1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
1) - 6) утратили силу с 1 сентября 2022 года. - Федеральный закон от 14.07.2022 N 266-ФЗ;
7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
3. Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения:
1) наименование (фамилия, имя, отчество), адрес оператора;
2) цель обработки персональных данных;
3) - 6) утратили силу с 1 сентября 2022 года. - Федеральный закон от 14.07.2022 N 266-ФЗ;
7) описание мер, предусмотренных статьями 18.1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
7.1) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты;
8) дата начала обработки персональных данных;
9) срок или условие прекращения обработки персональных данных;
10) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;
10.1) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;
10.2) фамилия, имя, отчество физического лица или наименование юридического лица, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах;
11) сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации.
3.1. При предоставлении сведений, предусмотренных частью 3 настоящей статьи, оператор для каждой цели обработки персональных данных указывает категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных.
4. Уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления уведомления об обработке персональных данных вносит сведения, указанные в части 3 настоящей статьи, а также сведения о дате направления указанного уведомления в реестр операторов. Сведения, содержащиеся в реестре операторов, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, являются общедоступными.
4.1. Уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления от оператора уведомления о прекращении обработки персональных данных исключает сведения, указанные в части 3 настоящей статьи, из реестра операторов.
5. На оператора не могут возлагаться расходы в связи с рассмотрением уведомления об обработке персональных данных уполномоченным органом по защите прав субъектов персональных данных, а также в связи с внесением сведений в реестр операторов.
6. В случае предоставления неполных или недостоверных сведений, указанных в части 3 настоящей статьи, уполномоченный орган по защите прав субъектов персональных данных вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов.
7. В случае изменения сведений, указанных в части 3 настоящей статьи, а также в случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений или с даты прекращения обработки персональных данных.
8. Формы уведомлений, предусмотренных частями 1, 4.1 и 7 настоящей статьи, устанавливаются уполномоченным органом по защите прав субъектов персональных данных.
Комментарий к ст. 22 Закона о персональных данных
1. Процедура уведомления об обработке персональных данных по смыслу комментируемого Закона выступает одной из гарантий соблюдения прав и законных интересов субъектов персональных данных в процессе обработки, переданной ими конфиденциальной информации и является своеобразным механизмом контроля и надзора за деятельность оператора.
Комментируемая статья, определяя порядок уведомления, его форму и содержание, вместе с тем содержит далеко не полные основания и условия его осуществления. По смыслу буквального толкования п.1 комментируемой статьи уведомление об обработке персональных данных должно предшествовать началу деятельности оператора. Иными словами, оператор в момент его регистрации в установленном качестве, определения целей его деятельности, применяемых способов и методов обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своих намерениях.
Применение уведомительного порядка о начале деятельности во многом свойственное явление отечественной правовой системе и, как правило, не влечет каких-либо правовых последствий в отношении субъекта, его применяющего. Отчасти их наступление связано с самоустранением обязанного лица от выполнения требуемых действий. Применительно к тексту комментируемого Закона действия оператора будут расценены не иначе как неправомерное использование полученных им персональных данных и их незаконная обработка (см. ст.21 настоящего Закона и комментарий к ней).
Следует подчеркнуть, что в тексте рассматриваемой статьи законодатель допускает уведомительную процедуру лишь в случаях, предшествующих началу профессиональной деятельности оператора. Однако анализ всей совокупности представленных законодательных положений позволяет отметить, что уведомление об обработке персональных данных, как это сформулировано в заглавии настоящей статьи, должно иметь место в ряде случаев:
- уточнение, блокирование или уничтожение персональных данных в порядке, оговоренном ст.21 настоящего Закона;
- изменение сведений, обусловливающих законность деятельности оператора (см. п.7 комментируемой статьи);
- достижение целей обработки персональных данных или отзыв субъектом персональных данных своего согласия на их обработку.
2. Законодатель допускает возможность оператора осуществлять обработку персональных данных без предварительного уведомления об этом уполномоченного органа по защите прав субъектов персональных данных. Сформулированный пунктом вторым комментируемой статьи перечень подобного рода случаев основывается на принципе внутреннего использования персональных данных, исключающем возможность их распространения за рамки правоотношений, существующих между оператором, осуществляющим их обработку, и субъектом, их передавшим. Исключение из названного принципа представляют собой случаи обработки персональных данных, отнесенных к разряду общедоступных сведений; обрабатываемых без использования средств автоматизации; включенных в состав федеральных автоматизированных информационных систем, созданных с целью защиты безопасности государства и общественного порядка или содержащих исключительно фамилию, имя и отчество лица.
Общим для всех представленных в статье ситуаций является минимизация возможной утраты обрабатываемых персональных данных либо неправомерного доступа к ним, способного повлечь негативные последствия для личности их обладателя.
