Иконка поиска
Логотип Все адвокаты
Вопрос
Защита персональных данных

Нужно ли самозанятому репетитору регистрироваться как оператор персональных данных, если он хранит только контакты учеников в телефоне и отправляет чеки

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Подайте уведомление в Роскомнадзор о намерении обрабатывать персональные данные — без промедления.
  2. 2
    Утвердите политику обработки персональных данных и обеспечьте к ней доступ клиентам.
  3. 3
    Оформите письменные согласия родителей несовершеннолетних учеников на обработку их данных.descriptionСогласие на обработку персональных данных (бланк)
  4. 4
    Зафиксируйте договорные отношения с совершеннолетними учениками как основание обработки.descriptionДоговор возмездного оказания услуг репетитора
  5. 5
    Установите пароль на телефон и ограничьте доступ к контактам учеников.
  6. 6
    Если поступление отзыва согласия от субъекта или его законного представителя: При отзыве согласия прекратите обработку и уничтожьте данные в течение 30 дней.

Документы и доказательства

  • Скриншоты телефонной книги с номерами и подписями контактов учеников.
  • Скриншоты переписки в мессенджерах с учениками и родителями.
  • Чеки из приложения ФНС и письма с их отправкой на e-mail клиентов.
  • Выписка по счёту или история переводов по номеру телефона.
  • Если наличие несовершеннолетних учеников среди клиентов: Письменные согласия законных представителей несовершеннолетних учеников.
  • Утверждённая политика обработки персональных данных и подтверждение доступа к ней.

  • Срочно: первые шаги

    • Подайте уведомление в Роскомнадзор как оператор ПД — обработка уже ведётся, промедление недопустимо.
    • Оформите согласия родителей несовершеннолетних учеников — в форме, подтверждающей получение.

  • Сроки и риски

    • Уведомление в Роскомнадзор подайте незамедлительно — обработка уже ведётся.
    • Риск штрафа за неопубликование политики обработки персональных данных.
    • Бремя доказывания согласия на обработку данных лежит на вас.
    • По несовершеннолетним ученикам храните согласие законного представителя.
    • Примите меры защиты данных: пароль на телефон, порядок удаления контактов.

  • Чего не делать

    • Не считайте, что отсутствие сайта, базы и рассылок освобождает вас от статуса оператора персональных данных.
    • Не полагайтесь на исключение для неавтоматизированной обработки: телефон, мессенджеры и приложение ФНС — средства автоматизации.
    • Не откладывайте подачу уведомления в Роскомнадзор: обработка уже ведётся, подайте его незамедлительно.
    • Если наличие несовершеннолетних учеников среди клиентов: Не обрабатывайте данные несовершеннолетних учеников без согласия законного представителя (родителя).
    • Не используйте данные учеников для рассылок и целей, не связанных с оказанием услуг и направлением чеков.
    • Если поступление отзыва согласия: Не игнорируйте отзыв согласия: обработку нужно прекратить и уничтожить данные в срок не более 30 дней.

  • Когда нужен адвокат

    • Уведомление в Роскомнадзор обязательно — обработка ведётся с телефона, мессенджеров и приложения ФНС.
    • Если наличие несовершеннолетних учеников среди клиентов: Нужны согласия родителей несовершеннолетних учеников — оформление и доказывание требуют юридической точности.
    • Политику обработки ПД и внутренние документы оператора лучше составить с адвокатом.
    • При проверке Роскомнадзора или споре с родителем защита позиции без юриста затруднительна.
    • Если поступление отзыва согласия: При отзыве согласия и уничтожении данных в 30 дней ошибки влекут административную ответственность.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

1. Ситуация

Самозанятый репетитор (физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход») оказывает платные образовательные услуги 20–25 ученикам на постоянной основе. Взаимодействие с клиентами ведётся напрямую, без использования сайтов, онлайн-платформ и договоров с третьими лицами.

В процессе деятельности репетитор:

  • хранит номера телефонов учеников и их родителей в телефонной книге мобильного устройства;
  • использует имена и фамилии как подписи контактов в мессенджерах;
  • формирует чеки вручную в приложении ФНС и отправляет их на адреса электронной почты клиентов;
  • получает оплату переводами по номеру телефона через онлайн-банк.

