Нужно ли подавать уведомление об обработке персональных данных при самозанятости и работе через соцсети?

Нужно ли самозанятому мастеру татуировок уведомлять Роскомнадзор об обработке персональных данных?

Проанализировав вашу ситуацию, можно сделать следующий вывод: в вашей текущей деятельности, скорее всего, осуществляется обработка персональных данных, требующая уведомления уполномоченного органа (Роскомнадзора). Однако есть важные нюансы, которые зависят от деталей обработки.

Давайте разберем ситуацию по порядку.

1. Анализ ситуации: обрабатываете ли вы персональные данные?

Согласно закону, персональные данные — это "любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)" (Источник: Федеральный закон "О персональных данных", статья 3).

• Никнейм (псевдоним) в соцсети: Если по этому никнейму вы идентифицируете конкретного человека для оказания услуги (записываете в календарь как "Алексей Смирнов"), то такая информация, позволяющая идентифицировать лицо, с большой долей вероятности является персональными данными. Цель использования (запись на услугу) прямо указывает на связь информации с конкретным физическим лицом.
• Данные из банковского чека: Чек, содержащий ФИО или номер телефона, однозначно содержит персональные данные. Сам факт его получения (даже если вы не сохраняете его целенаправленно) подпадает под понятие "сбора" данных.

Обработка персональных данных определяется как "любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение..." (Источник: Федеральный закон "О персональных данных", статья 3).

В вашем случае присутствуют:

1. Сбор данных: Получение никнейма от клиента и получение чека из банковской системы.
2. Запись и систематизация: Внесение информации (никнейма) в календарь для организации своей деятельности.
3. Хранение: Календарь (даже цифровой) является средством хранения информации.

Таким образом, вы являетесь оператором персональных данных (физическим лицом, осуществляющим их обработку).

2. Применимые нормы: когда уведомление НЕ требуется?

Ключевая норма содержится в статье 22 Федерального закона "О персональных данных". Она обязывает оператора уведомлять Роскомнадзор о начале обработки данных, но устанавливает исключения.

Согласно ей, оператор вправе осуществлять обработку без уведомления уполномоченного органа в случае, если "оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон "О персональных данных", статья 22, часть 2, пункт 8).

Что значит "без использования средств автоматизации"?
Это обработка, при которой действия с данными (запись в бумажный журнал, картотеку, сортировка бумаг) совершаются человеком вручную, без использования компьютера, программ, интернета и т.д.

В вашей ситуации:

• Общение и получение никнейма происходит через социальную сеть (средство автоматизации).
• Получение чека происходит через интернет-банк (средство автоматизации).
• Запись в календарь, если это электронный календарь (Google Календарь, календарь в смартфоне), также осуществляется с использованием средств автоматизации.

Вероятность того, что вся ваша обработка подпадает под исключение "без средств автоматизации", крайне мала.

3. Другие возможные основания для обработки

Закон допускает обработку персональных данных без согласия субъекта в ряде случаев. Один из релевантных для вас — это "обработка персональных данных необходима для исполнения договора, стороной которого ... является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных..." (Источник: Федеральный закон "О персональных данных", статья 6, часть 1, пункт 5).

Ваша деятельность (запись на сеанс, оказание услуги) фактически представляет собой заключение и исполнение договора оказания услуг. Это служит правовым основанием для обработки минимально необходимых данных (никнейма для связи, возможно, данных для оплаты).

Важно: Это основание легализует саму обработку, но не отменяет обязанности по уведомлению Роскомнадзора, если обработка ведется с использованием средств автоматизации.

Выводы и конкретные рекомендации

1. Вероятная обязанность уведомления: Поскольку вы используете социальные сети и, вероятно, электронные средства для ведения записей (календарь), ваша деятельность с высокой долей вероятности связана с автоматизированной обработкой персональных данных (никнеймов клиентов). Следовательно, на вас распространяется обязанность, установленная частью 1 статьи 22 закона, — направить уведомление в Роскомнадзор до начала обработки.

2. Что делать?

   • Подать уведомление в Роскомнадзор. Это можно сделать через официальный сайт. В уведомлении вы укажете себя как оператора (физическое лицо, самозанятое), цели обработки (заключение и исполнение договоров на оказание услуг татуировок), категории данных (контактные данные, данные для расчета), способы обработки (с использованием средств автоматизации).
   • Подготовить документы. Даже самозанятому стоит оформить Политику в отношении обработки персональных данных (разместить ее на странице в соцсети или направлять клиентам) и получать хотя бы в простой форме (например, через сообщение) согласие клиентов на обработку их никнеймов и иных данных для целей записи и оказания услуги. Это обезопасит вас от претензий.
   • Соблюдать принципы обработки. Убедитесь, что вы обрабатываете только те данные, которые необходимы для цели (принцип минимальной достаточности), и храните их не дольше, чем это требуется (например, до окончания гарантийного периода на работу). >"Обработке подлежат только персональные данные, которые отвечают целям их обработки." (Источник: Федеральный закон "О персональных данных", статья 5).

3. Если сомневаетесь в трактовке (например, считаете, что обработка никнеймов не является обработкой ПД, или что ваш календарь — это не средство автоматизации), настоятельно рекомендуется проконсультироваться с адвокатом, специализирующимся на информационном праве. Нарушение требований закона о персональных данных влечет административную и гражданско-правовую ответственность.