Наезд на ук и ерц по направлению - защита персональных данных. Защита персональных данных в ЖКХ (Сибиряков Н.) Защита персональных данных в жилых домах

Недвижимость

Передача ТСЖ персональных данных третьим лицам - законно ли?

Прокуратура начала штрафовать ТСЖ/ЖСК/ЖК/УК за передачу персональных данных собственников помещений в многоквартирном доме третьим лицам. Однако в своей работе ТСЖ постоянно сталкиваются с необходимостью сообщать персональную информацию о жильцах ресурсоснабжающими компаниям, вычислительным центрам, которые производят начисление и печать квитанций, юристам, если, например, планируется обращаться в суд с исками о взыскании долга по оплате коммунальных услуг и т.д. Как же быть ТСЖ/ЖСК/ЖК/УК и что нужно, чтобы в соответствии с законом передать персональные данные третьи лицам?

Что такое персональные данные?

Ст. 3 Федерального закона № 152-ФЗ от 27.07.2006 г. «О персональных данных» дает определение понятия «персональные данные» - это любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу (субъекту персональных данных).

Таким образом, к персональным данным будут отнесены ФИО, адрес регистрации, паспортные данные, сведения о доходах и задолженностях и т.д.

Персональные данные для ТСЖ - какие сведения нужны?

Ст. 15 настоящего Федерального закона говорит о том, что персональные данные должны обрабатываться на законной основе для достижения легитимных целей. Для управления домом, начисления коммунальных услуг, наконец, для получения собственниками этих коммунальных услуг и для осуществления прочих работ ТСЖ/ЖСК/ЖК/УК необходимо производить обработку персональных данных собственников многоквартирного дома (МКД). То есть в данном случае ТСЖ/ЖСК/ЖК/УК выступает в качестве оператора, работающего с персональной информацией.

Кроме того, в обязанность товариществ собственников жилья входит также ведение реестра членов ТСЖ. Согласно ч.4 ст.143 ЖК РФ данный документ должен содержать сведения, которые позволят идентифицировать членов товарищества и осуществлять с ними связь. Кроме того, в реестр необходимо включить информацию о размерах принадлежащих им долей в праве общей собственности на общее имущество в МКД.

ТСЖ самостоятельно определяют, какую информацию о его членах следует занести в реестр. Этих сведений должно быть достаточно для идентификации собственников МКД, и они не должны противоречить действующим правовым актам. В реестры ТСЖ обычно вносится следующая информация: ФИО, адрес, номер квартиры, долю в праве общей собственности на общее имущество в многоквартирном доме.

Могут ли ТСЖ/ЖСК/ЖК/УК передавать персональные данные третьим лицам?

В соответствии со ст. 7 Федерального закона №152, ТСЖ/ЖСК/ЖК/УК не имеют права раскрывать третьим лицам или распространять персональные данные без согласия субъектов персональных данных (членов ТСЖ/ЖСК/ЖК/УК). Следовательно, прежде чем передать персональные сведения в какую-либо организацию, председателю ТСЖ/ЖСК/ЖК/УК необходимо получить письменное согласие с того, на кого эти сведения передаются.

Если от ТСЖ/ЖСК/ЖК/УК требуют передачи персональных данных - что делать?

В случае, когда государственные органы требуют от ТСЖ/ЖСК/ЖК/УК предоставить персональные данные, например, в соответствии с п. 9 ст. 138 ЖК РФ, то управляющий товарищества собственников жилья может сослаться на Федеральный закон от 27 июля 2010 г. N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг". Из данного документа следует, что органы, предоставляющие государственные или муниципальные услуги, всегда могут получить сведения о собственниках многоквартирного дома по запросу, не прибегая к помощи ТСЖ/ЖСК/ЖК/УК.

Наказание за разглашение персональных данных без согласия собственников

За несоблюдение конфиденциальности персональной информации предусмотрено административное наказание в виде выплаты штрафа. Поэтому, если есть необходимость предоставления персональных данных, сначала нужно получить согласие соответствующих субъектов персональных данных.

Материал посвящен анализу законодательных норм в области обработки персональных данных. Существуют ли на сегодняшний день четкие требования к тому, каким способом и в каком виде гражданам должны представляться документы на оплату ЖКУ?

Платежные документы гражданам - только в конвертах?

Вопросом, вынесенным в заглавие статьи, задаются управляющие организации, ТСЖ, специализированные расчетные центры, а также работающие в иных сферах компании, которые обязаны представлять гражданам счета за услуги (например, операторы связи). Естественно, этот вопрос актуален, если платежные документы гражданам доставляются в почтовые ящики. Каковы тенденции решения данной проблемы в настоящее время?

Для начала введем следующие понятия (ст. 3 Закона о персональных данных 1 ):

Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Требования к платежным документам приведены в п. 38 Правил предоставления коммунальных услуг (и в п. 69 Новых правил предоставления коммунальных услуг ), примерная форма платежного документа утверждена 454 . Сведения, которые необходимы для расчета и взимания платы за жилое помещение и коммунальные услуги и заполнения платежного документа, безусловно, являются персональными данными (Ф. И. О., почтовый адрес и площадь помещения, принадлежность потребителя к той или иной льготной категории, сведения о задолженности, объем потребления тех или иных коммунальных услуг). УК (как и ТСЖ), как самостоятельно начисляющая платежи, так и передающая эти функции специализированной компании, признается оператором, поскольку она как минимум организует обработку персональных данных и определяет цели обработки, состав данных и операции, совершаемые с ними.

