Персональные данные на сайте НКО

Здравствуйте Мария, Вы просто ОБЯЗАНЫ передавать уведомление в Роскомнадзор! НКО, обрабатывающие персональные данные обязаны подать уведомление до 30 мая в РКН (Роскомнадзор). Согласно ст.22 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», представлять уведомление в Роскомнадзор должны организации, предприниматели и самозанятые, собирающие и обрабатывающие персональные данные:

- сотрудников и кандидатов на работу; контрагентов;

- членов общественных объединений и религиозных организаций;

- посетителей для однократного пропуска на территорию компании;

- ФИО любого лица, полученное организацией.

Если ваша компания собирает такие данные, как: ФИО, электронная почта или место работы, то она является оператором персональных данных, а следовательно, должна взаимодействовать с РКН. Это касается и ситуаций, когда у компании есть хотя бы один клиент или сотрудник, чьи личные сведения обрабатываются. Кроме того, если компания сдает в аренду программы, облачные хранилища и прочие места хранения персональных данных, она также является оператором персональных данных и должна подавать в РКН соответствующее уведомление. Штрафы за неподачу уведомления в Роскомнадзор: - с 30 мая 2025 года вступил в силу Федеральный закон от 30.11.2024 №420-ФЗ, который значительно повысил штрафы за непредставление уведомления в РКН. Новые штрафы для граждан составят от 5 000 до 10 000 рублей, для должностных лиц – от 30 000 до 50 000 рублей, а для организаций – от 100 000 до 300 000 рублей. Частично ссылка отсюда: https://asu.admsr.ru/

Всего Вам хорошего.

Здравствуйте уважаемая Мария!

Защита персональных данных в некоммерческой организации (НКО) — это демонстрация заинтересованности в обеспечении защиты персональных данных своих подопечных и сотрудников и забота об улучшении ее имиджа.

НКО не должна допускать произвольного распространения персональных данных людей, если не хочет получить многотысячные штрафы.

Человек, чьи данные были незаконно распространены может обратиться в соответствующие компетентные органы (например, в Роскомнадзор или в прокуратуру) с жалобой и это чревато для НКО проведением внеплановой проверки. В случае выявления нарушений законодательства о персональных данных организация, а также ее сотрудники могут быть привлечены к административной ответственности, а ответственные сотрудники НКО могут понести материальную (п. 7 ст. 243 ТК РФ), дисциплинарную (пп. «в» п. 6 ч. 1 ст. 81 ТК РФ) и даже уголовную ответственность (ч. 2 ст. 137 УК РФ).

Таким образом с юридической точки зрения Вам следует отправлять уведомление в Роскомнадзор о сборе и обработке данных в Вашем случае.

Всего доброго Вам!

Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных" (далее – Закон о персональных данных) определяет обработку персональных данных как любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Вы собираете и обрабатываете данные о детях-инвалидах в рамках деятельности НКО. Так как у вас есть согласие на обработку этих данных, полученное в соответствии с требованиями Закона о персональных данных, это не является нарушением.

Статья 22 Закона о персональных данных устанавливает обязанность оператора (то есть вас, как НКО) уведомлять Роскомнадзор о начале обработки персональных данных. Однако, есть исключения из этого правила, перечисленные в пунктах 2-2.3 статьи 22.

Ключевое исключение для вашей ситуации – это пункт 2.3:

> 2. 3. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

> 9) обрабатываемых в связи с осуществлением оператором деятельности, направленной на оказание помощи гражданам и организациям, в том числе в целях социального обслуживания и социальной поддержки;

Поскольку вы, как НКО, занимаетесь улучшением быта и заботой о детях-инвалидах, то есть оказываете социальную поддержку, вы можете подпадать под это исключение. Важно, чтобы ваша деятельность соответствовала целям, указанным в данном пункте.

Вы правильно заметили, что в определении обработки персональных данных используется союз "И", а не "ИЛИ". Это означает, что для признания действия обработкой персональных данных, необходимо совершить совокупность действий, а не только одно из них. Например, просто сбор данных без хранения или систематизации может не считаться обработкой. Однако, с точки зрения регуляторов, получение данных на электронную почту может рассматриваться как сбор и дальнейшее использование, что в совокупности является обработкой.

