Вопрос: Вправе ли управляющая организация обрабатывать персональные данные собственников и нанимателей помещений в многоквартирном доме без их согласия? Должен ли гражданин-инициатор общего собрания МКД направлять уведомление в Роскомнадзор о начале обработки персональных данных? (ответ службы Правового консалтинга ГАРАНТ, октябрь 2022 г.)

Нужно ли управляющей компании с 01.09.2022 получать согласие собственников помещений в МКД на обработку персональных данных? Необходимо ли инициатору общего собрания в МКД (собственнику помещения) получать согласие собственников помещений в МКД на обработку персональных данных и направлять Уведомление от своего имени в Роскомнадзор о намерении осуществлять обработку персональных данных?

1. В соответствии со ст. 6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) обработка персональных данных должна осуществляться с соблюдением принципов и правил, предусмотренных настоящим Федеральным законом. По общему правилу обработка персональных данных может осуществляться с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона N 152-ФЗ), а в отсутствие такого согласия - только в случаях, предусмотренных пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ. Отметим, что перечень исключений сформулирован законодателем исчерпывающим образом и расширительному толкованию не подлежит.

Приведенные нормы корреспондируются и с положениями ст. 7 Закона N 152-ФЗ, в силу которой операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Так, например, обработка персональных данных может осуществляться без согласия гражданина, если это необходимо для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 Закона N 152-ФЗ), а также для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона N 152-ФЗ).

Поскольку управляющую организацию и собственников помещений многоквартирного дома связывают договорные отношения (ст. 162 ЖК РФ), то в рамках исполнения своих функций, полномочий и обязанностей, установленных действующим законодательством и договором, она вправе обрабатывать персональные данные субъектов без их согласия, соблюдая при этом принципы обработки, изложенные в ст. 5 Закона N 152-ФЗ, и в том объеме, в котором это необходимо для достижения целей такой обработки (ч. 5 ст. 5 Закона N 152-ФЗ). Данный вывод подтверждает и судебная практика (смотрите определение СК по гражданским делам Седьмого кассационного суда общей юрисдикции от 22 июня 2022 г. по делу N 8Г-7764/2022[88-9175/2022], апелляционное определение Кемеровского областного суда от 15 февраля 2022 г. по делу N 33-1722/2022, решение Арбитражного суда Московской области от 23 июня 2021 г. по делу N А41-77488/2020).

Частью 3.1 ст. 45 ЖК РФ на управляющие организации, правление ТСЖ, жилищного или жилищно-строительного кооператива, иного специализированного потребительского кооператива (далее - управляющие организации) императивно возложена обязанность по ведению реестра собственников помещений в многоквартирном доме, который должен содержать сведения, позволяющие идентифицировать собственников помещений в данном многоквартирном доме:

1) фамилию, имя, отчество собственника или полное наименование и основной государственный регистрационный номер юридического лица, если собственником является юридическое лицо;

2) номер помещения в МКД, собственником которого является физическое или юридическое лицо;

3) сведения о размерах принадлежащих собственникам долей в праве общей собственности на общее имущество собственников.

При поступлении в управляющую организацию обращения в письменной форме, в том числе обращения с использованием ГИС ЖКХ, собственника или иного уполномоченного лица, по инициативе которых созывается общее собрание собственников помещений в многоквартирном доме, о предоставлении реестра собственников помещений лица, осуществляющие управление общим имуществом МКД, обязаны в течение пяти дней с момента получения такого обращения предоставить инициатору проведения общего собрания этот реестр. Согласие собственников помещений в многоквартирном доме на передачу персональных данных, содержащихся в реестре, при его предоставлении в порядке, установленном настоящей частью, в целях созыва и организации проведения общего собрания собственников помещений в многоквартирном доме не требуется.

