Новости
05.05.2025
Какие обязанности есть у УО, ТСЖ, ЖСК по работе с персональными данными жителей
Какие обязанности есть у УО, ТСЖ, ЖСК по работе с персональными данными жителей
В мае 2025 года появятся новые санкции за нарушения в работе с персональными данными, а действующие штрафы значительно вырастут. В обновленной рекомендации Системы УМД объединили обязанности управляющей МКД организации как оператора персональных данных. Используйте разъяснения и шаблоны от экспертов, чтобы избежать ответственности.
30 мая 2025 года вступят в силу новые санкции к операторам персональных данных. Соответствующие изменения внесли в КоАП Законом от 30.11.2024 № 420-ФЗ. Они касаются и УО, ТСЖ, ЖСК как операторов персональных данных.
Новый закон ужесточает ответственность за нарушения при обработке персданных:
• увеличили штрафы за неправомерную обработку данных;
• установили штрафы за неуведомление Роскомнадзора об обработке или утечке данных;
• установили размер штрафов за первичную утечку данных в зависимости от объема утечки;
• ввели оборотные штрафы за утечку персональных данных;
• выделили отдельные штрафы за утечку специальных и биометрических данных.
Заплатите до 500 тыс. руб. за нарушение правил или целей обработки
Раньше за первичное нарушение правил обработки данных руководитель платил до 20 тыс. руб., а организация – до 100 тыс. руб. Наказание предусмотрено частями 1, 1 статьи 13.11 КоАП. Какие суммы теперь придется заплатить за нарушения правил обработки – в таблице.
Таблица. Как изменятся штрафы за нарушение правил обработки персданных с 30 мая 2025 года
Состав нарушения Нарушитель Размер штрафа, руб.
до 30 мая после 30 мая
Первичное нарушение обработки персональных данных Гражданин от 2 тыс. до 6 тыс. от 10 тыс. до 15 тыс.
Должностное лицо от 10 тыс. до 20 тыс. от 50 тыс. до 100 тыс.
Организация от 60 тыс. до 100 тыс. от 150 тыс. до 300 тыс.
Повторное подобное нарушение правил работы с персональными данными Гражданин от 4 тыс. до 12 тыс. от 15 тыс. до 30 тыс.
Должностное лицо от 20 тыс. до 50 тыс. от 100 тыс. до 200 тыс.
ИП от 50 тыс. до 100 тыс.
Организация от 100 тыс. до 300 тыс. от 300 тыс. до 500 тыс.
Заплатите до 3 млн. руб. за нарушение обязанностей перед Роскомнадзором
До вступления изменений в силу можно получить штраф, только если ведомство само обнаружит, что вы обрабатываете данные без уведомления. За отсутствие уведомления об утечке данных штрафа вообще нет. С 30 мая операторы, которые не уведомили Роскомнадзор о начале обработки данных, заплатят до 300 тыс., а если не уведомить об утечке – уже до 3 млн. руб. (ч. 10, 11 ст. 13.11 КоАП
Роскомнадзор будет рассчитывать штраф за первичную утечку персональных данных в зависимости от объема утечки
Чем большее количество данных вы неправомерно передали, предоставили, распространили, тем больше штраф. Максимальный штраф за первичную утечку - 15 млн руб. (ч. 12-14 ст. 13.11 КоАП).
Ведомство начнет применять оборотные штрафы за повторную утечку данных
За такое нарушение предусмотрен оборотный штраф в размере от 1 до 3 процентов годовой выручки. При этом минимальная сумма взыскания составит 20 млн руб., максимальная — 500 млн руб. (ч. 15 ст. 13.11 КоАП).
Заплатите отдельный штраф за утечку специальных или биометрических данных
До 30 мая размер ответственности за общие, специальные и биометрические данные не отличается. Однако после вступления изменений в силу начнут действовать отдельные штрафы за утечку данных этих категорий (ч. 16 ст. 13.11 КоАП).
Подробнее о всех санкциях за нарушения в работе с персональными данными посмотрите в отдельном справочнике
Внимание
С 11 декабря 2024 года за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные, грозит уголовная ответственность до 10 лет
Ответственность установлена статьей 272.1 УК.
