных данных в соответствии с трудовым законодательством (п. 1 ч. 2 ст. 22 Закона N 152-ФЗ). Необходимо обратить внимание, что из буквального толкования данной нормы следует, что ее действие распространяется не на все случаи обработки работодателем персональных данных работников, а лишь на те, которое предусмотрены трудовым законодательством (сравните с редакцией п. 1 ч. 2 ст. 22 Закона N 152-ФЗ, действовавшей до 30.06.2011). Иными словами, сам по себе факт наличия между субъектом персональных данных и оператором трудовых отношений не освобождает последнего от обязанности по уведомлению Роскомнадзора об обработке персональных данных. Необходимо, чтобы обработка таких данных была предусмотрена трудовым законодательством (постановление Ейского городского суда Краснодарского края от 22 мая 2013 г.). В связи с этим необходимо отметить, что п. 1 части первой ст. 86 ТК РФ предусматривает, что обработка персональных данных возможна, в частности, в целях обеспечения соблюдения законов и иных нормативных правовых актов. Обязанность работодателя по передаче персональных данных работников соответствующим военным комиссариатам для целей ведения воинского учета, Пенсионному фонду РФ для целей ведения индивидуального (персонифицированного) учета прямо предусмотрена действующим законодательством (пп. 3 п. 2 ст. 12 Федерального закона от 16.08.1999 N 165-ФЗ «Об основах обязательного социального страхования», п. 7 ст. 8 Федерального закона от 28.03.1998 N 53-ФЗ «О воинской обязанности и военной службе», п. 32 Положения о воинском учете, утвержденного постановлением Правительства РФ от 27.11.2006 N 719). Следовательно, такая передача персональных данных, по нашему мнению, не приводит к возникновению у работодателя обязанности по уведомлению Роскомнадзора об обработке персональных данных.

Дмитрий Васильев · Answer

Вопрос заключается в следующем — стоит ли это делать вообще и надо ли это нашей организации, а также можно ли это обойти? Татьяна Добрый день, Татьяна. Действительно в законе есть перечень исключений, когда уведомлять роскомнадзор не требуется: Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 22.02.2017) «О персональных данных» Статья 22. Уведомление об обработке персональных данных 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) обрабатываемых в соответствии с трудовым законодательством; 2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных; 3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных; 4) сделанных субъектом персональных данных общедоступными; 5) включающих в себя только фамилии, имена и отчества субъектов персональных данных; 6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях; 7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; 8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных; 9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства. Перечень не такой и маленький, однако я бы обратил Ваше внимание на другое, а именно на разъяснения роскомнадзора, где он пишет, что будет практически во всех случаях требовать наличие уведомления, поскольку любой сбор ПД предполагает, что ПД будут использоваться несколькими способами и как правило далеко не все они подпадают под исключение: Уведомление Роскомнадзора об обработке персональных данных Вопрос: Пришло письмо о том, что наша организация не представила уведомление о намерении осуществлять обработку персональных данных от Роскомнадзора. Согласно п.п. 2 п.2 ст.22 ФЗ от 27.07.06 № 152-ФЗ «О персональных данных»: 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных; т.е. наша организация не должна высылать уведомление? При приеме на работу и заключении трудового договора мы берем письменное согласие на обработку данных, при получении банковской карты берем согласие на представление информации третьим лицам. Достаточно ли этих документов? Ответ: Действительно, п.2 ст.22 Федерального закона от 27.07.06 № 152-ФЗ «О персональных данных» содержит ряд условий, при которых работодатель-оператор персональных данных может не подавать уведомление об обработке персональных данных в Роскомнадзор. С каждым отдельным случаем следует разбираться конкретно. Зачастую руководители поспешно относят деятельность своих организаций к исключениям, предусмотренным ст. 22 Закона. Детальный же анализ деятельности организаций практически всегда показывает иные виды работы с персональными данными. Например, ведение базы потенциальных или бывших клиентов с целью информирования о деятельности организации или ведение базы данных кадрового резерва организации, а также хранение сведений об уволенных в архивах. Если в компании обрабатываются лишь персональные данные работников в соответствии с трудовым законодательством, подавать уведомление не нужно. Однако, если предполагается передавать их персональные данные по программе добровольного медицинского страхования или для оформления зарплатной карты, уведомление отправлять обязательно, потому что эти отношения выходят за рамки трудового законодательства. В настоящий момент позиция регулятора (Роскомнадзор) такова — уведомление в Роскомнадзор необходимо подавать всем организациям, так как, во всех организациях ведется как минимум кадровый учет, в рамках которого, как правило, идет сбор данных не только о работнике, но и о его ближайших родственниках. Кроме того, проще подать уведомление и избавить себя от лишнего беспокойства, в случае осуществления проверки Роскомнадзором, который уполномочен осуществлять: привлечение к административной ответственности; направление дела в суд; направление заявления в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о приостановлении действия или аннулированию соответствующей лицензии; направление в органы прокуратуры, другие правоохранительные органы материалов для решения вопроса о возбуждении уголовных дел Ответственность за нарушения в области персональных данных: Любое нарушение установленного законом порядка сбора, хранения или распространения информации о гражданах (персональных данных) влечет за собой ответственность по ст. 13.11 КоАП РФ – штраф для юридических лиц от 5000 до 10000 рублей. При этом каждое нарушение рассматривается отдельно и, соответственно наказание за каждое нарушение также назначается отдельно. Обязанности работодателя по хранению и использованию персональных данных закреплены также в Трудовом кодексе РФ, а любое нарушение законодательства о труде и об охране труда влечет за собой ответственность по ст. 5.27 КоАП – штраф для юридических лиц от 30000 до 50000 рублей или административное приостановление деятельности на срок до 90 суток. Каждое нарушение также рассматривается отдельно. Непредставление в органы Роскомнадзора уведомления об обработке персональных данных влечет ответственность по ст. 19.7 КоАП РФ – штраф для юридических лиц до 5 000 рублей. Для сотрудников организации: разглашение информации с ограниченным доступом – штраф для физических лиц от 500 до 1000 рублей. Помимо прочего существует и уголовная ответственность за нарушение неприкосновенности частной жизни – ст. 137 УК РФ предусматривает наказание в виде лишения свободы на срок до 2 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 3 лет.

