Требуется ли ИП, сдающему машино-место в аренду, уведомлять Роскомнадзор об обработке персональных данных арендаторов?
Анализ вашей ситуации
Вы как индивидуальный предприниматель планируете осуществлять предпринимательскую деятельность — сдавать имущество в аренду. В рамках этой деятельности вы будете заключать договоры с физическими лицами, собирать и хранить их персональные данные (Ф.И.О., паспортные данные, адрес). Обработка будет вестись с использованием средств автоматизации (личный компьютер, бухгалтерская программа). На данный момент право собственности не оформлено, и активная деятельность не ведется, но планируется в будущем.
Применимые нормы законодательства о персональных данных
-
Вы являетесь оператором персональных данных.
Закон определяет оператора как "юридическое или физическое лицо, самостоятельно ... организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке..." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3). Вы, как ИП, определяете, какие данные арендатора собирать и как их использовать для заключения и исполнения договора, следовательно, являетесь оператором.
-
Ваша деятельность подпадает под регулирование закона о персональных данных.
Закон регулирует отношения, "связанные с обработкой персональных данных, осуществляемой ... юридическими лицами и физическими лицами с использованием средств автоматизации..." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 1). Вы используете компьютер и программы, значит, обработка ведется с использованием средств автоматизации. Исключение для личных и семейных нужд (п. 1 ч. 2 ст. 1) на ваш случай не распространяется, так как вы действуете в рамках предпринимательской деятельности.
-
Обработка персональных данных включает в себя ваши действия.
"обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации ... с персональными данными, включая сбор, запись, систематизацию, накопление, хранение..." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3).
Получение данных от арендатора, внесение их в договор и в учетную систему, хранение — все это является обработкой по смыслу закона.
Выводы и рекомендации
-
Уведомление Роскомнадзора является вашей обязанностью. Поскольку вы являетесь оператором, обрабатывающим персональные данные с использованием средств автоматизации, вы обязаны до начала обработки направить уведомление в уполномоченный орган (Роскомнадзор). В предоставленном контексте не содержится исключений, освобождающих ИП, обрабатывающего данные для исполнения договора, от этой обязанности. Рекомендуется ознакомиться с полным текстом Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (статьи 18, 22), чтобы проверить, не подпадаете ли вы под одно из исключений (например, обработка данных только для трудовых договоров с сотрудниками).
-
Момент подачи уведомления. Уведомление необходимо подать до начала фактической обработки персональных данных. Поскольку вы еще не получали данные арендаторов, у вас есть время подготовить и направить уведомление заранее. Наличие или отсутствие оформленного права собственности на машино-место не влияет на эту обязанность, так как она возникает в связи с намерением осуществлять деятельность, связанную с обработкой персональных данных.
-
Рекомендуемые действия:
- Подайте уведомление в Роскомнадзор до заключения первого договора аренды. Сделать это можно в электронной форме через официальный сайт Роскомнадзора.
- Подготовьте документы, требуемые законом для оператора. Помимо уведомления, вам необходимо будет разработать и опубликовать (или обеспечить к нему доступ) политику в отношении обработки персональных данных, а также заключить договоры с третьими лицами (например, с разработчиком облачной бухгалтерской системы), если они будут иметь доступ к данным.
- Обратитесь за детальной консультацией к адвокату, специализирующемуся на защите персональных данных и предпринимательском праве. Он поможет точно определить объем ваших обязанностей, проверит, нет ли оснований для освобождения от уведомления, и подготовит необходимые документы.
-
Ответственность. Обработка персональных данных без направления предусмотренного законом уведомления может повлечь административную ответственность по статье 13.11 Кодекса РФ об административных правонарушениях (штрафы для ИП). Конкретные нормы об ответственности в предоставленном контексте отсутствуют, поэтому для их изучения необходимо обратиться к КоАП РФ или консультации адвоката.