3. Законодатель устанавливает жесткие требования относительно формы уведомления и способа его передачи. Уведомление должно быть составлено исключительно в письменной или электронной форме и подписано соответственно уполномоченным лицом или электронной цифровой подписью.
Электронным признается документ, в котором информация представлена в электронно-цифровой форме. Электронные документы по содержанию должны соответствовать документам, составленным на бумажном носителе, требования к которым установлены федеральными законами. Электронный документ приобретает юридическую силу после его подписания электронными цифровыми подписями соответствующих должностных лиц. Электронная цифровая подпись в электронном документе равнозначна собственноручной подписи в документе на бумажном носителе при одновременном соблюдении следующих условий:
- сертификат ключа подписи, относящийся к этой электронной цифровой подписи, не утратил силу (действует) на момент проверки или на момент подписания электронного документа при наличии доказательств, определяющих момент подписания;
- подтверждена подлинность электронной цифровой подписи в электронном документе;
- электронная цифровая подпись используется в соответствии со сведениями, указанными в сертификате ключа подписи.
Участник информационной системы может быть одновременно владельцем любого количества сертификатов ключей подписей. При этом электронный документ с электронной цифровой подписью имеет юридическое значение при осуществлении отношений, указанных в сертификате ключа подписи.
Содержание уведомления должно строго соответствовать представленному пунктом третьим комментируемой статьи перечню сведений.
4. Заинтересованное лицо вправе осуществлять деятельность в качестве оператора в соответствии с настоящим Законом только после внесения соответствующих сведений о нем в реестр операторов. Таким образом, с включением в реестр операторов законодатель связывает момент создания и начала деятельности последних, наделения их правами и обязанностями в части, касающейся обработки персональных данных. Ведение реестра операторов возложено на уполномоченный орган по защите прав субъектов персональных данных.
Реестр операторов является составной частью единого государственного реестра и представляет собой разновидность государственных информационных ресурсов общего пользования. Формирование рассматриваемого реестра, а равно его информационное накопление подчиняется единым принципам, методам и формам ведения государственных реестров, что, по логике законодателя, должно обеспечивать единство и сопоставимость поступающих в него сведений. Целью ведения реестра операторов является накопление и обобщение сведений о деятельности последних, повышение уровня контроля за их деятельностью, создание надежной системы защиты прав и законных интересов субъектов персональных данных. Реестр операторов может вестись как на бумажных, так и на электронных носителях. При несоответствии между записями на бумажных носителях и электронных носителях приоритет имеют записи на бумажных носителях, если не установлен иной порядок ведения реестра. Ведение реестра на электронных носителях осуществляется в соответствии с едиными организационными, методологическими и программно-техническими принципами, обеспечивающими совместимость и взаимодействие реестра с иными федеральными информационными системами и сетями.
В реестре операторов подлежат отражению:
- записи о государственной регистрации при создании, реорганизации, ликвидации заинтересованных лиц в качестве оператора персональных данных;
- записи о государственной регистрации изменений, вносимых в учредительные документы указанных субъектов;
- записи об изменении сведений, содержащихся в реестре операторов в соответствии с комментируемым Федеральным законом;
- документы, представленные в регистрирующий орган в соответствии с настоящим Федеральным законом.
Внесение записи об операторе персональных данных в соответствующий реестр осуществляется на основании его уведомления, переданного в уполномоченный орган в порядке и на условиях, определенных комментируемым Законом. Основанием для внесения соответствующей записи в реестр является решение, принятое уполномоченным органом по защите прав субъектов персональных данных по документам, представленным в процессе его уведомления.
Ведение реестра осуществляет Федеральная служба по надзору в сфере связи, которая при наличии условий, определенных в соответствии с настоящим Законом, включает операторов в реестр путем внесения в реестр соответствующих записей, изменяет сведения, содержащиеся в указанных записях, исключает операторов из реестра путем дополнения ранее внесенных записей сведениями об исключении операторов из реестра. Принятие решения о включении операторов в реестр, исключении операторов из реестра осуществляется на основании результатов анализа информации, полученной от операторов и иных источников и свидетельствующей о занятии оператором связи существенного положения в сети связи общего пользования либо о прекращении оснований для нахождения оператора связи в реестре. В случае изменения сведений об операторе, содержащихся в реестре лицензий, эти изменения в течение десяти рабочих дней вносятся в реестр. Внесение указанных изменений в реестр производится на основании приказа Федеральной службы по надзору в сфере связи и не приводит к изменению регистрационного номера соответствующей записи в реестре. Информация реестра публикуется на сайте Федеральной службы по надзору в сфере связи информационного портала Министерства информационных технологий и связи РФ. Операторы, включенные в реестр, а также другие заинтересованные юридические и физические лица могут получить выписку из реестра по письменному обращению.
