НКО и бюджетные учреждения обязаны соблюдать 152-ФЗ так же как коммерческие компании
Благотворительный фонд собирает паспортные данные доноров, школа ведёт электронный журнал с данными учеников, поликлиника хранит карты пациентов. Все они операторы персональных данных по 152-ФЗ, и некоммерческий статус тут ничего не меняет.
Благотворительный фонд собирает паспортные данные доноров для отчётности. Школа ведёт электронный журнал с данными учеников и родителей. Поликлиника хранит карты пациентов. Каждая из этих организаций обрабатывает персональные данные и подчиняется 152-ФЗ независимо от того, коммерческая она или нет.
Некоммерческий статус не освобождает от обязанностей оператора
Закон о персональных данных признаёт оператором любую организацию, которая собирает, хранит или передаёт данные людей. Форма собственности здесь роли не играет. Как только организация начинает работать с данными сотрудников, благополучателей, доноров, учеников или пациентов, она становится оператором со всеми обязанностями. НКО, автономное учреждение, бюджетная организация и коммерческая фирма в этом смысле равны перед законом.
На практике руководители некоммерческих и бюджетных организаций часто относятся к 152-ФЗ как к правилам для бизнеса. Логика простая: закон писали для тех, кто продаёт товары и собирает клиентские базы, а фонд или школа деньги не зарабатывают. Эта логика ошибочна, и при проверке она дорого обходится.
Какие данные обрабатывает типичная НКО или бюджетное учреждение
- паспортные данные, СНИЛС и банковские реквизиты сотрудников и волонтёров
- сведения о благополучателях и подопечных, среди которых нередко встречаются данные о здоровье или инвалидности
- ФИО, контакты и суммы взносов доноров и жертвователей
- данные обучающихся, пациентов и посетителей в школах, детских центрах, медицинских и социальных учреждениях
Сведения о здоровье, инвалидности, судимости относятся к специальной категории персональных данных. Для их обработки закон устанавливает более строгие условия, чем для обычных контактных данных.
Какой минимум документов нужен
Набор обязанностей не зависит от формы собственности. Организации нужно уведомление в Роскомнадзор об обработке персональных данных, если она не подпадает под исключения из статьи 22 закона. Нужна политика обработки персональных данных в открытом доступе, на сайте или на информационном стенде. Нужны согласия субъектов, оформленные под конкретные цели, а не общей формулировкой на всё сразу. Нужен назначенный ответственный за организацию обработки персональных данных. И нужен договор поручения с подрядчиками, которым передаются данные, будь то бухгалтерия на аутсорсе, ИТ-компания или платёжный агрегатор.
Из обязанности уведомить Роскомнадзор закон выводит ряд случаев, например обработку данных исключительно в рамках трудовых отношений или без использования средств автоматизации. Но освобождение от уведомления не отменяет остальные обязанности оператора. Политика, согласия и ответственный нужны в любом случае.
Что проверяет Роскомнадзор у НКО и бюджетных учреждений
Подход инспектора к некоммерческой организации ничем не отличается от подхода к обычной компании. Проверяют наличие и содержание политики обработки, формулировки согласий, назначение ответственного, порядок хранения и уничтожения данных, а для специальных категорий дополнительные меры защиты. Отсутствие документов у благотворительного фонда трактуется точно так же, как их отсутствие у интернет-магазина.
За нарушения предусмотрена административная ответственность независимо от того, извлекает организация прибыль или нет. Некоммерческий статус не смягчает ответственность оператора и не освобождает от предписаний устранить нарушения.
Что делать дальше
Начните с ревизии. Какие данные и от кого организация собирает, на каком основании, где хранит и кто имеет к ним доступ. По итогам станет ясно, какие документы уже есть, а какие нужно оформить с нуля.
Авто-аудит сайта — проверка на нарушения 152-ФЗ
поможет провести такую проверку самостоятельно.Нужно ли уведомлять РКН? — пройти тест
подскажет, нужно ли вашей организации уведомление в Роскомнадзор и как его подать.Частые вопросы
Нужно ли благотворительному фонду уведомлять Роскомнадзор об обработке персональных данных доноров?
В большинстве случаев да, если фонд собирает и хранит данные доноров с использованием компьютеров и баз данных. Освобождение от уведомления действует только для узкого перечня случаев из статьи 22 закона, и на сбор данных доноров оно обычно не распространяется.
Отвечает ли директор бюджетного учреждения лично за нарушения 152-ФЗ?
Административную ответственность несёт организация как оператор. Но должностное лицо, на которое возложена обязанность обеспечить соблюдение закона, тоже может быть привлечено к ответственности, если проверка установит его вину.
Нужны ли отдельные согласия на обработку данных волонтёров?
Да. Волонтёр не состоит в трудовых отношениях с организацией, поэтому обрабатывать его данные можно только с отдельного согласия под конкретную цель, будь то учёт, страхование или выплата компенсаций.
Чем ответственность НКО за утечку данных отличается от ответственности бизнеса?
Формально не отличается. Меры ответственности в 152-ФЗ и КоАП привязаны к факту нарушения и статусу оператора, а не к тому, коммерческая организация или некоммерческая.