Обязанности управленцев как операторов персональных данных
УО или жилищное объединение становится оператором персональных данных с момента, когда начинает их получать. Выступая в такой роли, управленец обязан выполнять функции:
• уведомить Роскомнадзор о намерении обрабатывать персональные данные, если это необходимо;
• соблюдать принципы обработки данных;
• обрабатывать данные, только когда это допускает закон;
• утвердить локальные акты о персональных данных;
• предоставить доступ к персональным данным их владельцам;
• уточнить, блокировать или уничтожить персональные данные по требованию владельца;
• обеспечить безопасность персональных данных при обработке;
• назначить ответственного за организацию обработки персональных данных;
• ограничить доступ к персональным данным;
• проверять, как защищены персональные данные;
• уведомить, что ведет видеосъемку;
• принять меры, если выявил неправомерную передачу данных;
• организовать хранение персональных данных;
• фиксировать уничтожение данных.
Убедитесь, нужно ли уведомить Роскомнадзор о намерении обрабатывать персональные данные
УО или жилищные объединения обязаны направлять уведомление в Роскомнадзор о намерении обрабатывать персональные данные всегда, за исключением двух случаев:
• персональные данные есть в государственных информационных системах персональных данных;
• данные обрабатывают исключительно без помощи средств автоматизации.
Уведомить необходимо до начала обработки. До 1 сентября 2022 года также не нужно было уведомлять, если вы, например, исполняете свои обязанности по трудовому законодательству или выполняете работы по договору с собственниками. Теперь это право не работает.
Такие правила предусмотрены частями 1, 2 статьи 22 Закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ, Закон о персональных данных). Изменения в правила обработки персданных внес Закон от 14.07.2022 № 266-ФЗ.
Проверьте, есть ли ваша организация в реестре Роскомнадзора. Если нет, то обязательно направьте уведомление. Уведомление нужно подать разово, чтобы данные попали в реестр. Если данные из уведомления поменяются, нужно подать об этом информационное письмо.
Ситуация
Какой грозит штраф, если не уведомить Роскомнадзор о намерении обрабатывать персональные данные
Если не уведомить Роскомнадзор о намерении обрабатывать персональные данные, вас могут привлечь к административной ответственности. Максимальный штраф — 5 тыс. руб. (ст. 19.7 КоАП).
С 30 мая 2025 года могут штрафовать уже до 300 000 руб. по новой норме в части 10 ст. 13.11 КоАП. Ее ввели Законом от 30.11.2024 № 420-ФЗ.
Уведомите Роскомнадзор о намерении обрабатывать персональные данные
Чтобы направить уведомление, выполните три действия:
• заполните уведомление на сайте Роскомнадзора через специальную форму;
• распечатайте заполненную форму;
• подпишите и направьте форму в территориальный орган Роскомнадзора по месту регистрации вашей организации.
Скачайте форму уведомления, которая необходима для вашей ситуации.
Форму уведомления о намерении обрабатывать персональные данные содержит приложение № 1 к Приказу Роскомнадзора от 28.10.2022 № 180 (далее – Приказ № 180). Роскомнадзор ведет реестр операторов на своем сайте.
В уведомлении для каждой цели обработки нужно указывать категории персданных и субъектов, чьи данные обрабатываете, правовое основание их обработки и перечень действий с этими данными. Такие правила установили в части 3 и 3.1 статьи 22 Закона № 152-ФЗ.
Если сведения в уведомлении о начале обработки данных изменились, или вы прекратили их обрабатывать, об этом также нужно уведомить Роскомнадзор.
Сообщить об изменении нужно не позднее 15-го числа месяца, следующего за месяцем, в котором изменились данные. К примеру, в феврале вы сменили ответственного за организацию обработки персональных данных и поменяли адрес местонахождения. Об этом нужно известить Роскомнадзор до 15 марта. Если прекратили обрабатывать персональные данные, уведомите в течение 10 рабочих дней с даты прекращения обработки (ч. 7 ст. 22 Закона № 152-ФЗ).
Формы уведомлений содержат, соответственно, приложение № 2 и приложение № 3 к Приказу № 180.
Скачайте форму уведомления, которая необходима для вашей ситуации.
Соблюдайте принципы обработки данных
Управляющая МКД организация должна соблюдать семь принципов обработки персональных данных. Их предусматривает статья 5 Закона о персональных данных:
1. Обрабатывайте данные на законной и справедливой основе (ч. 1).
2. Соблюдайте конкретные, заранее определенные и законные цели обработки. Нельзя обрабатывать данные, если это несовместимо с целями сбора данных (ч. 2).