В вашей ситуации вопрос о необходимости уведомления Роскомнадзора неоднозначен. С одной стороны, ваша деятельность направлена на оказание социальной поддержки, что может подпадать под исключение из обязанности уведомлять. С другой стороны, сбор данных покупателей может рассматриваться как отдельный вид обработки, требующий уведомления.

С уважением.

Согласно Федеральному закону № 152-ФЗ «О персональных данных», обработка персональных данных включает любое действие (операцию), совершаемое с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Даже простое получение данных покупателя является обработкой. Поэтому утверждение, что данные нигде не хранятся — неверно, поскольку сама передача данных банку и последующее направление вам уведомления банком считается операцией обработки.

Вы говорите, что ваши персональные данные собираются исключительно в виде заполнения формы покупателями. Однако важно понимать следующее:

- Вы собираете контактные данные покупателей: email, имя, телефон, адрес доставки — это всё персональные данные.

- Оплата производится через банковский эквайринг, значит ваш оператор получает дополнительные сведения о платеже и клиенте, хотя непосредственно эти данные вами не сохраняются.

Поэтому ваша организация обязана соблюдать требования закона № 152-ФЗ, так как:

- Персональные данные клиентов действительно поступают к вам, пусть даже временно.

- Банк собирает дополнительную информацию о плательщике и передает её вам (например, e-mail).

Это означает, что формально вы производите операцию сбора и передачи персональных данных третьим лицам, что автоматически делает вас оператором персональных данных согласно статье 3 Федерального закона № 152-ФЗ.

Вам нужно уведомлять Роскомнадзор о деятельности вашего НКО по обработке персональных данных, поскольку ваше учреждение попадает под категорию оператора персональных данных. Это регулируется статьей 22 Закона № 152-ФЗ.

Даже если информация не хранится внутри вашей системы, риск несанкционированного доступа к данным, хранящимся у сторонних организаций (банка), существует.

Вам потребуется разместить публичную политику конфиденциальности на вашем сайте, раскрывающую условия обработки персональных данных ваших пользователей.

Необходимо убедиться, что пользователи осознанно соглашаются на обработку своих данных (получив согласование заранее). Обычно это делается путем размещения чекбоксов на форме заказа («Даю согласие на обработку моих персональных данных»).

Смотрите, у Вас есть сайт для НКО.

Вот само заполнение формы на сайте с указанием своих данных это и называется обработкой либо если есть личный кабинет.

Форма обратной связи также к этому относится.

Данные приходят на Вашу почту.

Всё, этого достаточно считать обработкой ПД.

Вы обязаны подать уведомление в Роскомнадзор.

В противном случае будет штраф.

- см. ст. 13.11 КоАП РФ, Федеральный закон от 30.11.2024 № 420-ФЗ

Уважаемая Мария, здравствуйте!

В соответствии с пунктом 1 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ),

обработкой персональных данных признаются любые действия (операции) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.

Даже если персональные данные не сохраняются в информационных системах, а только поступают на электронную почту, такие действия квалифицируются как сбор и обработка персональных данных.

Согласно статье 22 Закона № 152-ФЗ, оператор, осуществляющий обработку персональных данных, обязан до начала обработки уведомить Роскомнадзор, за исключением случаев, прямо предусмотренных частью 2 указанной статьи.

Оснований для освобождения от подачи уведомления в Вашем случае не усматривается, поскольку Вы осуществляете сбор и обработку персональных данных пользователей сайта (ФИО, адрес, телефон, e-mail), а также данных о детях, даже если эти данные не хранятся в информационных системах.

Обращаю Ваше внимание, что факт отсутствия хранения данных в собственной системе не освобождает от статуса оператора персональных данных, поскольку обработка включает в себя и получение, и передачу данных (статья 3 Закона № 152-ФЗ). Кроме того, в случае передачи данных третьим лицам (например, банку-эквайеру), ответственность за обработку персональных данных несет оператор (статья 6, пункты 4 и 5 Закона № 152-ФЗ).

Таким образом, в Вашей ситуации необходимо направить уведомление в Роскомнадзор о намерении осуществлять обработку персональных данных. Это требование связано с обеспечением прав субъектов персональных данных и мерами по предотвращению несанкционированного доступа к ним, что является одной из целей регулирования в сфере персональных данных.

С уважением, Д.А.Разина

Вам не требуется регистрироваться в Роскомнадзоре.