Персональные данные в частной охранной деятельности: почему это касается каждой ЧОО

В последние годы контроль за обработкой персональных данных значительно ужесточился. Штрафы выросли в разы, а проверки Роскомнадзора стали регулярными даже для небольших компаний.

Для частных охранных организаций эта тема особенно критична. Работая с пропускным режимом, видеонаблюдением, данными сотрудников и представителями заказчиков, почти каждая ЧОО является оператором персональных данных. При этом многие до сих пор считают, что «закон о персональных данных — это не про нас».

В этом материале юрист и налоговый консультант Светлана Ковалёва подробно объясняет, почему такое заблуждение может дорого обойтись, и что нужно сделать уже сейчас, чтобы защитить бизнес от штрафов и репутационных рисков.

Светлана Ковалёва,

юрист, налоговый консультант и предприниматель,
уже 25 лет помогает малому и среднему бизнесу работать законно,
безопасно и прибыльно

Телеграм-канал: t.me/sprosi_y_urista

VK: vk.com/sprosiurista

Слова «персональные данные» сегодня слышали, пожалуй, уже все. Слово «Роскомнадзор» — тоже. Но на практике у многих руководителей частных охранных организаций до сих пор остается ощущение, что это какая-то отдельная история: для банков, маркетплейсов, медицинских клиник, интернет-магазинов, крупных IT-компаний — но не для охранного бизнеса. Это опасное заблуждение. Частная охранная организация практически всегда работает с персональными данными. Более того, она почти всегда является оператором персональных данных, а значит, на нее распространяются требования Федерального закона № 152-ФЗ «О персональных данных», требования Роскомнадзора и ответственность за нарушения в этой сфере. Давайте начнем спокойно и по порядку.

Что такое персональные данные

Персональные данные — это не только паспорт, прописка и СНИЛС. По закону персональные данные — это любая информация, которая относится к прямо или косвенно определенному или определяемому физическому лицу. Проще говоря, это любые сведения, по которым человека можно узнать, выделить, идентифицировать прямо или через сочетание с другими сведениями. Чаще всего в голову сразу приходят фамилия, имя, отчество, паспортные данные, адрес регистрации, номер телефона, электронная почта. Но этим список не ограничивается. К персональным данным могут относиться: фотография человека; видеозапись, на которой можно определить конкретное лицо; номер телефона; адрес электронной почты; аккаунт в социальной сети или мессенджере; должность и место работы; подпись; данные пропуска; сведения из анкеты кандидата; данные о графике работы; информация о представителе заказчика; в отдельных случаях — государственный номер автомобиля, если по нему или вместе с другими данными можно определить конкретного человека.

Важно понимать: закрытого перечня персональных данных в законе нет. Нельзя открыть закон и увидеть полный список: «вот это персональные данные, а вот это уже нет». Каждый раз нужно смотреть, позволяет ли конкретная информация прямо или косвенно определить человека. Для охранного бизнеса это особенно важно, потому что ЧОО работает не только с документами, но и с пропускным режимом, журналами посещений, видеонаблюдением, списками сотрудников, списками представителей заказчика, заявками на доступ, данными охранников и кандидатов.

Почему ЧОО — это оператор персональных данных

Оператор персональных данных — это тот, кто организует или осуществляет обработку персональных данных, определяет цели такой обработки, состав данных и действия, которые с ними совершаются. Оператором может быть не только государственный орган или крупная компания. Оператором может быть обычное юридическое лицо, индивидуальный предприниматель и даже физическое лицо, если оно собирает и использует персональные данные для определенных целей.

Частная охранная организация обрабатывает персональные данные постоянно. Например, у ЧОО есть работники — охранники, административный персонал, руководители, бухгалтерия. Значит, организация хранит трудовые договоры, личные карточки, паспортные данные, сведения о зарплате, графики, приказы, контактные данные, документы по обучению и квалификации.

