ИП сдает свои нежилые помещения в аренду

Григорий, добрый день.

Согласно ст. 3 ФЗ-152 «О персональных данных»

1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Таким образом персональные данные — это любая информация, позволяющая прямо или косвенно идентифицировать человека. К ним к примеру относятся:

• ФИО,
• номер телефона,
• паспортные данные,
• адрес проживания,
• электронная почта,

и т. д.

Согласно все той же статьи 3, обработкой персональных данных является:

3) обработка персональных данных — любое действие… с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

То есть если Вы получаете персональные данные напрямую от клиентов через личную переписку или по телефону, либо через форму на сайте (и обработку ведете самостоятельно) ведете учет этих данных и обработку, то Вы становитесь оператором в соответствии с ФЗ О персональных данных, так согласно ст. 3 ФЗ О персональных данных:

2) оператор — … юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных...

В этом случае Вам требуется подать в РКН уведомление о начале обработки ПД это следует из ч. 1 ст. 22 ФЗ О персональных данных.

Однако, если в ходе Вашей деятельности  Вы осуществляете обработку ПДн, то случаи, когда оператор может осуществлять обработку ПДн без уведомления содержаться в части 2 указанной статьи 22 ФЗ О персональных данных, в частности к ним относятся:

2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

— учет персональных данных ведется на бумаге (без средств автоматизации); 
— организация включена в государственные информационные системы и работает с персональными данными, размещенными в этих государственных информационных системах; 
— компания работает с персональными данными в сфере транспортной безопасности. 

Таким образом к Вам указанное исключением может применяться только в случае если учет и обработка персональных данных ведется без средств автоматизации.

Если это условие соблюдается, то уведомление подавать Вам не требуется.

При возникновении вопросов обращайтесь

Григорий, добрый день.

Обязан ли ИП который занимается сдачей в аренду недвижимости подавать уведомление в Роскомнадзор (обработка персональных данных)?

 С учетом Вашей ситуации и исходя из требований ст. 22 ФЗ  от 27.07.2006 N 152-ФЗ «О персональных данных» 

Вам подавать уведомление не требуется.

В законе оговорено, что 

2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
8) в случае,если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;

Выполнение обработки путем внесения персональных данных в договора на бумажном носителе, не предполагает их автоматизированную обработку.

Особенности такой обработки персональных данных определяется постановлением Правительства РФ от 15.09.2008 N 687, согласно которому обработка считается осуществленной без использования средств автоматизации, если такие действия с персональными данными  осуществляются при непосредственном участии человека.

В постановлении Правительства РФ оговорено что 

4. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее — материальные носители), в специальных разделах или на полях форм (бланков).

Соответственно если Вы самостоятельно осуществляете внесение данных контрагента в договор и не осуществляете их последующее хранение с использование средств автоматизации, а равно осуществляете с соблюдением приведенных требований   — то уведомление Роскомнадзора для Вас не требуется. 

Здравствуйте, Григорий.

Раньше в ч. 2 ст. 22 Федерального закона № 152-ФЗ «О персональных данных» было много оснований, по которым можно было не уведомлять Роскомнадзор (в том числе заключение договоров напрямую с субъектами).

Сейчас большинство из них отменены.

Остались только три исключения, когда уведомление не требуется:

1. ГИС для госбезопасности (п. 7 ч. 2 ст. 22) — не актуально для вас.
2. Обработка только без средств автоматизации (п. 8 ч. 2 ст. 22).
3. Транспортная безопасность (п. 9 ч.2 ст. 22) — тоже не актуально для Вас.
 
Для Вашей ситуации подходит только  п. 8 (в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации)

То есть, уведомление не требуется, если оператор осуществляет обработку персональных данных исключительно без использования средств автоматизации.

Таким образом, если вы храните только бумажные договоры, не заносите данные в Excel, CRM, бухгалтерские программы или даже обычные файлы на компьютере, не используете электронную почту для передачи паспортных данных и т.п., то Вы можете не подавать уведомление.

Нокак только Вы хоть где-то вводите ФИО, паспортные данные или телефон арендатора в электронную систему, даже простую таблицу Excel, — это считается обработкой с использованием средств автоматизации, и уведомление становится обязательным.

 
В Вашем случае отсутствие сотрудников не имеет значения, так как речь идет только о персональных данных арендаторов.

Отсутствие сайта также не играет роли, но при этом исключает сбор данных через интернет.

Если договоры заключаются только на бумаге и данные арендаторов нигде не хранятся в электронном виде, уведомлять Роскомнадзор не требуется.
 
Хочу отметить, что Роскомнадзор часто проверяет, действительно ли обработка ведется только на бумаге.

Если при проверке выяснится, что данные арендаторов хранятся в 1С, в Excel, в мессенджерах, почте — это уже автоматизированная обработка.

В таком случае отсутствие уведомления будет считаться нарушением требований законодательства о персональных данных.

За это на индивидуального предпринимателя может быть наложен административный штраф по статье 13.11 Кодекса об административных правонарушениях РФ.

Часть 10 этой статьи прямо устанавливает ответственность за неподачу уведомления в Роскомнадзор о намерении обрабатывать персональные данные.

Размер штрафа составляет:

для граждан — от 5 000 до 10 000 рублей,
для должностных лиц — от 30 000 до 50 000 рублей,
для юридических лиц — от 100 000 до 300 000 рублей.

Поскольку по примечанию к статье 13.11 индивидуальные предприниматели несут ответственность как юридические лица, в Вашем случае штраф может составить от 100 000 до 300 000 рублей.