Порочная практика

Запоздало, но всё же напишу.

Еще одна характеристика того, как работает Роскомнадзор.

В сентябре 2015 года, когда положения о размещении баз данных ПДн на территории РФ вступили в силу, Роскомнадзор на проверках стал требовать указания расположения баз данных в уведомлении.

И это при том, что на тот момент, ни форма уведомления (введенная адм.регламентом РКН), ни сайт РКН не предполагали указания таких данных.

Понятно, что от рядовых сотрудников РКН этого требовал "центр" (или "штаб").

В итоге получился интересный разговор:

- Укажите расположение БД в уведомлении.

- Как его вам указать?

- Да просто напишите Изменение в уведомление.

- Так там же нет таких полей. Вы его нам же и завернете обратно, как не соответствующее утвержденной форме.

- Нет, присылайте как хотите, но расположение укажите.

Интересно, когда это прекратится.

Ни что иное, как "слив" персональных данных?

Заголовок поста как из желтой прессы, но может быть это самое точное определение.

Во Владимирской области существуют две организации, осуществляющие снабжение граждан необходимыми ресурсами: водой и газом - это "Владимиррегионгаз" (ныне ООО «Газпром межрегионгаз Владимир») и МУП «Владимирводоканал» (далее назовем их РСО).

Так исторически сложилось, что эти организации оказывают услуги населению даже в том случае, если у них нет с этим населением напрямую заключенных договоров. Кто-то въехал в квартиру, воду льет, а договор заключить не удосужился. Или получил по наследству, а в организацию о смене собственника не сообщил. Или вселилось еще 2 человека, а счетчиков газа и воды в квартире нет, и тогда РСО должны рассчитывать потребление исходы из количества проживающих, о которых РСО и не знает. А есть просто собственники, проживающие в квартирах с давних времен, когда обязанности напрямую заключать договоры с ними не было.

Получается, что у РСО нет данных о таких потребителях. А ресурсы они потребляют, деньги не платят, и отключить их не получается.
На совершенно законных основаниях РСО намеревается подать документы в суд на таких неплательщиков, но сталкивается с проблемой отсутствия у РСО необходимых для подачи иска персональных данных ответчика.
В итоге РСО нашли удобный для себя способ - получать эти сведения от управляющих компаний, поскольку у тех в большей части имеются сведения о собственниках, в том числе и через паспортные столы.

А теперь встает самый интересный вопрос: а по какому праву персональные данные собственников УК передает в РСО? Найти законных оснований на такую передачу не удается:

• договоры УК с собственниками обычно условий о передаче ПДн в РСО не содержат (возможно за исключением случаев каких-либо перерасчетов, но это совсем другое основание);
• положения законодательства такие так же отсутствуют, ни в ПП-549 (по газоснабжению), ни в ПП-354 (по коммунальным услугам) норм о передаче ПДн от УК в РСО нет

Вот и получается, что передача ПДн в этом случае незаконна.

Кто виноват и что делать?

Интересный нюанс: хотя инициатором такой незаконной передачи выступают РСО, но все "шишки" собирают УК: ведь это они передают ПДн, и у Роскомнадзора все основания выписать им штраф по ст. 13.11 КоАП (пока только через прокуратуру и суд - см. 242-ФЗ).
При этом РСО, выполнившие у себя "все работы" по приведению в соответствие (ведь Политики об обработке ПДн на сайтах присутствуют), как-то наказать не удается (на сайте РКН такая информация отсутствует, а вот по проверкам УК - полно).

Но ответственность быть должна. Или всё-таки есть основания? Да, они есть:

• та же ст. 13.11 КоАП "Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)", потому как у РСО нет законных оснований на обработку полученных таким образом персональных данных от УК. Они их должны удалить попросту сразу при получении (да еще и сообщить о нарушении прав субъектов).

Справедливости ради, надо отметить, что РСО имеют моральное право на требование оплаты с собственников за пользование их услугами. И как оказывается, они его могут реализовать совершенно законно:

• пп. "з" п. 34 «Правил предоставления коммунальных услуг собственникам и пользователям помещений в многоквартирных домах и жилых домов» (Постановление Правительства РФ №354), потребители (собственники жилых помещений) сами обязаны сообщать ресурсоснабжающим организациям об изменении количества проживающих граждан в жилом помещении;
• п. 4 «Правил поставки газа для обеспечения коммунально-бытовых нужд граждан» (Постановление Правительства РФ № 549): поставщик газа получает сведения о зарегистрированных лицах в снабжаемых помещениях от уполномоченных государственных органов или органов местного самоуправления;
• и самый простой способ: запросить информацию о собственнике в Росреестре (это конечно же для них дорого).

