Обязанности по уведомлению Роскомнадзора при обработке персональных данных в переводческой деятельности

Обработка персональных данных в бюро переводов и уведомление Роскомнадзора

Анализ ситуации

Деятельность бюро переводов, связанная с обработкой персональных данных сотрудников (кадровый учет) и клиентов (работа с документами, содержащими личную информацию), является обработкой персональных данных в соответствии с законодательством РФ.

Правовое регулирование

Что признается обработкой персональных данных

"обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 3)

"персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 3)

"оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 3)

Обязанность уведомления Роскомнадзора

"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 22)

"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: ... 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 22)

Содержание уведомления

"Уведомление должно содержать следующие сведения: 1) наименование (фамилия, имя, отчество), адрес оператора; 2) цель обработки персональных данных; ... 7) описание мер, предусмотренных статьями 18.1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств; 7.1) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты; 8) дата начала обработки персональных данных; 9) срок или условие прекращения обработки персональных данных; 10) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки; 10.1) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации; 11) сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 22)

"При предоставлении сведений, предусмотренных частью 3 настоящей статьи, оператор для каждой цели обработки персональных данных указывает категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ, статья 22)

Ответственность за нарушение

"Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на юридических лиц в размере от ста тысяч до трехсот тысяч рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11)

Выводы и рекомендации

1. Обязанность уведомления

Бюро переводов ОБЯЗАНО направить уведомление в Роскомнадзор, поскольку:

• Обработка персональных данных сотрудников и клиентов осуществляется с использованием средств автоматизации (компьютеры, базы данных)
• Деятельность не подпадает под исключения, предусмотренные законом

2. Содержание уведомления

В уведомлении необходимо указать:

Для каждой цели обработки отдельно:

• Цели обработки: "Выполнение договоров с клиентами", "Кадровый учет сотрудников"
• Категории данных:
  • Для клиентов: паспортные данные, контактная информация, данные из договоров
  • Для сотрудников: персональные данные, необходимые для трудовых отношений
• Категории субъектов: "Клиенты", "Сотрудники"
• Правовые основания: "Договор", "Трудовой договор"
• Перечень действий: сбор, запись, хранение, использование, передача, уничтожение
• Способы обработки: автоматизированные, смешанные

Общие сведения:

• Полное наименование и адрес бюро переводов
• Данные ответственного за обработку персональных данных
• Дата начала обработки
• Срок или условие прекращения обработки
• Сведения об отсутствии трансграничной передачи
• Место нахождения базы данных
• Описание мер защиты персональных данных

3. Ключевые рекомендации

• Описывайте ВСЕ случаи обработки персональных данных в уведомлении
• Для каждой цели обработки указывайте полный перечень требуемых сведений
• Используйте установленные Роскомнадзором формы уведомлений
• Назначьте ответственного за организацию обработки персональных данных
• Разработайте и опубликуйте политику в отношении обработки персональных данных

Важно: При изменении сведений, указанных в уведомлении, необходимо уведомить Роскомнадзор обо всех изменениях не позднее 15-го числа следующего месяца.

Рекомендую обратиться к адвокату, специализирующемуся на защите персональных данных, для подготовки полного пакета документов и минимизации рисков административной ответственности.