Персональные данные в управляющей компании и ТСЖ: что нужно знать

Коротко: управляющая компания и ТСЖ — операторы персональных данных, и для большей части их работы согласие жильцов не нужно. Основание дают договор управления, членство в товариществе и сам Жилищный кодекс: он прямо обязывает вести реестр собственников (ч. 3.1 ст. 45 ЖК РФ). Отдельная история начинается там, где данные выходят за пределы управления домом: списки должников на подъезде, чаты дома, камеры, передача реестра не по назначению.

Кто оператор и чьи данные

Оператор — тот, кто организует обработку и определяет её цели и состав данных (п. 2 ст. 3 закона № 152-ФЗ). Управляющая организация и ТСЖ собирают данные сами, значит, они операторы. ТСЖ — вид товарищества собственников недвижимости (ч. 1 ст. 135 ЖК РФ); это некоммерческая организация (пп. 4 п. 3 ст. 50 ГК РФ), подробнее в статье об уведомлении для АО и НКО. Управляющая компания в форме ООО — коммерческая организация: по ч. 10 ст. 13.11 она отвечает как юрлицо.

Объём собираемого ограничен целью и не должен быть избыточным (ч. 5 ст. 5). Паспорт для того, чтобы вписать человека в реестр, не нужен: ч. 3.1 ст. 45 называет сведения для идентификации, ФИО и номер помещения. Перечень данных по целям удобно закрепить в отдельном документе, см. Перечень персональных данных.

Реестр собственников и общее собрание

Управляющая организация и правление ТСЖ обязаны вести реестр собственников с данными, которые позволяют идентифицировать собственников: ФИО, номер помещения, доля в общем имуществе (ч. 3.1 ст. 45 ЖК РФ). ТСЖ дополнительно ведёт реестр членов, где должны быть сведения для идентификации и связи и размер доли (ч. 4 ст. 143). Член товарищества обязан давать правлению достоверные сведения и сообщать об изменениях (ч. 5 ст. 143).

Если собственник, созывающий собрание, письменно просит реестр, управляющая организация или правление обязаны предоставить его в течение пяти дней. Согласие собственников на такую передачу не требуется, но только «в целях созыва и организации проведения общего собрания» (ч. 3.1 ст. 45). Для рассылки рекламы или чужих целей это основание не работает. Решения и протокол собрания управляющая организация или правление в течение пяти дней с момента получения подлинников направляют в орган жилищного надзора, он хранит их три года (ч. 1.1 ст. 46): в бюллетенях ФИО и подписи, поэтому, наша рекомендация, бумаги стоит держать под замком до отправки.

Члены ТСЖ и собственники, не вступившие в товарищество, вправе ознакомиться с рядом документов, в том числе с реестром членов и документами об итогах голосования (ч. 3 ст. 143.1). Как совместить это с защитой данных, закон прямо не говорит. Наша рекомендация: показывать документы для ознакомления, уточнять цель запроса и не раздавать реестр целиком файлом.

Должники и стенд в подъезде

Вывешенный на подъезде список с фамилиями и суммами раскрывает данные неопределённому кругу лиц. Закон называет это распространением (п. 5 ст. 3). Для распространения закон о персональных данных предусматривает отдельное согласие по ст. 10.1, оформленное отдельно от иных согласий (ч. 1 ст. 10.1). В открытых нами статьях ЖК нормы, которая разрешала бы публиковать фамилии должников, мы не нашли. Иное основание для публикации можно искать в законе, но своё право на взыскание долга вы реализуете и без стенда.

Замена фамилии номером квартиры не всегда спасает. В небольшом доме квартира и сумма позволяют определить человека, а закон относит к персональным данным и информацию о косвенно определяемом лице (п. 1 ст. 3). Это наше прочтение.

Что можно делать вместо стенда (наша рекомендация): личное уведомление, письмо, общая сводка без привязки к людям, обращение в суд. Отдельно по списку, где человек сам дал согласие на распространение, см. согласие на распространение ПДн. Публикация без основания — по нашему прочтению, обработка в случаях, не предусмотренных законом (ч. 1 ст. 13.11 КоАП): организациям от 150 до 300 тыс. рублей, должностным лицам от 50 до 100 тыс.

Камеры, чаты, подрядчики

Видеонаблюдение в подъезде. Запись человека — персональные данные, если его можно определить. В открытых нами статьях ЖК о камерах ничего нет. Установка оборудования на общем имуществе по нашему прочтению затрагивает пользование общим имуществом, а это вопрос общего собрания (ч. 2 ст. 44). Табличка, срок хранения, кто смотрит записи и что отвечать жильцу, который просит запись, разобраны в статье о видеонаблюдении и персональных данных.

Чат дома. Добавлять жильцов в мессенджер без их ведома не стоит: номер телефона становится известен всем участникам. Приглашать лучше ссылкой, выбор остаётся за человеком. Это наша рекомендация.

