Иконка поиска
Логотип Все адвокаты
Вопрос
ДТП и нарушения ПДД

Нужно ли подавать уведомление в Роскомнадзор об обработке персональных данных, если автошкола собирает данные учеников только для передачи в ГИБДД и ФИС ФРДО и не хранит их

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Закрепите в локальном акте (инструкции), что данные учеников обрабатываются исключительно для передачи в ГИБДД и ФИС ФРДО.
  2. 2
    Уничтожайте или возвращайте оригиналы и копии документов учеников сразу после их отправки в уполномоченные органы.
  3. 3
    Запретите любое вторичное использование контактных данных учеников (реклама, маркетинг, передача третьим лицам).
  4. 4
    Проводите ежегодный внутренний аудит для подтверждения неизменности целей обработки и отсутствия накопления данных.
  5. 5
    При расширении деятельности или появлении сомнений обратитесь к адвокату по информационному праву.

Документы и доказательства

  • Локальный нормативный акт (инструкция, положение), фиксирующий, что обработка персональных данных учеников осуществляется исключительно для передачи в ГИБДД и ФИС ФРДО.
  • Акт уничтожения или возврата оригиналов/копий документов учеников сразу после их направления в уполномоченные органы.
  • Договоры с учениками на обучение, подтверждающие цель сбора данных (исполнение договора и обязательная передача в госорганы).
  • Если согласие оформлялось ранее или будет оформляться: Письменное согласие учеников на обработку персональных данных (если оно оформлялось, для подтверждения законности сбора).
  • Документы, подтверждающие передачу данных в ГИБДД (реестры, сопроводительные письма, отметки о принятии).
  • Выписка из ФИС ФРДО или иной документ, подтверждающий внесение сведений об обучении в государственную информационную систему.

  • Срочно: первые шаги

    • Проведите внутренний аудит, чтобы убедиться в отсутствии собственных архивов или баз данных с персональными сведениями.

  • Сроки и риски

    • Немедленно закрепите в локальном акте, что обработка данных учеников ведется исключительно для передачи в ГИБДД и ФИС ФРДО.
    • Проводите ежегодный внутренний аудит порядка работы с персональными данными для подтверждения неизменности целей обработки.

  • Чего не делать

    • Не подавайте уведомление в Роскомнадзор: обработка подпадает под исключение п. 7 ч. 2 ст. 22 Закона № 152-ФЗ.
    • Не храните у себя копии паспортов, заявлений и медсправок после передачи в ГИБДД и ФИС ФРДО.
    • Не создавайте собственные базы или архивы персональных данных — это лишит права на безъявительный режим.
    • Не полагайтесь на устные договорённости: закрепите в локальном акте, что данные собирают только для госорганов.
    • Не расширяйте цели обработки (например, внутренний учёт с хранением) без консультации с адвокатом по информационному праву.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Общество с ограниченной ответственностью, осуществляющее образовательную деятельность в области подготовки водителей (автошкола), в своей работе собирает комплект документов, содержащих персональные данные учеников (заявления, копии паспортов, медицинские справки). Указанные данные фиксируются исключительно на бумажных носителях. После сбора этих сведений Общество незамедлительно передает их в уполномоченные органы (ГИБДД) и вносит соответствующие сведения в Федеральную информационную систему Федерального реестра сведений о документах об образовании и (или) о квалификации (ФИС ФРДО). Сама организация не создает собственных архивов, баз данных или информационных систем для последующего хранения полученных персональных данных, не использует их в иных целях, не осуществляет их систематизацию или анализ за рамками, необходимыми для исполнения публично-правовых обязанностей.

Юридически значимым обстоятельством здесь является то, что действия Общества представляют собой обработку персональных данных. Согласно законодательству, под обработкой понимается любое действие (операция) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, распространение, блокирование, удаление и уничтожение. Таким образом, даже однократный сбор данных и их передача третьим лицам (ГИБДД, оператору ФИС ФРДО) признаются обработкой, независимо от того, хранит ли впоследствии организация эти данные у себя или нет.

Ключевой вопрос сводится к правовой квалификации целей и способов такой обработки. Законодательством предусмотрен ряд случаев, когда оператор (в данном случае Общество) освобождается от обязанности уведомлять Роскомнадзор о начале обработки персональных данных. В данной ситуации затронуты сразу два потенциальных основания для такого освобождения. Во-первых, обработка осуществляется исключительно для исполнения обязанностей, возложенных законодательством Российской Федерации на оператора (Общество обязано предоставлять данные в ГИБДД для допуска к экзаменам и в ФИС ФРДО в соответствии с законодательством об образовании). Во-вторых, персональные данные получены оператором не от субъекта (ученика) по своей инициативе, а в связи с заключением договора, стороной по которому является субъект персональных данных (договор на обучение), и данные обрабатываются только для исполнения этого договора и иных обязательных требований. При этом данные не распространяются и не предоставляются третьим лицам без согласия субъекта (передача в ГИБДД и ФИС ФРДО является обязательной в силу закона, а не добровольным решением оператора).