3. Не объединяйте данные, обработку которых проводите в целях, несовместимых между собой (ч. 3).
4. Обрабатывайте только те данные, которые отвечают целям их обработки (ч. 4).
5. Проследите, чтобы содержание и объем данных отвечали заявленным целям обработки. Нельзя требовать избыточные данные по отношению к заявленным целям их обработки (ч. 5). Например, интернет-магазин не имеет права требовать скан паспорта или водительских прав.
6. Обеспечьте точность данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки, а также удаляйте или уточняйте неполные и неточные данные (ч. 6).
7. Храните персональные данные в форме, которая позволяет определить субъекта персональных данных. Срок хранения может быть установлен законом или договором. Если срок не установлен — не дольше, чем этого требуют цели обработки. По окончании срока данные уничтожьте либо обезличьте (ч. 7).
Обрабатывайте данные, только когда это допускает закон
Обрабатывайте данные только в случаях, когда вы получили на это согласие субъекта, если иное не предусмотрено законом. Разъясните собственникам юридические последствия отказа предоставить персональные данные и дать согласие на их обработку.
Внимание
С 1 марта 2021 года согласие на обработку персональных данных не разрешает их распространять, то есть раскрывать неограниченному кругу лиц. Для этого нужно отдельное согласие (ч. 1 ст. 10.1 Закона от 27.07.2006 № 152-ФЗ).
Если обрабатывать персональные данные в случаях, которые не предусматривает законодательство, Роскомнадзор оштрафует:
• граждан — от 2 000 до 6 000;
• должностных лиц — от 10 000 до 20 000;
• юрлиц — от 60 000 до 100 000.
Таков штраф за первое нарушение. Повторное нарушение обойдется дороже:
• гражданам — от 4 000 до 12 000;
• должностным лицам — от 20 000 до 50 000;
• ИП — от 50 000 до 100 000;
• юрлицам — от 100 000 до 300 000.
Наказание установлено частями 1, 1.1 статьи 13.11 КоАП. с 30 мая 2025 года штрафы увеличатся до 300 000 руб. за первое нарушение и до 500 000 руб. – за повторное. Санкции ужесточили Законом от 30.11.2024 № 420-ФЗ.
Прописывайте всю необходимую информацию, если поручаете обработку персональных данных третьим лицам
С согласия субъекта персональных данных (потребителя ЖКУ) оператор (УО, ТСЖ, ЖК, ЖСК) вправе поручить обработку персональных данных другому лицу (например, РКЦ).
РКЦ, платежный агент или иная организация, которая обрабатывает персональные данные по поручению УО, ТСЖ, ЖСК, обязаны соблюдать принципы и правила обработки персональных данных. Для такого лица в поручении оператора необходимо прописать восемь видов сведений:
• перечень персональных данных;
• перечень действий с данными, которые будет совершать лицо по поручению оператора;
• цели обработки;
• обязанность лица соблюдать конфиденциальность персональных данных;
• обязанность выполнять требования в части 5 статьи 18 и статье 18.1 Закона о персональных данных;
• обязанность по запросу оператора предоставлять документы и информацию, подтверждающие принятые меры и соблюдение требований в статье 6 Закона о персональных данных;
• обязанность обеспечивать безопасность персональных данных при их обработке;
• требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Закона о персональных данных.
Такие правила предусмотрены в части 3 статьи 6 Закона о персональных данных.
Утвердите локальные акты о персональных данных
Закон не закрепляет перечень документов, которые должны быть в организации для обработки персональных данных. Зато устанавливает три цели, которые должны решать локальные акты (п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ):
• определять политику обработки персональных данных;
• отражать категории и перечень данных, их владельцев, способы, сроки обработки и хранения, порядок уничтожения;
• регулировать процедуры предотвращения, выявления и устранения последствий нарушений обработки данных.
Разместите политику обработки персональных данных
Обеспечьте неограниченный доступ через Интернет к документу, который определяет вашу политику в отношении обработки персональных данных, и сведениям о том, как вы реализуете требования к защите персональных данных. Сделайте это, в том числе на вашем сайте.
Проверьте, где именно на вашем сайте размещена политика. Политику важно разместить не произвольно на сайте, а, в том числе на страницах, где собираете данные (ч. 2 ст. 18.1 Закона о персональных данных).
