Член Региональной общественной организации «Лезгины в Татарстане «Лезгияр» (Лезгины) Республики Татарстан, практикующий юрист — Сулейманов Джейхун Фируддинович дал интервью «Лезги газет» на тему: «Персональные данные 2023: обработка, учет и ведение документов согласно новым требованиям Роскомнадзора и ФЗ № 152».

• Джейхун Фируддинович, подскажите пожалуйста, передача перс. данных внутри организации по внутренней сети считается нарушением?

Начнем с того, что, передача персональных данных по локальной сети внутри компании является обработкой, при отсутствии доступа к сети со стороны третьих лиц. Сам факт передачи нарушением не является, однако отсутствие согласия субъекта или уведомления Роскомнадзора может повлечь применение санкций, предусмотренных ст. 13.11 КоАП РФ.

• Как правильно оформить акт об уничтожении данных, после получения заявления об отзыве согласия, если у ИП нет сотрудников по трудовому договору, вся команда оформлена по договору гражданско-правового характера?

Обычно уничтожение происходит комисионно, однако если отсутствует такая возможность, можете составить акт единолично. При необходимости о времени и месте уничтожения можно уведомить субъекта, чтобы он лично

убедился в уничтожении персональных данных. Если персональные данные удаляются из информационной системы, то дополнительно к акту прикладывается выгрузка из журнала регистрации событий в информационной системе персональных данных.

• А вот организация принимает обращения от граждан по телефону (у граждан спрашивают имя (не ФИО), номер телефона, адрес эл. почты) будет ли это считаться перс. данными?

Да, безусловно будет.

• Скажите пожалуйста, необходимо ли самозанятому направлять уведомление в Роскомнадзор, если он заключает договоры оказания услуг с физическими лицами?

Да, это необходимо. Даже граждане являются операторами, если обрабатывают персональные данные не в личных или семейных целях.

• К примеру, распространение персональных данных работников неопределенному кругу лиц подразумевает распространение неопределенному кругу лиц и другую обработку (сбор, систематизация и т.д.) Нужно 2 согласия?

Да, всё верно нужно 2 согласия. Одно на обработку, второе на распространение.

• Если до сегодняшнего дня не было никаких согласий, но в Роскомнадзоре всё давно зарегистрировано, то все согласия сделать задним числом и у всех подписать, чтобы не было потом штрафов или можно делать все сегодняшним днем?

Подписание документов «задним числом» является неправомерным инструментом, потому я не могу рекомендовать его использование. Однако если не боитесь привлечения к ответственности, то отвечая на поставленный вопрос, можно сказать, что часть проблем это решит.

• Скажите, если компания обрабатывает персональные данные, но не регистрируется как оператор — чем это может грозить компании?

Привлечением к административной ответственности.  Основные санкции предусмотрены ст. 13.11 КоАП РФ.

• Скажите, а по ч. 2 ст. 13.11 КоАП привлекут к ответственности в том числе и например, если оператор не перечислил в согласии субъекта на обработку его ПД (персональные данные) третьих лиц, которым будут передавать перс. данные. ВОПРОС что это за третьи лица? Где в законе они хотя бы примерно поименованы, куда смотреть, чтобы перечислить этих третьих лиц?

В правоотношениях связанных с обработкой персональных данных у нас есть, субъект персональных данных (гражданин) и оператор персональных данных (в нашем случае юридическое лицо). Все остальные физические и юридические лица, включая государственные и муниципальные органы, являются третьими лицами.

• У компании есть сайт, через который можно направить свое резюме. Если в резюме будет фотография, то будет ли это считаться обработкой биометрических персональных данных?

Да, будет.

• Скажите при заключении договора аренды коммерческой недвижимости нужно ли брать согласие на обработку персональных данных?

Если Вам передаются в ходе этого персональные данные, и Вы их обрабатываете, то необходимо. Однако этого можно избежать, если действовать в пределах прав, представленных ч. 5 п. 1 ст. 6 ФЗ «О персональных данных».

• Если компания уже состоит в реестре Роскомнадзора нужно ли в новом формате отправлять уведомление? Ранее кроме уведомления были представлены правила (внутрифирменные) по обработке, видимо правила нужно сейчас?

Если уведомление ранее направлялось, то Вы уже в реестре и достаточно просто уточнить сведения. По локальным нормативным актам сложно Вас сориентировать, как минимум нужна политика по обработки персональных данных (её нужно публиковать). Я со своей стороны только на базовом уровне представляю доверителям более 60 форм документов, необходимых для обработки персональных данных.

• Предположим, клиенты физ. лица для чего дают согласие компании? Это же будет сделкой в отношении последнего, а значит согласия не требуется?

Здесь все немного сложнее, указанный тезис верен, но только с учетом некоторых особенностей положений ч. 5 п. 1 ст. 6 ФЗ «О персональных данных». При заключении стандартных сделок Вы можете и не получать согласие, однако есть множество нюансов, которые вызовут вопросы со стороны контролирующих органов, например сведения о договоре передаются третьим лицам (в частности, для ведения бух. учета) или подразумевают обработку биометрических данных (таких как фото).

• А как быть с перс. данными водителей Перевозчиков, которые нам предоставляют для доверенностей и транспортных накладных?

Если Вы осуществляете обработку персональных данных по поручению оператора отдельное согласие по общим правилам получать не требуется.

• Обязательно ли передавать уведомление в Роскомнадзор в письменном виде, если передаешь в электронном виде?

Если уведомление передано в электронном виде, передачи на бумажном носителе не требуется.

Благодарим Вас, Джейхун Фируддинович за уделенное время и надеемся на продолжение нашего обсуждения с новыми интересными темами. 

«Лезги газет»