С технической точки зрения, факт использования бумажных носителей и отсутствие собственных автоматизированных информационных систем обработки данных имеет значение для оценки рисков и порядка выполнения операций, однако для решения вопроса об обязанности уведомления Роскомнадзора сам по себе носитель (бумага или цифра) не является определяющим, если только не задействованы иные исключения, прямо связанные с отсутствием автоматизации. Основной упор в правовом анализе делается на цели обработки и правовые основания для передачи данных.

Основной вопрос сводится к тому, подпадает ли обработка, которую осуществляет ООО, под исключения из обязанности уведомлять Роскомнадзор, установленные частью 2 статьи 22 Федерального закона «О персональных данных». Для ответа необходимо последовательно применить нормы этой статьи к конкретным фактам: сбор данных на бумажных носителях и их незамедлительная передача в ГИБДД и ФИС ФРДО без последующего хранения у оператора.

Общее правило установлено частью 1 статьи 22. Из нее следует, что оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала такой обработки. Ваша организация — оператор, поскольку она самостоятельно определяет цели обработки (сбор данных для передачи, внесение в ФИС ФРДО) и совершает действия с персональными данными (принимает заявления, снимает копии, передает). Следовательно, по общему правилу уведомление требуется. Однако закон предусматривает исключения, которые радикально меняют ответ.

"Статья 22. Уведомление об обработке персональных данных 1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи."
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 22

Из части 2 этой же статьи в актуальной редакции сохранилось лишь одно исключение, которое может быть применимо к вашей ситуации — пункт 7. Он освобождает от уведомления операторов, обрабатывающих персональные данные, включенные в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка. Ваша ситуация прямо подпадает под это исключение: вы передаете данные в ГИБДД, которая является частью системы органов внутренних дел, обеспечивающих безопасность дорожного движения (аспект общественного порядка), и вносите сведения в Федеральную информационную систему Федерального реестра сведений о документах об образовании и (или) о квалификации (ФИС ФРДО), которая является государственной информационной системой, созданной в целях государственного регулирования образовательной деятельности и защиты прав граждан в сфере образования. Обе системы — государственные, их функционирование направлено на защиту общественного порядка и безопасности (в широком смысле, включая безопасность дорожного движения и достоверность сведений об образовании). Поскольку ваша обработка заключается исключительно в передаче данных в эти государственные информационные системы, она полностью охватывается данным исключением.

"2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: ... 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;"
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 22, ч. 2, п. 7

Таким образом, наличие бумажных носителей и отсутствие собственных информационных систем для хранения данных не имеют юридического значения для применения данного исключения. Важно лишь то, что данные передаются в государственные информационные системы и используются для целей, соответствующих их созданию. У ООО нет обязанности уведомлять Роскомнадзор, так как вся обработка попадает под пункт 7 части 2 статьи 22 Федерального закона «О персональных данных».

Автошкола не обязана подавать уведомление в Роскомнадзор об обработке персональных данных учеников. Такая обработка подпадает под прямое исключение, установленное пунктом 7 части 2 статьи 22 Федерального закона «О персональных данных»: данные собираются исключительно для передачи в государственные информационные системы (ГИБДД и ФИС ФРДО), созданные для защиты общественного порядка и безопасности. Использование бумажных носителей и отсутствие у оператора собственного хранилища данных не отменяет этого вывода.

Рекомендуемые действия

  • Оформить локальный нормативный акт (инструкцию, положение), в котором однозначно зафиксировать, что обработка персональных данных обучающихся осуществляется исключительно для передачи в ГИБДД и внесения сведений в ФИС ФРДО, без создания собственных массивов хранения, и прямо сослаться на пункт 7 части 2 статьи 22 Федерального закона № 152-ФЗ.
  • Обеспечить немедленное уничтожение или возврат оригиналов/копий документов, полученных от учеников, сразу после их направления в уполномоченные органы, чтобы исключить любую иную обработку, выходящую за рамки исключения.
  • Исключить вторичное использование контактных данных учеников (реклама, маркетинг, передача иным лицам без требования закона) — любое подобное действие лишает права на безъявительный режим и потребует уведомления РКН.
  • Проводить ежегодный внутренний аудит порядка работы с персональными данными для подтверждения неизменности целей обработки и отсутствия накопления данных; при появлении сомнений или расширении деятельности обратиться за консультацией к адвокату, специализирующемуся на информационном праве.