Вопрос
ИП без работников продает товары на маркетплейсе. При этом доставку товара производит маркетплейс, он же принимает оплату от физлиц-покупателей. Должен ли ИП подавать уведомление в Роскомнадзор?
Если ИП при покупке и (или) продаже товаров собирает и хранит персональные данные контактных (ответственных) лиц контрагентов (продавцов товаров, службы доставки до склада маркетплейса, самого маркетплейса), то ИП признается оператором персональных данных и обязан выполнять все обязанности, возложенные на таких лиц.
В соответствии с п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ (далее – Закон № 152-ФЗ) персональные данные – это любая информация, относящаяся к прямо или косвенно определенному либо определяемому физическому лицу (субъекту персональных данных). К персональным данным относятся Ф. И. О., номер телефона, паспортные данные.
Как правило, при взаимодействии с контрагентами собираются и хранятся данные ответственных лиц – Ф. И. О., должности, номера телефонов, адреса электронной почты, почтовые адреса, данные для доверенностей (включая паспортные) и т. п. Все эти данные относятся к персональным.
При этом оператором персональных данных в соответствии с п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ (далее – Закона № 152-ФЗ) признаются организации или физические лица, осуществляющие обработку персональных данных. Под обработкой персональных данных понимаются любые действия (операции), совершаемые с использованием средств автоматизации (или без таких средств) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона № 152-ФЗ).
Таким образом, если ИП каким-либо образом взаимодействует с ответственными лицами поставщиков, службы доставки и маркетплейса (в том числе звонит, отправляет документы на подпись, подписывает документы), то он производит обработку персональных данных (сбор и хранение, либо сбор). В этом случае ИП, по нашему мнению, является оператором персональных данных.
ИП, которые планируют работать с персональными данными, должны подать соответствующее уведомление в Роскомнадзор о своем намерении обрабатывать персональные данные до начала такой обработки (ст. 22 Закона № 152-ФЗ).
Исключение установлено только для трех случаев (ст. 22 Закона № 152-ФЗ в ред. Федерального закона от 14.07.2022 № 266-ФЗ):
- данные включены в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка (п. 7 ч. 2 ст. 22 Закона № 152-ФЗ);
- оператор обрабатывает данные вручную без использования средств автоматизации (п. 8 ч. 2 ст. 22 Закона № 152-ФЗ);
- данные обрабатываются в случаях, предусмотренных законодательством о транспортной безопасности.
Если документы для контрагентов (счета, акты) с Ф. И. О. ответственных лиц контрагентов-организаций составляются в программе (локальной, облачной, в банковском приложении), то такая обработка персональных данных признается автоматизированной.
Таким образом, ИП обязан подать уведомление в Роскомнадзор до начала работы с персональными данными (ст. 22 Закона № 152-ФЗ). Работать с персональными данными до направления уведомления в Роскомнадзор ИП не вправе. Сама по себе работа с персональными данными без уведомления Роскомнадзора является нарушением.
Напоминаем, уведомление подается однократно для того, чтобы Роскомнадзор включил ИП в реестр операторов персональных данных.
В настоящее время уведомление направляется по форме, утвержденной приказом Роскомнадзора России от 28.10.2022 № 180. Сделать это можно тремя способами:
1) заполнить форму уведомления на сайте Роскомнадзора (нужна усиленная электронная квалифицированная подпись);
2) направить в бумажном виде в адрес территориального органа Роскомнадзора (по месту регистрации организации);
3) направить через личный кабинет на портале Госуслуг.
Напоминаем также, что с 30 мая 2025 года вырастут штрафы за нарушения в сфере обработки персональных данных. Так, за невыполнение или несвоевременное выполнение оператором обязанности уведомлять Роскомнадзор о намерении осуществлять обработку персональных данных для ИП установлен штраф от 100 000 до 300 000 руб. (ч. 10 ст. 13.11 КоАП РФ в ред. Федерального закона от 30.11.2024 № 420-ФЗ).
До вступления в силу указанных норм не было специальной ответственности за неуведомление Роскомнадзора, поэтому применялись положения ст. 19.7 КоАП РФ, по которой штраф для ИП составлял от 300 до 500 руб. (ст. 2.4 КоАП РФ).
Поставьте, пожалуйста, лайк, если статья понравилась и была полезной, чтобы другие тоже смогли её увидеть.
Подписывайтесь на наш канал, чтобы всегда первыми узнавать о секретах и фишках работы в программах 1С.
Нужна помощь по работе и учёту в программах 1С?
Консультанты с более чем 30-летним опытом. Любые вопросы по 1С. Настройка. Сопровождение. Обучение. Доработка. Мы отлично разбираемся в бухгалтерском, налоговом, кадровом и управленческом учёте и помогаем эффективно работать с программами 1С.
- Работаем по всей России. Не важно в каком Вы городе.
- Если нужно, подключимся удалённо к Вашему ПК и вместе разберёмся в программе с Вашим вопросом.
ИНФОКОМ | IT-услуги для Вашего бизнеса
Работайте эффективно в 1С