Иконка поиска
Логотип Все адвокаты
Вопрос
Налоговые проверки и аудит

Что указать самозанятому репетитору в уведомлении об обработке персональных данных: адрес оператора, адрес ЦОДа и адреса мессенджеров

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Подайте уведомление в Роскомнадзор до начала обработки данных учеников, если используете компьютер, смартфон или мессенджеры.
  2. 2
    В строке о месте нахождения базы данных укажите фактический адрес хранения устройства с данными учеников, обычно домашний.
  3. 3
    Адреса мессенджеров отдельно указывать не нужно — закон этого не требует, отразите их лишь в описании способов обработки.
  4. 4
    Если используете иностранные мессенджеры: При использовании иностранных мессенджеров отразите в уведомлении сведения о трансграничной передаче персональных данных.
  5. 5
    Получите письменное согласие на обработку персональных данных от учеников или их законных представителей до начала занятий.descriptionСогласие на обработку персональных данных (бланк)

Документы и доказательства

  • Уведомление о намерении обработки персональных данных в Роскомнадзор (если данные учеников хранятся на компьютере, смартфоне или в мессенджерах)
  • Документ, подтверждающий адрес вашей регистрации по месту жительства (для строки «Адрес оператора»)
  • Документы, подтверждающие фактический адрес хранения устройства с базой данных учеников (домашний адрес)
  • Перечень используемых мессенджеров и сервисов связи (для описания способов обработки данных в уведомлении)
  • Если используете иностранные мессенджеры: Сведения о наличии трансграничной передачи данных (если используете иностранные мессенджеры)

  • Срочно: первые шаги

    • Проверьте, обрабатываете ли вы данные учеников на компьютере, смартфоне или в мессенджерах: если да, уведомление в Роскомнадзор обязательно.
    • Подайте уведомление в Роскомнадзор до начала обработки персональных данных, если используете средства автоматизации.
    • Адреса мессенджеров в уведомлении указывать не нужно — перечень сведений в законе исчерпывающий.
    • Если используете иностранные мессенджеры, отразите в уведомлении сведения о трансграничной передаче данных.

  • Когда нужен адвокат

    • Если роскомнадзор начал проверку или составил протокол: Обратитесь к адвокату, если Роскомнадзор уже начал проверку или составил протокол по ст. 13.11 КоАП РФ.
    • Если возник спор о средствах автоматизации: Адвокат нужен при споре о том, использовались ли средства автоматизации при обработке данных учеников.
    • Если возник вопрос о законности сбора данных несовершеннолетних: Привлеките юриста, если возник вопрос о законности сбора данных несовершеннолетних учеников без согласия родителей.
    • Если планируете оспаривать штраф или предписание в суде: Консультация адвоката обязательна, если вы планируете оспаривать штраф или предписание Роскомнадзора в суде.
    • Если ученик или родитель инициировал жалобу: Обратитесь за помощью, если другая сторона (ученик или родитель) инициировала жалобу в надзорный орган.
    • Если используете иностранные мессенджеры и облачные сервисы: Адвокат потребуется для оценки рисков, если вы используете иностранные мессенджеры и облачные сервисы для хранения данных.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Вы — самозанятый репетитор (плательщик налога на профессиональный доход), осуществляете обработку персональных данных учеников и, вероятно, их родителей (ФИО, контакты, сведения об успеваемости, реквизиты оплаты). Обработка ведётся с использованием средств автоматизации (мессенджеры, компьютер, смартфон, электронные таблицы), что исключает применение освобождения по п. 8 ч. 2 ст. 22 ФЗ «О персональных данных» и влечёт обязанность уведомить Роскомнадзор до начала обработки. Вы действуете как физическое лицо — оператор персональных данных, поэтому в уведомлении указываются ваши личные данные, а не реквизиты арендуемого помещения.

Затронутые правоотношения:

  • Административно-правовое отношение между оператором ПДн и Роскомнадзором — возникает в силу ст. 22 ФЗ «О персональных данных»: вы обязаны уведомить уполномоченный орган о намерении обрабатывать персональные данные, поскольку используете средства автоматизации.
  • Гражданско-правовое отношение между оператором и субъектами ПДн (учениками, их законными представителями) — требует наличия правового основания обработки, включая согласие на обработку персональных данных, что напрямую влияет на законность всей вашей деятельности как репетитора.
  • Деликтное (административно-деликтное) отношение — при неисполнении обязанностей оператора наступает ответственность по ст. 13.11 КоАП РФ, где вы как физическое лицо несёте ответственность по санкциям «на граждан».

