После публикации письма Роскомнадзора от 16 сентября 2022 г. № 08 – 84259 некоторые наши читатели и подписчики были встревожены новыми обязанностями инициатора общего собрания, как лица, которое обрабатывает персональные данные собственников.
О чем речь
ФИО и адрес собственников – это персональные данные. При проведении собрания и оформлении протокола осуществляется обработка этих данных.
Лица, которые обрабатывают персональные данные, называются операторами.
Чаще всего роль оператора играют инициаторы собрания, но также это могут быть председатель, секретарь, члены счетной комиссии.
У оператора есть обязанности, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Например, он должен уведомлять РКН об обработке персональных данных и прекращении этой обработки (статья 22).
Раньше закон предусматривал множество исключений из этой обязанности, поэтому инициатор собрания мог никого ни о чем не уведомлять.
Однако с 1 сентября 2022 года перечень исключений сильно сократился. Теперь в большинстве случаев операторы должны направить уведомления в РКН.
Одно из оставшихся исключений – обработка данных без использования средств автоматизации. Однако инициатор работает как с бумагами, так и с файлами на компьютере. Последнее считается автоматизированной обработкой персональных данных.
Теоретически возможен сценарий, когда инициатор получает полнейший реестр собственников от управляющей компании, на компьютере печатает неименные бюллетени, а также остальные части и приложения протокола без персональных данных, а потом все они заполняются ручкой, при этом подсчет голосов происходит тоже на бумаге, и дальше инициатор игнорирует свою обязанность по загрузке протокола в ГИС ЖКХ. В таком случае обработку можно было бы считать неавтоматизированной и не уведомлять РКН. Но такой вариант маловероятен, поэтому разбираемся с уведомлениями дальше.
Дополнительные разъяснения Роскомнадзора
Мы направили в РКН два обращения с просьбой о дополнительном разъяснении обязанности инициатора общего собрания собственников уведомлять Роскомнадзор об обработке персональных данных.
Вот что написало ведомство в своих двух ответах от 07.11.2022 № 08 – 98470 и от 10.11.2022 № 08 – 99909.
- Обязанность по направлению уведомления об обработке персональных данных возлагается, в том числе на физическое лицо – инициатора общего собрания, независимо от формы проведения общего собрания (спрашивали про собрания в ГИС ЖКХ).
- Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники. Таким образом, обработка персональных данных в системе программ «Excel» и «Word» признаётся осуществляемой с использованием средств автоматизации (спрашивали про эти программы).
- Поручение оператора на обработку данных другому лицу не отменяет возложенную на оператора обязанность по уведомлению об обработке (спрашивали про подготовку документов с помощью сторонних юристов или сервисов).
- В случае прекращения обработки персональных данных оператору необходимо направить уведомление о прекращении обработки персональных данных (спрашивали про прекращение обработки).
Итак, РКН ничего обнадеживающего не написал, поэтому придется направлять два уведомления – о начале обработки и ее прекращении.
Отправка уведомлений об обработке персональных данных
Формы уведомлений: сейчас действуют утвержденные формы уведомлений (приказ РКН от 28.10.2022 № 180).
Когда: до начала обработки данных.
Куда: уведомление направляется в территориальный орган Роскомнадзора (то есть в Управление РКН по вашему региону или федеральному округу).
Как: уведомление можно направить бумажным письмом или электронно, используя авторизацию через ЕСИА (проще всего). Также возможен вариант с электронной подписью.
Для отправки нужно зайти на портал персональных данных, выбрать удобный способ и перейти к заполнению форм.
Формы для бумажной и электронной отправки практически идентичны, поэтому дальше приводим универсальную инструкцию.
Как инициатору собрания заполнить уведомление об обработке персональных данных (инструкция)
Ниже приводим образец заполнения уведомления: можно копировать и вставлять в форму применительно к своему собранию.
1. Выбрать регион регистрации, а также заполнить свои данные, включая адрес и электронную почту).
2. После своих данных надо будет выбрать регион, на территории которого инициатор будет обрабатывать данные.
3. Заполнить раздел «Цели обработки персональных данных».
