Управлением Роскомнадзора по Саратовской области проведена плановая выездная проверка Союза товариществ собственников жилья «Волга» (далее - СТСЖ «Волга») на предмет соблюдения требований законодательства Российской Федерации в области персональных данных.

В ходе проведения проверки установлено следующее.

В соответствии с требованиями  ч. 1 ст. 22 Федерального закона № 152-ФЗ от 27.07.2006 г. «О персональных данных» (далее - ) СТСЖ «Волга» обязан представить уведомление об обработке персональных данных, за исключением случаев, предусмотренных ч. 1 ст. 22 Закона.

Однако, СТСЖ «Волга» не подпадает под указанные исключения и осуществляет обработку персональных данных без уведомления Роскомнадзора.

В связи с вышеизложенным, в отношении СТСЖ «Волга» составлен протокол об административном правонарушении по ст. 19.7 КоАП РФ, материалы административного дела переданы по подведомственности на рассмотрение в судебные органы.

Кроме того, в ходе проведения проверки выявлены следующие нарушения обязательных требований:

1)           п. 2 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ от 27.07.2006 г. «О персональных данных» – в части отсутствия:

- документа, определяющего политику в отношении обработки персональных данных;

- локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации и устранение последствий таких нарушений;

2)           п. 4 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ от 27.07.2006 г. «О персональных данных» – в части отсутствия документа, определяющего осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;

3)           п. 5 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ от 27.07.2006 г. «О персональных данных» – в части отсутствия:

- документа, определяющего проведение оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона № 152-ФЗ от 27.07.2006 г. «О персональных данных»;

- документа, определяющего соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом № 152-ФЗ от 27.07.2006 г. «О персональных данных»;

4)           п. 6 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ от 27.07.2006 г. «О персональных данных» – в части отсутствия документов, подтверждающих ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных:

- с положениями законодательства Российской Федерации о персональных данных;

- требованиями к защите персональных данных;

- документами, определяющими политику оператора в отношении обработки персональных данных.

- в части не полного ознакомления сотрудников оператора с локальными актами по вопросам обработки персональных данных.

5)    ч. 2 ст. 18.1 Федерального закона № 152-ФЗ от 27.07.2006 г. «О персональных данных» –  в нарушении требований указанной статьи, в общедоступных местах офиса Оператора, на информационных стендах Оператора, обследованных в ходе проведения проверки, документа, определяющего его политику в отношении обработки персональных данных, а также сведений о реализуемых требованиях к защите персональных данных - не обнаружено, иных сведений, подтверждающих обеспечение оператором неограниченного доступа к указанным документам - не представлено.

6)    п. 6 Постановления Правительства Российской Федерации от 15.09.2008г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» – в части отсутствия документа, подтверждающего факт информирования лиц, осуществляющих обработку персональных данных без использования средств автоматизации, о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.

7)    п. 13 Постановления Правительства Российской Федерации от 15.09.2008г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» – в части отсутствия:

-  документа, определяющего перечень лиц, допущенных к обработке персональных данных без использования средств автоматизации;

        - документа, определяющего в отношении каждой категории персональных данных места хранения персональных данных (материальных носителей);

8)    п. 14 Постановления Правительства Российской Федерации от 15.09.2008г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» – в части отсутствия документа, определяющего раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

9)    п. 15 Постановления Правительства Российской Федерации от 15.09.2008г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» – в части не соблюдения условий, обеспечивающих сохранность персональных данных сотрудников (их материальных носителей в виде личных дел) и исключающих несанкционированный к ним доступ.

10)  ч. 4 ст. 9 Федерального закона № 152-ФЗ от 27.07.2006 г. «О персональных данных» - в части отсутствия в представленных формах согласия сотрудников Благодарной М.А. и Аксиненко В.А. на обработку их персональных данных следующих сведений:

- адреса оператора, получающего согласие субъекта персональных данных;

- наименования лица, осуществляющего обработку персональных данных по поручению оператора.

11)  ч. 3 ст. 6 Федерального Закона от 27.07.2006 г. № 152-ФЗ   «О персональных данных» – в части отсутствия в договоре СТСЖ «Волга» и ВТБ 24 (ЗАО)  № 181/2-ПК от 12.12.2008 г. перечня действий (операций) с персональными данными, которые будут совершаться ВТБ 24 (ЗАО), и цели обработки, обязанности ВТБ 24 (ЗАО) обеспечивать безопасность персональных данных при их обработке, а также требований к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального Закона от 27.07.2006 г. № 152-ФЗ   «О персональных данных».

12)  ч. 3 ст. 6 Федерального Закона от 27.07.2006 г. № 152-ФЗ   «О персональных данных» – в части отсутствия в договоре СТСЖ «Волга» и ООО «Дисциплина» от 21.11.2011 г. № 4 перечня действий (операций) с персональными данными, которые будут совершаться ООО «Дисциплина» и цели обработки, обязанности ООО «Дисциплина» обеспечивать безопасность персональных данных при их обработке, а также требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального Закона от 27.07.2006 г. № 152-ФЗ   «О персональных данных».

13)  ч. 3 ст. 6 Федерального Закона от 27.07.2006 г. № 152-ФЗ   «О персональных данных» – в части отсутствия в договоре СТСЖ «Волга» и ООО «Лига» от 10.02.2011 г. № 3 перечня действий (операций) с персональными данными, которые будут совершаться ООО «Лига» и цели обработки, обязанности ООО «Лига» обеспечивать безопасность персональных данных при их обработке, а также требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального Закона от 27.07.2006 г. № 152-ФЗ   «О персональных данных».

14) ст. 7 Федерального Закона от 27.07.2006 г. № 152-ФЗ   «О персональных данных» – в части передачи персональных данных граждан без согласия в адрес ООО «Лига» и ООО «Дисциплина».

Для устранения нарушений оператору выдано предписание, материалы направлены в прокуратуру Ленинского района г. Саратова для решения вопроса о возбуждении административного производства по ст. 13.11, 13.14 КоАП РФ и принятия мер прокурорского реагирования.