Поскольку исполнители коммунальных услуг связаны договорами с субъектами персональных данных, никакого согласия от последних на обработку персональных данных получать не нужно (пп. 5 п. 1 ст. 6 Закона о персональных данных в действующей редакции). Именно на это обратила внимание Судебная коллегия по гражданским делам Нижегородского областного суда в Определении от 24.08.2011 № 33-8182 , отказав в удовлетворении иска гражданину, считавшему нарушением своих прав и закона указание в счетах-квитанциях, выставленных ему управляющей организацией, его персональных данных (Ф. И. О., адреса, площади квартиры, числа зарегистрированных и проживающих в квартире человек, вида собственности, сведений об инвалидности).

Подчеркнем: такая обработка должна быть необходима для исполнения договора. Если же речь идет о принудительном взыскании платежей (в частности, в виде привлечения коллекторов либо передачи задолженности по договору уступки требования), нужно получить согласие граждан на распространение их персональных данных с такой целью 2 . Одновременно лицо, которому переданы персональные данные для взыскания платежей, должно предоставить гражданам соответствующую информацию, названную в п. 3 ст. 18 Закона о персональных данных (Постановление ФАС УО от 13.01.2012 № Ф09-9061/11 ).

Сотрудничество УК и ТСЖ со специализированными компаниями

Прежде чем приступить к обсуждению вопроса о необходимости вкладывать платежные документы в конверты при их доставке в почтовые ящики, нужно расставить все точки над i в вопросе правомерности привлечения управляющими компаниями для расчета платежей, печати и доставки счетов специализированных организаций. Новые правила предоставления коммунальных услуг (пп. «е» п. 32 ) прямо предусматривают право исполнителя (УК и ТСЖ) привлекать на основании договора, содержащего условие об обеспечении требований законодательства РФ о защите персональных данных, организацию или ИП, в частности, для начисления платы за коммунальные услуги и подготовки доставки, а также для самой доставки платежных документов потребителям. Несмотря на то, что указанный нормативный документ еще не вступил в силу, такое право у УК и ТСЖ есть и на сегодняшний момент. Обязательность включения в договор об оказании услуг (по начислению платы, печати и доставке счетов), который в Законе о персональных данных именуется поручением оператора по обработке персональных данных, условия о соблюдении специализированной компанией норм указанного закона прописана в п. 3 ст. 6 данного закона. Важно, что сама специализированная компания (лицо, осуществляющее обработку персональных данных по поручению оператора) не обязана получать согласие субъекта на обработку его персональных данных (п. 4 ст. 6 Закона о персональных данных ). Однако в силу прямого указания п. 3 той же статьи оператор имеет право поручить обработку персональных данных другому лицу лишь с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Учитывая, что право исполнителя коммунальных услуг заключать с третьим лицом договор о начислении платы, печати и доставке платежных документов прописано в Новых правилах предоставления коммунальных услуг , которые не являются федеральным законом, УК и ТСЖ обязаны получить согласие граждан на передачу указанных функций специализированным компаниям. В противном случае поручение оператора (УК, ТСЖ) незаконно. Соответственно, обработка персональных данных специализированной компанией также незаконна. Кроме того, следует учитывать, что ответственность перед субъектом персональных данных за действия специализированной компании несет УК (ТСЖ) (п. 5 ст. 6 Закона о персональных данных ).

Все приведенные выше положения содержатся в Законе о персональных данных в редакции Федерального закона от 25.07.2011 № 261-ФЗ , которая применяется к правоотношениям, возникшим с 01.07.2011. В период с 18.06.2011 по 01.07.2011 действовала другая редакция, согласно которой специализированным компаниям (точнее, лицам, привлеченным на основе договоров для осуще-ствления расчетов с собственниками помещений в многоквартирном доме, собственниками жилых домов, нанимателями жилых помещений государственного или муниципального жилищного фонда за содержание и ремонт общего имущества в многоквартирном доме, жилых домах и коммунальные услуги ) не требовалось согласие субъекта персональных данных на их обработку. До 18.06.2011 на основании ст. 3 , 7 Закона о персональных данных оператор, чтобы обеспечить законность передачи персональных данных третьему лицу для их обработки (в частности, для начисления платежей за жилищно-коммунальные услуги), должен был заручиться согласием граждан на такую передачу 3 .

Подробнее о доставке платежных документов

Жилищное законодательство не регламентирует способы доставки платежных документов потребителям. Однако оговорен срок их направления: не позднее 1-го числа месяца, следующего за истекшим месяцем, если иной срок не установлен договором управления МКД либо решением общего собрания членов ТСЖ, жилищного кооператива или иного специализированного потребительского кооператива (п. 2 ст. 155 ЖК РФ ).

