Обработка персональных данных самозанятыми: законодательство и практика применения

В связи с развитием в России правового регулирования в области информационной безопасности в целом и защиты персональных данных в частности обработка персональных данных самозанятыми становится одной из наиболее акутальных тем для малого бизнеса. Российское законодательство в этой сфере постоянно усложняется: принимаются новые подзаконные акты, расширяются полномочия Роскомнадзора, вводятся дополнительные обязанности по обеспечению конфиденциальности и безопасности информации.

Если ранее регулирование персональных данных касалось в первую очередь юридических лиц, то сегодня требования Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» в полной мере распространяются и на граждан, ведущих деятельность в статусе самозанятых. Это означает, что самозанятые фактически включены в общую систему правового регулирования обработки данных, признаются операторам персональных данных и обязаны обеспечивать соблюдение всех установленных законом принципов и мер защиты информации. В условиях цифровизации экономики, использования онлайн-сервисов для записи клиентов, распространения мессенджеров и электронных платформ, вопросы корректного правового оформления обработки данных приобретают особую значимость для самозанятых.

Самозанятые как операторы персональных данных

Самозанятые, формально называемые плательщиками налога на профессиональный доход, часто обрабатывают персональные данные клиентов. В соответствии со статьей 3 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», они становятся операторами персональных данных, если собирают, хранят, используют или передают данные своих клиентов третьим лицам.

Записался ли к такому оператору клиент через мессенджер (а использовать для этого зарубежные мессенджеры крайне не рекомендуется, так как для данного случая существует специальное регулирование, и уже есть определенная судебная практика), или через сторонний сервис записи клиентов — все это обработка персональных данных самозанятыми.

Факт самостоятельной деятельности, не освобождает самозанятых от соблюдения обязательных требований законодательства, включая необходимость получения согласия на обработку персональных данных и соблюдение принципов конфиденциальности.

Обработка персональных данных самозанятыми — основные требования законодательства.

Российское законодательство предъявляет к самозанятым следующие основные требования:

• Обработка персональных данных самозанятыми осуществляется с согласия субъекта данных (ст. 9 №152-ФЗ);
• Данные должны обрабатываться исключительно в целях, заявленных при их сборе (ст. 5 №152-ФЗ);
• Должны быть приняты необходимые организационные и технические меры для защиты данных (ст. 18.1 №152-ФЗ);
• Самозанятый обязан  уведомить Роскомнадзор о намерении обрабатывать персональные данные (ст. 22 №152-ФЗ).

Закон предусматривает единственное исключение, когда оператор может не направлять указанное уведомление — в случае, если обработка персональных данным самозанятыми осуществляется исключительно без использования средств автоматизации.

В современное время, пожалуй, осталось очень мало сфер деятельности, где обслуживание клиентов осуществляется только на основании устной записи или записей в журналы учета посетителей.

Особенности получения согласия на обработку персональных данных

Согласие субъекта данных должно быть конкретным, информированным и сознательным. Самозанятый обязан разъяснить клиенту цели обработки данных и предоставить возможность отозвать согласие в любой момент. Форма согласия зависит от специфики взаимодействия: возможна простая письменная форма, электронный документ или иной способ, обеспечивающий подтверждение волеизъявления.

Важно отметить, что в настоящее время простое использование сторонних сервисов записи клиентов, которыми пользуются многие самозанятые, например, в бьюти-сфере, не гарантирует соблюдение самозанятым законодательства о персональных данных. Многие подобные сервисы не учитывают особенности изменившегося нормативного регулирования. Соответственно, самозанятый неожиданно для себя может быть привлечен к административной ответственности.

Организация защиты персональных данных

Обработка персональных данных самозанятыми предполагает, что самозанятый, как оператор персональных данных, обязан обеспечить их защиту. Согласно Постановлению Правительства РФ от 01.11.2012 №1119, оператор должен реализовать необходимые меры, соответствующие уровню угроз безопасности данных. В том числе:

• Обеспечить безопасное хранение и передачу данных;
• Использовать средства защиты информации от несанкционированного доступа;
• Контролировать доступ к данным и вести учет лиц, имеющих такой доступ.

Судебная практика

Судебная практика по вопросам обработки персональных данных самозанятыми в настоящее време еще не сформировалась. Но с учетом последних изменений в законодательстве о персональных данных можно предположить, что самозанятые за нарушения требований закона будут в полной мере привлекаться к ответственности.

Куда обращаться за юридической помощью

Юридическая фирма «Инмар» специализируется в области правовых аспектов, связанных с персональными данными и оказывает профессиональное юридическое сопровождение самозанятым в вопросах подготовки и проверки документов, получения согласий на обработку данных, организации мер защиты информации, взаимодействия с Роскомнадзором,  защиты интересов в ходе проверок и судебных разбирательств.

Доверьте защиту персональных данных профессионалам и будьте уверены в соблюдении законодательства!