Цель обработки персональных данных: обеспечение соблюдения жилищного законодательства.
Категории персональных данных: отметить галочки у «Фамилия, имя, отчество», «адрес регистрации», «адрес места жительства» и «иные». В поле «иные» указать «информация о праве собственности на помещение (номер записи о регистрации права собственности с указанием долей собственности, дата регистрации права собственности, адрес помещения)».
Категории субъектов, персональные данные которых обрабатываются: «иные категории субъектов персональных данных, персональные данные которых обрабатываются».
В поле вставить: физические лица – собственники помещений в многоквартирном доме по адресу…
Правовое основание обработки персональных данных:
«обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей».
Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), удаление,
уничтожение, распространение.
Расставить точки в способах обработки:
Описание мер, предусмотренных статьями 18.1. и 19 Федерального закона «О персональных данных»:
Организационные меры: разграничение прав доступа к базе персональных данных, информация хранится и обрабатывается в строго контролируемом помещении, расположенном в пределах границ контролируемой зоны. Технические меры: установлены системы защиты информации – антивирус. Разграничение прав доступа к информационной системе на уровне операционной системы и парольной защиты файлов.
Сведения обеспечения безопасности:
В соответствии с постановлением Правительства от 01.11.2012 №1119 для обеспечения 4‑го уровня защищенности персональных данных при их обработке в информационной системе: обеспечена безопасность помещений, в которых размещена информационная система; обеспечена сохранность носителей персональных данных; перечень лиц, имеющих доступ к персональным данным, обрабатываемых в информационной системе ограничен одним лицом, являющимся инициатором общего собрания собственников.
В соответствии с постановлением Правительства от 15.09.2008 № 687 лица, осуществляющие обработку персональных данных без использования средств автоматизации, проинформированы об особенностях и правилах осуществления такой обработки, определено место хранения персональных данных, а перечень лиц, осуществляющих обработку персональных данных ограничены решением общего собрания об избрании председателя, секретаря и членов счётной комиссии.
Использование шифровальных (криптографических) средств: не используются.
Ответственный за организацию обработки персональных данных:
здесь снова указать данные об инициаторе общего собрания.
Дата начала и окончания обработки персональных данных – заполняется применительно к вашему собранию.
Осуществление трансграничной передачи персональных данных – «не осуществляется».
4. Сведения о местонахождении базы данных информации, содержащей персональные данные граждан РФ.
ЦОД – это компьютер, на котором инициатор хранит файлы с данными. Поэтому здесь заполняется просто адрес нахождения компьютера.
Собственный ЦОД – отметка «да».
5. Сведения о лицах, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах
Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством РФ:
В соответствии с постановлением Правительства от 01.11.2012 №1119 для обеспечения 4‑го уровня защищенности персональных данных при их обработке в информационной системе: обеспечена безопасность помещений, в которых размещена информационная система; обеспечена сохранность носителей персональных данных; перечень лиц, имеющих доступ к персональным данным, обрабатываемых в информационной системе ограничен одним лицом, являющимся инициатором общего собрания собственников.
В соответствии с постановлением Правительства от 15.09.2008 № 687 лица, осуществляющие обработку персональных данных без использования средств автоматизации, проинформированы об особенностях и правилах осуществления такой обработки, определено место хранения персональных данных, а перечень лиц, осуществляющих обработку персональных данных ограничены решением общего собрания об избрании председателя, секретаря и членов счётной комиссии.
6. Заполнить данные об исполнителе (себе).
7. Отправить уведомление.
Для этого поставить галочки об ознакомлении с порядком подачи уведомления в электронном виде и согласием, и нажать на кнопку «отправить».
Если был выбран вариант заполнения без авторизации через ЕСИА, но с направлением бумаги почтой, то продублировать уведомление почтой.
Отправка уведомлений о прекращении обработки персональных данных
Когда собрание проведено, а протокол передан в управляющую организацию (ГЖИ), то инициатор должен уведомить РКН о прекращении обработки персональных данных.
На это дается десять рабочих дней с даты прекращения обработки персональных данных.
