По 152-ФЗ нет совместных операторов, а отсылка к совместности относится только к признаку оператора. То есть, если компания с кем-то организовала обработку персональных данных, то это формальный признак того, что эта компания является оператором персональных данных.
Так как Роскомнадзор прямо спросили про уведомление, то он дополняет ответ отсылкой к уведомлению, где всегда указывается одно лицо. Могу дополнить, что закон много где оперирует оператором, как одним лицом.
"Совместное операторство" можно использовать в обиходе, но деюре всегда нужно решить, когда компания оператор, а когда занимает позицию "обработчика", отражать эту логику в документах.
Если в вашей компании комплаенс построен вокруг "совместного операторства", приложенное письмо - триггер обратить на это внимание.
Судебной практики по совместным операторам по 152-ФЗ нет, статья отражает позицию автора и УРКН по ЦФО.
Вопрос заданный Роскомнадзору:
Согласно пп.2.) ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ О персональных данных: Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
В связи с этим прошу предоставить разъяснения по следующему вопросу: Может ли являться (признаваться) Оператором ( одним (единым) Оператором исходя из формулировки закона) сразу несколько лиц (разных юридических лиц).
В случае если по мнению Роскомнадзора Оператором ( одним (единым) оператором исходя из формулировки закона) может признаваться сразу несколько лиц, то как тогда осуществляется уведомление Роскомнадзора в порядке части 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ О персональных данных, так как на настоящий момент времени, при исполнении части 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ О персональных данных невозможно предоставить в Роскомнадзор сведения об Операторе, состоящих из несколько разных лиц (юридических лиц).
Ответ Роскомнадзора:
Дополнительно сообщаем, что в соответствии с ч. 1 ст. 22 Федерального закона от 27 июля 2006 г. №152-ФЗ «О персональных данных» (далее – Закон) оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем осуществлять обработку персональных данных за исключением случаев, предусмотренных ч. 2 настоящей статьи.
Основанием для включения в реестр операторов, осуществляющих обработку персональных данных (далее – Реестр) является уведомление об обработке (о намерении осуществлять обработку) персональных данных, содержащее сведения, предусмотренные ч. 3 ст. 22 Закона (далее – Уведомление).
В соответствии с п. 2 ст. 3 Закона оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Таким образом, исходя из вышеизложенного определения, оператором осуществляющим обработку персональных данных является лицо - юридическое (физическое) либо ИП. Подача Уведомления предусматривает подачу от каждого юридического (физического) лица либо ИП отдельного Уведомления. Впоследствии каждому юридическому (физическому) лицу либо ИП присваивается разный реестровый номер.
При этом подача одного Уведомления объединяющего одновременно сразу несколько юридических (физических) лиц либо ИП не предусмотрена.
Полагаем возможным также пояснить, что для включения в Реестр в качестве оператора персональных данных следует представить в адрес Управления Уведомление, заполненное на Портале персональных данных Роскомнадзора https://pd.rkn.gov.ru/ в разделе «Реестр операторов/Электронные формы заявлений».
В настоящее время на сайте реализовано несколько способов подачи Уведомления:
1) Сформировать уведомление и направить в бумажном виде. После заполнения и отправки электронной формы уведомления в информационную систему Роскомнадзора, распечатать, заверить подписью уполномоченного должностного лица и направить в Управление по адресу: Старокаширское шоссе, д. 2, корп. 10, ГСП-7, Москва, 117997.
2) Сформировать уведомление и направить в электронном виде с использованием усиленной квалифицированной электронной подписи. В этом случае подача в бумажном виде не потребуется. У вас должен быть установлен плагин КриптоПро ЭЦП Browser plug-in и настроена работа с ним. В случае если Вы подаёте уведомление за организацию, ИНН электронной подписи должно соответствовать ИНН организации.
3) Сформировать уведомление и направить в электронном виде с использованием средств аутентификации ЕСИА. Пройти аутентификацию на портале Госуслуг, заполнить форму и направить ее в электронном виде. У Вас должна быть подтвержденная учетная запись. Отправка копии в бумажном виде в данном случае не потребуется. В случае если Вы подаете уведомление за организацию, Ваша учетная запись должна быть привязана к данной организации на портале Госуслуг.
Обращаем Ваше внимание, что необходимо указывать все цели, указанные в учредительных документах оператора и цели, фактически осуществляемой оператором деятельности по обработке персональных данных. Цели обработки персональных данных недопустимо указывать перечнем в рамках одной цели. Все цели необходимо указывать отдельно друг от друга. И также для каждой цели обработки персональных данных указать категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными и способы обработки персональных данных.
После заполнения электронной формы Уведомления и отправки ее в информационную систему Роскомнадзора Вам автоматически присваивается номер уведомления и ключ. С помощью номера Уведомления и ключа у Вас есть возможность самостоятельно отслеживать статус Уведомления на портале персональных данных https://pd.rkn.gov.ru/ в разделе «Реестр операторов/Проверка состояния уведомления».
