Подача уведомления в Роскомнадзор — нужно ли это всем?

Скоро будут существенно увеличены штрафы за отсутствие уведомления о начале обработки персональных данных.

Все те самозанятые, ИП, которые заключают договоры с клиентами, озадачились справедливым вопросом:

«А надо ли подавать уведомление в РКН?»

Закон «О персональных данных» действительно допускает исключения (п. 2 ст. 22). Одно из них — случай, когда оператор осуществляет обработку ПД исключительно без использования средств автоматизации.

В законе прямого ответа нет. Есть определение: Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники. ( Пункт 4 ст. 3);

Но есть Постановление Правительства РФ от 15.09.2008 №687, в котором говорится, что обработка считается неавтоматизированной, если осуществляется при непосредственном участии человека.

Если данные обрабатываются на компьютере, но вручную, с участием человека — это автоматизация или нет?

Я нашёл дело (А40-12676/2024), где СНТ оспаривало письмо РКН с требованием подать уведомление обо всех видах деятельности по обработке персональных данных. У СНТ был сайт, на котором, видимо, размещалась форма сбора данных о членах.

Суд первой инстанции отказал в иске, а вот апелляция его удовлетворила.

• Таким образом, обработка персональных данных (сбор персональных данных) с использованием сайта в сети «Интернет» не приравнивается к использованию средств автоматизации, а по смыслу приведенных положений применение вычислительной техники при обработке персональных не относится к использованию средств автоматизации, если такая обработка осуществляется непосредственно человеком.

• Решающую роль при определении использования средств автоматизации имеет не то, каким образом, персональные данные получены, а то каким образом осуществляется их обработка.

• Вывод использовании средств автоматизации основан лишь на том обстоятельстве, что сбор персональных данных осуществляется с помощью вычислительной техники через сайт в информационно-телекоммуникационной сети Интернет, однако каких-либо доказательств, подтверждающих, что товариществом используется программа, осуществляющая обработку персональных данных в автоматизированном режиме без участия человека, материалы дела не содержат.

Источник: Постановление 9ААС от 19.11.2024 по делу № А40-12676/24

Получается, что суд пришёл к выводу о том, что если в процесс обработки вмешивается человек, то даже заполнение формы не сайте не означает автоматизированный процесс сбора персональных данных.

Кроме того, способ получения персональных данных не обозначает их автоматизированную обработку.

Кассация отменила постановление апелляции, но при этом:

1. Согласилась с выводом, что обработка была неавтоматизированной;

2. Указала, что РКН направил информационное письмо, а не предписание. А направлять письма никто запретить не может, поэтому и отмена.

Ключевой правовой тезис фактически остался в силе. СНТ, кстати, обратилось в Верховный Суд, так что ставьте дело на отслеживание.

Честно? Итог всё ещё неясен. Единого понимания, где грань между автоматизированной и неавтоматизированной обработкой, нет.

Я перечитал самые разные комментарии по этой теме, почти все юристы стараются высказываться очень осторожно (Будьте осторожны и вы). Большинство делают оговорки, официальной позиции инициатора истории нет.

Есть основания полагать, что трактовать будет сам РКН, что потом может стать единым подходом (а может не стать, не забываем, что государственные органа не обладают правом на толкование закона, в отличие от суда).

Кстати, если вы подадите уведомление в РКН, то все сведения, которые укажете о себе (включая адрес, вид деятельности и даже номер квартиры) станут доступными по запросу любого пользователя. Такие вот дела.

Призываю каждого, кто обдумывают вопрос о подаче уведомления, принимать решение с учётом возможных рисков.