Персональные данные в управляющей компании и ТСЖ: лицевые счета, должники и собрания

У управляющей организации самая массовая база из всех отраслей малого и среднего бизнеса: несколько тысяч жителей на десяток домов. При этом почти вся обработка идёт без согласия — и это правильно. Разберём, почему так и где здесь настоящие сложности.

Согласие не нужно, а основание — нужно

Начисление платы за жилищно-коммунальные услуги, ведение лицевых счетов, работа с показаниями приборов учёта и раскрытие информации ведутся на основании закона и договора управления (пункты 2 и 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ). Согласие здесь не требуется, и собирать его с жителей не нужно: это создаёт ложное впечатление, будто отказ отменяет начисления.

Но основание нужно назвать в документах: в политике обработки, в перечне целей и категорий субъектов. Согласие потребуется только там, где цель выходит за рамки управления домом, — например для рассылки предложений сторонних сервисов.

Объём данных: где проходит граница

Для начислений нужны собственник или наниматель, помещение, площадь, число проживающих, показания приборов. Копии правоустанавливающих документов и паспортов запрашивают только при наличии цели: данные должны соответствовать целям обработки, а избыточные обрабатывать нельзя (часть 5 статьи 5 того же закона). Требование «принесите копию паспорта» на входе в диалог с жителем чаще всего лишнее.

Реестр собственников и общее собрание

Управляющая организация ведёт реестр собственников помещений и по обращению собственника, инициирующего общее собрание, передаёт его инициатору (часть 3.1 статьи 45 Жилищного кодекса Российской Федерации). Это тот случай, когда передача персональных данных другому человеку прямо предусмотрена законом: согласия остальных собственников для неё не требуется. Отказывать со ссылкой на закон о персональных данных здесь неправильно — как и передавать реестр кому попало, а не инициатору собрания.

Должники: почему объявление в подъезде незаконно

Список задолженности с фамилиями и номерами квартир на двери подъезда или в общем чате — это распространение персональных данных, для которого нужно отдельное согласие субъекта (статья 10.1 закона о персональных данных). Информировать о долге можно адресно: в платёжном документе, письмом, звонком. Отдельно стоит помнить о запрете уступки: право требования просроченной задолженности граждан по внесению платы за жилое помещение и коммунальные услуги нельзя передавать третьим лицам, в том числе профессиональным взыскателям (часть 18 статьи 155 Жилищного кодекса Российской Федерации). Исключения в норме названы прямо — это переход к новой управляющей организации, товариществу или кооперативу, ресурсоснабжающей организации, региональному оператору. Значит, и оснований передавать данные жителей коллекторскому агентству у управляющей организации нет.

Расчётный центр, ресурсоснабжающие организации, ГИС ЖКХ

Если расчётный центр, платёжный агент или подрядчик обрабатывает данные жителей по вашему заданию, это поручение на обработку: условия, перечень данных и требования к безопасности включают в договор (часть 3 статьи 6). Размещение сведений в государственной информационной системе жилищно-коммунального хозяйства ведётся по правилам, установленным Федеральным законом от 21.07.2014 № 209-ФЗ, и эту передачу тоже отражают в документах. Ресурсоснабжающая организация при прямых договорах — самостоятельный оператор, а не ваш обработчик.

Домофоны, камеры и шлагбаумы

Современный домофон с распознаванием лица обрабатывает биометрические персональные данные, а их можно обрабатывать только с согласия в письменной форме (часть 1 статьи 11 закона о персональных данных). Предоставление биометрии не может быть обязательным: у жителя должен остаться ключ или карта. Видеонаблюдение во дворе и в подъезде требует информирования, разумного срока хранения записей и понятного порядка выдачи записи по запросу.

Обращения жителей

Житель вправе узнать, какие его данные обрабатываются, потребовать их уточнения или уничтожения. Ответ дают в течение десяти рабочих дней с возможностью продления не более чем на пять (часть 1 статьи 20 и часть 2 статьи 14). Для большой базы это не теория: обращения приходят регулярно, и порядок их рассмотрения нужен рабочий — с журналом учёта и назначенным исполнителем.

Сложности, с которыми сталкиваются

• Чаты домов. Диспетчер отвечает жителям в мессенджере, туда же попадают адреса, номера квартир и суммы долга. Это неучтённое место обработки, доступное всем участникам чата.
• Много подрядчиков. Уборка, обслуживание лифтов, аварийная служба, юристы по взысканию — у каждого свой доступ к сведениям о жителях, и оформлен он редко.
• Старые базы. Данные прежних собственников остаются в системе после продажи квартиры и хранятся без цели и срока.
• Смена управляющей организации. При передаче дома возникает вопрос, что и на каком основании передаётся новой компании, и решать его лучше до, а не после.

Характерные ошибки

• Список должников на двери подъезда. Самое частое нарушение отрасли, и самое заметное: жалоба в Роскомнадзор пишется в один клик.
• Согласие вместо основания. С жителей собирают согласия на начисления, а потом не знают, что делать с отзывом.
• Отказ выдать реестр инициатору собрания. Ссылка на закон о персональных данных здесь не работает: передача прямо предусмотрена жилищным законодательством.
• Расчётный центр без договорных условий. Данные всех жителей лежат у подрядчика, а требований к их защите ему никто не предъявлял.
• Домофон с распознаванием лиц по умолчанию. Биометрию включают всем, письменных согласий нет, альтернативы для отказавшихся не предусмотрено.

С чего начать

Опишите цели обработки и основания по каждой, назовите получателей данных (расчётный центр, ресурсоснабжающие организации, система ЖКХ), оформите поручения с подрядчиками, наведите порядок в информировании о долгах и заведите рабочий порядок ответов на обращения. Требования и перечень документов отрасли собраны на странице защиты персональных данных в управляющей компании.