В пункте 6 Методических рекомендаций по заполнению примерной формы платежного документа для внесения платы за содержание и ремонт жилого помещения и предоставление коммунальных услуг , утвержденных Приказом Минрегиона РФ от 19.09.2011 № 454 , сказано следующее. Платежный документ рекомендуется представлять потребителям услуг на бумажном носителе, за исключением случаев, когда договором управления многоквартирным домом, письменным соглашением между потребителями услуг и организацией, производящей расчеты, прочими документами согласована иная форма представления потребителю платежного документа. При этом к иным способам представления потребителю платежного документа в настоящих методических рекомендациях относятся: возможность печати платежного документа самостоятельно потребителем с использованием доступа в личный кабинет на интернет-портале; представление платежного документа по адресу электронной почты потребителя услуг; возможность печати платежного документа посредством информационных терминалов и др .

Как видим, в нормативном документе (который, кстати, носит рекомендательный характер) опять-таки не сказано о способе доставки счетов в бумажном виде. Между тем на практике в подавляющем большинстве случаев платежные документы помещаются в почтовые ящики потребителей, а в договорах управления этот момент никак не освещается. Полагаем, что договором управления либо решением общего собрания членов ТСЖ могут быть преду-смотрены и иные варианты (подчеркнем: иные варианты доставки бумажных счетов, а не формы их представления). Из более трудоемких можно назвать вручение счетов лично в руки, из более затратных - почтовым отправлением, из наиболее простых для исполнителя - получение платежного документа непосредственно в офисе УК (ТСЖ) либо, например, в кассе одновременно с внесением платы. Несмотря на то, что в ЖК РФ не указано на необходимость проработки вопроса о способах представления платежных документов собственникам помещений, это и не запрещено.

Итак, как уже было сказано, исторически сложилось, что платежные документы, напечатанные на бумаге, просто опускаются в почтовые ящики граждан. Существует мнение, что при таком способе доставки счетов персональные данные не защищены от случайного доступа к ним посторонних лиц. А это, в свою очередь, означает нарушение требований конфиденциальности и безопасности персональных данных. Так, в силу операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом . Одновременно оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных ().

Именно такого мнения (доставка платежных документов в открытом (без конверта) виде означает невыполнение требований конфиденциальности и безопасности персональных данных) придерживаются Роскомнадзор, являющийся уполномоченным органом по защите прав субъектов персональных данных, и прокуратура. Судя по сообщениям в СМИ, проверяющие выдают предписания управляющим компаниям и специализированным организациям прекратить нарушение закона, которое выражается, в частности, в рассылке счетов за жилищно-коммунальные услуги в открытом виде. В распоряжении автора есть несколько судебных решений, принятых по интересующему нас вопросу.

Судебная практика

Решением от 22.09.2011 № 2-549 Мензелинский районный суд Республики Татарстан удовлетворил иск прокурора к управляющей организации о понуждении, в частности, принять необходимые правовые, организационные и технические меры для защиты персональных данных граждан. Основанием для подачи иска стал тот факт, что счета за предоставляемые услуги доставляются жителям без конвертов, поэтому персональные данные граждан не защищены от случайного доступа.

В другом случае доставка платежных документов, содержащих персональные данные, в открытом виде также была расценена как нарушение требований конфиденциальности при обработке персональных данных. Это обстоятельство наряду с непредставлением в уполномоченный орган уведомления об обработке персональных данных, а также отсутствие в договорах с третьими лицами существенного условия (обязанности обеспечения указанным лицом конфиденциальности персональных данных и их безопасности при обработке) стали поводом для возбуждения дела об административном правонарушении (ст. 13.11 КоАП РФ 4 ) в отношении руководителя энергоснабжающей организации. Однако Постановлением мирового судьи судебного участка № 4 Левобережного района г. Воронежа от 14.03.2011 дело было прекращено в связи с отсутствием состава правонарушения. Этот акт был опротестован прокурором и впоследствии отменен Решением Левобережного районного суда г. Воронежа от 12.04.2011 (нарушителю удалось избежать ответственности, поскольку производство по делу об административном правонарушении было прекращено в связи с истечением срока давности привлечения к ответственности).

Аналогичным образом дело обстояло и с руководителем другой компании. В постановлении, принятом также 14.03.2011 и содержащем вывод об отсутствии в действиях лица состава административного правонарушения, тот же мировой судья указал: направление получателю услуг платежных документов (квитанций) не является распространением, в связи с чем рассылка этих документов в открытом виде не нарушает требования Закона о персональных данных . Между тем Решением Левобережного районного суда г. Воронежа от 13.04.2011 данное постановление было отменено со следующим обоснованием. Рассылка по почте платежных документов, содержащих данные о фамилии, имени, отчестве, месте жительства потребителя электроэнергии и другие сведения, относящиеся к персональным данным, влечет передачу этих сведений определенному кругу лиц и в силу этого обстоятельства является распространением, при этом их рассылка в открытом виде не препятствует ознакомлению с персональными данными неограниченному кругу лиц и, следовательно, не соответствует требованиям закона о конфиденциальности персональных данных .