ЧОО заключает договоры с заказчиками. Даже если заказчик — юридическое лицо, договор подписывает конкретный директор или иной представитель. В договоре, доверенности, заявке, переписке или акте могут быть его фамилия, имя, отчество, должность, телефон, электронная почта, подпись. ЧОО может вести журналы посетителей на объекте. Там появляются фамилии, номера документов, время входа и выхода, данные автомобиля, цель визита, лицо, к которому посетитель пришел. ЧОО может использовать видеонаблюдение, пропуска, списки доступа, фотографии сотрудников или представителей заказчика. Все это в определенных случаях также связано с персональными данными. Поэтому ответ на вопрос «касается ли закон о персональных данных частных охранных организаций?» очень простой: да, касается. Практически всегда.

Почему тема стала особенно актуальной

Закон о персональных данных действует давно. Федеральный закон № 152-ФЗ был принят еще в 2006 году. То есть сама обязанность правильно работать с персональными данными появилась не вчера и не в прошлом году. Но в последние годы законодательство в этой сфере заметно ужесточилось. Требования стали строже, штрафы — выше, а внимание к обработке персональных данных — значительно серьезнее. Один из важных поворотных моментов для бизнеса произошел с 1 сентября 2022 года. Раньше в законе было больше случаев, когда оператор мог не уведомлять Роскомнадзор об обработке персональных данных. Например, многие компании считали, что если они обрабатывают только данные работников или используют данные клиентов только для исполнения договора, то уведомление подавать не нужно. Сейчас эти исключения существенно сокращены. На практике для обычной коммерческой организации, в том числе для частной охранной организации, рассчитывать на исключение почти всегда неправильно. Сейчас без уведомления Роскомнадзора обработка возможна только в специальных случаях, прямо указанных в законе: например, когда персональные данные обрабатываются в целях защиты безопасности государства и общественного порядка, в целях транспортной безопасности, либо когда обработка ведется исключительно без использования средств автоматизации. Для обычной ЧОО это, как правило, не подходит. Если у организации есть компьютер, кадровая программа, электронные таблицы, электронная почта, база клиентов, сканы документов, сайт, мессенджеры для рабочих вопросов — говорить о том, что обработка ведется исключительно «на бумаге», уже нельзя.

Что должна сделать ЧОО

Первый базовый шаг — уведомить Роскомнадзор об обработке персональных данных. В деловой речи часто говорят «зарегистрироваться в Роскомнадзоре как оператор персональных данных». Юридически точнее говорить так: оператор направляет уведомление в Роскомнадзор, после чего сведения об операторе вносятся в реестр операторов, осуществляющих обработку персональных данных. Но важно понимать: уведомление — это только начало пути. Нельзя просто подать форму и считать, что вопрос закрыт. Роскомнадзор спрашивает не только сам факт уведомления. Логика закона шире: организация должна понимать, какие персональные данные она обрабатывает, в каких целях, на каком правовом основании, где хранит эти данные, кому передает, как защищает, когда уничтожает и кто внутри организации за это отвечает. Поэтому ЧОО нужно привести в порядок внутреннюю систему работы с персональными данными. Обычно в такой системе должны быть: политика обработки персональных данных, особенно если у организации есть сайт, форма обратной связи, анкета, заявка или иной способ сбора данных через интернет; положение об обработке персональных данных работников; приказы и локальные акты о назначении ответственных лиц; согласия на обработку персональных данных в тех случаях, когда согласие действительно необходимо; отдельные согласия на обработку персональных данных, разрешенных для распространения, если организация публикует фотографии сотрудников, отзывы клиентов, информацию о людях на сайте, в социальных сетях или рекламных материалах; порядок доступа сотрудников к персональным данным; порядок хранения, передачи, уничтожения и защиты персональных данных; корректные договорные условия с заказчиками и подрядчиками, если в рамках исполнения договора передаются или обрабатываются персональные данные.

Почему нельзя просто включить все в договор

Отдельно нужно сказать про согласия. Раньше многие организации действовали по принципу: «включим пару строк про персональные данные в договор, и этого достаточно». Сейчас такой подход становится все более рискованным.