Ну а такую "некрасивую" передачу персональных данных из УК в РСО надо закрывать, к тому же элементарные правила соблюдения конфиденциальности (ч. 3 ст. 6 ФЗ-152) не выполняются.

О наблюдениях Роскомнадзора

Роскомнадзор, как известно, проводит систематическое наблюдение за выполнением ФЗ о персданных, в том числе, ищет объявления о продаже всяческих баз с ПДнами в газетах, форумах, на рынках.

Одновременно Роскомнадзор также мониторит сайты операторов на предмет выполнения требований закона. А выполнять кое-что нужно, как то:

• если есть форма обратной связи, сбора данных и т.п., то нужно скорее всего разместить и согласие на сбор этих данных; согласие, понятно, должно удовлетворять требованиям ст. 9 закона;
• а если есть сбор, то и политика оператора по обработке ПДн.

Если указанной информации на сайте нет, то оператор может получить письмо от РКН об усматриваемом ими правонарушении и требовании привести всё в порядок за 30 дней.

Серьезных штрафных санкций за это конечно не будет, учитывая действующие сейчас статьи КоАП, но всё же:

• ст. 19.7 - непредставление сведений, штраф до 5 тыс. рублей;
• ст. 19.4 - невыполнение законного требования (это если проигнорировать письмо от РКН) - до 4 тыс. рублей на лицо, ответственное за организацию обработки ПДн, или при вероятном отсутствии такового в отношении директора.

Но с 1-го сентября всё может поменяться: найдут нарушение на сайте - и это станет поводом для ближайшей выездной проверки. Учитывая, что РКН может дать 30 дней на устранение нарушений, то этого срока для подготовки к проверке для средней организации может не хватить.

И следует иметь ввиду, что перед проведением выездной проверки, сотрудники Роскомнадзора обязательно зайдут на сайт организации и проверят, какой деятельностью занимается организация, какие ПДн она вероятно обрабатывает и выполняет ли самые очевидные требования.

Конвертование квитанций по квартплате

Не так давно разбирал кейс, связанный с доставкой квитанций до собственников жилья. Вопрос интересный в связи с тем, что существует наш любимый 152-ФЗ, статья 7 которого требует соблюдения конфиденциальности персональных данных.

А соблюдается ли конфиденциальность при доставке квитанций по квартплате?

Возможны два варианта:

1. Используются конверты (обычно подготавливаемые с помощью конвертовального оборудования).
2. Конверты не используются.

В первом случае почти всё понятно. Но. Кто осуществляет конвертование? А кто осуществляет распечатку квитанций? Этими вопросами нужно обязательно задаться. Если это другие организации, то как минимум нужно выполнять требования ч. 3 ст. 6 152-ФЗ. Кроме того - получение дополнительного согласия с собственников жилья на передачу их данных для подготовки квитанций.

Второй вариант: квитанции доставляются без конвертов. Тогда нам интересно:

• Кто доставляет квитанции?
• Как доставляют квитанции?

Почему эти два вопроса: первый ответит нам опять о необходимости ч. 3 ст. 6 152-ФЗ в договоре с подрядной организацией и нужности сбора согласия с жильцов для такой доставки; а второй - о мерах по обеспечению той самой конфиденциальности, потому что такие вот вещи совсем не редкость:

И напоследок, вопрос: а если не конвертовать платежные квитанции и доставлять силами самой УК, да еще и опускать платежки целиком в почтовые ящики - светит ли в этом случае что-то управляющей компании от Роскомнадзора?
Ответ: нет.
Потому что:

• УК имеет доступ к персональным данным на основании договора с собственником жилого помещения - поэтому конверты в момент доставки не требуются;
• УК может справедливо считать, что то, что опущено в почтовый ящик доступно только его владельцу. Если и на это нужно обоснование, то:
  • ст. 2 176-ФЗ «О почтовой связи»: абонентский почтовый шкаф - специальный шкаф с запирающимися ячейками, устанавливаемый в жилых домах <...>;
  • ст. 31 176-ФЗ «О почтовой связи»: абонентские почтовые шкафы устанавливаются <...> на первых этажах многоэтажных жилых домов. <...> Обслуживание, ремонт и замена абонентских почтовых шкафов возлагаются на собственников жилых домов или жилищно-эксплуатационные организации <...> и осуществляются за счет собственников жилых домов.

Что собственно и подтверждается Решением Арбитражного суда Тульской области №А68-12417/2013 от 12 мая 2014 г.