На этой неделе к нам обратилось за помощью частное охранное предприятие. В ЧОП поступило требование из Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций об обязанности уведомления об обработке (о намерении осуществлять обработку) персональных данных.
Прежде чем мы рассмотрим содержание требования. Напомню, что согласно статье 22 Федерального закона №152-ФЗ от 27 июля 2006 г. «О персональных данных» (далее Федеральный закон №152-ФЗ) оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении осуществлять обработку персональных данных. Но из этого правила есть исключения, предусмотренные пунктом 2 статьи 22 Федерального закона №152-ФЗ.
Оператором может быть юридическое лицо или индивидуальный предприниматель, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Теперь рассмотрим, текст требования Роскомнадзора. Из письма следует, что использование личных данных работников (фамилия, имя, отчество, адрес, паспортные данные), сбор анкет (резюме) кандидатов на работу, направлением третьим лицам (органам) списков сотрудников при оформлении им медицинских полисов, перечисление денежных средств на зарплатные счета, предоставление в военный комиссариат списков военнообязанных сотрудников, сбор и использование персональных данных клиентов и т.д., в соответствии с пунктом 3 статьи 3 Федерального закона №152-ФЗ от 27 июля 2006 г. «О персональных данных».
Частная охранная деятельность предполагает осуществление в том числе пропускного режима на территорию посредством СКУД, а также выдача пропусков. Предполагается наличие договоров с организациями, в рамках которых представляются списки третьих лиц. При этом ведется сбор персональных данных без заключения договора напрямую с субъектом.
Что такое СКУД.
Система контроля и управления доступом – совокупность средств контроля и управления доступом, обладающих технической, информационной, программной и эксплуатационной совместимостью (п. 3.28 ГОСТ Р 51241-2008 «Средства и системы контроля и управления доступом. Классификация. Общие технические требования. Методы испытаний»). СКУД классифицируют по: способу управления; числу контролируемых точек доступа; функциональным характеристикам; уровню защищенности системы от несанкционированного доступа к информации.
По способу управления СКУД подразделяют на:
- автономные - для управления одним или несколькими УПУ без передачи информации на центральное устройство управления и контроля со стороны оператора;
- централизованные (сетевые) - для управления УПУ с обменом информацией с центральным пультом и контролем и управлением системой со стороны центрального устройства управления;
- универсальные (сетевые) - включающие в себя функции как автономных, так и сетевых систем, работающие в сетевом режиме под управлением центрального устройства управления и переходящие в автономный режим при возникновении отказов в сетевом оборудовании, центральном устройстве или обрыве связи.
Как правило информационные системы СКУД содержат биометрические персональные данные, которые позволяют установить личность субъекта и с этой целью используются оператором:
- физиологические параметры (дактилоскопические данные, радужная оболочка глаз, анализы ДНК и др.);
- иные физиологические или биологические характеристики человека, в том числе его изображения (фотография и видеозапись).
В отношении изображений (фотографий и видеозаписей) человека отдельно следует отметить, что не все фотографии и видеозаписи, на которых изображены люди, будут являться их персональными данными. Биометрическими персональными данными являются следующие фотоизображения:
- цветное цифровое фотографическое изображение лица владельца документа, записываемое на электронные носители информации, содержащееся в основных документах, удостоверяющих личность гражданина РФ, по которым граждане РФ осуществляют выезд из Российской Федерации и въезд в Российскую Федерацию (в соответствии с Перечнем персональных данных, записываемых на электронные носители информации, содержащиеся в основных документах, удостоверяющих личность гражданина Российской Федерации, по которым граждане Российской Федерации осуществляют выезд из Российской Федерации и въезд в Российскую Федерацию, утвержденным постановлением Правительства РФ от 04.03.2010 г. №125);
- фотографические изображения сотрудников, посетителей организаций, содержащиеся в СКУД, поскольку характеризуют физиологические и биологические особенности человека, позволяющие установить, принадлежит ли данному лицу предъявляемый СКУД пропуск, на основе которых можно установить его личность путем сравнения фото с лицом предъявителя пропуска и указываемых владельцем пропуска фамилии, имени и отчества с указанными в СКУД, и эти данные используются оператором для установления личности субъекта персональных данных в случае сомнения в том, что пропуск предъявляется его действительным владельцем;
- фотографическое изображение и иные сведения, используемые для обеспечения однократного и (или) многократного прохода на охраняемую территорию и установления личности гражданина.
Аналогичные разъяснения дает Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций по вопросам отнесения фото-, видеоизображений, дактилоскопических данных и иной информации к биометрическим персональным данным и особенностей их обработки в письме от 30 августа 2013 года.
Осуществляя обработку персональных данных, согласно п. 2 ст. 3 Федерального закона №152-ФЗ частное охранное предприятие (далее ЧОП) является оператором, осуществляющим обработку персональных данных. В соответствии с ч. 1 ст. 22 Федерального закона №152-ФЗ оператор до начала обработки персональных данных обязан уведомить уполномоченный орган о своем намерении осуществлять обработку персональных данных. Мы помогли обратившемуся к нам частному охранному предприятию составить уведомление и направить его в Управление Роскомнадзора.
Автор: Харисов Игорь Фанзилович, руководитель компании Ю-ПИТЕР КОНСАЛТИНГ. Телефон +7(952) 045-74-83 Почта info@law115.ru
Комментариев пока нет