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Кроме того, оно должно оформляться отдельно от другой информации и документов, которые подписывает человек. Еще строже правила для персональных данных, разрешенных для распространения. Если организация хочет разместить на сайте фотографию сотрудника, отзыв клиента с именем и должностью, видеоролик с участием работников или иную информацию, доступную неопределенному кругу лиц, нужно отдельно оценить, требуется ли специальное согласие на распространение персональных данных. Это особенно актуально для компаний, которые любят показывать свою деятельность публично: размещать фото с объектов, фото сотрудников в форме, отзывы заказчиков, благодарственные письма, репортажи с мероприятий. Публичность — это хорошо. Но публичность с персональными данными должна быть оформлена правильно. Какие данные есть у ЧОО, даже если она «не работает с физиками». Иногда руководитель охранной организации говорит: «Мы не работаем с физическими лицами. У нас заказчики — только компании и государственные учреждения. Значит, персональных данных клиентов у нас нет». Это ошибка. Даже если договор заключен с юридическим лицом, от имени этого юридического лица действует конкретный человек: директор, представитель по доверенности, начальник службы безопасности, контактное лицо, бухгалтер, специалист по закупкам. В договоре, приложениях, переписке, актах, заявках и пропусках появляются персональные данные этих людей. Кроме того, у ЧОО всегда есть собственные работники. А значит, есть кадровые документы, трудовые договоры, приказы, графики, документы о прохождении обучения, документы по зарплате и иные сведения. Если ЧОО ведет пропускной режим на объекте, то в зоне внимания появляются еще и посетители, сотрудники заказчика, представители подрядчиков, водители, курьеры, арендаторы, жильцы, пациенты, учащиеся — в зависимости от того, какой объект охраняется. Поэтому позиция «у нас нет персональных данных» для охранной организации практически никогда не выдерживает проверки.

Чем рискует организация

Работа с персональными данными — это не формальность и не «бумажка для галочки». Ответственность за нарушения в этой сфере сейчас существенная. Штрафы зависят от вида нарушения: одно дело — не опубликовать политику обработки персональных данных, другое — обрабатывать данные без надлежащего согласия, третье — не уведомить Роскомнадзор, четвертое — допустить утечку персональных данных. Размеры штрафов могут начинаться с десятков тысяч рублей, а по отдельным составам для юридических лиц доходить до миллионов и десятков миллионов рублей. За повторные и крупные нарушения, связанные с неправомерной передачей или утечкой персональных данных, законодательство предусматривает еще более серьезные последствия. Для охранного бизнеса это особенно чувствительно. Частная охрана работает на доверии. Заказчик передает охранной организации доступ к объекту, информации, людям, режиму, внутренним процессам. Если организация не может навести порядок в персональных данных, это влияет не только на юридические риски, но и на деловую репутацию.

С чего начать

Не нужно относиться к персональным данным как к чему-то непонятному и неподъемному. В большинстве случаев задача решаемая. Первый шаг — признать сам факт: ЧОО обрабатывает персональные данные и является оператором персональных данных. Второй шаг — проверить, направлено ли уведомление в Роскомнадзор и корректно ли указаны сведения в реестре операторов. Третий шаг — описать, какие именно персональные данные есть в организации: по работникам, кандидатам, заказчикам, представителям заказчиков, посетителям, подрядчикам, сайту, видеонаблюдению, пропускному режиму. Четвертый шаг — подготовить или привести в порядок документы: политику, положения, согласия, приказы, договорные условия, порядок доступа и хранения. Пятый шаг — сделать так, чтобы документы не просто лежали в папке, а соответствовали реальным процессам организации.

В этой статье наша задача была вводной: понять, почему тема персональных данных относится к частному охранному бизнесу напрямую. В следующих материалах мы разберем уже более прикладные вопросы: как ЧОО подать уведомление в Роскомнадзор, какие сведения указывать, какие документы нужны внутри организации и какие ошибки чаще всего приводят к штрафам и претензиям.