Уведомление о начале обработки персональных данных для ИП, оказывающего психологические услуги
Анализ вашей ситуации
Вы как индивидуальный предприниматель, оказывающий психологические консультации, являетесь оператором персональных данных и обязаны уведомить уполномоченный орган о начале их обработки. Особенность вашей деятельности заключается в обработке специальных категорий персональных данных (информация о состоянии здоровья), что налагает дополнительные обязательства.
Применимые правовые нормы
Содержание уведомления
"Уведомление должно содержать следующие сведения: 1) наименование (фамилию, имя, отчество), адрес оператора; 2) цель обработки персональных данных; ... 7) описание мер, предусмотренных статьями 18.1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств; 7.1) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты; 8) дата начала обработки персональных данных; 9) срок или условие прекращения обработки персональных данных; 10) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки; ... 11) сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации." (Источник: Федеральный закон "О персональных данных", статья 22)
"При предоставлении сведений, предусмотренных частью 3 настоящей статьи, оператор для каждой цели обработки персональных данных указывает категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных." (Источник: Федеральный закон "О персональных данных", статья 22)
Особые требования к обработке данных о здоровье
"Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частями 2 и 2.1 настоящей статьи." (Источник: Федеральный закон "О персональных данных", статья 10)
"Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если: 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; ... 4) обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;" (Источник: Федеральный закон "О персональных данных", статья 10)
Требования к согласию на обработку
"Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; ... 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 4) цель обработки персональных данных; 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; ... 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 9) подпись субъекта персональных данных." (Источник: Федеральный закон "О персональных данных", статья 9)
Меры по обеспечению безопасности
"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных." (Источник: Федеральный закон "О персональных данных", статья 19)
Выводы и рекомендации
Обязательные сведения для уведомления
- Ваши реквизиты: ФИО, адрес как ИП
- Цели обработки: заключение договоров на оказание психологических услуг, оказание психологических консультаций, ведение истории обращений
- Категории данных:
- Общие: ФИО, контактные телефоны
- Специальные: сведения о состоянии психического здоровья
- Категории субъектов: клиенты, получающие психологические консультации
- Правовое основание: согласие субъекта персональных данных
- Меры защиты: описание организационных и технических мер безопасности
- Сроки обработки: укажите конкретный срок или условие прекращения (например, "до достижения целей обработки")
- Ответственное лицо: ваши ФИО и контактные данные
Особые требования для данных о здоровье
- Получайте письменное согласие клиентов на обработку данных о здоровье
- Обеспечьте повышенный уровень защиты таких данных
- Соблюдайте врачебную тайну в соответствии с законодательством об охране здоровья
Практические рекомендации
- Используйте утвержденную форму уведомления с сайта Роскомнадзора
- Укажите все цели обработки максимально конкретно
- Включите в описание мер защиты информацию о шифровании данных
- Установите четкие сроки хранения персональных данных
- Разработайте корректную форму согласия на обработку данных
- Подайте уведомление до начала фактической обработки данных
Ответственность
"Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц - от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц - от ста тысяч до трехсот тысяч рублей." (Источник: Кодекс об административных правонарушениях, статья 13.11)
Учитывая специфику обрабатываемых данных, рекомендую обратиться к адвокату, специализирующемуся на защите персональных данных, для проверки подготовленных документов.
