Что указывать в строке «Адрес оператора»
Строка «Адрес оператора» — это адрес, идентифицирующий вас как оператора персональных данных. Закон требует указать «наименование (фамилию, имя, отчество), адрес оператора»:
- наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) описание мер, предусмотренных статьями 18 1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств; (В редакции Федерального закона от 25.07.2011 № 261-ФЗ) 7 1 ) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты; (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 8) дата начала обработки персональных данных; 9) срок или условие прекращения обработки персональных данных; 10) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки; (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 10 1 ) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;
— ч. 3 ст. 22 ФЗ № 152-ФЗ «О персональных данных» (пп. 1, 7.1, 10.1)
Для физического лица — оператора (самозанятый не является юридическим лицом) адресом оператора является ваш адрес регистрации по месту жительства (прописки), а при её отсутствии — адрес места пребывания или фактического проживания. Это следует из того, что форма уведомления Роскомнадзора заполняется по данным, идентифицирующим физическое лицо, а документом, удостоверяющим такие данные, является паспорт со штампом о регистрации. Договор аренды и выписка из реестра самозанятых таких сведений действительно не содержат — и не обязаны содержать: адрес оператора-гражданина привязан именно к его регистрации по месту жительства, а не к арендуемому помещению.
Вывод: в строке «Адрес оператора» указывайте адрес вашей регистрации по месту жительства (прописки). Арендуемое помещение в эту строку не вносится — оно имеет значение только для строки о месте нахождения базы данных, если данные физически хранятся именно там.
Что указывать в строке «Адрес ЦОДа» (место нахождения базы данных)
Строка о «ЦОДе» (центре обработки данных) в форме уведомления соответствует требованию закона об указании «сведений о месте нахождения базы данных информации, содержащей персональные данные»:
- наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) описание мер, предусмотренных статьями 18 1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств; (В редакции Федерального закона от 25.07.2011 № 261-ФЗ) 7 1 ) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты; (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 8) дата начала обработки персональных данных; 9) срок или условие прекращения обработки персональных данных; 10) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки; (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 10 1 ) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;
— ч. 3 ст. 22 ФЗ № 152-ФЗ «О персональных данных» (пп. 1, 7.1, 10.1)
Закон оперирует не понятием «адрес ЦОДа», а понятием «место нахождения базы данных». У репетитора, работающего на смартфоне/компьютере, база данных — это фактически устройство (или несколько устройств), на котором физически хранятся персональные данные учеников: телефон, ноутбук, а при облачном хранении — ресурс, где лежат файлы.
Поэтому в данной строке следует указывать фактический адрес места, где находится устройство с данными учеников:
- если данные хранятся на вашем домашнем компьютере/телефоне — адрес вашего жилья (обычно совпадает с адресом регистрации);
- если ноутбук с данными постоянно находится в арендуемом помещении — адрес этого помещения (по договору аренды);
- если вы пользуетесь облачным сервисом — указывается страна (местоположение серверов) и/или адрес размещения ресурса, поскольку именно там физически находятся данные.
Важно: сведения о месте нахождения базы данных граждан РФ напрямую связаны с обязанностью локализации — записи и хранения данных граждан РФ на территории России:
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.
— ч. 5 ст. 18 ФЗ № 152-ФЗ «О персональных данных»
Вывод: в строке «Адрес ЦОДа»/«место нахождения базы данных» укажите фактический адрес, где физически хранится устройство (или облачный ресурс) с персональными данными учеников — как правило, ваш домашний адрес либо адрес арендуемого помещения, если именно там постоянно находится устройство с данными. Использование зарубежного облака/мессенджера для хранения данных граждан РФ недопустимо и влечёт отдельную ответственность.
Нужно ли указывать адреса мессенджеров
Отдельно указывать адреса мессенджеров (Telegram, WhatsApp и т.п.) в уведомлении не требуется. Закон устанавливает закрытый перечень сведений, которые должно содержать уведомление (ч. 3 ст. 22 ФЗ № 152-ФЗ), и адреса/наименования используемых средств связи или мессенджеров в этот перечень не входят. Среди перечисляемого — только данные об операторе, целях, мерах защиты, ответственном лице с контактными данными, датах, трансграничной передаче и месте нахождения базы данных.
Мессенджер — это лишь средство коммуникации, через которое данные поступают к вам как оператору; сам мессенджер не является «адресом» ни оператора, ни базы данных. Сведения о нём в форме указывать не нужно.
