Вопрос: Освобождается ли организация — субъект малого предпринимательства от плановой проверки Роскомнадзором работы с персональными данными на период с 1 апреля по 31 декабря 2020 г.?
Ответ: Организация, сведения о которой включены в единый реестр субъектов малого и среднего предпринимательства, освобождается от проведения плановых проверок Роскомнадзором. В случае возникновения споров с контролирующими органами организация должна быть готова отстаивать свою позицию в суде.
Обоснование: Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ)).
Под оператором понимаются государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (п. 2 ст. 3 Закона N 152-ФЗ).
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона N 152-ФЗ).
С 23 февраля 2019 г. вступили в силу Правила организации и осуществления государственного контроля и надзора за обработкой персональных данных, утвержденные Постановлением Правительства РФ от 13.02.2019 N 146 (далее — Правила). Документ регламентирует, как Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (и ее территориальные органы) должна проводить плановые, внеплановые, документарные и выездные проверки.
Роскомнадзор и его территориальные органы проверяют операторов персональных данных (п. 2 Правил). Напомним, что даже если организация не внесена в реестр операторов, она все равно является оператором персональных данных работников, поэтому на нее распространяются все требования Закона N 152-ФЗ и Правил.
Федеральным законом от 01.04.2020 N 98-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации по вопросам предупреждения и ликвидации чрезвычайных ситуаций» в ст. 26.2 Федерального закона от 26.12.2008 N 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» (далее — Закон N 294-ФЗ) внесены изменения, согласно которым, если иное не установлено Правительством Российской Федерации, проверки в отношении юридических лиц, индивидуальных предпринимателей, отнесенных к субъектам малого и среднего предпринимательства, сведения о которых включены в единый реестр субъектов малого и среднего предпринимательства, не проводятся с 1 апреля по 31 декабря 2020 г. включительно, за исключением проверок, основаниями для проведения которых являются причинение вреда или угроза причинения вреда жизни, здоровью граждан, возникновение чрезвычайных ситуаций природного и техногенного характера (новая ч. 1.1 ст. 26.2 Закона N 294-ФЗ).
В соответствии с п. 1 Постановления Правительства РФ от 03.04.2020 N 438 (далее — Постановление N 438) в 2020 г. в отношении юридических лиц, индивидуальных предпринимателей, отнесенных в соответствии со ст. 4 Федерального закона от 24.07.2007 N 209-ФЗ «О развитии малого и среднего предпринимательства в Российской Федерации» к субъектам малого и среднего предпринимательства, сведения о которых включены в единый реестр субъектов малого и среднего предпринимательства, проводятся только внеплановые проверки по основаниям, перечисленным в Постановлении N 438. Плановые проверки в отношении данных организаций в 2020 г. не проводятся.
В отношении субъектов, включенных в реестр МСП, возможно проведение в 2020 г. только внеплановых проверок и только в случае, если такие проверки включены в п. 1 Постановления N 438.
Однако в п. 5 Постановления N 438 указано, что приведенный выше порядок проведения проверок распространяется не только на виды государственного контроля (надзора), в отношении которых прямо применяются положения Закона N 294-ФЗ, но также на виды государственного контроля (надзора), муниципального контроля, указанные в ч. 3.1 и 4 ст. 1 Закона N 294-ФЗ, за исключением налогового и валютного контроля.
Так, в частности, п. 20 ч. 3.1 ст. 1 Закона N 294-ФЗ связан с федеральным государственным контролем за обработкой персональных данных.
Учитывая вышесказанное, считаем, что плановая проверка Роскомнадзором в отношении организации, являющейся субъектом малого предпринимательства, с 1 апреля по 31 декабря 2020 г. проводиться не должна.
