Вопрос: Индивидуальный предприниматель продает физическим лицам товары через интернет-магазин. В ходе проверки Роскомнадзором он был привлечен к ответственности по ч. 3 ст. 13.11 КоАП РФ за неопубликование на сайте интернет-магазина документа, определяющего политику оператора в отношении обработки персональных данных. Индивидуальный предприниматель утверждает, что согласно п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» обязанность по разработке данного документа установлена только для юридических лиц. Правомерны ли действия Роскомнадзора?
Ответ: Да, привлечение Роскомнадзором индивидуального предпринимателя к ответственности за неопубликование на сайте интернет-магазина документа, определяющего политику оператора в отношении обработки персональных данных, правомерно.
Обоснование: Под оператором персональных данных понимается юридическое или физическое лицо (в том числе и индивидуальный предприниматель), осуществляющее обработку персональных данных (п. 2 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ)).
Согласно ч. 1 ст. 18.1 Закона N 152-ФЗ оператор обязан принимать меры для обеспечения выполнения обязанностей, предусмотренных данным Законом. Причем определение состава этих мер возложено на самого оператора. В п. 2 ч. 1 ст. 18.1 Закона N 152-ФЗ указано, что к таким мерам, в частности, относится издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных. Однако следует учесть, что перечень мер, установленный данной статьей, не является исчерпывающим и упоминание в данной части только юридических лиц не освобождает индивидуального предпринимателя от обязанности разработать данный документ.
Обязанность оператора по опубликованию на сайте документа, определяющего политику оператора в отношении обработки персональных данных, установлена ч. 2 ст. 18.1 Закона N 152-ФЗ. Каких-либо исключений, в том числе для индивидуального предпринимателя, данная норма не содержит.
Административная ответственность за неопубликование документа, определяющего политику оператора в отношении обработки персональных данных, предусмотренная ч. 3 ст. 13.11 Кодекса РФ об административных правонарушениях, была введена с 1 июля 2017 г. (Федеральный закон от 07.02.2017 N 13-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»). Несоблюдение данной обязанности влечет для индивидуального предпринимателя предупреждение или наложение административного штрафа от пяти до десяти тысяч рублей.
Учитывая изложенное, действия Роскомнадзора в рассматриваемой ситуации правомерны.
Региональный информационный центр
09.10.2017