При этом следует понимать практическое следствие: если переписка с учениками (а значит, и их персональные данные) фактически сохраняется на серверах зарубежного мессенджера, это означает трансграничную передачу данных, о наличии которой уведомление просит сообщить (п. 10 ч. 3 ст. 22), и конфликт с требованием локализации баз данных граждан РФ:
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.
— ч. 5 ст. 18 ФЗ № 152-ФЗ «О персональных данных»
Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей;
— ч. 10 ст. 13.11 КоАП РФ
Вывод: адреса мессенджеров в уведомление не вносятся — их нет в закрытом перечне сведений ч. 3 ст. 22 ФЗ № 152-ФЗ. Однако использование зарубежных мессенджеров для общения с учениками фактически означает вынос их персональных данных за пределы РФ (трансграничную передачу), что надо отразить в поле о трансграничной передаче и что можно сопряжено с риском нарушения требования локализации (ч. 5 ст. 18 ФЗ № 152-ФЗ) — вплоть до штрафа по ч. 8 ст. 13.11 КоАП РФ.
Обязанность подать уведомление и ответственность за его неподачу
Как самозанятый репетитор, общающийся с учениками через мессенджеры и хранящий их данные на смартфоне/компьютере, вы обрабатываете персональные данные с использованием средств автоматизации (смартфон, компьютер, мессенджер), поэтому освобождение по п. 8 ч. 2 ст. 22 (только бумажная обработка) к вам неприменимо, и уведомление подать вы обязаны до начала обработки:
Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
— ч. 1 и п. 8 ч. 2 ст. 22 ФЗ № 152-ФЗ
За невыполнение этой обязанности предусмотрена административная ответственность:
Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей;
— ч. 10 ст. 13.11 КоАП РФ
За нарушение обязанности локализации баз данных граждан РФ (в том числе при хранении переписки на серверах иностранного мессенджера) штраф существенно выше:
Невыполнение оператором при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", предусмотренной законодательством Российской Федерации в области персональных данных обязанности по обеспечению записи, систематизации, накопления, хранения, уточнения (обновления, изменения) или извлечения персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, - влечет наложение административного штрафа на граждан в размере от тридцати тысяч до пятидесяти тысяч рублей;
— ч. 8 ст. 13.11 КоАП РФ
Кроме того, если вы подадите неполные или недостоверные сведения, Роскомнадзор вправе потребовать их уточнить до внесения в реестр операторов (ч. 6 ст. 22 ФЗ № 152-ФЗ), а при изменении сведений — вы обязаны уведомить об изменениях не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22 ФЗ № 152-ФЗ).
Вывод: уведомление в Роскомнадзор вы подать обязаны (до начала обработки), поскольку используете средства автоматизации. Неподача грозит штрафом по ч. 10 ст. 13.11 КоАП РФ от 5 000 до 10 000 рублей (для граждан), а хранение данных учеников за пределами РФ (иностранные мессенджеры/облака) — штрафом по ч. 8 ст. 13.11 КоАП РФ от 30 000 до 50 000 рублей. Практическая рекомендация: вести базу данных учеников на устройстве или в российском облаке, а мессенджеры использовать только для оперативной связи, не как место хранения списков.
Гражданско-правовые последствия нарушений при обработке данных учеников
Помимо административных штрафов, ошибки оператора при обработке персональных данных учеников (неправомерная обработка, утечка, необеспечение защиты) влекут гражданско-правовую ответственность перед субъектами данных — учениками и их законными представителями:
Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
— ч. 2 ст. 24 ФЗ № 152-ФЗ «О персональных данных»
Это означает, что если по вашей вине (например, из-за хранения данных на слабо защищённом устройстве или передачи через незащищённый канал) произойдёт утечка персональных данных ребёнка, родители вправе требовать возмещения морального вреда в судебном порядке независимо от уплаты вами административного штрафа. Правильно заполненное уведомление и корректное указание места нахождения базы данных — часть комплекса мер (ст. 18¹, 19 ФЗ № 152-ФЗ), который снижает и этот риск, поскольку фиксирует реальное место хранения данных и подтверждает добросовестность оператора.
Вывод: обязанности оператора по уведомлению и по обеспечению защиты данных подкреплены не только административной ответственностью (ст. 13.11 КоАП РФ), но и гражданской — правом субъектов данных на возмещение морального вреда (ч. 2 ст. 24 ФЗ № 152-ФЗ). Корректное заполнение полей об адресе оператора и месте нахождения базы данных — обязательная часть соблюдения закона, а не формальность.