Уведомление Роскомнадзора при взаимодействии с несколькими ИП, осуществляющими доставку
На основании предоставленного вопроса и анализа законодательства о персональных данных, даю следующий юридический ответ.
Анализ ситуации и определение ролей
Вы, как владелец веб-ресурса по реализации товаров, собираете персональные данные покупателей (ФИО, адреса, контакты) для заключения и исполнения договора купли-продажи. Согласно закону, лицо, которое определяет цели и состав обрабатываемых персональных данных, признается оператором.
"оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 3).
Таким образом, вы являетесь оператором персональных данных.
Индивидуальные предприниматели (ИП), осуществляющие доставку, получают от вас персональные данные клиентов (например, адрес) исключительно для выполнения конкретной задачи — доставки товара. Они не самостоятельно определяют цели и состав обработки этих данных, а действуют в рамках вашего поручения. Это означает, что они являются лицами, осуществляющими обработку по поручению оператора (вас).
"Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора..." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 6, часть 3).
Применимые нормы: содержание уведомления в Роскомнадзор
Обязанность направить уведомление в Роскомнадзор (уполномоченный орган) до начала обработки данных установлена статьей 22 Федерального закона №152-ФЗ. В предоставленном контексте указан полный перечень сведений, которые должны содержаться в таком уведомлении.
Ключевой для вашего вопроса является обязанность указать в уведомлении лиц, которым передаются данные для обработки.
"Уведомление должно содержать следующие сведения: ... 10.2) фамилия, имя, отчество физического лица или наименование юридического лица, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных..." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 22, часть 3).
Поскольку оба ИП на основании договоров с вами получают доступ к персональным данным клиентов и осуществляют их обработку (используют адрес для доставки), сведения о каждом из них должны быть включены в уведомление.
Ответы на дополнительные вопросы
- Понятие "основного оператора": В Федеральном законе №152-ФЗ, предоставленном в контексте, отсутствует понятие "основного оператора". Закон оперирует понятиями "оператор" и "лицо, осуществляющее обработку по поручению оператора". В вашей ситуации есть один оператор (вы) и два лица, обрабатывающих данные по вашему поручению (ИП).
- Ответственность за неполное уведомление: Непредставление уведомления или представление неполных сведений влечет административную ответственность.
"Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа... - влечет наложение административного штрафа на юридических лиц от ста тысяч до трехсот тысяч рублей." (Источник: Кодекс Российской Федерации об административных правонарушениях, Статья 13.11, часть 10).
Кроме того, уполномоченный орган вправе требовать уточнения неполных сведений.
"В случае предоставления неполных или недостоверных сведений... уполномоченный орган... вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 22, часть 6).
Выводы и рекомендации
- Вы являетесь оператором персональных данных, а оба ИП — лицами, обрабатывающими данные по вашему поручению в целях исполнения договора доставки.
- Вы обязаны включить в уведомление, направляемое в Роскомнадзор, сведения об обоих индивидуальных предпринимателях, так как они на основании договора имеют доступ к персональным данным и осуществляют их обработку.
- Ограничиться данными только об одном ИП нельзя. Это будет считаться представлением неполных сведений, что может повлечь административную ответственность и требование со стороны Роскомнадзора устранить нарушение.
- Вам необходимо убедиться, что в договорах с каждым ИП присутствуют условия, соответствующие требованиям закона о поручении обработки данных (конфиденциальность, цели обработки, безопасность).
- Если состав лиц, обрабатывающих данные по вашему поручению, изменится (появится новый ИП или прекратит работу один из действующих), вы обязаны уведомить об этом Роскомнадзор.
"В случае изменения сведений, указанных в части 3 настоящей статьи, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган..." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 22, часть 7).
Рекомендация: Для корректного оформления уведомления и минимизации рисков рекомендую обратиться к адвокату или специалисту, имеющему опыт в области соблюдения законодательства о персональных данных, который поможет подготовить документы с учетом всех требований, включая правильное указание всех третьих лиц.
