База решений
и правовых актов

«

Комитет по информационной и правовой безопасности (далее - Комитет) уведомляет Вас, что по результатам анализа, проведенного в отношении оператора персональных данных [наименование хозяйствующего субъекта], выявлены несоответствия требованиям действующего законодательства в сфере защиты персональных данных, предусмотренных ч. 3, ч. 7 ст. 22, ч. 1 ст. 18.1 Федерального закона от 27.07.2006 г. № 152-ФЗ «О
персональных данных» (далее – Закон о персональных данных).

В соответствии пунктом 2 статьи 3 Закона о персональных данных, [наименование хозяйствующего субъекта] является оператором персональных данных, независимо от включения в реестр операторов, как и любой иной государственный орган, муниципальный орган, юридическое
 

»

«

лицо, индивидуальный предприниматель или физическое лицо обрабатывающие персональные данные в профессиональных целях.

В силу требований действующего законодательства, на [наименование хозяйствующего субъекта] возложена обязанность обработки персональных данных текущих и уволенных работников, включая руководителя организации, которым является [имя руководителя хозяйствующего субъекта], а также должностных лиц контрагентов и иных физических лиц, что в соответствии со ст. 3 п. 3 Закона о персональных данных является обработкой персональных данных.

В результате проведенного анализа по ИНН: [ИНН хозяйствующего субъекта] и сопоставления сведений об организационно-правовой форме и сфере деятельности, со сведениями, содержащимися в общедоступном реестре операторов, осуществляющих обработку персональных данных Роскомнадзора, представленные данные о [наименование хозяйствующего субъекта] являются недостаточными, поскольку не отвечают требованиям Приказа Роскомнадзора №180 от 28.10.2022 г. «Об утверждении новых форм уведомлений о намерении осуществлять обработку персональных данных», что является достаточным поводом для привлечения внимания инспектора Роскомнадзора, в соответствии с ч. 5 ст. 23 Закона о персональных данных.

Обращаем внимание, что несмотря на действующий мораторий в отношении плановых проверок на 2023 г., порядок проведения контрольно-надзорных мероприятий в сфере защиты персональных данных определен Постановлением Правительства Российской Федерации от 29 июня 2021г. № 1046, предусматривая следующие формы надзора: инспекционный визит, документарная проверка и выездная проверка.

Отсутствие принятых мер по обеспечению безопасности персональных данных в [наименование хозяйствующего субъекта] может повлечь за собой ответственность, в виде наложения административного штрафа на организацию, предусмотренную ст. 19.7 КоАП РФ - до 5 000 руб. и ст. 13.11 КоАП РФ - до 6 000 000 руб., в зависимости от количества выявленных нарушений при проведении контрольнонадзорных мероприятий.

На [дата] в [наименование хозяйствующего субъекта] должны быть приняты правовые, организационные и технические меры по обеспечению безопасности персональных данных, в соответствии с требованиями, предусмотренными ст. 18.1, ст. 19 Закона о персональных данных, включая разработку и издание комплекта организационно-распорядительной документации. В соответствии с требованиями ч. 7 ст. 22 Закона о персональных данных, [наименование хозяйствующего субъекта] обязано:

• провести аудит (внутренний контроль) соответствия обработки персональных данных требованиям, предусмотренным Законом о персональных данных и принятым в соответствии с ним нормативно-правовым актам на 2023 г.;

• определить цели и правовые основания обработки персональных данных, утвердить перечни обрабатываемых персональных данных,
 

»

«

способы, сроки их обработки и хранения, а также порядок их уничтожения. Обновить редакцию локальных нормативных актов в сфере обработки персональных данных;

• представить полные и достоверные сведения (в форме уведомления) в уполномоченный орган по защите прав субъектов персональных данных для внесения актуальной информации в реестр операторов персональных данных.

В качестве мер поддержки в отношении субъектов хозяйственной деятельности, уполномоченному представителю [наименование хозяйствующего субъекта] предлагается в срок 3 (трех) рабочих дней, с момента направления данного уведомления, получить меры поддержки в виде экспертного заключения об организации работы с персональными данными и рекомендации по устранению нарушений. Информация о мерах поддержки представлена при переходе на сайт Комитета - https://kpib.email, или при нажатии на кнопку «Получить поддержку».

»

«

В соответствии с ч. 1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон «О персональных данных») оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных ч. 2 указанной статьи.

