Должен ли репетитор-самозанятый уведомлять Роскомнадзор об обработке персональных данных учеников?
На основе предоставленного описания и норм закона, разберем вашу ситуацию.
Анализ ситуации
Вы как физическое лицо, осуществляющее деятельность в качестве самозанятого репетитора, собираетесь использовать персональные данные учеников (ФИО, номера телефонов, адреса электронной почты). Ваши действия — сохранение контактов в смартфоне, их использование для связи в мессенджерах и для отправки финансовых документов — подпадают под понятие обработки персональных данных.
"обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ)... уничтожение персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)
Организуя и осуществляя такую обработку для целей своей профессиональной деятельности, вы становитесь оператором персональных данных.
"оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных..." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3)
Применимые нормы и исключения
Закон устанавливает два ключевых условия, которые могут освободить вас от обязанности направлять уведомление в Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных).
-
Исключение для личных и семейных нужд. Данное исключение к вашей ситуации, скорее всего, не подходит.
"Действие настоящего Федерального закона не распространяется на отношения, возникающие при: обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 1)
Поскольку вы обрабатываете данные в рамках предпринимательской (профессиональной) деятельности для получения дохода, эта деятельность не может быть квалифицирована как "исключительно для личных и семейных нужд".
-
Исключение для обработки БЕЗ использования средств автоматизации. Это ключевой пункт для вашего случая. Закон прямо предусматривает право оператора обрабатывать данные без уведомления, если обработка ведется без средств автоматизации.
"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Вопрос о "средствах автоматизации" является центральным. Важно понимать, что под средствами автоматизации понимаются не только базы данных, но и любое программное обеспечение или техническое средство, выполняющее операции с данными по заданному алгоритму.
- Телефонная книга в смартфоне и мессенджеры (WhatsApp, Telegram) — это программные средства, которые могут считаться средствами автоматизации для хранения, поиска и использования контактов.
- Приложение для налогового учета также является средством автоматизации.
Следовательно, есть существенный риск, что Роскомнадзор и суды могут признать хранение данных в смартфоне и их использование в приложениях как обработку с использованием средств автоматизации. В этом случае исключение из статьи 22 перестает действовать, и обязанность по уведомлению может возникнуть.
Выводы и рекомендации
-
Статус оператора. Вы являетесь оператором персональных данных, так как организуете и осуществляете их обработку для целей своей профессиональной деятельности.
-
Обязанность по уведомлению Роскомнадзора.
- С формально-буквальной точки зрения и при наиболее осторожном (риск-ориентированном) подходе, вероятно, вы обязаны направить уведомление. Это связано с использованием смартфона и приложений, которые могут быть расценены как средства автоматизации, что выводит обработку из-под действия исключения, предусмотренного п. 8 ч. 2 ст. 152-ФЗ.
- На практике многие самозанятые и микропредприниматели, работающие в аналогичном режиме, могут не направлять уведомление, полагаясь на буквальное толкование ("никаких баз данных нет"). Однако это создает для вас правовой риск.
-
Иные обязанности оператора. Независимо от необходимости уведомления, как оператор вы обязаны соблюдать все требования закона:
- Получать согласие учеников (или их законных представителей) на обработку их персональных данных, за исключением случаев, когда обработка необходима для исполнения договора, стороной которого является субъект данных (ч. 1 ст. 6 152-ФЗ). В вашем случае для заключения и исполнения договора на оказание образовательных услуг такое согласие, скорее всего, необходимо в письменной или иной фиксируемой форме.
"Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9)
- Обеспечивать конфиденциальность и безопасность данных.
- Обрабатывать данные только в заявленных целях и уничтожать их по достижении этих целей.
Конкретные рекомендации:
- Оцените риск. Если вы работаете с небольшим кругом лиц и не планируете масштабироваться, риск привлечения к ответственности за отсутствие уведомления может быть низким, но он существует.
- Заручитесь согласием. В первую очередь подготовьте и получите от всех учеников (родителей) простое письменное согласие на обработку их персональных данных для целей организации обучения и расчетов. Это обязательное требование, нарушение которого влечет более серьезные риски, чем отсутствие уведомления.
- Примите решение об уведомлении. Для полного соблюдения закона и минимизации рисков рекомендуется подать уведомление в Роскомнадзор. Процедура является бесплатной.
- Обратитесь к адвокату. Для получения окончательного и точного ответа, учитывающего все нюансы (например, является ли конкретно ваш смартфон "средством автоматизации" в данном контексте), целесообразно получить консультацию адвоката, специализирующегося на информационном праве и защите персональных данных.
