941 просмотров
Время чтения: 10 мин.
Многие организации, имеющие филиалы и представительства, сталкиваются с вопросом: нужно ли каждому обособленному подразделению подавать в Роскомнадзор отдельное уведомление о намерении обрабатывать персональные данные? Ведь по закону № 152-ФЗ оператор обязан уведомить регулятора до начала обработки ПДн, но прямо не указано, как поступать с филиалами.
В статье разбираем, кто признается оператором, какова роль филиалов и почему в большинстве случаев достаточно одного уведомления от головной организации.
Согласно ч. 1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ, оператор персональных данных до начала их обработки обязан направить уведомление в Роскомнадзор. Это правило действует для всех организаций, которые собирают, хранят, передают или иным образом работают с персональными данными физических лиц.
Оператором, согласно п. 2 ст. 3 закона, признается юридическое или физическое лицо, которое самостоятельно определяет цели, объем и способы обработки данных. Именно оператор несёт юридическую ответственность за соблюдение законодательства.
Филиал — это обособленное подразделение юридического лица, выполняющее его функции (в том числе представительные). Он не является отдельным юридическим лицом (ст. 55 ГК РФ), действует на основании положения, утвержденного головной организацией, и не вправе действовать независимо в правовом поле.
Это означает, что филиал не может быть признан самостоятельным оператором персональных данных. Все действия по сбору и обработке данных, осуществляемые в филиале, юридически осуществляются от имени головной организации.
Роскомнадзор требует, чтобы уведомление об обработке персональных данных подавалось от имени юридического лица, которое определяет цели и состав обрабатываемых данных.
Форма уведомления, утверждённая приказом Роскомнадзора от 28.10.2022 № 180, содержит обязательные поля:
полное и сокращённое наименование организации;
ИНН, ОГРН;
юридический и фактический адрес.
В форме нет отдельного поля для филиала, но при этом организация может включить информацию об обособленных подразделениях, если обработка ПДн ведётся по их адресам.
Если организация обрабатывает персональные данные не только в головном офисе, но и в филиалах, это нужно отразить в уведомлении:
указать все адреса, по которым осуществляется обработка ПДн, включая адреса филиалов;
при необходимости — описать категории персональных данных, которые собираются в каждом подразделении;
при изменении адресов или структуры обработки — актуализировать уведомление.
Таким образом, одно уведомление от головной компании с полной информацией по всем филиалам считается достаточным.
Если организация (включая филиалы) начала обработку персональных данных без подачи уведомления, это квалифицируется как нарушение законодательства. Однако ответственность ложится на юридическое лицо, а не на обособленное подразделение.
Нет, не нужно. Филиал не признаётся самостоятельным оператором персональных данных и, соответственно, не обязан подавать отдельное уведомление в Роскомнадзор. Все действия осуществляются от имени головной организации, которая и должна уведомлять регулятора.
Чтобы соблюсти требования закона, важно:
корректно заполнить форму уведомления от юридического лица;
указать все места обработки ПДн, включая филиалы;
своевременно вносить изменения, если структура обработки меняется.
Да, если в новом филиале будет осуществляться обработка ПДн, головная организация должна актуализировать ранее поданное уведомление и указать новый адрес.
Следует внести изменения в уведомление. В противном случае есть риск административной ответственности за нарушение порядка уведомления.
Да, если обработка ПДн осуществляется только в центральном офисе. Но если она ведётся и в филиалах — их адреса также должны быть включены в уведомление.
