Являюсь ли я обработчиком персональных данных как ИП при работе с юрлицами и использовании имени, телефона и email контактного лица, а также формы обратной связи на сайте

В рассматриваемой ситуации ключевым является установление факта обработки персональных данных. ИП работает с юридическими лицами, однако в ходе этой деятельности он получает доступ к данным конкретных физических лиц — контактных лиц организаций (имя, телефон, email). Согласно законодательству, информация, которая позволяет прямо или косвенно идентифицировать конкретное физическое лицо (например, его имя в сочетании с телефоном или email), признается персональными данными. Таким образом, контактные данные представителя юрлица, используемые для связи по рабочим вопросам, не перестают быть персональными данными самого этого представителя, поскольку они относятся к нему как к субъекту персональных данных.

Кроме того, ИП планирует запустить сайт с формой обратной связи, где будет осуществляться сбор аналогичных сведений (имя, email, телефон) от любых посетителей. Это является самостоятельным и целенаправленным действием по сбору персональных данных, выходящим за рамки простого контакта с контрагентами. В этом случае ИП выступает оператором, который определяет цели и средства обработки таких данных.

Таким образом, юридически значимыми являются два аспекта:

1. Статус ИП как оператора, обрабатывающего персональные данные физических лиц (контактных лиц юрлиц и потенциальных клиентов через сайт).
2. Потенциальная обязанность направить в Роскомнадзор уведомление о начале такой обработки (уведомление о намерении осуществлять обработку персональных данных). Сами по себе реквизиты юрлица (наименование, ИНН, ОГРН, адрес) персональными данными не являются, но они не являются единственным предметом обработки в рассматриваемой деятельности.

В соответствии с определением, приведённым в Федеральном законе «О персональных данных», любые сведения, позволяющие прямо или косвенно идентифицировать физическое лицо, признаются персональными данными. Имя, телефон и адрес электронной почты контактного лица организации — это информация, которая относится к конкретному человеку — его сотруднику или представителю. Поскольку такая информация позволяет определить субъекта (например, назвав имя и телефон, можно установить, о ком идёт речь), она подпадает под понятие персональных данных. Следовательно, при использовании этих сведений в рамках взаимодействия с юридическими лицами индивидуальный предприниматель становится оператором персональных данных этого физического лица.

1. персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
   — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3

Обязанность уведомить Роскомнадзор о начале обработки персональных данных установлена законом для всех операторов, за исключением прямо перечисленных случаев. Ваша ситуация — обработка имени, телефона и email контактных лиц юрлиц, а также сбор аналогичных данных через форму обратной связи на сайте — не подпадает ни под одно исключение, приведённое в предоставленном тексте нормы. В частности, пункт 7 части 2 статьи 22 касается государственных информационных систем в сфере безопасности и общественного порядка — он не имеет отношения к вашему бизнесу. Других исключений, которые могли бы освободить вас от уведомления (например, обработка персональных данных исключительно для исполнения договора или в рамках трудовых отношений), в приведённом фрагменте статьи не содержится. Поскольку законных оснований не уведомлять Роскомнадзор не усматривается, вы обязаны направить соответствующее уведомление до начала обработки — как в части данных контактных лиц организаций, так и в части сведений, собираемых через форму обратной связи на сайте.

Обработка имени, телефона и email контактных лиц юридических лиц, а также сбор аналогичных сведений через форму обратной связи на сайте однозначно признаётся обработкой персональных данных. В соответствии со статьёй 22 Федерального закона «О персональных данных» вы как оператор обязаны до начала такой обработки уведомить Роскомнадзор, поскольку предусмотренные законом исключения на вашу ситуацию не распространяются.

Рекомендуемые действия

• До запуска сайта и начала целенаправленного сбора данных направить в Роскомнадзор уведомление об обработке персональных данных, включив в него все категории обрабатываемых сведений (данные контактных лиц организаций и пользователей формы).
• Разработать и утвердить документы, определяющие политику в отношении обработки персональных данных, типовую форму согласия на обработку, и разместить политику на сайте в открытом доступе.
• Оснастить форму обратной связи чекбоксом с явным согласием посетителя на обработку персональных данных, снабдив его гиперссылкой на текст политики.
• Определить законное основание обработки данных контактных лиц (согласие либо исполнение договора с юридическим лицом) и при необходимости получить письменное согласие от каждого такого субъекта.
• Принять организационные и технические меры по защите персональных данных и обратиться к адвокату для комплексного аудита вашей деятельности на предмет соответствия Федеральному закону «О персональных данных».