Управление РКН по Самарской области обратилось в арбитражный суд с заявлением о привлечении индивидуального предпринимателя к административной ответственности по ч. 6 ст. 13.11 КоАП РФ - невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих сохранность данных при хранении материальных носителей, если это повлекло неправомерный или случайный доступ к ним.

Основанием послужило обращение гражданина при посещении им с ребенком детской игровой студии «Городок Паровозиков» в торговом центре «ГудОк» в городе Самаре.

Фактические обстоятельства нарушения

Гражданин пришёл с сыном на игровую площадку, при входе сотрудник студии потребовал от него предоставить персональные данные — ФИО гражданина и ребенка и номер телефона. Тот отказался, пояснив, что не даёт согласия на обработку персональных данных. В ответ ему отказали в посещении до предоставления этих сведений.

Тогда гражданин сфотографировал журнал, который лежал на стойке у администратора. На фотографии были видны персональные данные третьих лиц — других посетителей студии. Эта фотография была направлена в Роскомнадзор вместе с заявлением о нарушении.

Владелец студии сообщил, что обработка персональных данных осуществляется на основании публичной оферты, размещённой в студии и на странице в социальной сети, цели сбора данных — заключение договора, учёт посещений и обеспечение безопасности детей, в том числе экстренная связь при чрезвычайных ситуациях и эвакуациях.

Также предприниматель уверил, что запись данных в журнал осуществляется только администратором, клиент ставит личную подпись, работники под роспись ознакомлены с законом о персональных данных, политикой обработки и локальными актами, а журнал хранится в запираемом шкафу, доступ к нему есть только у администратора.

Однако ключевым обстоятельством стало то, что в момент совершения гражданином фотографии журнал с персональными данными находился в открытом доступе на стойке администратора. Тем самым были нарушены требования п. 15 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждённого постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687.

Согласно этой норме, при хранении материальных носителей персональных данных должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним. Предприниматель не принял меры, позволяющие исключить несанкционированный доступ третьих лиц к журналу, в том числе его фотографирование.

Так, суд установил факт нарушения, но при назначении наказания руководствовался ст. 4.1.1 КоАП РФ и заменил штраф на предупреждение ввиду отсутствия причинения вреда или угрозы причинения вреда жизни и здоровью, объектам животного и растительного мира, окружающей среде, безопасности государства, а также имущественного ущерба.

Вывод можно сделать один — даже бумажный журнал учёта посетителей в маленьком бизнесе является материальным носителем персональных данных и требует соблюдения условий хранения, исключающих доступ третьих лиц. Хранение такого журнала на видном месте недопустимо, а при повторном нарушении размер штрафа будет определяться уже точно без права на замену на предупреждение.