А вообще, нужно ли уведомлять РКН?

Задавался вопрос о необходимости уведомления РКН об обработке ПДн.

К сожалению, подавляющему большинству компаний нужно подавать уведомление. Рассмотрим подробнее:

Статья 22, п.2 ФЗ № 152:

Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:

1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;

(ту все понятно)

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;

(этот пункт закрывает много головной боли, потому что позволяет обрабатывать ПДн в целях исполнения договора, например, договора перевозки, туристического договора и т.д.)

3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;

(копаться не будем тут все понятно)

4) являющихся общедоступными персональными данными;

( ПДн станут общедоступными только тогда, когда у вас будет письменное согласие субъекта на перевод его персональных данных в категорию общедоступных, причем выходить за перечень данных, указанных в согласии, вы не можете. Предоставить доказательство общедоступности необходимо самому оператору. )

5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;

(понятно)

6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;

(не забываем, что после выхода субъекта с территории, данные необходимо уничтожить)

7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;

(это касается различных баз сепаратистов и т.д.)

8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.

(этим пунктом очень любят прикрываться, когда декларируют неавтоматизированную обработку по ПП №687, про обоснованность и выполнимость я уже писал)

Вот мы и рассмотрели все случаи, когда можно обрабатывать ПДн без уведомления. Теперь вопрос – Что делать с CRM? Ведь практически в каждой компании есть клиентская база! Ни под один из пунктов, такие ПДн не подпадают.

Что делать? Формально получается, что с повинной в РКН нужно практически всем (чего вновь настоятельно не рекомендую).