Иных способов использования данных не применяется: рассылки не ведутся, данные третьим лицам не передаются, отдельные таблицы и базы не создаются.

Юридически значимым является то, что репетитор самостоятельно определяет цели обработки (оказание услуг, направление чеков), состав данных (телефон, ФИО, e-mail) и совершаемые с ними операции (сбор, хранение, использование, передача). Это квалифицирует его как оператора персональных данных независимо от отсутствия сайта, базы данных и договоров с третьими лицами.

2. Затронутые правоотношения

  • Правоотношения по обработке персональных данных (ФЗ от 27.07.2006 № 152-ФЗ). Затронуты, поскольку репетитор совершает с персональными данными учеников и их родителей операции сбора, записи, хранения, использования и передачи — это обработка, а сам репетитор отвечает признакам оператора. Это влечёт применение к нему всех обязанностей, установленных законом для операторов.

  • Правоотношения по уведомительному режиму Роскомнадзора (ст. 22 ФЗ № 152-ФЗ). Затронуты, поскольку обработка ведётся с использованием средств автоматизации (телефон, мессенджеры, приложение ФНС), а значит, исключение для неавтоматизированной обработки не применяется. Это влечёт обязанность подать уведомление до начала обработки.

  • Правоотношения по правомерности обработки (ст. 6, ст. 9 ФЗ № 152-ФЗ). Затронуты, поскольку для обработки данных требуется законное основание: по совершеннолетним ученикам — исполнение договора, по несовершеннолетним — согласие законного представителя. Это определяет, чьё согласие и в какой форме необходимо получить.

  • Правоотношения по защите персональных данных (ст. 18.1, ст. 19 ФЗ № 152-ФЗ). Затронуты, поскольку оператор обязан утвердить политику обработки, обеспечить к ней доступ и принимать организационно-технические меры защиты. Это влечёт необходимость оформить внутренние документы и обеспечить защиту данных.

  • Правоотношения по прекращению обработки (ст. 21 ФЗ № 152-ФЗ). Затронуты, поскольку при отзыве согласия оператор обязан прекратить обработку и уничтожить данные в тридцатидневный срок. Это создаёт длящийся риск при отсутствии фиксации согласий и оснований.

3. Юридически значимые обстоятельства

  1. Номер телефона и связка «номер + имя/фамилия» являются персональными данными, поскольку позволяют прямо или косвенно определить конкретное физическое лицо. Хранение в телефонной книге не выводит эти сведения из-под действия закона.

  2. Репетитор является оператором персональных данных, так как самостоятельно определяет цели обработки, состав данных и совершаемые операции. Отсутствие сайта, базы данных и рассылок не исключает статус оператора.

  3. Обработка ведётся с использованием средств автоматизации — мобильного телефона, мессенджеров, приложения ФНС, онлайн-банка. Это исключает применение п. 8 ч. 2 ст. 22 ФЗ № 152-ФЗ об освобождении от уведомления.

  4. Обязанность подать уведомление в Роскомнадзор сохраняется, поскольку обработка не является «исключительно без использования средств автоматизации». Уведомление подаётся до начала обработки; поскольку обработка уже ведётся, подать его следует незамедлительно.

  5. По данным совершеннолетних учеников основанием обработки является исполнение договора (п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ) — отдельное согласие для базовых операций, необходимых для оказания услуг и направления чеков, не требуется.

  6. По данным несовершеннолетних учеников требуется согласие законного представителя (родителя), поскольку договор с ребёнком не может служить самостоятельным основанием для обработки его данных.

  7. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, оформляться отдельно от иных документов и в форме, позволяющей подтвердить факт его получения. Бремя доказывания наличия согласия лежит на операторе.

  8. Оператор обязан утвердить политику обработки персональных данных и обеспечить к ней неограниченный доступ, а также принимать правовые, организационные и технические меры защиты (пароль на устройстве, правила хранения и удаления данных).

  9. При отзыве согласия оператор обязан прекратить обработку и уничтожить данные в срок не более тридцати дней, если данные более не требуются для целей обработки.

Считается ли ваша деятельность обработкой персональных данных и являетесь ли вы оператором

  1. персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
    — п. 1 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ

Номер телефона клиента (и тем более связка «номер + имя/фамилия в подписи контакта») позволяет прямо или косвенно определить конкретное физическое лицо: по номеру вы однозначно понимаете, кто именно вам пишет и кому вы отправляете чек. Значит, это персональные данные, а «бытовое» хранение в телефонной книге ничего не меняет — закон не делает исключений для записной книжки.

