В каких случаях самозанятый должен подавать уведомление в Роскомнадзор?

Относятся ли самозанятые лица к операторам персональных данных? Когда нужно заручаться согласием на обработку персональных данных? В каких случаях нужно уведомлять Роскомнадзор и как это сделать? Можно ли избежать этой обязанности?

Самозанятые лица, которые работают с персональными данными (по тексту - ПД) своих заказчиков, должны пройти регистрацию в Роскомнадзоре и подать уведомление об обработке ПД. В ряде случаев самозанятому лицу не нужно подавать уведомление.

Какие сведения относятся к ПД?

Под ПД понимается любая информация, которая прямо или косвенно относится к определенному физическому лицу (ст.3 Федерального закона от 27.07.2006 г. №152-ФЗ).

Такую информацию люди оставляют в банках, государственных учреждениях, в интернет-магазинах, при заполнении анкет в центрах красоты, в салонах по продаже автомобилей.

ПД условно разделяют на 4 группы (постановление Правительства РФ от 01.1.2012 г. №1119):

• общие данные: ФИО, адрес проживания, электронная почта, серия и номер паспорта, дата и место рождения, семейное, социальное, имущественное положение, образование, профессия, доходы;
• специальные: политические пристрастия, национальность, вероисповедание, сведения о болезнях;

Например, медицинская карта человека.

• биометрические: физиологические особенности человека.

Например, описание дактилоскопии – отпечатков пальцев конкретного человека. 

• прочие: ПД, которые не вошли в первые три группы.

Всегда ли самозанятые должны получать согласие на обработку ПД?

Самозанятые граждане, как правило, становятся операторами ПД, если заказчики или клиенты оставляют сведения, по которым их можно идентифицировать. Самозанятый эти данные собирает, систематизирует, хранит, передает и использует в своих целях.

Например, фотограф, специалист по маникюру, маркетолог при взаимодействии со своими клиентами – физическими лицами используют их ПД. Визажист собирает данные о своих клиентах и потом делает рассылки по их электронным адресам. У самозанятого мастера по маникюру может быть свой сайт, на котором публикуются его работы с фото, под которыми размещены фамилия и имя клиента.

Отзывы с информацией о заказчиках относятся к распространению ПД. Поэтому самозанятому нужно получать согласие на их публикацию (п.1 ст.10.1 Федерального закона от 27.07.2006 г. №152-ФЗ).

Зачастую самозанятые публикуют отзывы в виде скриншотов с фотографией с указанием фамилии и имени клиента. Такая информация также относится к ПД. Для ее размещения нужно получить согласие на обработку ПД.

Иное дело, если под отзывами не будут указаны персональные сведения, а внизу поставлена подпись «отзыв одного из заказчиков». В этом случае не нужно заручаться согласием на обработку ПД.

В каких случаях самозанятый может не уведомлять Роскомнадзор?

По общему правилу, самозанятые лица наряду с другими операторами ПД, обязаны подавать уведомление в Роскомнадзор об обработке ПД.

Однако в ряде случаев самозанятые освобождены от этой обязанности (пп.8 п.2 ст. 22 Федерального закона от 27.07.2006 г. №152-ФЗ). Например, если самозанятый осуществляет деятельность по обработке ПД исключительно без использования средств автоматизации.

Для того чтобы понять, когда самозанятый может игнорировать подачу уведомления, нужно разобраться с вопросом: использует он или нет в своей работе средства автоматизации.

Автоматизированная обработка - это обработка ПД с помощью средств вычислительной техники (п.4 ст.3 Федерального закона от 27.07.2006 г. №152-ФЗ).

Ярким примером такой обработки является использование CRM-системы, которая позволяет структурировать данные о клиентах и помогает контролировать продажи.

К автоматической обработке также относится осуществление оплаты через интернет, сбор данных клиентов через гугл или яндекс формы, ведение учета клиентской базы в различных программах, сайты с личный кабинетом, социальные сети, где осуществляется запись клиентов на ту или иную услугу.

Самозанятые лица в своей работе могут использовать различные сервисы доставки заказов. В этом случае курьерам также передаются персональные сведения заказчиков.

Обработка без применения средств автоматизации - это действия с ПД, которые осуществляются при непосредственном участии человека.

Несмотря на то, что в век цифровых технологий, когда многие процессы оцифрованы, на практике такие случаи довольно часто встречаются.

Например, ведение бумажной картотеки клиентов - физических лиц или иных систематизированных собраниях ПД (постановление АС Центрального округа от 07.07.2020 г. №А83-12510/2018).

Запись клиентов - физических лиц осуществляется без использования онлайн-регистрации, и клиенты оставляют свои ПД только в бумажном информационном согласии.

Таким образом, если все ПД хранятся на бумаге и никак не переносятся для обработки вычислительной техникой, то Роскомнадзор можно не уведомлять.

Как зарегистрироваться в Роскомнадзоре?

Роскомнадзор для компаний, ИП и самозанятых лиц является контролером, который обеспечивает сохранность ПД граждан, ведет реестр операторов, осуществляющих обработку ПД, а также защищает права граждан, реагируя на их обращения и представляя их интересы в суде (постановление Правительства РФ от 16.03.2009 г. №228).

Важно знать, что самозанятые лица до начала обработки ПД должны направить уведомление в Роскомнадзор (п.1 ст.22 Федерального закона от 27.07.2006 г. №152-ФЗ).

Уведомление можно направить одним из следующих способов:

1. Сформировать и направить его на бумаге;

Для этого нужно предварительно заполнить форму, распечатать бланк и отправить в территориальный орган по почте.

Заполнить форму уведомления можно на официальном сайте Роскомнадзора - https://pd.rkn.gov.ru/operators-registry/notification/form/.

2. Сформировать и направить в электронном виде с использованием усиленной КЭП.

Самозанятый также может заполнить форму и подписать ее уже электронной подписью. Для возможности подписать уведомление электронно, самозанятому лицу необходимо установить плагин  КриптоПро ЭЦП Browserplug-in.

3. Сформировать и направить в электронном виде через сайт госуслуг.

Для отправки уведомления через портал госуслуг у пользователя должна быть подтвержденная учетная запись.

Последний способ является самым быстрым и легким с технической точки зрения.

После того, как самозанятое лицо направит уведомление, Роскомнадзор должен внести его в реестр в течение 30 дней. Срок отсчитывается с даты получения ответного информационного письма на уведомление.

Выводы

До того момента, как самозанятый начнет сбор ПД своих клиентов - физических лиц, он должен подать уведомление в Роскомнадзор. Удобнее всего это сделать через портал госуслуг. На основании полученного документа Роскомнадзор добавит самозанятого в реестр ПД. Если самозанятый обрабатывает ПД заказчиков без использования средств автоматизации, например, записывая сведения вручную на бумаге, то подавать уведомление не нужно.