Форма такого уведомления проще, но нужно приложить документы, подтверждающие прекращение обработки.
И еще из минусов: на сайте нашлась только та форма, которую нужно заполнить электронно и продублировать бумагой.
Вот сама форма.
Начало заполняется несложно – куда направляется (где находитесь) и от кого.
Дальше нужно найти и указать номер записи в реестре уведомлений.
Номер записи ищется в неудобном реестре уведомлений. В поле «организация» можно указать свою фамилию (фамилия и имя – уже не находит).
Номер копируется в специальное поле. Осталось поставить отметку – «основание прекращения» – «наступление для оператора срока…»:
После отправки уведомления в электронном виде надо продублировать то же самое на бумаге.
РКН рассматривает уведомления (и об обработке, и о прекращении) в течение 30 дней с даты поступления уведомления (обычно быстрее) и включает / исключает соответствующие сведения из реестра уведомлений.
Стоит ли инициатору собрания направлять уведомления в Роскомнадзор
Инициатор собрания (или другое лицо, которое участвует в обработке персональных данных) сам решает, соблюдать ли ему требования закона о персональных данных.
По мнению автора материала, уведомить РКН стоит, особенно если в доме есть оппозиция или соседи, чрезмерно озабоченные защитой своих персональных данных.
А вообще, ответственность за неуведомление РКН достаточно смешная.
Она предусмотрена статьей 19.7 КоАП РФ – «Непредставление сведений (информации)». Наказание для граждан – предупреждение или административный штраф от 100 до 300 рублей.
Чтобы максимально упростить эту бюрократическую процедуру для тех, кто на нее решится, и был подготовлен этот материал.
Автор материала благодарит подписчика Андрея за помощь в подготовке этой статьи.
Обсудите материал или другие вопросы в нашем чате «Беседка ЖКХ» и подпишитесь на наше медиа в Тelegram, Вконтакте или Дзен , чтобы не пропустить свежие материалы.
Что делать с персональными данными в протоколе ОСС для ГИС ЖКХ
Вы провели общее собрание собственников и составили протокол. Теперь об итогах собрания нужно уведомить собственников и ГЖИ, а протокол ещё разместить в ГИС ЖКХ.
Появляется закономерный вопрос: нужно ли обезличивать персональные данные в протоколе общего собрания собственников помещений в МКД. Ответственность за нарушение законодательства о персональных данных ужесточилась, и всем страшно.
Объясняем, что бояться нечего.
Персональные данные в протоколе ОСС
- количество участников голосования по каждому вопросу повестки дня;
- количество голосов «за», «против», «воздержался» по каждому вопросу повестки дня;
- протокол ОСС;
- решение лица, принявшего участие в голосовании (для заочного голосования – бюллетень).
Даже если голосование не состоялось – не набралось кворума – протокол ОСС необходимо внести в систему.
- паспортные данные,
- номера квартир,
- ФИО,
- подписи,
- данные о собственности.
- ФИО,
- паспортные данные (при наличии),
- подписи,
- сведения о праве собственности.
Сомнений не вызывают только сведения об инициаторе собрания, которые не являются персональными данными.
Не обезличивайте персональные данные в ГИС ЖКХ
Организации, поставляющие коммунальные ресурсы, необходимые для оказания коммунальных услуг, и организации, оказывающие такие услуги, раскрывают в системе информацию, предусмотренную законодательством о ГИС ЖКХ (п. 4 ст. 165 ЖК РФ).
Состав информации, которую нужно разместить в ГИС ЖКХ, определяет приказ Минстроя РФ, Минкомсвязи РФ от 29.02.2016 № 74/114/пр. Персональные данные, предусмотренные этим приказом, размещаются в закрытой части системы, если иное не предусмотрено федеральным законодательством (пп. 12 п. 2 Приказа).
- п. 7.1.1
- п. 12.1.1.2
- п. 12.4.1
- п. 12.4.3
- п. 12.7
- п. 13.1
- п. 18.4.4
- п. 16.9
- п. 20 раздела 10 приказа Минстроя РФ, Минкомсвязи РФ от 29.02.2016 № 74/114/пр.