Анастасия Наумова · Answer

Здравствуйте. Вам не требовалось бы направлять уведомление, если бы вы обрабатывали данные гражданина только в рамках договора, который с ним заключен. Н-р, я заключаю с вами договор на оказание мне консультационных услуг — исполнить его, не зная мои ПД, невозможно. Вы их собираете и пользуетесь в рамках договора — вписываете данные в договор, храните договор с ПД, предоставляете данные по запросу налоговой и т.д. Но как только договор исполнен — формально, исполнять нечего и данные обрабатывать уже вы не можете. Однако вы их будете хранить — не уничтожать же договор после исполнения. Плюс работники — если вы берете данные соискателей (а это делают все работодатели, получая анкеты соискателей должности), то вы обрабатываете их ПД вне договора, плюс зачастую работодатель получает сведения, прямо не относящиеся к трудовым отношениям (ФИО родителей, сведения о судимости, семейное положение соискателя и пр.), что уже порождает обязанность направить уведомление в Роскомнадзор. Поэтому проще отправить уведомление, чем потом обосновать, что вы попадаете в редкие исключения, тем более для специалистов ведомства особого труда найти обработку ПД вне исключений не составляет особого труда, т.к. это вытекает из текущей деятельности любой организации. Стоит иметь в виду, что направление такого уведомления чревато последствиями — повышенное внимание РКН, включение организации в график плановых проверок, проверка контрагентов и т.д. Т.е. нужно обзаводиться организационной документацией по обработке ПД.

Оксана Филатова · Answer

Здравствуйте. В этой статье : https://journal.tinkoff.ru/personalnye-dannye/ сказано что всем организациям, собирающим персональные данные, необходимо зарегистрироваться в Роскомнадзоре. У нас есть два сайта http://www.faetonexpo.ru/ https://www.delegator24.ru/ Кроме того Саша, мы собираем данные людей когда их нанимаем на работу, когда заключаем с ними договор как с клиентами. речь об этих данных, в том числе паспортных. Вопрос заключается в следующем — стоит ли это делать вообще и надо ли это нашей организации, а также можно ли это обойти? Заранее спасибо. Добрый день, Татьяна! В дополнение ответов отмечу, что поскольку вступившие с 1 и.ля 2017 года в силу на основании №13-ФЗ изменения касаются и обязанности размещения владельцем сайта согласия субъекта на обработку персональных данных и политики конфиденциальности, то Вам необходимо разместить на сайте политику конфиденциальности (неисполнение обязанности по размещению политики на сайте влечет ответственность согласно пп.3 п.1 ст. 13.11 КоАП РФ) и под каждой формой обратной связи разместить форму согласия на обработку персональных данных (неисполнение влечет ответственность согласно пп.2 п.1 ст. 13.11 КоАП РФ). Обычно делается под формой и гиперссылка на Политику конфиденциальности Компании (см. пример во вложении к данному ответу). Заказать политику конфиденциальности можно на данном ресурсе (pravoved.ru). Для этого в разделе «Документы» нажмите «Заказать» либо обратитесь к любому из юристов. Была рада Вам помочь :)