  1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
    — п. 2 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ

Даже если вы самозанятый, а не организация, вы подпадаете под определение оператора: вы самостоятельно решаете, какие сведения собирать (телефон, ФИО, e-mail) и зачем (оказание репетиторских услуг, отправка чеков). Критерий — не наличие сайта или базы, а ваше собственное определение целей и состава данных.

  1. обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
    — п. 3 ст. 3 ФЗ от 27.07.2006 № 152-ФЗ

Закон прямо говорит, что обработка включает сбор, запись, хранение, использование и передачу данных, совершаемые и с использованием средств автоматизации, и без них. Вы сохраняете контакты в телефоне, ведёте переписку в мессенджерах, формируете и отправляете чеки на e-mail — всё это операции с данными, то есть обработка.

Вывод: вы являетесь оператором персональных данных и осуществляете обработку. Аргумент «это вообще не считается обработкой» несостоятелен: номер телефона сам по себе (подтверждено) и в связке с именем — персональные данные, а хранение их в телефонной книге и отправка чеков на e-mail — обработка. Отсутствие сайта, базы данных и рассылок квалификацию не отменяет.

Обязаны ли вы подавать уведомление в Роскомнадзор — решает критерий «без средств автоматизации»

  1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
    — ч. 1 ст. 22 ФЗ от 27.07.2006 № 152-ФЗ

Общее правило: уведомление обязательно до начала обработки. Но из него есть закрытый перечень исключений (часть 2 статьи 22), и для вас ключевое из них одно.

  1. в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства. (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ ) 3. Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения: (В редакции Федерального закона от 25.07.2011 № 261-ФЗ ) 1) наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 7) описание мер, предусмотренных статьями 18 1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
    — п. 8 ч. 2 ст. 22 ФЗ от 27.07.2006 № 152-ФЗ
  1. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
    — ч. 2 ст. 22 ФЗ от 27.07.2006 № 152-ФЗ

Исключение — обработка исключительно без использования средств автоматизации. Все остальные «бытовые» исключения, на которые раньше можно было сослаться (например, обработка в связи с заключённым договором или в трудовых отношениях), из части 2 статьи 22 удалены Федеральным законом от 14.07.2022 № 266-ФЗ и на сегодня не действуют. Поэтому единственный реальный шанс не подавать уведомление — доказать, что ваша обработка полностью неавтоматизированная.

  1. Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее - персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
    — п. 1 Положения, утв. Постановлением Правительства РФ от 15.09.2008 № 687

Положение, утв. Постановлением Правительства РФ от 15.09.2008 № 687, разъясняет: неавтоматизированной считается обработка, при которой использование, уточнение, распространение, уничтожение данных по каждому субъекту происходит при непосредственном участии человека. В вашем случае телефон, мессенджер и приложение ФНС — это средства вычислительной техники; вы извлекаете, систематизируете и храните контакты с их помощью. То есть в операции задействованы средства автоматизации, и под пункт 8 части 2 статьи 22 вы, по существу, не подпадаете. Исключение покрывало бы только чисто «бумажный» учёт (например, рукописный журнал на столе), которого у вас нет.

Вывод: обязанность подать уведомление в Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных) о намерении обрабатывать персональные данные сохраняется, поскольку ваша обработка ведётся с использованием телефона, мессенджеров и приложения ФНС, то есть не является «исключительно без использования средств автоматизации». Уведомление подаётся до начала обработки — формально вы уже обрабатываете данные, поэтому сделайте это незамедлительно. Подтвердите ключевой факт: если бы весь учёт учеников вёлся исключительно на бумаге без телефона и компьютера, применялся бы пункт 8 части 2 статьи 22 — и уведомление было бы не нужно. В вашей описанной схеме это условие не выполняется.

Какие ещё обязанности оператора у вас возникают и как их выполнить

  1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.
    — ч. 2 ст. 18.1 ФЗ от 27.07.2006 № 152-ФЗ

Политику обработки персональных данных нужно не только утвердить, но и обеспечить к ней неограниченный доступ. Поскольку сбора данных в интернете вы не ведёте (сайта нет), обязанность публиковать документ в сети на вас не возлагается — достаточно, например, разместить политику в доступном клиентам месте или направлять её по их запросу. Если впоследствии появится сайт с формой записи, документ нужно будет опубликовать прямо там.

