Нужно ли ИП уведомлять Роскомнадзор об обработке персональных данных в онлайн‑магазинах

Question

Добрый день! Хочу разобраться в вопросе являюсь ли я оператором ПД. Я - ИП. Два направления деятельности 1) Онлайн-магазин, услуги по предоставлению доступа к цифровому контенту (игровым предметам) для игроков на собственном кастомном сервере по игре DayZ. Онлайн-магазин арендован, домен от reg.ru, подключен платежный агрегатор. Для авторизации в магазине игроки используют SteamID (формат 7656119хххххххххх), дополнительно по желанию могут указать ссылки на свой профиль ВК и профиль Discord. Указанный игроком SteamID используется мной только для поиска конкретного игрока и совершенных им покупок в онлайн-магазине по запросу игрока в рамках возникающих вопросов или техподдержки. Подключены вебхуки, которые дублируют информацию о пополнениях и покупках в Discord. Больше нигде информация не накапливается. В личном кабинете платежного агрегатора я могу видеть только SteamID и IP устройства, с которого игрок авторизовался 2) Онлайн-магазин (собран на taplink.ru) услуги по предоставлению доступа к цифровому контенту (игровым модификациям) для владельцев кастомных серверов по игре DayZ. При оплате пользователь указывает email для отправки чека и имя (по желанию, не обязательно ФИО, это может быть никнэйм). В личном кабинете taplink вижу только email и могу использовать его только по запросу пользователя для поиска нужной заявки или подтверждения успешности транзакции Как я должна действовать в плане уведомления РКН и должна ли? В обоих случаях клиенты - физлица. Если владельцы серверов действуют как ИП или самозанятые, мне об этом неизвестно, никаких договоров не заключаю, только публичные оферты на обоих сайтах

Владимир Балашов · Answer

Подключены вебхуки, которые дублируют информацию о пополнениях и покупках в Discord. Больше нигде информация не накапливается. В личном кабинете платежного агрегатора я могу видеть только SteamID и IP устройства, с которого игрок авторизовался Здравствуйте Вот тут персональных данных у вас нет. Эти сведения — какие сейчас есть- не позволяют вам установить конкретное физическое лицо. Разве что профиль ВК- вот там есть конкретные фио, которые позволяют установить человека конкретно- вот в этом случае — есть обработка перс. данных. Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» Статья 3. Основные понятия, используемые в настоящем Федеральном законе В целях настоящего Федерального закона используются следующие основные понятия: 1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); 3) обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Игорь Коваленко · Answer

Здравствуйте! Согласно ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» персональными данными являются сведения, позволяющие их соотнести к определенному лицу. 1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); Для авторизации в магазине игроки используют SteamID (формат 7656119хххххххххх), дополнительно по желанию могут указать ссылки на свой профиль ВК и профиль Discord. Если я верно понимаю, то SteamID — сторонняя площадка. И, опять же, если верно понимаю, то Вы к этим данным, даже если в профиле ВК будет указано ФИО, доступа иметь не будете? В этом случае об обработке ПД также не идет речь. То, что указано Вами в первом пункте не будет являться персональными данными, поскольку в них не фигурирует ФИО клиентов. чека и имя (по желанию, не обязательно ФИО, это может быть никнэйм). Если здесь не будет фигурировать ФИО, то это не будет персональными данными. Как я должна действовать в плане уведомления РКН и должна ли? Если Вы никоим образом не обрабатываете ФИО клиентов — то не должны.

Лилия Суровцева · Answer

Здравствуйте! Вы являетесь оператором персональных данных согласно ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и обязаны уведомить Роскомнадзор о начале обработки персональных данных. Согласно п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ, оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; В первом направлении Вашей деятельности SteamID в формате 7656119хххххххххх представляет собой уникальный идентификатор пользователя Steam, который является персональными данными. Дополнительно клиенты могут указывать ссылки на профили ВК и Discord, что также относится к персональным данным. IP-адреса устройств, которые Вы видите в личном кабинете платежного агрегатора, также являются персональными данными. Все эти действия — сбор, хранение, использование для поиска игроков и их покупок — представляют собой обработку персональных данных согласно п. 3 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ. Во втором направлении при оплате пользователи указывают электронную почту и имя, что напрямую является персональными данными. Использование мейл для поиска заявок и подтверждения транзакций также квалифицируется как обработка персональных данных. Статья 22 Федерального закона от 27.07.2006 № 152-ФЗ устанавливает обязанность оператора до начала обработки персональных данных уведомить Роскомнадзор о своем намерении осуществлять такую обработку. Часть 2 статьи 22 содержит исключения, при которых уведомление не требуется, однако Ваша деятельность не подпадает ни под одно из них. То что Вы работаете через публичную оферту, не освобождает от обязанности уведомления Роскомнадзора. Напротив, интернет-магазины автоматически становятся операторами персональных данных при сборе любой информации о клиентах. Вам необходимо подать уведомление в Роскомнадзор через официальный сайт ведомства или портал Госуслуг. После получения уведомления Роскомнадзор в течение 30 дней внесет Вас в реестр операторов персональных данных. Дополнительно потребуется разработать политику обработки персональных данных и получать согласие пользователей на обработку их данных.