Иконка поиска
Логотип Все адвокаты
Вопрос
Гражданское право

Вопросы по соблюдению 152-ФЗ о персональных данных и уведомлению Роскомнадзора

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Переработайте форму на сайте: добавьте отдельную галочку с полным текстом согласия на обработку данных.
  2. 2
    Обеспечьте уведомление сотрудников клиента об обработке их данных и документально подтвердите правомерность в рамках договора.
  3. 3
    Проверьте, что обработка данных при выплатах ограничена целями договора и физлица — выгодоприобретатели.
  4. 4
    Заключите с бухгалтерской компанией договор, определяющий условия обработки, и проверьте её соответствие требованиям защиты данных.descriptionДоговор поручения
  5. 5
    Подайте уведомление в Роскомнадзор до начала обработки данных, так как исключения из ст. 22 не применяются.

Документы и доказательства

  • Соберите доказательства наличия отдельной галочки и текста согласия на сайте (скриншоты, логи)
  • Зафиксируйте договор с клиентом-оператором, подтверждающий поручение на обработку данных сотрудников
  • Подготовьте документы, подтверждающие статус физлиц как выгодоприобретателей по договору комиссии
  • Оформите договор с бухгалтерской компанией, определяющий условия и цели обработки данных
  • Запросите у клиента подтверждение уведомления сотрудников об обработке их персональных данных
  • Зафиксируйте перечень обрабатываемых данных и целей для подачи уведомления в Роскомнадзор

  • Срочно: первые шаги

    • Срочно переработайте форму на сайте: добавьте отдельную галочку и полный текст согласия.
    • Не полагайтесь на автоматическое согласие на сайте — это риск штрафа до 700 000 рублей.

  • Сроки и риски

    • До 30 июня 2025 года приведите форму согласия на сайте к требованиям 152-ФЗ: отдельная галочка и полный текст условий.
    • До начала обработки данных сотрудников клиента направьте им уведомление о целях и правовых основаниях обработки.
    • Подайте уведомление в Роскомнадзор до начала любой обработки данных, иначе штраф до 300 000 рублей.
    • При выплатах компенсаций зафиксируйте статус физлиц как выгодоприобретателей по договору, иначе штраф до 700 000 рублей.
    • Заключите с бухгалтерской компанией договор поручения на обработку данных с условиями конфиденциальности и защиты.
    • При выявлении нарушений возможен иск о компенсации морального вреда по статье 24 152-ФЗ.

  • Чего не делать

    • Не оставляйте форму на сайте с автоматическим согласием при нажатии кнопки — требуется отдельная галочка.
    • Не обрабатывайте данные сотрудников клиента без их уведомления и документального подтверждения правомерности в договоре.
    • Не полагайтесь на п.5 ст.6 152-ФЗ при выплатах, если физлица не являются выгодоприобретателями по договору.
    • Не передавайте данные бухгалтерии на аутсорс без договора, определяющего условия обработки.
    • Не начинайте обработку до подачи уведомления в Роскомнадзор — ваши случаи не подпадают под исключения ст.22.
    • Не игнорируйте требования к защите данных при передаче аутсорсеру — он должен соответствовать закону.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Обработка персональных данных в B2B-услугах: правовые аспекты и риски

Анализ ситуации

Рассмотрим каждый из описанных случаев обработки персональных данных с учетом требований законодательства.

1. Форма обратной связи на сайте

"Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 9)

Автоматическое согласие при нажатии кнопки без отдельного оформления согласия не соответствует требованиям закона. Необходимо предусмотреть отдельный элемент (галочку) с полной информацией о целях и условиях обработки данных.

2. Обработка данных сотрудников клиента

"Обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 6)

"Если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных частью 4 настоящей статьи, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию..." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 18)

Для обработки данных сотрудников клиента необходимо:

  • Убедиться, что обработка действительно необходима для исполнения договора
  • Уведомить сотрудников об обработке их данных, если они не были уведомлены оператором-клиентом

3. Обработка данных при выплате компенсаций

"Обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 6)

Пункт 5 статьи 6 действительно может применяться, если физические лица являются выгодоприобретателями по договору. Однако необходимо:

  • Убедиться, что обработка ограничена только данными, необходимыми для исполнения договора
  • Соблюдать требования к уведомлению субъектов при получении данных не от них

4. Передача данных бухгалтерской компании

"Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицем договора" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 6)

"Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 6)

При передаче данных бухгалтерской компании необходимо:

  • Заключить договор, определяющий условия обработки
  • Убедиться, что первоначальное согласие субъекта покрывает передачу данных для указанных целей
  • Обеспечить соответствие аутсорсера требованиям защиты данных

5. Уведомление Роскомнадзора

"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 22)

"Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на юридических лиц - от ста тысяч до трехсот тысяч рублей." (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11)

Выводы и рекомендации

  1. Для формы на сайте - переработать механизм получения согласия, предусмотрев отдельный элемент (галочку) с полной информацией об обработке данных.

  2. При обработке данных сотрудников клиентов - обеспечить уведомление субъектов о обработке их данных и документально подтвердить правомерность обработки в рамках договора.

  3. При выплате компенсаций - убедиться, что обработка ограничена целями исполнения договора, и физические лица действительно являются выгодоприобретателями.

  4. При передаче данных аутсорсеру - заключить договор, определяющий условия обработки, и обеспечить соответствие аутсорсера требованиям защиты данных.

  5. Обязательно подать уведомление в Роскомнадзор до начала обработки данных, так как описанные случаи не подпадают под исключения из статьи 22 Федерального закона №152-ФЗ.

Риски несоблюдения: Штрафы по статье 13.11 КоАП РФ могут достигать 700 000 рублей за обработку без согласия и 300 000 рублей за неуведомление Роскомнадзора, а также ответственность за возмещение морального вреда по статье 24 Федерального закона №152-ФЗ.

Рекомендую обратиться к адвокату, специализирующемуся на защите персональных данных, для разработки полного комплекта документов и процедур, соответствующих требованиям законодательства.

Столкнулись с похожей ситуацией?

Подробно опишите детали,
и Нейроадвокат подберёт решение