Так, суд привлек к административной ответственности УО по статье 13.11 КоАП в том числе за то, что она не опубликовала документ, который определяет политику организации в отношении обработки персональных данных (постановление Ярославского областного суда от 15 февраля 2013 г. № 4А-21/2013).
Роскомнадзор на своем сайте опубликовал рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
Какие еще локальные акты нужно утвердить
Оператор персональных данных также должен утвердить:
• Положение о защите персональных данных;
• Положение о работе с персональными данными;
• Положение о порядке уничтожения персональных данных;
• Регламент о допуске работников к обработке данных;
• Положение о внутреннем аудите работы с персональными данными.
Предоставьте доступ к персональным данным их владельцам
Предоставьте данные их владельцу или Роскомнадзору в течение 10 рабочих дней с даты получения запроса. Срок можно продлить, но не более чем на пять рабочих дней. Для этого направьте владельцу персональных данных мотивированное уведомление с причинами, по которым нужно продлить срок (ч. 1 и 4 ст. 20 Закона о персональных данных).
По общему правилу любое лицо вправе запросить у оператора сведения о себе и другую информацию, предусмотренную частью 7 статьи 14 Закона о персональных данных. Например, правовые основания и цели обработки персональных данных. Исключения устанавливает часть 8 статьи 14 Закона о персональных данных. Так, оператор не обязан предоставлять данные, которые получил в результате оперативно-разыскной, контрразведывательной и разведывательной деятельности.
Уточните, заблокируйте или уничтожьте персональные данные по требованию владельца
Уточнить, заблокировать или уничтожить персональные данные нужно по требованию от субъекта, если данные попадают хотя бы под один из случаев (ч. 1 ст. 14 Закона о персональных данных):
• утратили актуальность, неполные, неточные;
• получены незаконно;
• не отвечают заявленной цели обработки персональных данных.
Сроки уточнения, блокирования или уничтожения зависят от оснований для выполнения этих действий и установлены статьей 21 Закона о персональных данных. Так, уточнить неточность нужно в течение семи рабочих дней, а прекратить неправомерную обработку — в течение трех дней.
Укажите адрес электронной почты, по которому субъект персональных данных может обратиться, чтобы его данные уточнили или удалили. Если специального адреса нет, то лицо отправит запрос на общую почту, которую указали на сайте в разделе «Контакты». В этом случае нужно контролировать, чтобы письмо не потерялось в общей почте.
вернуться
В мае 2025 года появятся новые санкции за нарушения в работе с персональными данными, а действующие штрафы значительно вырастут. В обновленной рекомендации Системы УМД объединили обязанности управляющей МКД организации как оператора персональных данных. Используйте разъяснения и шаблоны от экспертов, чтобы избежать ответственности.
30 мая 2025 года вступят в силу новые санкции к операторам персональных данных. Соответствующие изменения внесли в КоАП Законом от 30.11.2024 № 420-ФЗ. Они касаются и УО, ТСЖ, ЖСК как операторов персональных данных.
Новый закон ужесточает ответственность за нарушения при обработке персданных:
• увеличили штрафы за неправомерную обработку данных;
• установили штрафы за неуведомление Роскомнадзора об обработке или утечке данных;
• установили размер штрафов за первичную утечку данных в зависимости от объема утечки;
• ввели оборотные штрафы за утечку персональных данных;
• выделили отдельные штрафы за утечку специальных и биометрических данных.
Заплатите до 500 тыс. руб. за нарушение правил или целей обработки
Раньше за первичное нарушение правил обработки данных руководитель платил до 20 тыс. руб., а организация – до 100 тыс. руб. Наказание предусмотрено частями 1, 1 статьи 13.11 КоАП. Какие суммы теперь придется заплатить за нарушения правил обработки – в таблице.
Таблица. Как изменятся штрафы за нарушение правил обработки персданных с 30 мая 2025 года
Состав нарушения Нарушитель Размер штрафа, руб.
до 30 мая после 30 мая
Первичное нарушение обработки персональных данных Гражданин от 2 тыс. до 6 тыс. от 10 тыс. до 15 тыс.
Должностное лицо от 10 тыс. до 20 тыс. от 50 тыс. до 100 тыс.
Организация от 60 тыс. до 100 тыс. от 150 тыс. до 300 тыс.
Повторное подобное нарушение правил работы с персональными данными Гражданин от 4 тыс. до 12 тыс. от 15 тыс. до 30 тыс.
Должностное лицо от 20 тыс. до 50 тыс. от 100 тыс. до 200 тыс.