Особый интерес вызывает еще одно судебное разбирательство по тому же вопросу, но уже между компанией и управлением

Роскомнадзора по поводу привлечения компании к ответственности, предусмотренной п. 1 ст. 19.5 КоАП РФ 5 . Постановлением все того же мирового судьи судебного участка № 4 Левобережного района г. Воронежа от 16.03.2011 дело опять-таки было прекращено в связи с отсутствием состава правонарушения. Однако Решением от 04.05.2011 Левобережного районного суда г. Воронежа оно было отменено. Приведем цитату из текста данного судебного акта.Из материалов дела следует и не оспаривалось правонарушителем, что ОАО «Воронежская энергосбытовая компания» через ФГУП «Почта России» осуществляет рассылку платежных документов (квитанций) по уплате потребителями платежей за потребленную электроэнергию, в которых содержатся сведения о фамилии, инициалах получателя (потребителя электроэнергии), его почтовый адрес, номер лицевого счета, количество членов семьи, количество комнат, сведения о размере платежа. Платежные документы рассылаются в открытом (неконвертованном виде), что, по мнению суда, является распространением этих данных в нарушение требований конфиденциальности, поскольку допускается возможность ознакомления с персональными данными неограниченного круга лиц. Доводы мирового судьи о том, что отправление платежных документов самому получателю услуг (обладателю персональных данных) через органы почтовой связи не может рассматриваться как распространение персональных данных и нарушение требований конфиденциальности, являются ошибочными, поскольку извещения на оплату электроэнергии не подпадают под понятие почтовых отправлений, установленное ст. 2 Федерального закона от 17.07.1999 № 176-ФЗ «О почтовой связи», и, следовательно, не являются тайной связи.

С тем, что доставка платежных документов в открытом виде (без конверта) образует состав административного правонарушения, предусмотренного ст. 13.11 КоАП РФ , согласен и мировой судья судебного участка № 5 Октябрьского округа г. Липецка (см. Постановление от 17.03.2011 № 5-55/2011). Заметим, что в данном случае к административной ответственности была привлечена управляющая организация, которая поручила специализированной компании (регистрационно-вычислительному центру) ежемесячно изготавливать счета-квитанции для оплаты жилищно-коммунальных услуг и доставлять их населению до почтовых ящиков. Тем не менее именно управляющая организация считается не принявшей необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним неограниченного круга лиц (а это является нарушением ст. 19 Закона о персональных данных ).

Справедливости ради отметим, что встречаются примеры, когда суд вставал на сторону управляющих компаний. Например, Постановлением мирового судьи судебного участка № 14 Правобережного округа г. Липецка от 19.04.2011 № 5-166/2011 было установлено отсутствие состава правонарушения в действиях УК несмотря на то, что платежные документы доставлялись в открытом виде. Существенным обстоятельством явилось то, что УК поручила специализированной компании печатать и доставлять платежные документы до почтовых ящиков потребителей без конвертов. Однако в договоре между ними было указано условие о необходимости соблюдать конфиденциальность персональных данных, впоследствии УК в письменном виде просила специализированную компанию доставлять квитанции в свернутом виде и даже предупреждала ее о расторжении договора в случае несоблюдения его условий (в частности, о защите персональных данных). Этот факт послужил для суда основанием считать УК невиновной в правонарушении. Кроме того, суд согласился с УК в том, что порядок доставки платежных документов, а именно их конвертование или доставка иным способом, требующим затрат, повлияет на размер платы за содержание и ремонт жилого помещения. В одностороннем порядке УК не вправе изменить открытый способ доставки счетов, а собственники помещений не принимали решения об увеличении стоимости и изменении порядка доставки платежных документов.

Вместо резюме

Итак, как мы видим, суды отождествляют доставку платежных документов с передачей персональных данных определенному кругу лиц (по всей видимости, самим получателям). Исходя из этого, требование о принятии мер по защите персональных данных от неправомерного или случайного доступа к ним третьих лиц вполне справедливо. Если УК не готова спорить с Роскомнадзором, у нее есть несколько вариантов обезопасить себя от претензий (все они, кстати, уже применяются на практике). Первый - помещать платежные документы в почтовые конверты, приобрести специальное оборудование для изготовления бесконвертных отправлений (сам платежный документ складывается и запечатывается, часть документа с персональными данными оказывается внутри) либо доставлять платежные документы лично в руки получателям под роспись. Второй - получить согласие граждан на доставку платежных документов в почтовые ящики в открытом виде. Это наиболее популярный вариант для УК, у которых недостаточно средств на реализацию первого. Однако анализ Закона о персональных данных применительно ко второму варианту действий выявляет некоторые несостыковки. Поясним.

