Что считать за обработку персональных данных?

1. Обязанность по уведомлению.
Да, иностранное торговое представительство, если оно обрабатывает персональные данные в России, обязано уведомить Роскомнадзор о начале такой обработки. Это прямо предусмотрено ч. 1 ст. 22 Федерального закона № 152-ФЗ «О персональных данных».

2. Когда нужно уведомление?
Уведомление требуется до начала обработки данных, за исключением ряда случаев, указанных в ч. 2 ст. 22 закона (например, если данные обрабатываются только для трудовых отношений и не передаются третьим лицам).

3. Что считается обработкой?
Любое действие с персональными данными — сбор, запись, систематизация, хранение, изменение, передача, удаление и пр. — уже считается обработкой (ст. 3 № 152-ФЗ). Даже просто хранение резюме на компьютере — это уже обработка.

4. А если данные российских граждан?
Особо важно: если иностранное представительство обрабатывает данные российских граждан, то такие данные должны храниться на серверах, находящихся на территории РФ (т.н. локализация, ч. 5 ст. 18  № 152-ФЗ).

5. Какая ответственность?
Нарушение требований — это административная ответственность по ст. 13.11 КоАП РФ, включая штрафы и возможную блокировку сайта или IT-систем, если данные обрабатываются онлайн.

6. Исключения возможны?
Да, но их немного. Например, уведомление не требуется, если вы обрабатываете данные только для внутреннего кадрового учета, без передачи третьим лицам и без распространения.

7. Что делать?
– Проверьте, обрабатываются ли ПД российских граждан.
– Подготовьте и отправьте уведомление в Роскомнадзор (через портал pd.rkn.gov.ru).
– Назначьте ответственного за работу с ПД.
– Разработайте политику обработки ПД и получите согласия от субъектов данных.
– Проверьте, где хранятся ваши данные: если в облаке, убедитесь, что серверы физически в РФ.
Если ответ был для вас полезным, отблагодарить юриста можете по этой ссылке. Был рад вам помочь) pravoved.ru/pay/lawyer-reward/id/4147135/