ИП от 50 тыс. до 100 тыс.
Организация от 100 тыс. до 300 тыс. от 300 тыс. до 500 тыс.
Заплатите до 3 млн. руб. за нарушение обязанностей перед Роскомнадзором
До вступления изменений в силу можно получить штраф, только если ведомство само обнаружит, что вы обрабатываете данные без уведомления. За отсутствие уведомления об утечке данных штрафа вообще нет. С 30 мая операторы, которые не уведомили Роскомнадзор о начале обработки данных, заплатят до 300 тыс., а если не уведомить об утечке – уже до 3 млн. руб. (ч. 10, 11 ст. 13.11 КоАП
Роскомнадзор будет рассчитывать штраф за первичную утечку персональных данных в зависимости от объема утечки
Чем большее количество данных вы неправомерно передали, предоставили, распространили, тем больше штраф. Максимальный штраф за первичную утечку - 15 млн руб. (ч. 12-14 ст. 13.11 КоАП).
Ведомство начнет применять оборотные штрафы за повторную утечку данных
За такое нарушение предусмотрен оборотный штраф в размере от 1 до 3 процентов годовой выручки. При этом минимальная сумма взыскания составит 20 млн руб., максимальная — 500 млн руб. (ч. 15 ст. 13.11 КоАП).
Заплатите отдельный штраф за утечку специальных или биометрических данных
До 30 мая размер ответственности за общие, специальные и биометрические данные не отличается. Однако после вступления изменений в силу начнут действовать отдельные штрафы за утечку данных этих категорий (ч. 16 ст. 13.11 КоАП).
Подробнее о всех санкциях за нарушения в работе с персональными данными посмотрите в отдельном справочнике
Внимание
С 11 декабря 2024 года за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные, грозит уголовная ответственность до 10 лет
Ответственность установлена статьей 272.1 УК.
Обязанности управленцев как операторов персональных данных
УО или жилищное объединение становится оператором персональных данных с момента, когда начинает их получать. Выступая в такой роли, управленец обязан выполнять функции:
• уведомить Роскомнадзор о намерении обрабатывать персональные данные, если это необходимо;
• соблюдать принципы обработки данных;
• обрабатывать данные, только когда это допускает закон;
• утвердить локальные акты о персональных данных;
• предоставить доступ к персональным данным их владельцам;
• уточнить, блокировать или уничтожить персональные данные по требованию владельца;
• обеспечить безопасность персональных данных при обработке;
• назначить ответственного за организацию обработки персональных данных;
• ограничить доступ к персональным данным;
• проверять, как защищены персональные данные;
• уведомить, что ведет видеосъемку;
• принять меры, если выявил неправомерную передачу данных;
• организовать хранение персональных данных;
• фиксировать уничтожение данных.
Убедитесь, нужно ли уведомить Роскомнадзор о намерении обрабатывать персональные данные
УО или жилищные объединения обязаны направлять уведомление в Роскомнадзор о намерении обрабатывать персональные данные всегда, за исключением двух случаев:
• персональные данные есть в государственных информационных системах персональных данных;
• данные обрабатывают исключительно без помощи средств автоматизации.
Уведомить необходимо до начала обработки. До 1 сентября 2022 года также не нужно было уведомлять, если вы, например, исполняете свои обязанности по трудовому законодательству или выполняете работы по договору с собственниками. Теперь это право не работает.
Такие правила предусмотрены частями 1, 2 статьи 22 Закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ, Закон о персональных данных). Изменения в правила обработки персданных внес Закон от 14.07.2022 № 266-ФЗ.
Проверьте, есть ли ваша организация в реестре Роскомнадзора. Если нет, то обязательно направьте уведомление. Уведомление нужно подать разово, чтобы данные попали в реестр. Если данные из уведомления поменяются, нужно подать об этом информационное письмо.
Ситуация
Какой грозит штраф, если не уведомить Роскомнадзор о намерении обрабатывать персональные данные
Если не уведомить Роскомнадзор о намерении обрабатывать персональные данные, вас могут привлечь к административной ответственности. Максимальный штраф — 5 тыс. руб. (ст. 19.7 КоАП).
С 30 мая 2025 года могут штрафовать уже до 300 000 руб. по новой норме в части 10 ст. 13.11 КоАП. Ее ввели Законом от 30.11.2024 № 420-ФЗ.