Напомним, что согласие на обработку (в том числе на передачу) персональных данных в целях исполнения договора получать не нужно. О том, что доставка платежных документов осуществляется в целях исполнения договора управления МКД, можно и не спорить. Получается, что, требуя согласие граждан на доставку счетов без конвертов, УК (оператор) просит согласие на то, на что имеет право по закону. Есть смысл спрашивать такое согласие только на осуществление конкретной операции с персональными данными, которая не необходима в целях исполнения договора, например, как уже говорилось выше, на передачу данных третьему лицу с целью взыскания долгов. Впрочем, если опять-таки считать, что доставка платежных документов является распространением персональных данных (действием, направленным на раскрытие персональных данных неопределенному кругу лиц), такое согласие может решить проблему. Получив его, оператор выполнит требование ст. 7 Закона о персональных данных (запрет на распространение данных без согласия субъекта). При этом нужно помнить, что согласие субъекта персональных данных должно соответствовать нормам ст. 9 Закона о персональных данных (в противном случае оно незаконно). При наличии согласия на раскрытие данных неопределенному кругу лиц, казалось бы, теряет смысл требование п. 1 ст. 19 Закона о персональных данных в части защиты таких данных от неправомерного или случайного доступа к ним третьих лиц. Действительно, все, кто получил такой доступ, входят в неограниченный круг лиц, раскрывать данные которым можно на основании специального согласия самого субъекта. Тем не менее у УК при доставке платежных документов без конвертов нет цели (а обработка персональных данных подра-зумевает определение цели) раскрыть их неограниченному кругу лиц. Получается, что п. 1 ст. 19 Закона о персональных данных продолжает действовать, а непринятие мер по обеспечению безопасности персональных данных по-прежнему является нарушением закона. Поэтому можно прийти к выводу, что рассматриваемое согласие граждан на доставку платежных документов без конвертов, по сути, ничего не меняет в решении проблемы.

Вместе с тем существует иное мнение по рассматриваемому вопросу, не совпадающее с позицией Роскомнадзора. Оно базируется на положении о том, что доставка (рассылка) платежных документов в бумажном виде не охватывается действием Закона о персональных данных . Пункт 1 ст. 1 этого документа гласит: законом регулируются отношения, связанные с обработкой персональных данных с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств , если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации , то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным . Доставка счетов - чисто «ручная» операция, не соответствующая характеру операций, совершаемых с использованием средств автоматизации. Кроме того, при доставке корреспонденции персональные данные никому не раскрываются. Тем не менее, отмечают приверженцы данной позиции, обеспечивать безопасность персональных данных все же необходимо. Для этого как раз достаточно опустить платежный документ в почтовый ящик (оставлять пачку счетов на подоконнике в подъезде недопустимо, поскольку тогда персональные данные действительно не будут защищены от случайного к ним доступа). Вопросы безопасности персональных данных, содержащихся в платежных документах, после их помещения в почтовый ящик уже вне зоны ответственности оператора (УК). И хотя на УК как на лицо, обязанное обеспечивать надлежащее содержание общего имущества, возложена ответственность за сохранность общего имущества, в том числе абонентских почтовых шкафов 6 , она не в силах противостоять неправомерному намеренному доступу третьих лиц в почтовые ящики и обеспечить сохранность почтовых отправлений и иной корреспонденции (в частности, платежных документов). В этом смысле совершенно никакой роли не играет, будет ли платежный документ помещен в конверт: при наличии у кого-либо умысла на неправомерное получение доступа к персональным данным рассылка счетов в закрытом виде (в конверте) не будет препятствовать реализации этого умысла. Обеспечить безопасность персональных данных в этой ситуации можно, например, путем отправки платежных документов заказными почтовыми отправлениями с уведомлением о вручении либо доставкой курьером лично в руки субъекту персональных данных. А таких требований, к слову, проверяющие не выдвигают.

Подведем итог. УК и ТСЖ обязаны представлять платежные документы по умолчанию на бумажном носителе. Закон не регламентирует конкретный способ доставки счетов потребителям, традиционно они помещаются в почтовые ящики. Существует мнение, что рассылка платежных документов в открытом виде не соответствует требованиям конфиденциальности при обработке персональных данных и не обеспечивает безопасность этих данных. Поэтому органы Роскомнадзора выдают предписания УК устранить нарушения, а прокуроры возбуждают дела об административном правонарушении, предусмотренном ст. 13.11 КоАП РФ . Большинство из имеющихся (немногочисленных) в распоряжении автора судебных актов говорят о том, что рассылка счетов без конвертов незаконна. Тем не менее есть и противоположная точка зрения, согласно которой наличие конверта не убережет от неправомерного доступа к персональным данным в счете, помещенном в почтовый ящик, поэтому конвертование бессмысленно.

_________________________

Федеральный закон от 27.07.2006 № 152-ФЗ.
См. статью О. В. Давыдовой «С переуступкой права требования по долгам жильцов коллекторам надо быть осторожнее!» (№ 9, 2011).
См. статью А. Б. Вифлеемского «Правомочность деятельности информационно-расчетных центров в сфере ЖКХ» (№ 11, 2009).
Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных).
Невыполнение в срок законного предписания (постановления, представления, решения) органа (должностного лица), осуществляющего государственный надзор (контроль), об устранении нарушений законодательства.
Почтовые ящики могут быть отнесены к общему имуществу собственников помещений в МКД либо к частной собственности каждого из жильцов (см. статью Н. В. Сергеевой «Батареи и почтовые ящики - общее имущество?» (№ 8, 2009).