Таким образом, в случае осуществления оператором обработки персональных данных, не подпадающей под указанные в ч. 2 ст. 22 Закона «О персональных данных» исключения, оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном ч. 3 ст. 22 Закона «О персональных данных».

Таким образом, в случае осуществления оператором обработки персональных данных, не подпадающей под указанные в ч. 2 ст. 22 Закона «О персональных данных» исключения, оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном ч. 3 ст. 22 Закона «О персональных данных».

Вместе с тем если сведения об операторе внесены в Реестр операторов, осуществляющих обработку персональных данных (далее – Реестр) в соответствии с порядком, установленным Методическими рекомендациями по уведомлению уполномоченного органа о начале деятельности по обработке персональных данных и внесении изменений в ранее представленные сведения, утвержденными приказом Роскомнадзора от 30.05.2017 № 94, то необходимо учесть, что в связи с принятием Федерального закона от 14.07.2022 № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных», в отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона «О банках и банковской деятельности» Роскомнадзором
 

»

«

издан приказ от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных» (далее – приказ Роскомнадзора № 180).

Наличие сведений в уведомлении об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, ранее указанных оператором в соответствии с требованиями Методических рекомендаций по уведомлению уполномоченного органа о начале деятельности по обработке персональных данных и внесении изменений в ранее представленные сведения, утвержденных приказом Роскомнадзора от 30.05.2017 № 94, но не соответствующих объему сведений, определенных приказом Роскомнадзора № 180, не является основанием для проведения Роскомнадзором внеплановой проверки в отношении юридического лица.

В соответствии с п. 39 Положения о федеральном государственном контроле (надзоре) за обработкой персональных данных, утверждённого постановлением Правительства Российской Федерации от 29.06.2021 № 1046 (далее – Положение), внеплановые проверки проводятся по основаниям, предусмотренным п.п. 1, 3-6 ч. 1 и ч. 3 ст. 57 Федерального закона от 31.07.2020 № 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации».

Кроме того, отсутствие в Реестре сведений о деятельности оператора, определенных приказом Роскомнадзора № 180, не является основанием для проведения мероприятий по контролю без взаимодействия с оператором.

Согласно п. 58 Положения мероприятия по контролю без взаимодействия с контролируемым лицом проводятся должностными лицами контролирующего органа (территориального органа) на основании заданий на проведение таких мероприятий, утверждаемых руководителем (уполномоченным заместителем руководителя) контролирующего органа (территориального органа).

На основании п. 60 Положения задание на проведение мероприятия по контролю без взаимодействия с контролируемым лицом выдается в случае:

а) наличия поручения Президента Российской Федерации, поручения Правительства Российской Федерации, а также руководителя контролирующего органа;

б) обращения государственного органа, муниципального органа, юридического лица, индивидуального предпринимателя, физического лица, публикации в средствах массовой информации и размещения в сети «Интернет» информации о нарушении прав и законных интересов субъекта (субъектов) персональных данных и (или) нарушении требований.

Дополнительно информируем, что указанная в письме ООО «Комитет по информационной и правовой безопасности» информация об ответственности оператора за невыполнение требований законодательства Российской Федерации в области персональных данных не соответствует действительности.

В частности, максимальный административный штраф в размере до 6 (шести) миллионов рублей предусмотрен ч. 8 ст. 13.11 Кодекса Российской Федерации об административных правонарушениях за невыполнение оператором при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», предусмотренной законодательством Российской Федерации в области персональных данных обязанности по обеспечению записи,
 

»

«

систематизации, накопления, хранения, уточнения (обновления, изменения), или извлечения персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

Указанная в письме информация о том, что оператором должны быть приняты правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии с требованиями, предусмотренными ст. 18.1, ст. 19 Закона «О персональных данных», включая разработку и издание комплекта организационно-распорядительной документации, а именно обязанность оператора в соответствии с требованиями ч. 7 ст. 22 Закона «О персональных данных» принять указанные меры в течение 10 (десяти) рабочих дней, не соответствует фактической действительности.

Согласно ч. 7 ст. 22 Закона «О персональных данных» в случае изменения сведений, указанных в ч. 3 указанной статьи, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган по защите прав субъектов персональных данных обо всех произошедших за указанный период изменениях, а также в случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты прекращения обработки персональных данных.

Таким образом, информация, указанная в письмах ООО «Комитет по информационной и правовой безопасности» не соответствует действительности

»

Руководитель

И.Е. Прохоров