В рассматриваемой ситуации ключевым является установление факта обработки персональных данных. ИП работает с юридическими лицами, однако в ходе этой деятельности он получает доступ к данным конкретных физических лиц — контактных лиц организаций (имя, телефон, email). Согласно законодательству, информация, которая позволяет прямо или косвенно идентифицировать конкретное физическое лицо (например, его имя в сочетании с телефоном или email), признается персональными данными. Таким образом, контактные данные представителя юрлица, используемые для связи по рабочим вопросам, не перестают быть персональными данными самого этого представителя, поскольку они относятся к нему как к субъекту персональных данных.
Кроме того, ИП планирует запустить сайт с формой обратной связи, где будет осуществляться сбор аналогичных сведений (имя, email, телефон) от любых посетителей. Это является самостоятельным и целенаправленным действием по сбору персональных данных, выходящим за рамки простого контакта с контрагентами. В этом случае ИП выступает оператором, который определяет цели и средства обработки таких данных.
Таким образом, юридически значимыми являются два аспекта:
- Статус ИП как оператора, обрабатывающего персональные данные физических лиц (контактных лиц юрлиц и потенциальных клиентов через сайт).
- Потенциальная обязанность направить в Роскомнадзор уведомление о начале такой обработки (уведомление о намерении осуществлять обработку персональных данных). Сами по себе реквизиты юрлица (наименование, ИНН, ОГРН, адрес) персональными данными не являются, но они не являются единственным предметом обработки в рассматриваемой деятельности.
В соответствии с определением, приведённым в Федеральном законе «О персональных данных», любые сведения, позволяющие прямо или косвенно идентифицировать физическое лицо, признаются персональными данными. Имя, телефон и адрес электронной почты контактного лица организации — это информация, которая относится к конкретному человеку — его сотруднику или представителю. Поскольку такая информация позволяет определить субъекта (например, назвав имя и телефон, можно установить, о ком идёт речь), она подпадает под понятие персональных данных. Следовательно, при использовании этих сведений в рамках взаимодействия с юридическими лицами индивидуальный предприниматель становится оператором персональных данных этого физического лица.
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3
Обязанность уведомить Роскомнадзор о начале обработки персональных данных установлена законом для всех операторов, за исключением прямо перечисленных случаев. Ваша ситуация — обработка имени, телефона и email контактных лиц юрлиц, а также сбор аналогичных данных через форму обратной связи на сайте — не подпадает ни под одно исключение, приведённое в предоставленном тексте нормы. В частности, пункт 7 части 2 статьи 22 касается государственных информационных систем в сфере безопасности и общественного порядка — он не имеет отношения к вашему бизнесу. Других исключений, которые могли бы освободить вас от уведомления (например, обработка персональных данных исключительно для исполнения договора или в рамках трудовых отношений), в приведённом фрагменте статьи не содержится. Поскольку законных оснований не уведомлять Роскомнадзор не усматривается, вы обязаны направить соответствующее уведомление до начала обработки — как в части данных контактных лиц организаций, так и в части сведений, собираемых через форму обратной связи на сайте.
- Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
- Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
- включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 22
Правила обработки персональных данных требуют наличия законного основания. Сбор имени, телефона и email через форму обратной связи на сайте предполагает получение согласия посетителя сайта — без него обработка таких данных не допускается. Сама по себе форма обратной связи не создаёт исключения из обязанности уведомлять Роскомнадзор, а, наоборот, расширяет перечень обрабатываемых персональных данных, что лишь подтверждает необходимость подачи уведомления. При этом важно обеспечить соответствие всех условий обработки требованиям закона, в том числе получить согласие от субъектов, данные которых собираются через сайт.
- обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
