Если у работодателя на момент 01.09.2022 уже были оформлены сотрудники в штат, есть ли необходимость в подаче уведомления в Роскомнадзор о начале обработки персональных данных?
Да, уведомление следует подать, поскольку раньше в список исключений (не требующих уведомления) входила и обработка данных работников, но в связи с изменениями её убрали (ч. 1 ст. 22 Закона N 152-ФЗ). Поэтому у всех организаций, которые имеют наемных работников, появилась необходимость уведомить Роскомнадзор об обработке персональных данных, независимо от того, когда такая обработка началась.
Обоснование
Оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (п. 2 ст. 3 Закона N 152-ФЗ).
При этом персональными данными является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), а обработкой - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. п. 1, 3 ст. 3 Закона N 152-ФЗ).
Соответственно, организация, собирая, записывая, систематизируя, накапливая, храня, уточняя (обновляя, изменяя), извлекая, используя, передавая (распространяя, предоставляя, обеспечивая доступ), обезличивая, блокируя, удаляя или уничтожая данные, относящиеся к любому физическому лицу, будет являться оператором.
Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 22 Закона N 152-ФЗ (ч. 1 ст. 22 Закона N 152-ФЗ).
Так, оператор вправе осуществлять без уведомления Роскомнадзора обработку персональных данных (ч. 2 ст. 22 Закона N 152-ФЗ):
- включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
- в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
- обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Раньше в этот список исключений и входила обработка данных работников, но в связи с изменениями её убрали. Поэтому у всех организаций, которые имеют наемных работников, появилась необходимость уведомить Роскомнадзор об обработке персональных данных, независимо от того, когда такая обработка началась.