В какой момент мы становимся операторами персональных данных и должны уведомить РКН (Роскомнадзор) о том, что мы обрабатываем персональные данные?
Вначале пару вводных слов о том, кто такой оператор персональных данных. Если ориентироваться на закон, то вы становитесь оператором персональных данных в момент, когда начинаете обрабатывать персональные данные. Это означает, что вы совершаете любые действия с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, обновление, изменение, извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
Оператором персональных данных считается любое физическое или юридическое лицо, а также государственный или муниципальный орган, который организует или осуществляет обработку персональных данных. Это означает, что если физлицо, ИП или организация собирает, хранит, использует, передает или любым другим образом обрабатывает личные данные людей, то он(-а) является оператором персональных данных:
- 📎Компания, которая собирает данные клиентов: для продажи товаров или услуг.
- 📎Работодатель, который обрабатывает данные своих сотрудников .
- 📎Организация, которая проводит опросы или исследования, собирая персональные данные респондентов.
- 📎Индивидуальный предприниматель, если он обрабатывает персональные данные в рамках своей деятельности.
- 📎Государственный орган, который собирает и обрабатывает данные граждан.
В итоге, все мы, так или иначе, осуществляем обработку персональных данных.
Другой (и более правильный вопрос): когда оператор обязан уведомить об этой обработке Роскомнадзор?
Здесь уже немного сложнее.
Оператору персональных данных можно не подавать уведомление в Роскомнадзор (РКН) в трех случаях: 1️⃣если обработка данных осуществляется без использования средств автоматизации, 2️⃣ если данные включены в государственные информационные системы, созданные в целях обеспечения безопасности государства и общественного порядка, и 3️⃣ если обработка данных связана с транспортной безопасностью.
Соответственно, для 99,9% предпринимателей остаётся единственное исключение, когда можно не уведомлять РКН о том, что мы операторы - если обработка персданных осуществляется без использования средств автоматизации.
❗️И теперь, пожалуй, самый важный момент нашего ПД-опуса: нам надо четко разобраться, кто использует средства автоматизации (и, соответственно, должен регистрироваться как оператор персональных данных), а кто нет.
Многие мои коллеги руководствуются понятием "автоматизированная обработка персональных данных", которая "обработка персональных данных с помощью средств вычислительной техники" (это указано в п. 4 ст. 3 152-ФЗ), а потому все, кто записал в контакты смартфона фамилию, имя и номер телефона, - как будто бы должны подать уведомление.
Но! Средства автоматизации и автоматизированная обработка - это не одно и то же (хотя и звучат похоже). Как говорится, почувствуйте разницу🤌
27 марта 2025 г. арбитражный суд Московского округа вынес постановление по делу № А40-12676/2024, читаем его ➡️здесь⬅️.
Немного фабулы дела. Садовод пожаловалась на садоводческое товарищество в управление РКН, и это управление обязало СНТ зарегистрироваться в качестве оператора персданных. СНТ пошло в суд обжаловать действия управления РКН. АСГМ решил, что прав Роскомнадзор, в апелляции это решение не устояло. А позже кассационная инстанция отменила постановление апелляционной инстанции, которое отменило решение первой инстанции: то бишь первоначальное решение АСГМ оказалось верным, и садоводство было обязано регистрироваться в качестве оператора.
Для нас здесь важна позиция суда по средствам автоматизации. Суд опирается (по нашему скромному мнению, очень верно и обоснованно) на постановление Правительства РФ от 15.09.2008 № 687, которым утверждено Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (бинго! не правда ли?).
И здесь самое время процитировать постановление суда: "Таким образом, обработка персональных данных (сбор персональных данных) с использованием сайта в сети "Интернет" не приравнивается к использованию средств автоматизации, а по смыслу приведенных положений применение вычислительной техники при обработке персональных не относится к использованию средств автоматизации, если такая обработка осуществляется непосредственно человеком.
Если информация вносится, изменяется, передается и уничтожается персонально по каждому субъекту персональных данных вручную, обработка считается неавтоматизированной, в то время как если используемые оператором программы могут самостоятельно переформатировать данные, выбирать их по установленным параметрам, передавать внешним пользователям без необходимости просмотра и проверки персональных данных по каждому субъекту в отдельности, то такая обработка является автоматизированной".
Очевидный вывод: всё, что делается "ручками", - не подпадает под использование средств автоматизации.
Что подпадает:
✅рассылки через сенлер и т.п. программы;
✅парсинг и коммуникация посредством телеграм-ботов;
✅чек-боксы сайтов с последующими "туннелями", которые аккумулируют данные подписчиков;
✅работа в crm-системе;
и тому подобное.
Пока вы общаетесь со своими клиентами персонально, руками и ртом (говорите и пишете лично и непосредственно) - вы не обязаны уведомлять РКН об осуществлении обработки персональных данных.
Как только решили обзавестись каким-то сервисом (который упрощает бизнес-жизнь и клиентскую коммуникацию), - велком к заполнению уведомления.
Понятно?
Кстати, напоминаю, что для моих прекрасных читателей доступен подробный Гайд по персданным. Его можно получить в Чудо-боте, отправив туда команду из двух букв: ПД.
😉Для начала работы бота отправляем команду /start
(да, вот с таким значком слэш: /)
Проходим юридические формальности
И дальше пишем ПД - в ответ Чудо-бот выдаст нужный документ🙌
А сегодня мы с вами чётко (и, возможно, немного занудно😂) разобрались с тем, что не всем операторам нужно подавать уведомления в РКН. Надеюсь, вам было понятно и полезно.
