Регистрация гостиницы как оператора персональных данных
Анализ ситуации
Ваша гостиница осуществляет сбор и обработку персональных данных клиентов (ФИО, паспортные данные, контактные телефоны, электронные адреса) через сайт бронирования. Даже если сбор осуществляется через сторонний сервис, вы определяете цели и состав обрабатываемых данных.
Правовой статус оператора
"оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)
Вы являетесь оператором персональных данных, поскольку определяете цели обработки (оформление бронирований, уведомления, внутренний учет) и состав обрабатываемых данных.
Обязанность уведомления Роскомнадзора
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Исключения из обязанности уведомления:
"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: ... 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Поскольку вы используете сайт для сбора данных, обработка осуществляется с использованием средств автоматизации, поэтому исключение не применяется.
Категории обрабатываемых данных
Вы обрабатываете паспортные данные, которые относятся к специальным категориям персональных данных. Обработка таких данных требует особых условий согласия и повышенных мер защиты.
Ответственность за нарушения
"Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на юридических лиц - от ста тысяч до трехсот тысяч рублей" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11)
Порядок регистрации
Для регистрации в качестве оператора персональных данных необходимо:
- Подготовить уведомление об обработке персональных данных
- Направить его в Роскомнадзор до начала обработки данных
Уведомление должно содержать:
"наименование (фамилия, имя, отчество), адрес оператора; цель обработки персональных данных; описание мер, предусмотренных статьями 18.1 и 19 настоящего Федерального закона; фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных; дата начала обработки персональных данных; срок или условие прекращения обработки персональных данных; сведения о наличии или об отсутствии трансграничной передачи персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Выводы и рекомендации
-
Вы обязаны уведомить Роскомнадзор о начале обработки персональных данных, поскольку:
- Вы являетесь оператором персональных данных
- Обработка осуществляется с использованием средств автоматизации
- Обрабатываются паспортные данные (специальные категории)
-
Необходимые действия:
- Подготовить и направить уведомление в Роскомнадзор
- Разработать политику в отношении обработки персональных данных
- Обеспечить получение согласий на обработку персональных данных от клиентов
- Заключить договор с компанией, предоставляющей услуги онлайн-бронирования, с указанием условий обработки данных
- Реализовать меры по защите персональных данных
-
Риски бездействия: административные штрафы до 300 000 рублей для юридических лиц, а также возможная уголовная ответственность при серьезных нарушениях.
Рекомендую обратиться к адвокату для помощи в подготовке полного пакета документов и обеспечения соответствия всем требованиям законодательства о персональных данных.