Товарищества собственников жилья (ТСЖ) «Октябрьский» в отношении обработки и обеспечения безопасности персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) действует в отношении всех персональных данных, которые ТСЖ может получить от субъекта персональных данных, регулируемых трудовым законодательством, (далее – Работник) или от субъекта персональных данных – физического лица, владеющего жилым или нежилым имуществом в МКД №68 и 70по адресу г. Пермь, ул. 25 Октября, (далее – собственник).
1.2. Целью настоящей Политики является соблюдение прав субъектов персональных данных при обработке их персональных данных в ТСЖ.
1.3. Настоящая Политика разработана в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных», «Положением об особенностях обработки персональных данных, «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», утв. Постановлением Правительства РФ от 01.11.2012г. N 1119, и иными нормативными актами в области защиты персональных данных, действующими на территории Российской Федерации.
1.4. Настоящая политика обязательна к исполнению всеми сотрудниками ТСЖ, описывает основные цели, принципы обработки и требования к безопасности персональных данных в ТСЖ.
1.5. Обеспечение безопасности и конфиденциальности персональных данных является одним из приоритетных направлений в деятельности ТСЖ.

2. Принципы и цели обработки. Состав персональных данных

2.1. Обработка персональных данных ТСЖ осуществляется на основе принципов:
– обработка персональных данных субъектов осуществляется исключительно для обеспечения соблюдения федеральных законов и иных нормативных правовых актов, соответствия целям, заранее определенным и заявленным при сборе персональных данных;
– объем и содержание обрабатываемых персональных данных субъектов, способы обработки персональных данных соответствуют требованиям федерального законодательства, а также другим нормативным актам и целям обработки персональных данных. Не допускается обработка персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
– персональные данные ТСЖ получает только у самого субъекта (или его законного представителя);
– при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях актуальность по отношению к целям обработки персональных данных. ТСЖ принимаются необходимые меры по уничтожению (удалению) либо уточнению неполных или неточных данных.
2.2. Обработка персональных данных субъектов персональных данных проводится ТСЖ с целью осуществления прав и обязанностей Работников в соответствии с трудовым законодательством; ведения персонифицированного учета; исполнения договорных и иных гражданско-правовых отношений при осуществлении ТСЖ хозяйственной деятельности, повышения оперативности и качества обслуживания клиентов установленного правилами ТСЖ, предоставления жилищно-коммунальных услуг собственникам.
2.3. ТСЖ обрабатываются следующие категории персональных данных:
2.3.1. В отношении Работников: фамилия, имя, отчество, дата и место рождения, адрес регистрации и место жительства, реквизиты основного документа, удостоверяющего личность гражданина, данные страхового свидетельства, семейное и социальное положения, образование, квалификация, профессия, сведения о воинском учете (при их наличии), данные медицинского характера (в случаях, предусмотренных законодательством РФ);
2.3.2. В отношении Собственников: фамилия, имя и отчество, год, месяц, дата и место рождения, реквизиты документа, удостоверяющего личность гражданина, сведения о регистрации по месту жительства или временной регистрации по месту пребывания, о месте проживания.

3. Условия обработки

3.1. Порядок работы с персональными данными в ТСЖ регламентирован действующим законодательством РФ, внутренними документами ТСЖ и осуществляется с соблюдением строго определенных правил и условий.
3.2. Обработка персональных данных в ТСЖ осуществляется путем сбора, систематизации, накопления, хранения, уточнения (обновления, изменения), использования, передачи (предоставления, доступа), обезличивания, блокирования, уничтожения персональных данных исключительно для обеспечения соблюдения федерального законодательства и иных нормативных правовых актов, соответствия целям, заранее определенным и заявленным при сборе персональных данных, учета результатов выполнения договорных и иных гражданско-правовых обязательств с субъектом персональных данных. При этом используется смешанный (автоматизированный и неавтоматизированный) способ обработки персональных данных.
3.3. Передача персональных данных третьим лицам осуществляется только в соответствии с действующим законодательством, в том числе с использованием защищенных телекоммуникационных каналов связи.
3.4. ТСЖ не осуществляет трансграничную передачу персональных данных Собственников.
3.5. Сроки хранения документов, содержащих персональные данные субъектов, определяются в соответствии со сроком действия договора с субъектом персональных данных, Федеральным законом РФ «Об архивном деле в Российской Федерации» № 125-ФЗ от 22.10.2004 г., сроком исковой давности, а также иными требованиями законодательства РФ. По истечении сроков хранения таких документов они подлежат уничтожению.
3.6. С целью защиты персональных данных при их обработке в информационных системах персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий с ними ТСЖ применяются организационные и технические меры.