  1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
    — ч. 1 ст. 19 ФЗ от 27.07.2006 № 152-ФЗ

Даже при обработке «для себя» вы обязаны принимать правовые, организационные и технические меры защиты. Для вашего масштаба это прежде всего пароль на телефон/приложение, разумные правила хранения и удаления данных.

  1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
    — ч. 1 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным и оформляться отдельно от иных документов. «Молчаливое» использование данных из переписки согласием не является — если вы не получали согласия, его следует оформить (в любой форме, позволяющей подтвердить факт получения; для обычной обработки письменная форма не требуется).

  1. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
    — ч. 3 ст. 9 ФЗ от 27.07.2006 № 152-ФЗ

Ключевой риск: доказывать наличие согласия обязаны вы, а не клиент. Поэтому согласие (или иное законное основание) лучше иметь в фиксируемой форме — переписка, где клиент подтверждает обработку данных для оказания услуг и отправки чеков.

  1. обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных
    — п. 5 ч. 1 ст. 6 ФЗ от 27.07.2006 № 152-ФЗ

Отдельно по основанию без согласия: обработка правомерна, если она необходима для исполнения договора, стороной которого является субъект. Это значит, что по данным самого совершеннолетнего ученика у вас есть самостоятельное основание — сам факт оказания услуг. Но обратите внимание: договор не может устанавливать случаи обработки данных несовершеннолетних в обход закона — по данным ребёнка основание нужно выводить из согласия его законного представителя (родителя), а не из договора с ребёнком.

  1. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных
    — ч. 5 ст. 21 ФЗ от 27.07.2006 № 152-ФЗ

Помните и об обязанности прекратить обработку и уничтожить данные по отзыве согласия — в срок не более тридцати дней, если данные более не нужны для целей обработки.

Вывод: помимо уведомления вам необходимо утвердить и обеспечить доступность политики обработки, принимать меры защиты, а также иметь подтверждаемое основание/согласие на обработку — по данным несовершеннолетних учеников согласие даёт законный родитель, по данным совершеннолетних и по данным, необходимым для расчётов и отправки чеков, основанием служит сам договор об оказании услуг (п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ).

Ответственность за работу без уведомления и без политики

  1. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц - от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от тридцати тысяч до шестидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 4. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, - влечет наложение административного штрафа на граждан в размере от двух тысяч до четырех тысяч рублей; на должностных лиц - от восьми тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от двадцати тысяч до тридцати тысяч рублей; на юридических лиц - от сорока тысяч до восьмидесяти тысяч рублей. (В редакции Федерального закона от 24.02.2021 № 19-ФЗ) 5.
    — ч. 3 ст. 13.11 КоАП РФ

За неопубликование (необеспечение доступа к) политики обработки установлен штраф: для граждан от 1 500 до 3 000 руб., для индивидуальных предпринимателей от 10 000 до 20 000 руб., для юридических лиц от 30 000 до 60 000 руб. Это нарушение, которое устраняется легко: опубликуйте политику — и состав исчезает.

Ответственность предусмотрена и за обработку персональных данных в случаях, не предусмотренных законом (без законного основания — согласия или договора). Точный размер штрафа по соответствующей части статьи 13.11 КоАП РФ прочитать в ходе поиска не удалось, но сам факт существования такого состава означает: отсутствие подтверждаемого согласия — самостоятельный риск административной ответственности, а не формальность. За неподачу уведомления в Роскомнадзор также предусмотрена административная ответственность специальной частью статьи 13.11 КоАП РФ, точная редакцию которой по итогам поиска процитировать не удалось.

Вывод: риски носят административно-денежный характер. Точный размер штрафа за неподачу уведомления и за обработку без законного основания зависит от конкретных частей статьи 13.11 КоАП РФ, которые не удалось процитировать дословно; по доступной норме ч. 3 ст. 13.11 КоАП РФ штраф за отсутствие доступной политики составляет для граждан от 1 500 до 3 000 руб., для ИП — от 10 000 до 20 000 руб. Уголовной ответственности в описанной схеме нет — вы не передаёте данные третьим лицам и не создаёте угрозу их утечки. Для точной и персонально выверенной оценки рисков по конкретным частям статьи 13.11 КоАП РФ целесообразно обратиться к юристу.