Напомним, что, согласно требованиям к оформлению протоколов ОСС, утверждённым приказом Минстроя РФ от 28.01.2019 № 44/пр, протоколы ОСС включают в себя сведения о присутствующих на общем собрании лицах.
Для физических лиц такие сведения содержат: фамилию, имя, отчество собственника помещения в МКД или его представителя, номер помещения в МКД, собственником которого является физическое лицо и реквизиты документа, подтверждающего право собственности, количество голосов, которыми владеет собственник, наименование и реквизиты документа, удостоверяющего полномочия представителя собственника, подписи указанных лиц.
Все эти сведения считаются персональными данными и размещаются в закрытой части ГИС ЖКХ. Протокол не отображается в открытой части системы.
Если собственники не дают согласие на публикацию персональных данных в закрытой части системы, рекомендуем вам взять с них расписку об отказе.
Если же такие персональные данные у вас уже есть, вы не обязаны спрашивать у собственников разрешения, в силу закона вы обязаны передать их в ГИС ЖКХ. Но если вы поручаете размещать сведения сторонней компании или пользуетесь облачным сервисом, в этом случае нужно брать согласие на передачу персональных данных.
С 1 января 2018 года начинает действовать новая норма по размещению протоколов ОСС в ГИС ЖКХ. Появится новая должность в Жилищном кодексе РФ – администратор общих собраний собственников помещений МКД. Это человек, который проводит ОСС в ГИС ЖКХ.
Рекомендуем вам заранее подготовиться и внести поправки в Политику обработки персональных данных. Взять согласие с собственников о том, что они согласны передавать свои персональные данные администратору.
Обезличьте персональные данные на Реформе ЖКХ
До 1 января 2018 года Реформа ЖКХ остаётся лицензионным требованием и заполнять её нужно. Здесь ситуация, обратная ГИС ЖКХ. Если в системе скрывать персональные данные не нужно, то в Реформе ЖКХ их нужно обезличивать.
Согласно п. 10 ст. 161 ЖК РФ управляющая организация должна обеспечить свободный доступ к информации о своей деятельности и оказываемых услугах в соответствии со Стандартом раскрытия информации.
Стандарт раскрытия информации, обязательный для управляющих организаций, ввело постановление Правительства РФ от 23.09.2010 № 731. К этому постановлению Минстрой РФ выпустил приказ № 882/пр, в котором утвердил формы раскрытия информации.
В форме 2.7 нужно размещать сведения о проведённых общих собрания собственников. При этом приложить нужно сканированную копию протокола ОСС, содержащего решение собрания.
Это значит, что вы сканируете протокол, формируете файл .jpeg или .pdf и размещаете на Реформе ЖКХ не весь протокол, а только ту его часть, в которой содержится решение собственников – резолютивную часть.
Реестры собственников и другие документы, по Стандарту раскрытия информации, выкладывать на Реформу ЖКХ не нужно. Если в этой части встретятся персональные данные, их нужно обезличить.
Как работает ФЗ «О персональных данных» при проведении ОСС
За несоблюдение Федерального закона от 27.07.2006 № 152-ФЗ может грозить дисциплинарная, административная и уголовная ответственность. Как не нарушить закон при проведении ОСС, расскажем сегодня.
При оформлении вводной части протокола ОСС необходимо заполнить сведения о лицах, принявших участие в голосовании. И здесь вам не избежать упоминания персональных данных: ФИО, реквизитов документа о праве собственности, номера квартиры и т.д.
Уже после проведения ОСС в управляющую организацию за персональными данными могут обратиться собственники и наниматели помещений в МКД или представители различных органов. Что делать в этой ситуации? Какие данные можно предоставлять, а какие нельзя, разберёмся вместе.
Персональные данные в протоколе ОСС
Действительно, согласно п.п. 12–15 приказа Минстроя РФ от 28.01.2019 № 44/пр, во вводной части протокола ОСС необходимо указать сведения об инициаторах собрания и проголосовавших на ОСС лицах, в том числе паспортные данные.
