МИНИСТЕРСТВО ЦИФРОВОГО РАЗВИТИЯ, СВЯЗИ И МАССОВЫХ КОММУНИКАЦИЙ
РОССИЙСКОЙ ФЕДЕРАЦИИ

ФЕДЕРАЛЬНАЯ СЛУЖБА
ПО НАДЗОРУ В СФЕРЕ СВЯЗИ,
ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ
И МАССОВЫХ КОММУНИКАЦИЙ
(РОСКОМНАДЗОР)
Китайгородский проезд, д. 7, стр. 2, Москва, 109992
тел./факс: (495) 983-33-93; http://rkn.gov.ru/

02.11.2022 № 08-97513
На  
О результатах рассмотрения обращения 
		
Роскомнадзор рассмотрел Ваше обращение от 5.10.2022 № 02-11-37788 и сообщает следующее.
Согласно п. 4 ч. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ 
«О персональных данных» (далее – Закон № 152-ФЗ) автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
Исходя из указанного определения, обработка персональных данных работников организации в системе программ «1С», подпадает под определение автоматизированной обработки персональных данных.
Обращаем Ваше внимание, что виды деятельности, признаваемые как осуществляемые без использования средств автоматизации, регламентированы постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
Относительно хранения копий документов в личных делах сотрудников компании сообщаем, что в соответствии с ч. 1 ст. 4 Закона № 152-ФЗ законодательство Российской Федерации в области персональных данных состоит из настоящего федерального закона и других определяющих случаи и особенности обработки персональных данных федеральных законов.
Таким образом, если данное хранение в личных делах копий паспортов сотрудников, дипломов об образовании и ИНН, осуществляется в случаях, предусмотренных законодательством Российской Федерации, в том числе трудовым, социальным законодательством Российской Федерации, полагаем, что указанная деятельность не будет противоречить требованиям законодательства Российской Федерации в области персональных данных.
В соответствии ч. 1 ст. 9 Закона № 152-ФЗ сообщаем, что согласно 
ч. 1 ст. 9 Закона № 152-ФЗ субъект персональных данных принимает решение 
о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
Указанные положения направлены на обеспечение получения субъектом персональных данных информации об обработке персональных данных, включая цели обработки, а также случаях и о третьих лицах, которым могут быть предоставлены собираемые персональные данные. При этом не допускается наличие в тексте согласия положений, ограничивающих права и интересы граждан, включая установление срока согласия на неопределенный срок, возможности передачи персональных данных неопределённому круг лиц, а равно исключения возможности отказаться от предоставления согласия на обработку персональных данных в случаях, не относящихся к первоначальной цели их сбора.
В части подачи уведомления об обработке (о намерении осуществлять обработку) персональных данных (далее - Уведомление) сообщаем, что в связи с принятием Федерального закона от 14.07.2022 № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных», отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона «О банках и банковской деятельности» (далее – Закон № 266-ФЗ), в случае осуществления деятельности по обработке персональных данных самозанятых/индивидуальных предпринимателей, в том числе обработки персональных данных работников организации, независимо от количества сотрудников организации, не подпадающей под исключения ч. 2 ст. 22 Закона № 152-ФЗ, полагаем, оператору надлежит направить Уведомление в территориальное управление Роскомнадзора по месту нахождения.
Уведомление оператору необходимо направить в территориальный орган Роскомнадзора по форме, установленной в соответствии с приложением № 1 
к Методическим рекомендациям по уведомлению уполномоченного органа
о начале деятельности по обработке персональных данных и внесении изменений в ранее представленные сведения, утвержденных приказом Роскомнадзора от 30.05.2017 № 94 (далее - Рекомендации), в виде документа на бумажном носителе или в форме электронного документа.
Электронные формы Уведомления, и порядок его заполнения размещены на Портале персональных данных Роскомнадзора (https://pd.rkn.gov.ru/). На интернет-странице https://pd.rkn.gov.ru/operators-registry/notification/form/?form оператору предоставлена возможность сформировать Уведомление 
в электронной форме.
Направить сформированный документ в территориальный орган Роскомнадзора оператор вправе одним из следующих способов:
1. сформировать Уведомление и направить в бумажном виде;
2. сформировать Уведомление и направить в электронном виде с использованием усиленной квалифицированной электронной подписи;
3. сформировать Уведомление и направить в электронном виде с использованием средств аутентификации ЕСИА.
