Индивидуальный предприниматель, осуществляя торговлю через интернет на двух сайтах с разными товарами, в рамках своей деятельности неизбежно обрабатывает персональные данные покупателей (например, фамилию, имя, отчество, адрес доставки, номер телефона, платёжные реквизиты). Любая обработка персональных данных, кроме случаев, прямо установленных законом, требует предварительного уведомления Роскомнадзора в соответствии с требованиями законодательства о персональных данных.
Ключевой момент — определение того, кто является оператором персональных данных. В данной ситуации оператором выступает сам индивидуальный предприниматель как лицо, самостоятельно организующее и осуществляющее обработку персональных данных, в том числе через свои информационные ресурсы (сайты). Наличие двух разных сайтов не создаёт двух разных операторов: правовой статус у ИП один, и он не меняется в зависимости от количества используемых интернет-площадок.
Юридически значимым является то, что оба сайта являются лишь инструментами (способами) сбора и обработки данных, принадлежащими одному и тому же субъекту предпринимательской деятельности. Следовательно, обязанность по уведомлению лежит на ИП как на едином операторе. При этом каждый сайт может обрабатывать разные категории персональных данных (в зависимости от специфики товаров), иметь различные цели обработки (например, доставка одного товара отличается от доставки другого) и различные способы сбора (через разные формы заказа). Эти обстоятельства имеют существенное значение для правильного и полного заполнения информации в уведомлении, так как Роскомнадзор должен получить исчерпывающие сведения обо всех процессах обработки данных у данного оператора, а не о количестве его веб-сайтов.
В соответствии со статьей 22 Федерального закона «О персональных данных» оператор, каковым в данном случае выступает индивидуальный предприниматель, обязан до начала обработки персональных данных уведомить об этом уполномоченный орган. Закон не ставит количество обязательных уведомлений в зависимость от числа используемых оператором информационных ресурсов или сайтов. Поскольку оператором является само физическое лицо, зарегистрированное в качестве ИП, а не каждый из его сайтов по отдельности, обязанность по подаче уведомления считается исполненной при направлении одного документа от имени этого предпринимателя. В таком уведомлении следует указать все фактические цели обработки персональных данных, в том числе отдельно по каждому сайту, если цели различаются (например, сбор данных для оформления заказов на одном сайте и для регистрации пользователей на другом). Таким образом, одно заявление на ИП в целом, охватывающее оба сайта, соответствует требованиям закона.
- Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 22
Уполномоченным органом, принимающим такое уведомление, является Роскомнадзор, что прямо следует из статьи 23 того же закона.
- Уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий самостоятельно функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 23
Что касается состава сведений, которые необходимо указать в таком уведомлении (включая перечень целей обработки, категорий обрабатываемых данных, правовых оснований, описание мер безопасности и т.п.), то в приведённом контексте нормы, детально регулирующей эти требования, нет. Предположительно, они содержатся в части 3 статьи 22 Федерального закона «О персональных данных», которая не была представлена. При отсутствии этой нормы в исходных данных точный перечень сведений, подлежащих включению в уведомление при наличии нескольких сайтов с разными товарами, определить невозможно; для полного анализа потребуется обратиться к полному тексту указанной статьи.
