Обработка персональных данных самозанятыми: обязанности и риски
Анализ ситуации
Рассмотрим обе ситуации с точки зрения законодательства о персональных данных.
Случай 1: Самозанятый копирайтер/журналист
Текущая деятельность:
- Работа исключительно с юридическими лицами
- Отсутствие сайта, форм сбора данных, публикации отзывов
- Все договоры заключены ранее, новых клиентов нет
Случай 2: Самозанятый фотограф
Предыдущая деятельность:
- Использовал сайт для сбора заявок и публикации отзывов
- Сайт сейчас не работает, данные удалены
- Все договоры заключены в прошлом, новых клиентов не привлекает
Применимые нормы законодательства
Кто является оператором персональных данных
"оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)
"обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)
Обязанность уведомления
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: ... 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Условия обработки данных
"обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 6)
"обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 6)
Ответственность за нарушения
"Непредставление или несвоевременное представление в государственный орган (должностному лицу) ... сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности ... - влечет предупреждение или наложение административного штрафа на граждан в размере от ста до трехсот рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 19.7)
"При малозначительности совершенного административного правонарушения судья, орган, должностное лицо, уполномоченные решить дело об административном правонарушении, могут освободить лицо, совершившее административное правонарушение, от административной ответственности и ограничиться устным замечанием" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 2.9)
Выводы и рекомендации
1. Обязанность подачи уведомления
Для случая 1 (копирайтер/журналист):
- Если обработка данных контактных лиц юридических лиц осуществляется исключительно без средств автоматизации (например, в бумажных документах), уведомление не требуется
- Если используются электронные средства обработки (компьютер, облачные сервисы), формально уведомление требуется
Для случая 2 (фотограф):
- Поскольку сайт не работает и данные удалены, текущей обработки нет
- Если ранее использовались средства автоматизации, могла возникать обязанность по уведомлению
- На текущий момент, при отсутствии обработки, уведомление не требуется
2. Риски получения штрафа
- Размер штрафа за непредставление уведомления для граждан составляет 100-300 рублей
- При малозначительности нарушения возможен отказ от привлечения к ответственности
- Срок давности привлечения к административной ответственности - 1 год с момента совершения правонарушения
3. Прекращение статуса самозанятого
- Прекращение статуса самозанятого не требует дополнительных уведомлений в Роскомнадзор
- Если обработка персональных данных прекращена, рекомендуется уведомить об этом Роскомнадзор
Конкретные рекомендации
-
Для копирайтера/журналиста: оцените, используются ли средства автоматизации при обработке данных. Если нет - уведомление не требуется.
-
Для фотографа: поскольку обработка прекращена и данные удалены, риски минимальны. Рекомендуется направить уведомление о прекращении обработки.
-
При закрытии самозанятости: дополнительных уведомлений в Роскомнадзор не требуется, если обработка данных прекращена.
-
Общий совет: учитывая малый размер потенциальных штрафов и возможность освобождения от ответственности при малозначительности, риски в обеих ситуациях минимальны.
Для получения индивидуальной консультации с учетом специфики вашей ситуации рекомендую обратиться к адвокату, специализирующемуся на вопросах защиты персональных данных.