Уведомите Роскомнадзор о намерении обрабатывать персональные данные
Чтобы направить уведомление, выполните три действия:
• заполните уведомление на сайте Роскомнадзора через специальную форму;
• распечатайте заполненную форму;
• подпишите и направьте форму в территориальный орган Роскомнадзора по месту регистрации вашей организации.
Скачайте форму уведомления, которая необходима для вашей ситуации.
Форму уведомления о намерении обрабатывать персональные данные содержит приложение № 1 к Приказу Роскомнадзора от 28.10.2022 № 180 (далее – Приказ № 180). Роскомнадзор ведет реестр операторов на своем сайте.
В уведомлении для каждой цели обработки нужно указывать категории персданных и субъектов, чьи данные обрабатываете, правовое основание их обработки и перечень действий с этими данными. Такие правила установили в части 3 и 3.1 статьи 22 Закона № 152-ФЗ.
Если сведения в уведомлении о начале обработки данных изменились, или вы прекратили их обрабатывать, об этом также нужно уведомить Роскомнадзор.
Сообщить об изменении нужно не позднее 15-го числа месяца, следующего за месяцем, в котором изменились данные. К примеру, в феврале вы сменили ответственного за организацию обработки персональных данных и поменяли адрес местонахождения. Об этом нужно известить Роскомнадзор до 15 марта. Если прекратили обрабатывать персональные данные, уведомите в течение 10 рабочих дней с даты прекращения обработки (ч. 7 ст. 22 Закона № 152-ФЗ).
Формы уведомлений содержат, соответственно, приложение № 2 и приложение № 3 к Приказу № 180.
Скачайте форму уведомления, которая необходима для вашей ситуации.
Соблюдайте принципы обработки данных
Управляющая МКД организация должна соблюдать семь принципов обработки персональных данных. Их предусматривает статья 5 Закона о персональных данных:
1. Обрабатывайте данные на законной и справедливой основе (ч. 1).
2. Соблюдайте конкретные, заранее определенные и законные цели обработки. Нельзя обрабатывать данные, если это несовместимо с целями сбора данных (ч. 2).
3. Не объединяйте данные, обработку которых проводите в целях, несовместимых между собой (ч. 3).
4. Обрабатывайте только те данные, которые отвечают целям их обработки (ч. 4).
5. Проследите, чтобы содержание и объем данных отвечали заявленным целям обработки. Нельзя требовать избыточные данные по отношению к заявленным целям их обработки (ч. 5). Например, интернет-магазин не имеет права требовать скан паспорта или водительских прав.
6. Обеспечьте точность данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки, а также удаляйте или уточняйте неполные и неточные данные (ч. 6).
7. Храните персональные данные в форме, которая позволяет определить субъекта персональных данных. Срок хранения может быть установлен законом или договором. Если срок не установлен — не дольше, чем этого требуют цели обработки. По окончании срока данные уничтожьте либо обезличьте (ч. 7).
Обрабатывайте данные, только когда это допускает закон
Обрабатывайте данные только в случаях, когда вы получили на это согласие субъекта, если иное не предусмотрено законом. Разъясните собственникам юридические последствия отказа предоставить персональные данные и дать согласие на их обработку.
Внимание
С 1 марта 2021 года согласие на обработку персональных данных не разрешает их распространять, то есть раскрывать неограниченному кругу лиц. Для этого нужно отдельное согласие (ч. 1 ст. 10.1 Закона от 27.07.2006 № 152-ФЗ).
Если обрабатывать персональные данные в случаях, которые не предусматривает законодательство, Роскомнадзор оштрафует:
• граждан — от 2 000 до 6 000;
• должностных лиц — от 10 000 до 20 000;
• юрлиц — от 60 000 до 100 000.
Таков штраф за первое нарушение. Повторное нарушение обойдется дороже:
• гражданам — от 4 000 до 12 000;
• должностным лицам — от 20 000 до 50 000;
• ИП — от 50 000 до 100 000;
• юрлицам — от 100 000 до 300 000.
Наказание установлено частями 1, 1.1 статьи 13.11 КоАП. с 30 мая 2025 года штрафы увеличатся до 300 000 руб. за первое нарушение и до 500 000 руб. – за повторное. Санкции ужесточили Законом от 30.11.2024 № 420-ФЗ.
