Частые вопросы о персональных данных: отвечаем с юристом

Если ИП собирает персональные данные (ПД) физлица только для заключения договора и нигде их не хранит, кроме бумажной версии, он считается оператором ПД?

Да, если вы заключаете договор с физлицом, вы всё равно обрабатываете его персональные данные — как минимум, ФИО и паспортные данные, адрес регистрации. Даже если всё происходит по старинке и вы не используете системы, вы считаетесь оператором.

Если не храните данные в электронном виде, уведомление в Роскомнадзор подавать не надо, но оператором вы всё равно остаетесь.

Я ИП, заключаю договоры через личный кабинет банка, там же подписываются акты. Никаких дополнительных баз не веду. Нужно ли уведомлять Роскомнадзор?

Да. Это ваши договоры, клиенты и данные — вы оператор. Уточните в правилах сервиса, где именно осуществляется хранение данных — у вас или у банка. Но ответственность как оператора всё равно остаётся за вами.

Я мастер маникюра, заключаю с клиентом договор. Нужно ли уведомлять Роскомнадзор?

Если у ООО один учредитель и он же директор, нужно ли регистрироваться как оператор?

Если вы ведёте какую-либо деятельность, предполагающую обработку персональных данных и не подпадаете под исключения (например, вносите данные в Excel или 1С), значит, обрабатываете их, будете оператором и должны подать уведомление.

ИП оказывает консультационные услуги другому ИП. Договор — в скане. Других данных нет. Нужно ли уведомление?

Если у вас есть договор, содержащий персональные данные, договор в скане и хранится в электронном виде, вы уже используете автоматизированную систему. А значит, как оператор, должны подать уведомление. Даже одного ИП-контрагента достаточно: ФИО, ИНН — это уже персональные данные. Поэтому вы — оператор.

У меня интернет-магазин. Нужно ли подавать уведомление?

Нужны политика обработки персональных данных, согласие на обработку данных, баннер об использовании cookies и уведомление в РКН.

У меня одностраничный сайт только для информации. Нужно ли что-то оформлять?

Если сайт собирает хоть какие-то данные: форма заявки, чат, подключённую аналитику, — вы оператор. Нужны уведомление в РКН и политика обработки персональных данных и другие документы. Если есть Google Analytics или Яндекс.Метрика, это также считается передачей данных третьим лицам, возможно, за границу.

Я ИП, фотограф. Клиенты платят через сервис, где указывают e-mail и телефон. Это подпадает под закон?

Скорее всего, да. Даже если вы не собираете данные напрямую, а получаете их от платёжной системы, вы становитесь оператором, если используете или храните эти данные в своих целях, например, для связи с клиентом, ведения базы. Нужны политика и уведомление.

У меня старая база с e-mail и телефонами клиентов. Можно ли делать рассылку? А если контакты из открытых источников, например СБИС, Руспрофиль, — можно ли рассылать коммерческие предложения без согласия?

Если у вас есть база — вы уже оператор. Для рассылок нужно согласие клиентов. Контакты из открытых источников использовать можно, если вы не сохраняете их. Если сохраняете — нужно согласие. И обязательно почитайте Условия использования данных на площадке, с которой вы берёте данные. Автоматическое затягивание создания базы без согласия — риск нарушения закона и возможная уголовная ответственность.

Если я снимаю Reels с собой и не показываю клиентов — это персональные данные?

Нет. Если на видео нет других людей, это не обработка персональных данных. Закон не распространяется на личное использование.

У нас опубликованы вакансии на Авито. Площадка автоматически собирает базовые данные: ФИО, номер, гражданство и номер телефона, соискателей. Мне необходимо самостоятельно высылать согласие кандидатам?

Если вы просто просматриваете отклики внутри платформы, работая по её условиям и связываетесь с соискателями там же, — скорее всего, согласие получать не нужно. Но если выгружаете данные кандидатов и работаете с ними, например, записываете, пересылаете или храните, то вы становитесь оператором и обязаны получить собственное согласие на обработку. Также необходимо посмотреть правила Авито, что вы можете делать с данными.

Если у меня есть канал в Telegram или страница на Авито, и я выкладываю отзывы, видео после мастер-классов, я становлюсь оператором персональных данных?

Да. Если вы получаете, храните или публикуете данные подписчиков, клиентов или участников, например имя, фамилию, место работы, фото, голос или другие вариации чувствительных данных, — вы оператор. Это уже будет использование не в личных целях. На такие данные распространяется действие 152-ФЗ. Нужно подать уведомление в Роскомнадзор и получать согласия.

Если клиент присылает свои ФИО, адрес и телефон через WhatsApp или Telegram — это трансграничная передача?

Да. WhatsApp (принадлежит Meta*) и Telegram хранят данные на серверах за пределами России, что автоматически делает их использование трансграничной передачей. Это значит, что когда вы используете эти мессенджеры, данные отправляются за границу, и вам нужно получить на это согласие клиента.

Запретить клиенту писать в мессенджере нельзя, но главное, чтобы РКН не решил, что вы собираете и храните там персональные данные. Лучше переносить данные в безопасные системы.

WhatsApp и Telegram также внесены в Перечень запрещённых мессенджеров. Некоторые компании не могут использовать их для обмена персональными данными и банковской тайной по 149-ФЗ. В целом РКН считает эти мессенджеры ненадёжными каналами связи и не рекомендует для обмена чувствительной информацией.

В уведомлении есть понятие ЦОД (Центр обработки данных). Если у меня бухгалтерию ведёт аутсорсинговая компания, база данных находится у них, то кто будет этим ЦОД?

Посмотрите договор с аутсорсинговой компанией. Если она действительно хранит ваши данные у себя, нужно указать их адрес как ЦОД в уведомлении.

Если обсуждаем условия договора, но данные пока не передаём, нужно ли согласие?

Во время подготовки договора можно использовать информацию, необходимую для его заключения, без согласия. Но если договор требует передачи данных, то нужно получить согласие перед их передачей.

Наш сервис является CRM-системой. Часть ПДн о своих контрагентах хранят наши клиенты. Как тут правильно разграничить ответственность?

Если ваш сервис является CRM-системой, у вас должен быть документ, который предусматривает, как вы работаете и предоставляете сервис, предоставляете ли вы клиентам услуги по хранению их данных. Разграничить ответственность нужно исходя из этого.

Закон существует давно. Если я ИП с небольшим оборотом, 10 заказчиков, есть сайт, могу ли не уведомлять, если никто не проверял все эти годы?

Шанс попасть в поле зрения Роскомнадзора для малого ИП по-прежнему невысок: плановых проверок сейчас нет. Но если ваш сайт попадёт в мониторинг, например через установленную аналитику или жалобу, интерес к вам может появиться. Тогда уже будут смотреть на оформление сайта, политику, формы согласия и почему нет уведомления.

Не успели подать уведомление до 30 мая. Что делать?

Лучше подать уведомление в любом случае. Если РКН найдут вас раньше и придут с запросом, тогда точно будет штраф.

*Деятельность Meta запрещена в России как экстремистская