Общество с ограниченной ответственностью, осуществляющее образовательную деятельность в области подготовки водителей (автошкола), в своей работе собирает комплект документов, содержащих персональные данные учеников (заявления, копии паспортов, медицинские справки). Указанные данные фиксируются исключительно на бумажных носителях. После сбора этих сведений Общество незамедлительно передает их в уполномоченные органы (ГИБДД) и вносит соответствующие сведения в Федеральную информационную систему Федерального реестра сведений о документах об образовании и (или) о квалификации (ФИС ФРДО). Сама организация не создает собственных архивов, баз данных или информационных систем для последующего хранения полученных персональных данных, не использует их в иных целях, не осуществляет их систематизацию или анализ за рамками, необходимыми для исполнения публично-правовых обязанностей.
Юридически значимым обстоятельством здесь является то, что действия Общества представляют собой обработку персональных данных. Согласно законодательству, под обработкой понимается любое действие (операция) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, распространение, блокирование, удаление и уничтожение. Таким образом, даже однократный сбор данных и их передача третьим лицам (ГИБДД, оператору ФИС ФРДО) признаются обработкой, независимо от того, хранит ли впоследствии организация эти данные у себя или нет.
Ключевой вопрос сводится к правовой квалификации целей и способов такой обработки. Законодательством предусмотрен ряд случаев, когда оператор (в данном случае Общество) освобождается от обязанности уведомлять Роскомнадзор о начале обработки персональных данных. В данной ситуации затронуты сразу два потенциальных основания для такого освобождения. Во-первых, обработка осуществляется исключительно для исполнения обязанностей, возложенных законодательством Российской Федерации на оператора (Общество обязано предоставлять данные в ГИБДД для допуска к экзаменам и в ФИС ФРДО в соответствии с законодательством об образовании). Во-вторых, персональные данные получены оператором не от субъекта (ученика) по своей инициативе, а в связи с заключением договора, стороной по которому является субъект персональных данных (договор на обучение), и данные обрабатываются только для исполнения этого договора и иных обязательных требований. При этом данные не распространяются и не предоставляются третьим лицам без согласия субъекта (передача в ГИБДД и ФИС ФРДО является обязательной в силу закона, а не добровольным решением оператора).
С технической точки зрения, факт использования бумажных носителей и отсутствие собственных автоматизированных информационных систем обработки данных имеет значение для оценки рисков и порядка выполнения операций, однако для решения вопроса об обязанности уведомления Роскомнадзора сам по себе носитель (бумага или цифра) не является определяющим, если только не задействованы иные исключения, прямо связанные с отсутствием автоматизации. Основной упор в правовом анализе делается на цели обработки и правовые основания для передачи данных.
