Постановка на учет в Роскомнадзоре

О включении в реестр операторов, осуществляющих обработку персональных данных

Статьей 13.11 КоАП РФ предусматривается административная ответственность за 7 (семь) конкретных нарушений законодательства о персональных данных. Прошлая редакция ст. 13.11 КоАП РФ была абстрактной и не перечисляла конкретных нарушений. Но кроме конкретизации новая редакция статьи 13.11 КоАП установила и новые высокие административные штрафы до 70 000 рублей.

В связи с увеличением административной ответственности целесообразно привести в порядок свои документы по персональным данным и встать на специальный учет в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – Роскомнадзор) в реестр операторов, осуществляющих обработку персональных данных. Между тем, до увеличения административной ответственности к вопросу о постановке на учет в Роскомнадзор все подходили формально, в том числе должностные лица территориальных подразделений Роскомнадзора. Этот формальный подход объясняется тем, что часть 2 статьи 22 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее Закон №152-ФЗ) при перечислении случаев, когда обработка персональных данных может производиться без уведомления Роскомнадзора, называет три основных случая, когда можно осуществлять обработку персональных данных без уведомления Роскомнадзора:

1. обработка персональных данных, включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
2. оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
3. обработка персональных данных в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

Что понимается под обработкой персональных данных без использования средств автоматизации. Предлагаю разобраться с этим термином «без использования средств автоматизации». Многим приходилось слышать такие термины, как автоматизированная и неавтоматизированная обработка персональных данных, но подробных нормативных определений этих терминов в законодательстве России о персональных данных мы, к сожалению, не найдем. Это при том, что при современной распространенности электронно-вычислительной техники она практически повсеместно задействована в обработке персональных данных.

Единственным документом, который регулирует обработку персональных данных без использования средств автоматизации является Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным постановлением Правительства РФ от 15.09.2008 №687 (далее Положение №687). При чтении указанного нормативного документа можно прийти к выводу, что если средства автоматизации при обработке персональных данных не используются, уведомление об обработке персональных данных подавать в Роскомнадзор не нужно (при соблюдении особенностей организации обработки данных, установленных в разделе II Положения №687).  Так, согласно п. 1 Положения считается неавтоматизированной обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из нее, если такие операции с персональными данными, как использование, уточнение, распространение, уничтожение (в отношении каждого из субъектов персональных данных), осуществляются при непосредственном участии человека. Кроме того, обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что эти данные содержатся в информационной системе персональных данных либо извлечены из нее (п. 2 Положения №687). Таким образом, как мы видим, Положение №687 рассматривает средства автоматизации и информационную систему как единое целое. Именно текст пункта 2 Положения №687 послужил причиной вышеуказанного формального подхода к вопросу о постановке на специальный учет в Роскомнадзор. Потому что, исходя из его буквального толкования следует вывод, что если персональные данные, допустим, содержатся  в офисных программах Microsoft Office  (например, Windows, Word, Exsel), которые установлены на вычислительной технике, компьютере, ЭВМ, ноутбуке то, соответственно никаких действий по постановке на учет в Роскомнадзор совершать не нужно. Но, это неверное утверждение. 

27 июля 2011 года вступил в силу Федеральный закон от 25.07.2011 №261-ФЗ который ввел четкое нормативное определение термина «автоматизированная обработка персональных данных». Согласно п. 4 ст. 3 Закона №152-ФЗ под автоматизированной обработкой персональных данных понимается обработка персональных данных с помощью средств вычислительной техники.

Что понимается под «средствами вычислительной техники или СВТ». В российском законодательстве конкретного определения этого термина мы не нашли. Но, например, решение Комиссии Таможенного союза от 07.04.2011 N 620 «О новой редакции Единого перечня продукции, подлежащей обязательной оценке (подтверждению) соответствия в рамках Таможенного союза с выдачей единых документов, утвержденного Решением Комиссии Таможенного союза от 18 июня 2010 года №319» содержит следующее определение СВТ: «Машины вычислительные электронные персональные и связанные с ними оборудование: машины вычислительные персональные и связанное с ними оборудование, оборудование подготовки, обработки и хранения данных (системные блоки), принтеры, мониторы, сканеры».

Приведенные в п. 1 Положения №687 критерии недостаточно конкретны для разграничения на практике случаев, при которых подача уведомления для обработки персональных данных с применением средств вычислительной техники или средств автоматизации требуется или не требуется.

Таким образом, при решении вопроса о постановке на специальный учет нужно руководствоваться определением автоматизированной обработки персональных данных, содержащегося в п. 4 ст. 3 Закона №152-ФЗ. То есть, если оператор использует ноутбук, принтер, компьютер и другие средства вычислительной техники, то ему нужно встать на учет в Роскомнадзор. 

Как узнать состоит ли организация или индивидуальный предприниматель на учете в Роскомнадзоре?

Вам необходимо войти на официальный сайт Роскомнадзора, выбрать раздел «Персональные данные» - «Реестр операторов персональных данных». Нужно ввести ИНН оператора и результат поискового запроса отобразится у Вас на экране.

Сообщите нам о своем намерении встать на специальный учет в Роскомнадзор и наш специалист объяснит Вам какая информация потребуется от Вас для составления уведомления и оказания услуги.