Как управляющей организации обрабатывать персональные данные жителей МКД, чтобы не получить штраф

Управляющая организация — это оператор персональных данных, поэтому за ее работой следит Роскомнадзор. Если УО передаст кому-то сведения о жильцах без законных оснований, ей могут выписать штраф. Чтобы этого избежать, рассказываем, как правильно организовать обработку личной информации.

Для чего управляющая организация использует персональные данные

Персональные данные (ПД) — это любые сведения, которые позволяют определить личность человека. К такой информации относится ФИО, адрес, номер телефона, паспортные данные и другие. 

Управляющая организация использует ПД жильцов для разных целей. Например, чтобы:

• Начислять платежи за ЖКУ. В квитанции организация указывает ФИО собственника, адрес помещения и количество зарегистрированных в нем граждан.
• Взыскивать долги за ЖКУ. В приказе и иске желательно указать идентификатор должника, чтобы суд не тратил время на запрос необходимой информации в разных инстанциях.
• Передавать данные о жильцах в РСО, чтобы она начисляла им плату при прямых договорах.
• Вести реестр собственников помещений. Это обязательное требование для всех УО, согласно ч. 3.1 ст. 45 ЖК РФ.

Любая управляющая организация собирает и обрабатывает данные жильцов. Значит, она становится оператором ПД, как только начинает свою деятельность.

Как организовать обработку персональных данных жителей МКД

Если организация распространяет или использует ПД без согласия жильцов, ей могут назначить штраф. Чтобы этого избежать, важно выполнить следующие требования.

Направить уведомление в Роспотребнадзор

Еще до того как управляющая организация начнет работать с ПД, она должна сообщить Роскомнадзору о своем намерении. Это обязательное требование для всех операторов данных, согласно ст. 22 Закона от 27.07.2006 № 152-ФЗ.

Управляющая организация может не уведомлять Роскомнадзор, только если она обрабатывает ПД вручную, а не автоматически. Значит, вся личная информация о жильцах хранится в виде бумажных документов: например заполненные бланки, анкеты, заявления. Но обычно организации комбинируют разные виды носителей ПД.

Для уведомления есть специальная форма. Она содержится в Приложении №1 к Приказу Роскомнадзора от 28.10.2022 N 180.

Направить уведомление можно следующими способами ↓

Отправить бумажный документ по почте. Оператору ПД нужно заполнить форму на сайте, и система доставит файл на электронную почту. Потом организации надо распечатать документ, подписать и направить ведомству по почте.

Сформировать электронное уведомление. Его можно отправить двумя способами:

• Внести данные в форму на сайте и подписать документ с помощью усиленной квалифицированной электронной подписи. 
• Пройти аутентификацию на портале «Госуслуги», заполнить электронную форму и отправить ее. Предварительно надо подтвердить учетную запись.

После того как Роскомнадзор получил уведомление, ведомство внесет информацию об управляющей организации в реестр операторов ПД. Документ нужно обновить в течение 30 дней.

Подготовить и опубликовать политику об обработке персональных данных

У каждого оператора должна быть своя политика в области обработки и защиты ПД. Это документ, где управляющая организация описывает, как и для чего она использует личную информацию о жильцах, сотрудниках и других лицах.

Доступ к политике должен быть неограничен. Самый простой способ для управляющих организаций выполнить это требование — опубликовать документ на своем сайте. Тогда любой желающий сможет ознакомиться с политикой.

В законе нет единого шаблона для политики по обработке ПН. Каждая организация разрабатывает такой документ под свои задачи. Обычно в него включают следующие разделы:

• Общие цели — назначение политики, права и обязанности оператора и субъекта ПД.
• Цели сбора ПД — организация может использовать данные только для тех целей, которые указаны в политике.
• Правовые основания обработки данных — федеральные законы, внутренние документы организации, договоры и согласия субъектов ПД.
• Объем и виды обрабатываемых данных, а также субъекты ПД.
• Правила обработки ПД.
• Порядок обновления, исправления и уничтожения информации.