Юридически значимые обстоятельства:

  1. Использование средств автоматизации при обработке ПДн — определяет, возникает ли у вас обязанность подавать уведомление в Роскомнадзор. Поскольку вы используете мессенджеры, компьютер или смартфон, исключение по п. 8 ч. 2 ст. 22 ФЗ не применяется, и уведомление обязательно.
  2. Ваш статус физического лица (самозанятого без ИП) — определяет, что в строке «Адрес оператора» указывается адрес вашего места жительства (регистрации), а не адрес арендуемого помещения, поскольку оператором является именно вы, а не место оказания услуг.
  3. Фактическое местонахождение базы данных — для заполнения строки о месте нахождения базы данных (п. 10.1 ч. 3 ст. 22 ФЗ) имеет значение, где физически хранится устройство с данными учеников (как правило, ваш домашний адрес), а не адрес арендуемого помещения и не адрес дата-центра провайдера.
  4. Использование иностранных мессенджеров — влечёт необходимость отразить в уведомлении сведения о трансграничной передаче персональных данных (п. 10 ч. 3 ст. 22 ФЗ), если серверы мессенджера находятся за пределами РФ, но не требует указания адресов самих мессенджеров как отдельного реквизита.
  5. Отсутствие в законе требования указывать адреса мессенджеров — перечень сведений уведомления в ч. 3 ст. 22 ФЗ является исчерпывающим, и мессенджеры отражаются лишь в описании способов обработки, а не как самостоятельный адрес.

Обязанность репетитора-самозанятого уведомлять Роскомнадзор об обработке персональных данных

Вы обрабатываете персональные данные учеников и (или) их родителей (ФИО, контакты, сведения об успеваемости, реквизиты оплаты), то есть являетесь оператором персональных данных. Однако уведомлять уполномоченный орган (Роскомнадзор) обязан не каждый оператор.

  1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
    — ст. 22 ч. 1–2 п. 8 ФЗ «О персональных данных»

Ключевой вопрос — с использованием или без использования средств автоматизации вы ведёте обработку. Если вы храните и обрабатываете данные учеников в мессенджерах, на компьютере, смартфоне, в таблицах, электронной почте или облачных сервисах — это обработка с использованием средств автоматизации, и обязанность уведомить Роскомнадзор возникает (исключение по п. 8 ч. 2 ст. 22 к вам не применяется). Если же данные существуют только в бумажных тетрадях, списках, договорах и вы не используете для их обработки компьютер/телефон — уведомление можно не направлять.

Вывод: если вы обрабатываете персональные данные учеников хотя бы частично на компьютере или в смартфоне (в т.ч. в мессенджерах), вы обязаны до начала обработки направить уведомление в Роскомнадзор. Если обработка ведётся исключительно без средств автоматизации — обязанности нет.

Что указывать в строках «Адрес оператора» и «Адрес ЦОДа»

Состав сведений уведомления определён непосредственно законом.

  1. наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) описание мер, предусмотренных статьями 18 1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств; (В редакции Федерального закона от 25.07.2011 № 261-ФЗ) 7 1 ) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты; (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 8) дата начала обработки персональных данных; 9) срок или условие прекращения обработки персональных данных; 10) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки; (Дополнение пунктом - Федеральный закон от 25.07.2011 № 261-ФЗ) 10 1 ) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;
    — ст. 22 ч. 3 пп. 1, 7.1, 10.1 ФЗ «О персональных данных»

«Адрес оператора» (п. 1 ч. 3 ст. 22 ФЗ) — это адрес оператора персональных данных. Для вас как физического лица — самозанятого это адрес вашего места жительства (регистрации по месту пребывания/жительства), то есть ваш собственный адрес, а не адрес арендуемого помещения, где вы проводите занятия. Арендуемое помещение — это лишь место оказания услуг, а не местонахождение вас как оператора (субъекта, определяющего цели и состав обработки).

«Адрес ЦОДа» (местонахождение информационной системы / базы данных) — этому соответствует требование п. 10.1 ч. 3 ст. 22 — «сведения о месте нахождения базы данных информации, содержащей персональные данные граждан РФ». Это фактическое место, где физически хранятся данные: если вы ведёте базу (список учеников, таблицу) на своём ноутбуке/ПК дома — укажите адрес, где реально находится устройство с данными (обычно ваш домашний адрес). Если данные хранятся в облачном сервисе (Google Таблицы, Яндекс.Диск и т.п.), в уведомлении указывается, соответственно, фактическое место нахождения вашей базы — а в части трансграничной передачи (п. 10 ч. 3) отмечается район нахождения серверов. Не следует указывать «ЦОД» как адрес дата-центра провайдера — у вас как у самозанятого нет собственного ЦОДа.

