Согласно ч. 1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее – Закон № 152-ФЗ), оператор персональных данных до начала их обработки обязан уведомить Роскомнадзор о своем намерении осуществлять обработку персональных данных. Из этой нормы не ясно, распространяется ли эта обязанность на филиал организации и должен ли он подавать отдельное уведомление или достаточно подать одно уведомление от имени головной организации.
Рекомендации
Филиал организации самостоятельно не подает уведомление в Роскомнадзор. В Роскомнадзор подается одно уведомление об обработке персональных данных от имени головной организации, в которое включаются данные обо всех обособленных подразделениях (филиалах). Объясняется это следующим.
Согласно п. 2 ст. 3 Закона № 152-ФЗ, оператором персональных данных являются государственный или муниципальный орган, юридическое или физическое лицо, которые самостоятельно или совместно с другими лицами обрабатывают персональные данные, определяют цели их обработки, а также состав персональных данных и действия, совершаемые с ними.
Обособленное подразделение организации – это любое территориально обособленное от нее подразделение, по месту нахождения которого оборудованы стационарные рабочие места, созданные на срок более одного месяца (п. 2 ст. 11 НК РФ, ст. 209 ТК РФ, письмо ФНС России от 17.09.2021 № АБ-4-14/13284@).
Согласно ст. 55 ГК РФ, у организации могут быть:
- представительство – обособленное подразделение юридического лица, расположенное вне места его нахождения, которое представляет интересы юридического лица и осуществляет их защиту;
- филиал – обособленное подразделение юридического лица, расположенное вне места его нахождения и осуществляющее все его функции или их часть, в т. ч. функции представительства.
Налоговый кодекс РФ определяет и третий вид обособленного подразделения – подразделение, сведения о котором не содержатся в учредительных документах организации и не содержатся в ЕГРЮЛ. Каждый филиал или представительство является обособленным подразделением, но не каждое обособленное подразделение является филиалом или представительством.
Филиалы и представительства организации являются самостоятельными видами обособленных подразделений (п. 1, 2 ст. 55 ГК РФ). Сведения о них должны содержаться в ЕГРЮЛ (п. 3 ст. 55 ГК РФ, пп. "н" п. 1 ст. 5 Федерального закона от 08.08.2001 № 129-ФЗ). В то же время представительства и филиалы организации не являются юридическими лицами. Они наделяются имуществом создавшим их юридическим лицом и действуют на основании утвержденных им положений.
Форма уведомления Роскомнадзора о намерении осуществлять обработку персональных данных утверждена приказом Роскомнадзора от 28.10.2022 № 180. Помимо прочих реквизитов, в уведомлении в обязательном порядке указываются наименование (или Ф. И. О.) и адрес оператора персональных данных (п. 1 ч. 3 ст. 22 Закона № 152-ФЗ). В графе формы уведомления для заполнения этих данных предусмотрено указание наименования юридического лица (полного и сокращенного), его ИНН, ОГРН и адреса.
Таким образом, из норм ГК РФ и законодательства о персональных данных следует, что уведомление представляется в Роскомнадзор от имени юридического лица. Поскольку филиал, представительство и другие обособленные подразделения организации не являются самостоятельными юридическими лицами, они не относятся к операторам персональных данных. Следовательно, представлять в Роскомнадзор отдельное уведомление они не обязаны.