Ни что иное, как "слив" персональных данных?

Заголовок поста как из желтой прессы, но может быть это самое точное определение.

Во Владимирской области существуют две организации, осуществляющие снабжение граждан необходимыми ресурсами: водой и газом - это "Владимиррегионгаз" (ныне ООО «Газпром межрегионгаз Владимир») и МУП «Владимирводоканал» (далее назовем их РСО).

Так исторически сложилось, что эти организации оказывают услуги населению даже в том случае, если у них нет с этим населением напрямую заключенных договоров. Кто-то въехал в квартиру, воду льет, а договор заключить не удосужился. Или получил по наследству, а в организацию о смене собственника не сообщил. Или вселилось еще 2 человека, а счетчиков газа и воды в квартире нет, и тогда РСО должны рассчитывать потребление исходы из количества проживающих, о которых РСО и не знает. А есть просто собственники, проживающие в квартирах с давних времен, когда обязанности напрямую заключать договоры с ними не было.

Получается, что у РСО нет данных о таких потребителях. А ресурсы они потребляют, деньги не платят, и отключить их не получается.
На совершенно законных основаниях РСО намеревается подать документы в суд на таких неплательщиков, но сталкивается с проблемой отсутствия у РСО необходимых для подачи иска персональных данных ответчика.
В итоге РСО нашли удобный для себя способ - получать эти сведения от управляющих компаний, поскольку у тех в большей части имеются сведения о собственниках, в том числе и через паспортные столы.

А теперь встает самый интересный вопрос: а по какому праву персональные данные собственников УК передает в РСО? Найти законных оснований на такую передачу не удается:

• договоры УК с собственниками обычно условий о передаче ПДн в РСО не содержат (возможно за исключением случаев каких-либо перерасчетов, но это совсем другое основание);
• положения законодательства такие так же отсутствуют, ни в ПП-549 (по газоснабжению), ни в ПП-354 (по коммунальным услугам) норм о передаче ПДн от УК в РСО нет

Вот и получается, что передача ПДн в этом случае незаконна.

Кто виноват и что делать?

Интересный нюанс: хотя инициатором такой незаконной передачи выступают РСО, но все "шишки" собирают УК: ведь это они передают ПДн, и у Роскомнадзора все основания выписать им штраф по ст. 13.11 КоАП (пока только через прокуратуру и суд - см. 242-ФЗ).
При этом РСО, выполнившие у себя "все работы" по приведению в соответствие (ведь Политики об обработке ПДн на сайтах присутствуют), как-то наказать не удается (на сайте РКН такая информация отсутствует, а вот по проверкам УК - полно).

Но ответственность быть должна. Или всё-таки есть основания? Да, они есть:

• та же ст. 13.11 КоАП "Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)", потому как у РСО нет законных оснований на обработку полученных таким образом персональных данных от УК. Они их должны удалить попросту сразу при получении (да еще и сообщить о нарушении прав субъектов).

Справедливости ради, надо отметить, что РСО имеют моральное право на требование оплаты с собственников за пользование их услугами. И как оказывается, они его могут реализовать совершенно законно:

• пп. "з" п. 34 «Правил предоставления коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов» (Постановление Правительства РФ №354), потребители (собственники жилых помещений) сами обязаны сообщать ресурсоснабжающим организациям об изменении количества проживающих граждан в жилом помещении;
• п. 4 «Правил поставки газа для обеспечения коммунально-бытовых нужд граждан» (Постановление Правительства РФ № 549): поставщик газа получает сведения о зарегистрированных лицах в снабжаемых помещениях от уполномоченных государственных органов или органов местного самоуправления;
• и самый простой способ: запросить информацию о собственнике в Росреестре (это конечно же для них дорого).

Ну а такую "некрасивую" передачу персональных данных из УК в РСО надо закрывать, к тому же элементарные правила соблюдения конфиденциальности (ч. 3 ст. 6 ФЗ-152) не выполняются.

О наблюдениях Роскомнадзора

Роскомнадзор, как известно, проводит систематическое наблюдение за выполнением ФЗ о персданных, в том числе, ищет объявления о продаже всяческих баз с ПДнами в газетах, форумах, на рынках.

Одновременно Роскомнадзор также мониторит сайты операторов на предмет выполнения требований закона. А выполнять кое-что нужно, как то:

• если есть форма обратной связи, сбора данных и т.п., то нужно скорее всего разместить и согласие на сбор этих данных; согласие, понятно, должно удовлетворять требованиям ст. 9 закона;
• а если есть сбор, то и политика оператора по обработке ПДн.

Если указанной информации на сайте нет, то оператор может получить письмо от РКН об усматриваемом ими правонарушении и требовании привести всё в порядок за 30 дней.

Серьезных штрафных санкций за это конечно не будет, учитывая действующие сейчас статьи КоАП, но всё же:

• ст. 19.7 - непредставление сведений, штраф до 5 тыс. рублей;
• ст. 19.4 - невыполнение законного требования (это если проигнорировать письмо от РКН) - до 4 тыс. рублей на лицо, ответственное за организацию обработки ПДн, или при вероятном отсутствии такового в отношении директора.

Но с 1-го сентября всё может поменяться: найдут нарушение на сайте - и это станет поводом для ближайшей выездной проверки. Учитывая, что РКН может дать 30 дней на устранение нарушений, то этого срока для подготовки к проверке для средней организации может не хватить.

И следует иметь ввиду, что перед проведением выездной проверки, сотрудники Роскомнадзора обязательно зайдут на сайт организации и проверят, какой деятельностью занимается организация, какие ПДн она вероятно обрабатывает и выполняет ли самые очевидные требования.