Краткий ответ
Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут Рекомендуемые действия
- 1Проведите аудит целей обработки данных сотрудников и контрагентов, чтобы подтвердить, что они подпадают под исключения из обязанности уведомления.
- 2Если обработка данных сотрудников ведется только в рамках трудовых отношений, уведомление в Роскомнадзор, вероятно, не требуется.
- 3Если данные контрагентов используются исключительно для исполнения договоров с ними, уведомление также может не требоваться.
- 4При обнаружении иных целей обработки (например, маркетинговые рассылки без согласия) подайте уведомление в Роскомнадзор до начала такой обработки.
- 5Скачайте форму уведомления и правила заполнения на официальном сайте Роскомнадзора.
- 6При сомнениях в наличии исключений обратитесь к адвокату по персональным данным для полноценного аудита.
Документы и доказательства
- Штатное расписание и трудовые договоры с сотрудниками — подтверждают обработку данных в рамках трудовых отношений.
- Договоры с контрагентами-физлицами и ИП — подтверждают цель обработки (исполнение договора).
- Письменные согласия на обработку персональных данных, если они оформлялись.
- Внутренние документы: положение об обработке персональных данных, приказ о назначении ответственного.
- Документы, подтверждающие цели обработки (например, договоры на маркетинговые рассылки, если такие ведутся).
- Переписка с Роскомнадзором (если была) по вопросам обработки персональных данных.
Срочно: первые шаги
- Срочно проанализируйте все цели обработки данных сотрудников и контрагентов.
- Проверьте, нет ли целей вне трудовых отношений и исполнения договоров (например, маркетинг).
- При обнаружении таких целей незамедлительно подайте уведомление в Роскомнадзор.
Сроки и риски
- Подача уведомления в Роскомнадзор обязательна только при целях обработки вне исключений (например, маркетинг).
- Для данных контрагентов при обработке только для исполнения договоров уведомление, вероятно, не требуется.
- Проведите аудит всех целей обработки данных, чтобы выявить не подпадающие под исключения.
- При обнаружении неуведомлённой обработки направьте уведомление незамедлительно, чтобы избежать штрафа до 300 000 рублей.
Обязанность уведомления об обработке персональных данных для малого бизнеса
Анализ вашей ситуации
Ваша организация обрабатывает персональные данные двух категорий:
- сотрудников (10 человек)
- контрагентов (как разовых, так и долгосрочных)
Ключевой вопрос — подпадает ли такая обработка под обязательное уведомление Роскомнадзора.
Применимые нормы законодательства
1. Основания для освобождения от уведомления
Согласно Федеральному закону "О персональных данных", уведомление не требуется в следующих случаях:
"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: [...] обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22, часть 2, пункт 9)
Для обработки данных сотрудников:
Обработка персональных данных работников обычно осуществляется в рамках трудовых отношений, что может подпадать под исключения, если соответствует критериям:
"обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 6, пункт 5 части 1)
Для обработки данных контрагентов:
Обработка данных контрагентов-физических лиц также может осуществляться без уведомления, если она связана с исполнением договоров.
2. Обязанность уведомления и сроки
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22, часть 1)
Если ваша обработка не подпадает под исключения, уведомление должно было быть направлено до начала обработки. Поскольку обработка уже ведется, уведомление следует направить незамедлительно.
3. Ответственность за нарушение
"Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на юридических лиц - от ста тысяч до трехсот тысяч рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11, часть 10)
Выводы и рекомендации
-
Для данных сотрудников: Вероятно, уведомление не требуется, так как обработка осуществляется в рамках трудовых отношений.
-
Для данных контрагентов: Если обработка осуществляется исключительно для исполнения договоров с физическими лицами (включая ИП), уведомление также может не требоваться.
-
Рекомендуется:
- Тщательно проанализировать все цели обработки персональных данных
- Если обнаружатся цели обработки, не подпадающие под исключения (например, маркетинговая рассылка без согласия), необходимо подать уведомление
- Форму уведомления и правила заполнения можно найти на официальном сайте Роскомнадзора
-
Если сомневаетесь: Обратитесь к адвокату, специализирующемуся на защите персональных данных, для проведения полноценного аудита обработки персональных данных в вашей организации.
Учитывая небольшую численность штата и характер обработки, высока вероятность, что ваша деятельность подпадает под исключения из обязанности уведомления. Однако окончательный вывод требует анализа конкретных целей и способов обработки данных.
Столкнулись с похожей ситуацией?
Подробно опишите детали,
и Нейроадвокат подберёт решение