Защита персональных данных в управляющей компании и ТСЖ
Управляющая компания знает о жителях дома почти всё: кто собственник, сколько человек проживает, какие показания приборов и какая задолженность. Это делает её оператором персональных данных с большой базой и частыми обращениями. Разберём, что оформить и чего делать нельзя.
Знакомые ситуации
- •Ведём лицевые счета и начисления — на каком основании и в каком объёме.
- •Передаём данные в расчётный центр, платёжному агенту и в ГИС ЖКХ.
- •Жители пишут обращения и требуют показать, какие данные мы храним.
Что нужно по 152-ФЗ
Основания вместо согласия
Начисление платы за жилищно-коммунальные услуги, ведение лицевых счетов и раскрытие информации управляющая организация ведёт на основании закона и договора управления (пункты 2 и 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ), а не согласия. Согласие нужно там, где цель выходит за эти рамки, — например для рассылки предложений сторонних сервисов.
Объём данных
Собирают то, что нужно для начислений и обслуживания дома: данные собственника и нанимателя, площадь, число проживающих, показания приборов учёта. Копии документов о праве собственности и паспортов запрашивают только при наличии цели: данные должны соответствовать цели и не быть избыточными (часть 5 статьи 5).
Расчётный центр, платёжный агент, ГИС ЖКХ
Если расчётный центр, платёжный агент или подрядчик обрабатывает данные жителей по заданию управляющей организации, это поручение на обработку: условия включают в договор (часть 3 статьи 6). Размещение сведений в государственной информационной системе жилищно-коммунального хозяйства ведётся по правилам оператора этой системы, и передачу отражают в документах.
Должники и объявления
Список задолженности с фамилиями и номерами квартир в подъезде или в общем чате — это распространение персональных данных: без согласия на распространение (статья 10.1) так делать нельзя. Информировать о долге допустимо адресно — в платёжном документе или письмом самому должнику.
Обращения жителей
Житель вправе узнать, какие его данные обрабатываются, и требовать их уточнения или уничтожения. Ответ дают в течение десяти рабочих дней с возможностью продления не более чем на пять (часть 1 статьи 20 и часть 2 статьи 14); порядок работы с такими обращениями закрепляют документом и ведут учёт.
С чего начать
Уровень защищённости ИСПДн →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Что должно быть в приказе о назначении ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): кого назначают, его функции и как оформить. Структура документа.
Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.
Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.
Порядок рассмотрения обращений субъектов персональных данных, запросов Роскомнадзора и уведомлений об инцидентах: кто отвечает, как регистрируются обращения и в какие сроки по статьям 20 и 21 152-ФЗ оператор обязан ответить.
Какие условия должны быть в поручении на обработку персональных данных (договоре с обработчиком) по части 3 статьи 6 152-ФЗ: перечень данных, цели, конфиденциальность, меры защиты, уведомление об инцидентах.
Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).
Частые вопросы
Можно ли вывешивать список должников с фамилиями в подъезде?
Нет. Это распространение персональных данных, для которого нужно отдельное согласие субъекта (статья 10.1 Федерального закона от 27.07.2006 № 152-ФЗ). О задолженности сообщают адресно — в платёжном документе или письмом должнику.
Нужно ли согласие собственника на обработку данных для начислений?
Нет: обработка для начисления платы и ведения лицевого счёта ведётся на основании закона и договора управления (пункты 2 и 5 части 1 статьи 6). Согласие требуется для целей, выходящих за рамки управления домом.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.