Чтобы не упустить важные нюансы, лучше заказать разработку политики у специалистов. Например, мы в «МКДЭКСПЕРТ» проведем аудит вашей системы обработки и защиты ПД и поможем составить политику индивидуально под задачи вашей организации.

Назначить ответственного сотрудника и определить, у кого будет доступ к персональным данным

В УО должен быть сотрудник, который отвечает за организацию обработки данных. Согласно ч. 4 ст. 22.1 Закона № 152-ФЗ, в обязанности этого работника входят следующие функции:

• Контролировать, чтобы организация и ее сотрудники соблюдали правила работы с ПД.
• Сообщать сотрудникам правила обработки и защиты ПД, которые содержатся в законах и локальных актах.
• Организовывать прием и обработку обращений субъектов ПД и контролировать этот процесс.

Обычно ответственным сотрудником становится руководитель отдела кадров, начальник отдела безопасности или заместитель генерального директора. Чтоб назначить его, руководитель УО должен издать приказ. Этот документ можно составить в свободной форме. 

Кроме ответственного сотрудника, нужно также определить, кто еще получит доступ к ПД. Это работники, которые пользуются персональными данными, чтобы выполнять свои трудовые обязанности. Например кадровые специалисты, бухгалтеры и юристы.

Если сотрудники работают с ПД жильцов, то организация обязана позаботиться о неразглашении этой информации. УО должна издать приказ, где указано, кто и какую информацию может использовать. Также нужно подписать с сотрудниками соглашение о соблюдении конфиденциальности.

Получить согласие собственников помещений на обработку их данных

Все действия, которые управляющая организация совершает с ПД, считаются обработкой сведений. Например, это не только их получение и хранение, но и использование информации при взыскании долгов за ЖКУ. 

Чтобы работать с ПД жильцов, управляющая организация должна получить у них согласие. Лучше оформить его в письменно.

В законе не зафиксировано, как именно УО должна получать согласие собственников. На практике используют два способа:

• Пункт об обработке ПД включают в договор управления.
• Согласие оформляют отдельным документом.

В некоторых случаях УО не нужно согласие собственников, чтобы передавать их данные. Например, если оператор:

• Использует ПД для выполнения обязанностей, которые у него есть по закону или договору управления (п. 2 ч. 1 ст. 6 Закона № 152-ФЗ). Например, чтобы передать реестр собственников помещений инициатору ОСС или направить информацию о жильцах в РСО.
• Привлекает платежных агентов, чтобы они начисляли жильцам плату за ЖКУ, выставляли и доставляли квитанции (ч. 16 ст. 155 ЖК РФ).
• Предоставляет информацию госорганам по запросу (пп. 4 ч. 1 ст. 6 Закона № 152-ФЗ).
• Публикует информацию о собственниках помещений в ГИС ЖКХ. Такие данные обычно размещаются в закрытой части системы.

Читайте также: «Как УО организовать обработку персональных данных при работе с подрядчиками»

Какую ответственность несут УО за нарушения правил обработки персональных данных

Ответственность за нарушение правил обработки ПД предусмотрена ст. 13.11 КоАП РФ. Но с 30 мая 2025 года государство ужесточит эти наказания. Например, в зависимости от нарушения штрафы будут равняться следующим суммам:

• Организация обрабатывает ПД без согласия жильцов — за такое нарушение юрлицо сможет получить штраф в размере до 300 тысяч рублей.
• УО не уведомила Роскомнадзор о намерении обрабатывать данные — за это организациям могут назначить штраф на сумму до 300 тысяч рублей.
• Оператор допустил утечку ПД — в таких случаях размер штрафа для организаций будет составлять до 15 миллионов рублей.

Чтобы потом не пришлось тратить бюджет организации на выплату штрафов, лучше сразу обрабатывать персональные данные жильцов правильно. Оставьте заявку на нашем сайте, и мы окажем полный комплекс услуг по организации защиты ПД: проведем аудит текущей системы, разработаем политику, подготовим и направим уведомления в Роскомнадзор.