Подрядчики и программы. Расчётные программы, облачные сервисы, коллекторы, юристы, получающие списки собственников, — поручение обработки или передача. Оператор вправе поручить обработку другому лицу на основании договора и с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6). В поручении должны быть определены перечень данных, действия, цели, обязанность соблюдать конфиденциальность и требования безопасности. Ответственность перед жильцом за подрядчика несёт оператор (ч. 5 ст. 6). Базы данных граждан России должны находиться на территории России (ч. 5 ст. 18). Как оформить доступ сотрудников, показывает обязательство о неразглашении.

Запросы жильцов и обязанности оператора

Жилец вправе узнать, какие его данные обрабатываются, и потребовать уточнить, заблокировать или удалить неточные или лишние. Сведения предоставляют в течение десяти рабочих дней, срок можно продлить не более чем на пять рабочих дней с мотивированным уведомлением (ч. 3 ст. 14, ч. 1 ст. 20); на уточнение неполных или неточных данных дают семь рабочих дней (ч. 3 ст. 20). В ответе не должно быть данных других жильцов без законных оснований (ч. 2 ст. 14). Невыполнение обязанности по предоставлению информации — ч. 4 ст. 13.11 КоАП: юридическим лицам от 40 до 80 тыс. рублей. Порядок ответа — в статье об ответе на запрос субъекта.

Остальной набор обязанностей тот же, что у любого оператора-юрлица:

• Уведомление Роскомнадзора до начала обработки (ст. 22). Реестр в Excel, 1С или специальной программе — это автоматизация, исключение для обработки только на бумаге не работает. За неуведомление по ч. 10 ст. 13.11 управляющей компании-юрлицу от 100 до 300 тыс. рублей. У ТСЖ как НКО по частям 10–18 отвечает должностное лицо, от 30 до 50 тыс. рублей (прим. 2–3 к ст. 13.11). См. уведомление об обработке ПДн.
• Политика: опубликовать или иным образом обеспечить к ней доступ, а при сборе через сайт — на страницах сбора (ч. 2 ст. 18.1). Не опубликована — ч. 3 ст. 13.11: юридическим лицам от 30 до 60 тыс. рублей. См. политику обработки ПДн.
• Ответственный за организацию обработки у оператора-юрлица (ст. 22.1): в ТСЖ им может быть председатель или иное лицо, назначенное приказом.
• Меры безопасности: доступ к реестру только у тех, кому он нужен по работе (наша рекомендация, опора — п. 2 ч. 1 ст. 18.1 и ст. 19).

У индивидуального предпринимателя, управляющего домами, по частям 1 и 2 ст. 13.11 своей строки нет: он отвечает как должностное лицо (примечание к ст. 2.4 КоАП). Ответственность за обработку без письменного согласия, когда оно требовалось, — ч. 2: юридическим лицам от 300 до 700 тыс. рублей. Общая картина штрафов — в статье о штрафах за персональные данные.

Как мы помогаем

Для управляющей компании или ТСЖ мы делаем то, что есть на страницах услуг. Пакет документов по 152-ФЗ стоит 9 900 ₽, цена фиксированная: юрист разбирает, какие данные вы собираете, где храните и кто имеет доступ, пишет политику, согласия там, где они нужны, положение, перечни, инструкции. Правки включены до вашего «принимаю». Состав называем после разбора, до оплаты. Договор управления, устав ТСЖ и протоколы собраний мы не разрабатываем, но на разборе проверим, чтобы они не расходились с политикой и согласиями. Уведомление в Роскомнадзор под ключ — 4 900 ₽. Если нужен годовой контроль, есть сопровождение по персональным данным: 1 990 ₽ в месяц или 19 900 ₽ в год.

Общую картину по людям и отраслям даёт хаб «Персональные данные работников» и обзор «Документы по персональным данным». Если у вас есть сайт с формами обращений, см. персональные данные на сайте.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

• Закон № 152-ФЗ, ст. 3 (основные понятия)
• Закон № 152-ФЗ, ст. 5 (принципы обработки)
• Закон № 152-ФЗ, ст. 6 (условия обработки, поручение)
• Закон № 152-ФЗ, ст. 10.1 (данные, разрешённые субъектом для распространения)
• Закон № 152-ФЗ, ст. 14 (право субъекта на доступ к данным)
• Закон № 152-ФЗ, ст. 18 (обязанности оператора при сборе данных)
• Закон № 152-ФЗ, ст. 18.1 (меры оператора)
• Закон № 152-ФЗ, ст. 20 (обращение субъекта к оператору)
• Закон № 152-ФЗ, ст. 22 (уведомление об обработке)
• Закон № 152-ФЗ, ст. 22.1 (ответственный за организацию обработки)
• Жилищный кодекс РФ, ст. 44 (общее собрание собственников)
• Жилищный кодекс РФ, ст. 45 (порядок проведения собрания, реестр собственников, часть 3.1)
• Жилищный кодекс РФ, ст. 143 (членство в ТСЖ, реестр членов)
• Жилищный кодекс РФ, ст. 143.1 (права членов ТСЖ и собственников, не являющихся членами)
• Жилищный кодекс РФ, ст. 46 (решения общего собрания, хранение, часть 1.1)
• КоАП РФ, ст. 13.11 (нарушение законодательства о персональных данных)
• КоАП РФ, ст. 2.4 (должностные лица, примечание об ИП)