Образ ответа можно посмотреть в телеграм.
Отношения по обработке персональных данных регулируются Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон).
1. Из п. 3 ст. 3 Закона следует, что к обработке персональных данных относится любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, в том числе сбор, использование, доступ и хранение персональных данных.
На основании ч. 3 ст. 6 Закона оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее - поручение оператора).
Общие положения по заключению договоров определены гражданским законодательством Российской Федерации.
Так, согласно п. 1 ст. 421 Гражданского кодекса Российской Федерации граждане и юридические лица свободы в заключении договора. Понуждение к заключению договора не допускается, за исключением случаев, когда обязанность заключить договор предусмотрена Гражданским кодексом Российской Федерации или добровольно принятых обязательством.
С учетом изложенного, поручение на обработку персональных данных является правом оператора, которое реализуется при условии получения согласия субъекта персональных данных на основании договора с лицом, которому поручается обработка персональных данных, если иное не установлено федеральным законом.
2. Обязанности оператора предусмотрены главой 4 Закона.
В соответствии с ч. 1 ст. 22 Закона оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 22 Закона.
Согласно п. 10.1 ч. 3 ст. 22 Закона в данном уведомлении указываются сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации.
Из указанных положений следует, что в уведомлении, подаваемом в соответствии с ч. 1 ст. 22 Закона, подлежат указанию сведения о месте нахождения собственных или арендуемых оператором у третьих лиц технических средств (серверных мощностей), с использованием которых оператором осуществляется хранение персональных данных.
Как следствие, информация о ресурсах, указанных в рассматриваемом обращении, при несоблюдении вышеназванных условий, не подлежит указанию в уведомлении, предусмотренном ч. 1 ст. 22 Закона.
Отмечаем, что в случае аренды технических средств (серверных мощностей), с использованием которых осуществляется хранение оператором персональных данных, указанные правоотношения предполагают делегирование оператором отдельных полномочий по обработке персональных данных, что является поручением на обработку персональных данных и подлежит осуществлению в соответствии с требованиями ч. 3 ст. 6 Закона.
Обращаем внимание, что условия договора, на основании которого осуществляется поручение на обработку персональных данных, в том числе в части предоставления информации о месте нахождения баз данных, определяется сторонами соответствующего договора в соответствии с гражданским законодательством Российской Федерации с учетом требований Закона.
При этом отмечаем, что согласно ч. 5 ст. 6 Закона, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор.