Вывод: в строке «Адрес оператора» укажите свой адрес регистрации (места жительства), а в строке об адресе ЦОДа/месте нахождения базы данных — фактический адрес, где физически хранится устройство с данными учеников (как правило, ваш домашний адрес). Арендуемое помещение в этих полях указывать не нужно, если только там не находится устройство/сервер, на котором постоянно хранится база данных.

Нужно ли указывать адреса мессенджеров, используемых для связи с учениками

Перечень сведений, которые обязано содержать уведомление, исчерпывающе задан ч. 3 ст. 22 ФЗ «О персональных данных»: наименование (ФИО) и адрес оператора, цель обработки, меры защиты, ФИО ответственного лица и его контакты, дата начала, срок/условие прекращения обработки, данные о трансграничной передаче, место нахождения базы данных, сведения об обеспечении безопасности, а также (ч. 3.1) — категории данных, категории субъектов, правовое основание, перечень действий и способы обработки.

В этом перечне нет требования указывать мессенджеры как отдельный адрес или реквизит. Используемые сервисы связи (WhatsApp, Telegram и т.п.) отражаются в уведомлении опосредованно — не как «адрес», а в составе описания способов обработки и, если применимо, сведений о трансграничной передаче данных (при использовании иностранных мессенджеров данные могут передаваться на серверы за пределами РФ, что относится к категории трансграничной передачи и подлежит отражению по п. 10 ч. 3 ст. 22). Контактный адрес электронной почты и телефон указываются в строке о лице, ответственном за организацию обработки (п. 7.1 ч. 3 ст. 22), — там вы вправе указать свою электронную почту, но не «адрес мессенджера».

Вывод: отдельно указывать адреса/реквизиты мессенджеров не требуется — в утверждённой законом структуре уведомления такого поля нет. Достаточно отразить использование мессенджеров в графе о способах обработки персональных данных и корректно отметить наличие трансграничной передачи, если используете иностранный мессенджер.

Ответственность за невыполнение обязанностей оператора

За нарушение обязанностей, установленных ФЗ «О персональных данных», предусмотрена административная ответственность по ст. 13.11 КоАП РФ. Обработка персональных данных без правового основания (ч. 1) либо без требуемого письменного согласия субъекта (ч. 2) влечёт штраф.

  1. Невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих в соответствии с законодательством Российской Федерации в области персональных данных сохранность персональных данных при хранении материальных носителей персональных данных и исключающих несанкционированный к ним доступ, если это повлекло неправомерный или случайный доступ к персональным данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение
    — ст. 13.11 ч. 6 КоАП РФ

Вы как физическое лицо (самозанятый без статуса ИП) подлежите ответственности как гражданин по санкциям «на граждан» соответствующих частей ст. 13.11 КоАП РФ: за обработку без законных оснований — от 10 до 15 тыс. руб. (ч. 1), за обработку без письменного согласия, когда оно обязательно, — от 10 до 15 тыс. руб. (ч. 2). Одновременно обязательно получение согласия на обработку персональных данных учеников (и законных представителей, если ученик несовершеннолетний) и уведомление Роскомнадзора до начала обработки — при использовании средств автоматизации.

Вывод: несоблюдение обязанностей оператора (отсутствие согласия и/или уведомления) влечёт административную ответственность по ст. 13.11 КоАП РФ; для вас как физического лица — штрафы в размерах, предусмотренных для граждан. Чтобы исключить риск, получите согласие на обработку ПДн и направьте уведомление в Роскомнадзор до начала обработки данных учеников.

Если вы обрабатываете данные учеников хотя бы частично на компьютере, смартфоне или в мессенджерах, вы обязаны подать уведомление в Роскомнадзор до начала обработки; в строке «Адрес оператора» указывается ваш адрес регистрации, а в строке о месте нахождения базы данных — фактический адрес хранения устройства с данными (как правило, домашний), отдельно указывать адреса мессенджеров не требуется.

По вопросу об адресе оператора: в силу п. 1 ч. 3 ст. 22 ФЗ «О персональных данных» в уведомлении указывается адрес оператора. Для вас как физического лица — самозанятого это адрес вашего места жительства (регистрации по месту жительства или пребывания). Арендуемое помещение, где вы проводите занятия, в этом поле не указывается, поскольку оно является лишь местом оказания услуг, а не местонахождением вас как оператора, определяющего цели и состав обработки персональных данных.