Напомним, что ещё во время общественного обсуждения проекта приказа № 937/пр, действовавшего до 5 марта 2019 года и утратившего силу после подписания № 44/пр, общественность выразила недовольство и обеспокоенность тем, что персональные данные окажутся в свободном доступе.
- ФИО собственника,
- номера квартир (комнат),
- реквизиты права собственности на недвижимое имущество.
- число участников голосования по вопросам повестки дня;
- количество голосов: «за», «против», «воздержался» по каждому вопросу повестки дня;
- протокол ОСС;
- решения проголосовавших (для заочного голосования – бюллетень).
Но персональные данные, хотя и находятся в системе, однако размещены далеко не в открытом доступе. Документы, содержащие персональные данные, находятся в закрытой части системы и доступны только лицам с соответствующими правами доступа.
Управляющая организация и персональные данные
Нередко после проведения ОСС в управляющую организацию обращаются различные органы или собственники помещений МКД с просьбой предоставить им сведения о проголосовавших лицах. Можно ли поделиться сведениями?
Для начала рекомендуем разобраться, для чего просителю понадобились персональные данные.
Согласно ст. 7 № 152-ФЗ, управляющие организации, как лица, получившие доступ к персональным данным, не имеют права раскрывать их и распространять без согласия на то владельца.
Предоставляя персональные данные, их владелец, согласно ст. 9 указанного Федерального закона, добровольно соглашается на их обработку. Но в любом правиле есть исключения.
- исполнения правосудия,
- реализации судебного акта, акта органа либо должностного лица,
- выполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов РФ, органов местного самоуправления и т.д.,
- приведения в исполнение и заключения договора, где одной из сторон выступает владелец персональных данных;
- защиты жизни, здоровья и интересов владельца персональных данных;
- исполнения прав и интересов оператора и третьих лиц,
- достижения общественно значимых целей – но при этом не могут нарушаться права владельца персональных данных,
- исследовательских целей, кроме указанных в ст. 15 № 152-ФЗ – персональные данные обезличиваются,
- доступа любого желающего к персональным данным по просьбе владельца;
- обязательного раскрытия данных по законам РФ.
Если вы думаете, что «обработка» персональных данных – невинное занятие, то вы ошибаетесь. Дело в том, что под этим понятием, согласно п. 3 ст. 3 № 152-ФЗ, понимается любое действие, совершаемое с персональными данными: «сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных».
Ответственность за нарушение закона о персональных данных
Ответственность за нарушение закона о персональных данных прописана в ст. 24 № 152-ФЗ. Нарушителю в зависимости от тяжести совершённого деяния грозит гражданская, административная, дисциплинарная и даже уголовная ответственность.
Также подлежит возмещению моральный вред, причинённый владельцу персональных данных.
- 5.39 («Отказ в предоставлении информации»),
- 3.11 («Нарушение установленного законом порядка сбора, хранения, использования или распространения информации. »),
- 13.12 («Нарушение правил защиты информации»),
- 13.13 («Незаконная деятельность в области защиты информации»),
- 13.14 («Разглашение информации с ограниченным доступом»),
- 19.7 («Непредставление сведений (информации)») КоАП РФ.
- для граждан – от 300 до 500 рублей,
- для должностных лиц – от 500 до 1 000 рублей,
- для юридических лиц – от 5 000 до 10 000 рублей.
Дисциплинарная ответственность наступает по статьям 137 («Нарушение неприкосновенности частной жизни»), 140 («Отказ в предоставлении гражданину информации») и 272 («Неправомерный доступ к компьютерной информации»).
Именно поэтому операторам персональных данных (а ими также выступают сотрудники управляющих организаций) нельзя предоставлять третьим лицам сведения, включающие персональные данные, без согласия на то их владельца.
Если огорчённые собственники, не согласные с результатами ОСС, просят предоставить им всю документацию, включая листы регистрации, решения, бюллетени и протоколы ОСС, то УО имеет право отказаться от предоставления таких сведений.
Однако собственники могут обратиться за помощью в ГЖИ или суд с требованием признать итоги голосования нелегитимными. Тогда ГЖИ могут проверить документы, содержащие персональные данные, и УО не может воспрепятствовать этому.