4. Основные мероприятия по обеспечению безопасности обработки персональных данных

4.1. Для защиты персональных данных при их обработке в ТСЖ применяются следующие организационные и технические меры:
-доступ к персональным данным предоставляется только тем сотрудникам ТСЖ, на которых возложена обязанность по их обработке. Указанные лица имеют право на обработку только тех персональных данных, которые необходимы им для выполнения конкретных функций, связанных с исполнением должностных обязанностей;
-обработка персональных данных ведется сотрудниками ТСЖ на рабочих местах, выделенных для исполнения ими должностных обязанностей;
-рабочие места размещаются таким образом, чтобы исключить бесконтрольное использование конфиденциальной информации;
-конфиденциальная информация, содержащая персональные данные субъектов персональных данных, проходит процедуру уничтожения в соответствии с принятым в ТСЖ порядком в сроки, установленные законодательством РФ;
-проводятся процедуры, направленные на обнаружение фактов несанкционированного доступа к персональным данным и принятие соответствующих мер;
-разграничены права доступа к персональным данным, обрабатываемым в информационных системах персональных данных;
-проводится ознакомление работников ТСЖ, непосредственно осуществляющих обработку персональных данных либо имеющих к ним доступ в силу своих должностных обязанностей, с положениями законодательства РФ, требованиями к защите персональных данных, локальными нормативными актами ТСЖ по вопросам обработки персональных данных;
-своевременно выявляются и предотвращаются нарушения требований законодательства РФ в области обработки персональных данных, устраняются последствия таких нарушений;
-проводится контроль за принимаемыми мерами по обеспечению безопасности персональных данных при их обработке, а также проводится контроль соответствия обработки персональных данных требованиям Федерального закона «О персональных данных» № 152-ФЗ от 27.07.2006 г. и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, локальным нормативным актам ТСЖ.

5. Порядок предоставления информации, содержащей персональные данные

5.1. При обращении субъекта персональных данных (владельца этих данных или его законного представителя) или получении запроса ТСЖ безвозмездно предоставляет в течение 30 дней с даты получения запроса или обращения персональные данные, относящиеся к субъекту персональных данных, в доступной форме, исключающей предоставление персональных данных, относящихся к другим субъектам персональных данных.
5.2. Сторонние организации имеют право доступа к персональным данным субъектов персональных данных только, если они наделены необходимыми полномочиями в соответствии с законодательством РФ, либо на основании договоров с ТСЖ, заключенных в связи с требованиями законодательства РФ.
Основанием для сотрудника ТСЖ в целях предоставления информации о персональных данных субъектов служит резолюция председателя правления ТСЖ на соответствующем запросе, либо факт подписания соглашения (договора) об информационном обмене.
В соглашение (договор) об информационном обмене включается условие о неразглашении сведений, составляющих персональные данные субъектов, а также служебной информации, ставшей известной в ходе выполнения работ, если для их выполнения предусмотрено использование таких сведений.
5.3. При передаче персональных данных субъектов ТСЖ и уполномоченные им должностные лица соблюдают следующие требования:
– не сообщают персональные данные третьей стороне без письменного согласия субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта, а также в случаях, установленных федеральным законодательством;
– предупреждают лиц, получающих персональные данные, о том, что эти данные могут быть использованы только в целях, для которых они сообщены, и требуют от этих лиц подтверждения соблюдения этого условия, за исключением случаев, установленных федеральным законодательством;
– не отвечают на вопросы, связанные с предоставлением персональной информации, любым третьим лицам без законных оснований (письменного запроса);
– ведут учет передачи персональных данных субъектов по поступившим в ТСЖ запросам субъектов.

6. Ответственность за нарушение требований, регулирующих получение, обработку и хранение персональных данных

6.1. Должностные лица ТСЖ, обрабатывающие персональные данные, несут ответственность в соответствии с действующим законодательством РФ за нарушение режима защиты, обработки и порядка использования этой информации.
6.2. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с действующим законодательством РФ.

7. Заключительные положения

7.1. Настоящая Политика вступает в силу с момента ее утверждения председателем правления ТСЖ.
7.2. ТСЖ имеет право вносить изменения в настоящую Политику в случае изменения законодательства РФ, регулирующих органов в области защиты персональных данных, внутренних документов ТСЖ в области защиты конфиденциальной информации. Новая редакция Политики вступает в силу с момента ее размещения на сайте Компании, если иное не предусмотрено новой редакцией Политики.
7.3. В случае изменения законодательства РФ в области защиты персональных данных, нормы Политики, противоречащие законодательству, не применяются до приведения их в соответствие.
7.4. Действующая редакция Политики хранится в месте нахождения правления ТСЖ «Октябрьский» по адресу: 614007, г. Пермь, ул. 25 Октября, д.68, электронная версия Политики на сайте ТСЖ «Октябрьский»:

Председатель правления
ТСЖ «Октябрьский»
Белякова Л.Л.

Правовое регулирование

Персональные данные россиян должны быть под защитой. Федеральный закон 152 гласит, что необходимы меры на случай неравномерного или случайного доступа к ним. Этот же закон обязывает защищать персональный данные от уничтожения, изменения, блокирования и распространения.

Отметим, закон вышел еще 27 июля 2006 года. Он так и называется - «О персональных данных». Именно в связи с этим законам все мы периодически подписываем согласия на обработку персональных данных - на работе, в школе, в детском саду, в поликлиниках и в других учреждениях. В том числе и в жилищно-коммунальной сфере. В противном случае, поясняют нам, невозможна работа.

Для начала поясним, что персональными данными может быть любая информация о ком-либо. Персональные данные делятся на несколько групп. В одной информация о национальности, об убеждениях - религиозных, философских или политических. Сюда же входит информация о здоровье и личной жизни. Во вторую группу входят биологические или физиологические особенности. Причем, практически все понимают, что отпечатки пальцев - это персональные данные, а на счет фотографии порою не догадываются.