По вопросу об адресе ЦОДа (месте нахождения базы данных): согласно п. 10.1 ч. 3 ст. 22 ФЗ «О персональных данных» в уведомлении отражаются сведения о месте нахождения базы данных, содержащей персональные данные граждан РФ. Это фактическое место, где физически хранится устройство с данными учеников (ноутбук, компьютер, смартфон). Если вы ведёте базу на своём устройстве дома — укажите домашний адрес. Если данные хранятся в облачном сервисе, в уведомлении отражается фактическое место нахождения вашей базы, а сведения о серверах за пределами РФ отмечаются в части о трансграничной передаче (п. 10 ч. 3 ст. 22 ФЗ «О персональных данных»). Указывать адрес дата-центра провайдера как «ЦОД» не нужно — у вас как у самозанятого собственного ЦОДа нет.

По вопросу о мессенджерах: перечень сведений, подлежащих включению в уведомление, исчерпывающе определён ч. 3 ст. 22 ФЗ «О персональных данных» и не содержит требования указывать адреса или реквизиты мессенджеров. Используемые сервисы связи (WhatsApp, Telegram и т.п.) отражаются опосредованно — в составе описания способов обработки персональных данных, а при использовании иностранных мессенджеров — также в сведениях о наличии трансграничной передачи данных (п. 10 ч. 3 ст. 22 ФЗ «О персональных данных»). Контактный адрес электронной почты и телефон указываются в строке о лице, ответственном за организацию обработки (п. 7.1 ч. 3 ст. 22 ФЗ «О персональных данных»), но это не «адрес мессенджера».

Об обязанности уведомления в целом: если вы обрабатываете персональные данные учеников с использованием средств автоматизации (компьютер, смартфон, мессенджеры, электронные таблицы, облачные сервисы), исключение по п. 8 ч. 2 ст. 22 ФЗ «О персональных данных» (обработка исключительно без средств автоматизации) к вам не применяется, и уведомление в Роскомнадзор обязательно до начала обработки (ч. 1 ст. 22 ФЗ «О персональных данных»). При обработке исключительно на бумажных носителях без использования компьютера или телефона обязанность уведомлять отсутствует.

Об ответственности: за нарушение законодательства о персональных данных, включая обработку без правового основания (ч. 1 ст. 13.11 КоАП РФ) или без письменного согласия субъекта, когда такое согласие требуется (ч. 2 ст. 13.11 КоАП РФ), предусмотрена административная ответственность. При этом процитированная ч. 6 ст. 13.11 КоАП РФ касается только нарушений при обработке без средств автоматизации. Для вас как физического лица (самозанятого без статуса ИП) штрафы применяются в размерах, предусмотренных для граждан.

Пошаговые действия

  1. Определите, используете ли вы средства автоматизации. Если данные учеников хранятся или обрабатываются на компьютере, смартфоне, в мессенджерах, электронной почте или облачных сервисах — уведомление обязательно. Если обработка ведётся исключительно на бумаге — уведомление не требуется.

  2. Получите письменное согласие на обработку персональных данных от учеников (или их законных представителей, если ученик несовершеннолетний) до начала обработки — требование о получении согласия установлено ст. 9 ФЗ «О персональных данных», и его несоблюдение может повлечь ответственность по ст. 13.11 КоАП РФ.

  3. Заполните уведомление об обработке персональных данных по форме, утверждённой Роскомнадзором:

    • в строке «Адрес оператора» укажите свой адрес регистрации по месту жительства (пребывания);
    • в строке о месте нахождения базы данных укажите фактический адрес, где физически находится устройство с данными (как правило, ваш домашний адрес);
    • в описании способов обработки отразите использование мессенджеров;
    • при использовании иностранных мессенджеров отметьте наличие трансграничной передачи данных.

  4. Направьте уведомление в Роскомнадзор до начала обработки персональных данных (ч. 1 ст. 22 ФЗ «О персональных данных») — в электронной форме через официальный сайт Роскомнадзора или иным предусмотренным способом.

  5. При получении отказа в приёме уведомления или запроса о предоставлении дополнительных сведений — уточните замечания и представьте недостающую информацию в соответствии с требованиями Роскомнадзора.

  6. При привлечении к административной ответственности по ст. 13.11 КоАП РФ — вы вправе обжаловать постановление в суде по месту рассмотрения дела в установленном процессуальном порядке.