Прописывайте всю необходимую информацию, если поручаете обработку персональных данных третьим лицам
С согласия субъекта персональных данных (потребителя ЖКУ) оператор (УО, ТСЖ, ЖК, ЖСК) вправе поручить обработку персональных данных другому лицу (например, РКЦ).
РКЦ, платежный агент или иная организация, которая обрабатывает персональные данные по поручению УО, ТСЖ, ЖСК, обязаны соблюдать принципы и правила обработки персональных данных. Для такого лица в поручении оператора необходимо прописать восемь видов сведений:
• перечень персональных данных;
• перечень действий с данными, которые будет совершать лицо по поручению оператора;
• цели обработки;
• обязанность лица соблюдать конфиденциальность персональных данных;
• обязанность выполнять требования в части 5 статьи 18 и статье 18.1 Закона о персональных данных;
• обязанность по запросу оператора предоставлять документы и информацию, подтверждающие принятые меры и соблюдение требований в статье 6 Закона о персональных данных;
• обязанность обеспечивать безопасность персональных данных при их обработке;
• требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Закона о персональных данных.
Такие правила предусмотрены в части 3 статьи 6 Закона о персональных данных.
Утвердите локальные акты о персональных данных
Закон не закрепляет перечень документов, которые должны быть в организации для обработки персональных данных. Зато устанавливает три цели, которые должны решать локальные акты (п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ):
• определять политику обработки персональных данных;
• отражать категории и перечень данных, их владельцев, способы, сроки обработки и хранения, порядок уничтожения;
• регулировать процедуры предотвращения, выявления и устранения последствий нарушений обработки данных.
Разместите политику обработки персональных данных
Обеспечьте неограниченный доступ через Интернет к документу, который определяет вашу политику в отношении обработки персональных данных, и сведениям о том, как вы реализуете требования к защите персональных данных. Сделайте это, в том числе на вашем сайте.
Проверьте, где именно на вашем сайте размещена политика. Политику важно разместить не произвольно на сайте, а, в том числе на страницах, где собираете данные (ч. 2 ст. 18.1 Закона о персональных данных).
Так, суд привлек к административной ответственности УО по статье 13.11 КоАП в том числе за то, что она не опубликовала документ, который определяет политику организации в отношении обработки персональных данных (постановление Ярославского областного суда от 15 февраля 2013 г. № 4А-21/2013).
Роскомнадзор на своем сайте опубликовал рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
Какие еще локальные акты нужно утвердить
Оператор персональных данных также должен утвердить:
• Положение о защите персональных данных;
• Положение о работе с персональными данными;
• Положение о порядке уничтожения персональных данных;
• Регламент о допуске работников к обработке данных;
• Положение о внутреннем аудите работы с персональными данными.
Предоставьте доступ к персональным данным их владельцам
Предоставьте данные их владельцу или Роскомнадзору в течение 10 рабочих дней с даты получения запроса. Срок можно продлить, но не более чем на пять рабочих дней. Для этого направьте владельцу персональных данных мотивированное уведомление с причинами, по которым нужно продлить срок (ч. 1 и 4 ст. 20 Закона о персональных данных).
По общему правилу любое лицо вправе запросить у оператора сведения о себе и другую информацию, предусмотренную частью 7 статьи 14 Закона о персональных данных. Например, правовые основания и цели обработки персональных данных. Исключения устанавливает часть 8 статьи 14 Закона о персональных данных. Так, оператор не обязан предоставлять данные, которые получил в результате оперативно-разыскной, контрразведывательной и разведывательной деятельности.
Уточните, заблокируйте или уничтожьте персональные данные по требованию владельца
Уточнить, заблокировать или уничтожить персональные данные нужно по требованию от субъекта, если данные попадают хотя бы под один из случаев (ч. 1 ст. 14 Закона о персональных данных):
• утратили актуальность, неполные, неточные;
• получены незаконно;
• не отвечают заявленной цели обработки персональных данных.
Сроки уточнения, блокирования или уничтожения зависят от оснований для выполнения этих действий и установлены статьей 21 Закона о персональных данных. Так, уточнить неточность нужно в течение семи рабочих дней, а прекратить неправомерную обработку — в течение трех дней.
Укажите адрес электронной почты, по которому субъект персональных данных может обратиться, чтобы его данные уточнили или удалили. Если специального адреса нет, то лицо отправит запрос на общую почту, которую указали на сайте в разделе «Контакты». В этом случае нужно контролировать, чтобы письмо не потерялось в общей почте.