Отметим, что отказ управляющей организации в предоставлении реестра собственников помещений для целей проведения общего собрания собственников помещений образует состав административного правонарушения, предусмотренного ч. 2 ст. 14.1.3 КоАП РФ как осуществление предпринимательской деятельности по управлению многоквартирными домами с нарушением лицензионных требований, т.к. согласно подп. "в" п. 3 Положения о лицензировании предпринимательской деятельности по управлению многоквартирными домами, утвержденного постановлением Правительства РФ от 28 октября 2014 г. N 1110, лицензионным требованием к лицензиату, помимо прочего, является соблюдение требований, предусмотренных ч. 3.1 ст. 45 ЖК РФ (смотрите, например, постановление Девятнадцатого арбитражного апелляционного суда от 7 апреля 2021 г. N 19АП-56/21 по делу N А14-12856/2020).

Таким образом, в силу прямого указания закона для предоставления сведений о собственниках помещений в многоквартирном доме в целях проведения общего собрания согласия последних на обработку их персональных данных не требуется (смотрите также письмо Роскомнадзора от 16 декабря 2021 г. N 08-85481).

2. В части, касающейся уведомления о начале обработки персональных данных, отметим следующее.

По общему правилу до начала обработки персональных данных оператор обязан уведомить об этом Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), направив соответствующее уведомление*(1) (ч. 1 ст. 22 Закона N 152-ФЗ).

При этом оператором персональных данных в контексте Закона N 152-ФЗ является в том числе и физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки, состав подлежащих обработке персональных данных и действия (операции), совершаемые с персональными данными (п. 2 ст. 3 Закона N 152-ФЗ). Исходя из определения, в качестве оператора будет выступать любое лицо, которое приняло решение осуществлять обработку персональных данных в своих интересах и имеет правовую и/или фактическую возможность определять цели и существенные условия такой обработки.

Мы не склонны считать, что физическое лицо - инициатор общего собрания собственников помещений в многоквартирном доме в полной мере соответствует критериям оператора персональных данных. Он не преследует собственной цели обработки персональных данных других собственников, его действия направлены на принятие коллективного решения, отнесенного к исключительной компетенции общего собрания как органа управления многоквартирным домом, в интересах всех собственников или их части. Равным образом он самостоятельно не определяет состав подлежащих обработке персональных данных и действия (операции), совершаемые с персональными данными, поскольку весь алгоритм созыва, проведения и оформления принятия решений на общем собрании собственников детально регламентированы действующим законодательством и общим собранием собственников. Однако не исключено, что специалисты Роскомнадзора придерживаются иного мнения. Косвенно это подтверждено в письме Роскомнадзора от 16 сентября 2022 г. N 08-84259, хотя утвердительного ответа, что инициатор общего собрания является оператором персональных данных, в данном письме не содержится.

Из положений ч. 2 ст. 22 Закона N 152-ФЗ следует, что с 1 сентября 2022 г. оператор вправе осуществлять без уведомления Роскомнадзора обработку персональных данных только в следующих случаях:

- если обрабатываются персональные данные, включенные в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

- если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации.

На этом основании, полагаем, если предположить, что инициатор общего собрания приобретает статус оператора персональных данных, то направлять уведомление в Роскомнадзор не требуется при условии, что общее собрание проводится с использованием ГИС ЖКХ (ст. 47.1 ЖК РФ, Федеральный закон от 21 июля 2014 г. N 209-ФЗ "О государственной информационной системе жилищно-коммунального хозяйства") либо вся документация, относящаяся к конкретному собранию, оформляется в ручном режиме без использования средств автоматизации (смотрите Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденное постановлением Правительства РФ от 15 сентября 2008 г. N 687).

Ответ подготовил:

Эксперт службы Правового консалтинга ГАРАНТ

Амирова Лариса

Ответ прошел контроль качества

24 октября 2022 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг. Для получения подробной информации об услуге обратитесь к обслуживающему Вас менеджеру.

-------------------------------------------------------------------------

*(1) Смотрите материал: Энциклопедия решений. Направление уведомления в Роскомнадзор о начале обработки персональных данных.