В третью группы входят общедоступные сведения. И в четвертую - те данные, которые не попали в вышеперечисленные категории.

Организуют сбор персональных данных и обрабатывают их обычно органы государственной власти, местное самоуправление. Могут это делать юридические и физические лица - самостоятельно или с другими людьми.

В сфере ЖКХ в качестве операторов персональных данных выступают управляющие и обслуживающие компании, ресурсоснабжающие организации, ТСЖ, ЖСК, информационно-расчетные центры, фонд капитального ремонта.

Обрабатывать персональные данные можно только с письменного согласия человека. Еще возможен вариант согласия в форме электронного документа, подписанного электронной подписью.

В Согласии указываются фамилия, имя, отчество, адрес, данные документа, удостоверяющего личность (номер, сведения о дате выдачи и выдавшем его органе), сведения об учреждении, для которого подписывается согласие, а также причины - для чего это делается. Помимо общей цели должен быть список действий, на совершение которых дается согласие. Также в документе указывается срок его действия и способ его отзыва.

Законы РФ декларируют, что персональные данные должны использоваться в законных целях, соответствовать цели объявленного сбора. И собираемые данные не должны быть избыточными, слишком уж подробными. Вместе с тем неполные или неточные данные оператор должен уточнить или удалить вовсе.

Есть и правила обработки, хранения персональных данных. Нельзя, к примеру, объединять базы данных, которые собирались для выполнения разных задач. Хранить данные должны не более указанного срока. А потом - уничтожить.

Статья 17-я 152 ФЗ гласит, что человек, даже если он согласился на обработку своих личных данных, имеет право на защиту своих прав, интересов. В законе прописано и возмещение убытков, а также компенсация морального вреда в судебном порядке в случае, если оператор работает с нарушением требований законодательства или иным образом нарушает права гражданина.

Организации ЖКХ обязаны озвучить, показать или написать о своей политике по отношению к обработке персональных данных. В соответствии со статьей 161 Жилищного кодекса управляющая компания обязана обеспечить свободный доступ к информации об основных показателях ее финансово-хозяйственной деятельности; о своих услугах и работах по содержанию и ремонту общего имущества в многоквартирном доме. Также общедоступной должна быть информация о порядке, условиях и стоимости их оказания, выполнения, о ценах (тарифах) на ресурсы, необходимые для предоставления коммунальных услуг. Такие стандарты раскрытия информации о деятельности УК соответствуют стандартам, которые утверждены Правительством РФ.

Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных. Процедура уведомления для операторов является бесплатной.

В некоторых случаях оператор имеет право обрабатывать персональные данные без уведомления. Речь идет о данных, которые используются в соответствии с трудовым законодательством. Отметим, эта норма не применяется к тем, кто работает по договорам подряда или возмездного оказания услуг. Без уведомления можно обойтись при заключении договора, стороной которого является субъект персональных данных. Например, договор на оказание услуг, договор гражданско-правового характера на выполнение работ. В этом случае личная информация не должна распространяться и предоставляться третьим лицам без согласия субъекта персональных данных. Организация может использовать персональные данные только для исполнения договора и заключения договоров с субъектом персональных данных.

Также без уведомления могут обрабатываться общедоступные данные, то есть та информация, доступ к которой предоставлен неограниченному кругу лиц с согласия носителя этих данных. Можно использовать без уведомления и фамилии, имена и отчества, которые необходимы для однократного пропуска.

В список данных, при использовании которых не требуется уведомление, входят сведения из государственных информационных систем.

Теперь обратим внимание на типичные нарушения при обращении с персональными данными в жилищно-коммунальной сфере. Зачастую не предоставляются уведомления об обработке персональных данных; указываются неполные или неправильные сведения. Случается, что нарушаются требования конфидециальности. Руководство компании не всегда знает, что нужно определить и утвердить перечень сотрудников, которые имеют доступ к персональным данным и к их обработке; разработать правила обработки данных, опубликовать документ, который определяет политику по обработке персональных данных.

Встречаются ситуации, когда не соблюдаются элементарные меры для защиты от утечки информации. Компании, работающие в сфере ЖКХ, например, не всегда заботятся об установке антивирусной защиты, паролей, не разграничивают доступ к конфиденциальной информации.

Собственников жилья больше всего зачастую интересует, могут ли работники ЖКХ вешать на всеобщее обозрение или публиковать списки должников. Поясняем, сначала для этого требуется согласие гражданина. То есть, управляющая или ресурсоснабжающая компания, как и любая другая, не имеет право без согласия потребителя передавать его данные кому-либо, публиковать в СМИ и даже вешать листочек с этими данными на двери подъезда. Это нарушение закона.

Добавим, запрет не действует в отношении обезличенных и общедоступных персональных данных.

За нарушение закона о персональных данных в большинстве случаев предусмотрена административная ответственность. Уголовными считаются незаконные сбор или распространение сведений о тайнах частной жизни - без согласия (ст. 137 УК РФ); неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан (ст. 140 УК РФ). Также под уголовную ответственность попадает неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации (ст. 272 УК РФ).