Вопрос: Является ли организация, в которой работает один сотрудник (он же учредитель и директор) оператором персональных данных?
В соответствии с п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ (далее – Закон № 152-ФЗ) персональные данные – это любая информация, относящаяся к прямо или косвенно определенному либо определяемому физическому лицу (субъекту персональных данных). К персональным данным относятся Ф. И. О., должность (профессия), размер заработной платы, номер телефона, паспортные данные.
Операторами персональных данных признаются организации и физические лица (в т. ч. ИП), которые самостоятельно или совместно с другими лицами обрабатывают персональные данные физических лиц (работников, клиентов и др.) (п. 2 ст. 3 Закона № 152-ФЗ). Под обработкой персональных данных понимаются любые действия (операции), совершаемые с использованием средств автоматизации (или без таких средств) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона № 152-ФЗ).
С директором организации, который является ее единственным учредителем, можно оформлять трудовые отношения так: заключить трудовой договор или составить решение единственного участника об исполнении функций руководителя. Работодатель (организация), который обрабатывает персональные данные своих работников, является оператором персональных данных (п. 2 ст. 3 Закона № 152-ФЗ). Если директор организации является ее единственным учредителем, то он состоит в трудовых отношениях с организацией (независимо от способа оформления этих отношений), что подразумевает обработку его персональных данных работодателем. Таким образом, организация является оператором персональных данных, даже если в ней работает только один сотрудник (директор, генеральный директор), персональные сведения которого обрабатываются.
В процессе деятельности организация, как правило, взаимодействует с заказчиками (клиентами, контрагентами), получает от них различные документы (в т. ч. доверенности), в которых есть фамилии, имена, отчества, паспортные данные физических лиц, а также номера их телефонов, адреса электронной почты, и хранит эти данные. Указанные сведения относятся к персональным данным (п. 1 ст. 3 Закона № 152-ФЗ).
В такой ситуации организация осуществляет обработку персональных данных физлиц (сбор и хранение). В этом случае организация, по нашему мнению, является оператором персональных данных.
Если организация обрабатывает персональные данные работника (директора) и других физических лиц, она должна быть включена в реестр операторов персональных данных. Для этого необходимо представить соответствующее уведомление в Роскомнадзор (ч. 1 ст. 22 Закона № 152-ФЗ). Направить уведомление необходимо до начала обработки персональных данных.
Исключение установлено только для трех случаев (ст. 22 Закона № 152-ФЗ в ред. Федерального закона от 14.07.2022 № 266-ФЗ):
- данные включены в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка (п. 7 ч. 2 ст. 22 Закона № 152-ФЗ);
- оператор обрабатывает данные вручную без использования средств автоматизации (п. 8 ч. 2 ст. 22 Закона № 152-ФЗ);
- данные обрабатываются в случаях, предусмотренных законодательством о транспортной безопасности.
Форма уведомления о намерении обрабатывать персональные данные утверждена приказом Роскомнадзора от 28.10.2022 № 180.
Направить уведомление в Роскомнадзор можно следующими способами:
- заполнить форму уведомления на сайте Роскомнадзора (нужна усиленная электронная квалифицированная подпись);
- направить в бумажном виде в адрес территориального органа Роскомнадзора (по месту регистрации организации);
- направить через личный кабинет на портале Госуслуг.
Напомним, что с 30 мая 2025 года выросли штрафы за нарушения в сфере обработки персональных данных. Так, за невыполнение или несвоевременное выполнение оператором обязанности уведомлять Роскомнадзор о намерении осуществлять обработку персональных данных для организации установлен штраф от 100 000 до 300 000 руб. (ч. 10 ст. 13.11 КоАП РФ в ред. Федерального закона от 30.11.2024 № 420-ФЗ).
До вступления в силу указанных норм не было специальной ответственности за неуведомление Роскомнадзора, поэтому применялись положения ст. 19.7 КоАП РФ, по которой штраф для организаций составлял до 5000 руб.
Источник: информационная система 1С:ИТС