Обращаем Ваше внимание, что в случае, если произошли изменения в сведениях об операторе, содержащихся в реестре операторов, осуществляющих обработку персональных данных, до утверждения новых форм уведомлений, предусмотренных частями 1, 4.1 и 7 статьи 22 Закона № 152-ФЗ, оператор вправе заполнить форму уведомления о внесении изменений в ранее представленные сведения (далее – Информационное письмо) по форме, установленной в соответствии с приложением № 2 к Рекомендациям в виде документа на бумажном носителе или в форме электронного документа.
Электронная форма Информационного письма и порядок его заполнения также размещены на Портале персональных данных Роскомнадзора (https://pd.rkn.gov.ru/) на интернет-странице: https://pd.rkn.gov.ru/operators-registry/notification/updateform/. 
Необходимо отметить, что за нарушения в области персональных данных в части непредставления либо несвоевременного предоставления юридическим лицом Уведомления, а равно предоставления недостоверной информации, в том числе содержащейся в правовых основаниях обработки персональных данных, предусмотрена административная ответственность в соответствии с Кодексом Российской Федерации об административных правонарушениях 
(далее – КоАП РФ).
На основании ч. 1 ст. 14 Закона № 152-ФЗ субъект персональных данных вправе самостоятельно либо через своего представителя обратиться к оператору, осуществляющему обработку его персональных данных, или направить в его адрес соответствующий запрос в целях получения информации, касающейся обработки его персональных данных, в том числе информации о передаче персональных данных в адрес третьих лиц. 
Обращаем Ваше внимание, что направляемый в адрес оператора запрос должен быть оформлен в соответствии с требованиями, указанными в ч. 3 ст. 14 Закона № 152-ФЗ.
По вопросу утечек персональных данных сообщаем, что на основании 
ч. 3.1 ст. 21 Закона № 152-ФЗ в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:
1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
Сообщаем, что за нарушения в области персональных данных в части непредставления юридическим лицом уведомления об утечке персональных данных в вышеуказанные сроки предусмотрена административная ответственность в соответствии КоАП РФ.
Обращаем Ваше внимание, что вопросы обеспечения безопасности  персональных данных при их обработке, в том числе контроль за соблюдением требований безопасности относятся к компетенции Федеральной службы безопасности Российской Федерации и Федеральной службы по техническому и экспортному контролю Российской Федерации.
Относительно получения согласия на распространение персональных данных, сообщаем, что в соответствии с п. 5 ст. 3 Закона № 152-ФЗ распространение персональных данных – действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
Таким образом, в рассматриваемом случае действия, связанные с передачей персональных данных конкретному контрагенту на основании договора, не будут являться распространением персональных данных. Однако, обработка персональных данных в указанных случаях должна осуществляться 
с соблюдением иных требований Закона № 152-ФЗ, включая положения ст. 6 данного Закона № 152-ФЗ.
На основании ч. 1 ст. 18.1 Закона № 152-ФЗ оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей предусмотренных Законом № 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами, в частности назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных.
Таким образом, с учетом положений Закона № 152-ФЗ ответственным за организацию обработки персональных данных может быть назначено одно лицо, в том числе из числа работников организации (оператора), на которых возложены полномочия, предусмотренные ст. 22.1 Закона № 152-ФЗ.
По вопросу порядка заполнения графы «Правовое обоснование обработки персональных данных» при формировании Уведомления, считаем необходимым пояснить следующее.
Согласно п. 3.1.5 Методических рекомендаций по уведомлению уполномоченного органа о начале деятельности по обработке персональных данных и внесении изменений в ранее представленные сведения, утвержденных приказом Роскомнадзора от 30.05.2017 № 94 (далее – Методические рекомендации), рекомендуется указать весь перечень нормативных правовых актов, которые закрепляют основания и порядок обработки оператором персональных данных и соответствуют полномочиям оператора. Не рекомендуется указывать в качестве правового основания ч. 1 ст. 6 Закона
№ 152-ФЗ. Номер и наименование лицензии на осуществляемый вид деятельности (для лицензируемых видов деятельности) и пункт лицензионных условий, закрепляющий запрет на передачу персональных данных (или информации, касающейся субъектов персональных данных, при наличии такого запрета).

Начальник Управления по защите
прав субъектов персональных данных                                          Ю.Е. Контемиров