Вопрос: Бизнес-центр предполагает введение пропускного режима для арендаторов и их работников. Предполагается выдача пропусков, содержащих только фамилии, имена и отчества работников. Необходимо ли в данном случае подавать уведомление в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций о начале обработки персональных данных? Необходимо ли уведомление в случае, если работникам будут выдаваться обезличенные магнитные карты? (ответ службы Правового консалтинга ГАРАНТ, август 2015 г.)

Бизнес-центр предполагает введение пропускного режима для арендаторов и их работников.

Предполагается выдача пропусков, содержащих только фамилии, имена и отчества работников.

Необходимо ли в данном случае подавать уведомление в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций о начале обработки персональных данных?

Необходимо ли уведомление в случае, если работникам будут выдаваться обезличенные магнитные карты?

Рассмотрев вопрос, мы пришли к следующему выводу:

Если при организации пропускного режима в бизнес-центре обрабатываться будут только фамилии, имена и отчества арендаторов и их работников, то уведомлять Роскомнадзор о начале такой обработки оператор не обязан. Выдача этим лицам обезличенных магнитных пропусков также не влечет обязанности по уведомлению Роскомнадзора.

Обоснование вывода:

Отношения, связанные с обработкой персональных данных, регулируются Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ). Этот закон распространяется на любые отношения, связанные с обработкой персональных данных*(1), осуществляемой в том числе юридическими лицами, за исключением отношений, поименованных в ч. 2 ст. 1 Закона N 152-ФЗ.

Согласно п. 1 ст. 3 Закона N 152-ФЗ к персональным данным относится любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных). То есть это всевозможные сведения, по которым можно определить (идентифицировать) конкретное физическое лицо.

Организации, являющиеся операторами персональных данных*(2), должны выполнять обязанности и принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения, предусмотренные главой 4 Закона N 152-ФЗ.

Одной из обязанностей оператора является направление уведомления в уполномоченный орган по защите прав субъектов персональных данных - Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) до начала обработки персональных данных (ч. 1 ст. 22 Закона N 152-ФЗ). При этом в ч. 2 ст. 22 Закона N 152-ФЗ приведен исчерпывающий перечень ситуаций, когда направлять уведомление не нужно. В частности, уведомлять уполномоченный орган не требуется, если обрабатываемые сведения включают в себя только фамилии, имена и отчества субъектов персональных данных (п. 5 ч. 2 ст. 22 Закона N 152-ФЗ), а также в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях (п. 6 ч. 2 Закона N 152-ФЗ).

Поскольку в рассматриваемой ситуации при организации пропускного режима обрабатываться будут только фамилии, имена и отчества арендаторов и их работников, то уведомлять Роскомнадзор о начале такой обработки оператор не обязан. Выдача этим лицам обезличенных магнитных пропусков не является основанием для направления уведомления в Роскомнадзор, т.к. такие пропуска никакой информации, позволяющей идентифицировать субъекта персональных данных, не содержат.

К сведению:

Обращаем внимание, что даже если оператор не обязан уведомлять уполномоченный орган о начале обработки персональных данных, то при получении запроса от территориального органа Роскомнадзора он обязан предоставить необходимую информацию в течение тридцати дней с даты получения такого запроса (ч. 4 ст. 20 Закона N 152-ФЗ). Невыполнение в установленный законом срок подобного требования может повлечь привлечение оператора персональных данных к административной ответственности по ст. 19.7 КоАП РФ, поскольку право оператора осуществлять обработку персональных данных без уведомления территориального органа Роскомнадзора не освобождает его от исполнения запроса уполномоченного органа в порядке и сроки, установленные законом (смотрите, к примеру, решение Советского районного суда Ханты-Мансийского автономного округа - Югры от 05.03.2013 по делу N 12-36/2013, решение Ломоносовского районного суда г. Архангельска от 10.04.2012 по делу N 12-195/2012).

Ответ подготовил:

Эксперт службы Правового консалтинга ГАРАНТ

Амирова Лариса

Ответ прошел контроль качества

3 августа 2015 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг. Для получения подробной информации об услуге обратитесь к обслуживающему Вас менеджеру.

-------------------------------------------------------------------------

*(1) Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона N 152-ФЗ).

*(2) Оператором персональных данных, как следует из п. 2 ст. 3 Закона N 152-ФЗ, является лицо, в том числе юридическое, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. При этом лицо признается оператором персональных данных вне зависимости от какой-либо регистрации, наличия или отсутствия специальных разрешений и т.п., а в силу самого факта осуществления им деятельности по обработке персональных данных.