Да, вы обязаны подать уведомление в Роскомнадзор как оператор персональных данных — хранение номеров телефонов, имён и e-mail учеников в телефоне и отправка чеков через приложение ФНС является обработкой персональных данных с использованием средств автоматизации, поэтому исключение для «неавтоматизированной» обработки к вам не применяется.

Вы являетесь оператором персональных данных (п. 2 ст. 3 ФЗ № 152-ФЗ), поскольку самостоятельно определяете цели и состав обрабатываемых сведений. Номер телефона и связка «номер + имя/фамилия» — это персональные данные, позволяющие определить конкретное лицо (п. 1 ст. 3 ФЗ № 152-ФЗ). Сохранение контактов в телефонной книге, переписка в мессенджерах, формирование и отправка чеков на e-mail — всё это операции обработки: сбор, запись, хранение, использование, передача (п. 3 ст. 3 ФЗ № 152-ФЗ). Отсутствие сайта, базы данных и рассылок не отменяет квалификацию.

Обязанность уведомить Роскомнадзор установлена ч. 1 ст. 22 ФЗ № 152-ФЗ: закон устанавливает срок — до начала обработки; при уже ведущейся обработке уведомление следует подать без промедления, однако конкретный срок для такой ситуации нормой не установлен. Из исключений ч. 2 ст. 22 к вашей ситуации потенциально применимо только п. 8 (обработка исключительно без использования средств автоматизации). Однако телефон, мессенджеры и приложение ФНС — это средства автоматизации, а неавтоматизированной считается только обработка при непосредственном участии человека по каждому субъекту (п. 1 Положения, утв. Постановлением Правительства РФ от 15.09.2008 № 687). Ваша схема под это исключение не подпадает.

Дополнительно у вас возникают следующие обязанности:

  • Утвердить и обеспечить доступ к политике обработки персональных данных (ч. 2 ст. 18.1 ФЗ № 152-ФЗ). Сайта у вас нет, поэтому достаточно разместить документ в доступном клиентам месте или направлять по запросу. За необеспечение доступа к политике предусмотрен штраф: для граждан — от 1 500 до 3 000 руб., для ИП — от 10 000 до 20 000 руб., для юрлиц — от 30 000 до 60 000 руб. (ч. 3 ст. 13.11 КоАП РФ).
  • Принимать правовые, организационные и технические меры защиты данных (ч. 1 ст. 19 ФЗ № 152-ФЗ): пароль на телефоне, разумные правила хранения и удаления.
  • Иметь законное основание для обработки. По данным совершеннолетних учеников основанием служит исполнение договора об оказании услуг (п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ). По данным несовершеннолетних требуется согласие законного представителя — родителя (ч. 1 ст. 9 ФЗ № 152-ФЗ). Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, оформляться отдельно от иных документов. Бремя доказывания наличия согласия лежит на вас (ч. 3 ст. 9 ФЗ № 152-ФЗ).
  • При отзыве согласия — прекратить обработку и уничтожить данные в срок не более 30 дней с даты поступления отзыва (ч. 5 ст. 21 ФЗ № 152-ФЗ).

Пошаговые действия

  1. Подайте уведомление в Роскомнадзор о намерении осуществлять обработку персональных данных — без промедления, поскольку обработка уже ведётся. Уведомление направляется в виде документа на бумажном носителе или в форме электронного документа (ч. 3 ст. 22 ФЗ № 152-ФЗ).
  2. Утвердите политику обработки персональных данных и обеспечьте к ней доступ: разместите в доступном клиентам месте (например, в помещении, где проходят занятия) или направляйте по запросу.
  3. Оформите согласия на обработку персональных данных от родителей несовершеннолетних учеников — в любой форме, позволяющей подтвердить факт получения (например, письменное согласие или подтверждение в переписке). По совершеннолетним ученикам зафиксируйте договорные отношения как основание обработки.
  4. Примите меры защиты данных: установите пароль на телефон, ограничьте доступ к контактам, определите порядок удаления данных после прекращения отношений с учеником.
  5. При поступлении отзыва согласия от субъекта персональных данных — прекратите обработку и уничтожьте его данные в срок не более 30 дней с даты поступления отзыва.