-
Вопрос № 00229278
Здравствуйте.
Мне 15 лет. Я сделал небольшой веб-проект и разместил его на зарубежном хостинге — vercel. (он работает в россии без проблем, и не запрещен)Внутри страницы моего сайта я встроил платёжную форму ЮKassa. Код формы я взял готовым из документации ЮKassa (SimplePay), сам её не писал и не изменял.
То есть форма визуально находилась на моём сайте, но по коду это была форма ЮKassa, и данные из неё уходили напрямую на серверы ЮKassa (в Россию). Мой сайт не имел собственного бэкенда, базы данных и API. Все данные, которые вводили пользователи (email, телефон, имя), отправлялись напрямую в ЮKassa. Я их не сохранял, не обрабатывал и никуда не передавал.
Проект сейчас не работает. Обратите внимание - проектом пользовался Я и несколько незнакомых людей, которые оставляли форму всегда пустой. (или чаще всего)
1. Являюсь ли я в этой ситуации оператором персональных данных по смыслу 152-ФЗ, или оператором является ЮKassa?
2. Считается ли нарушением требования о локализации (ч. 5 ст. 18 152-ФЗ), если сама HTML-страница была на зарубежном хостинге, но форма была формой ЮKassa, и данные уходили напрямую в ЮKassa (в Россию)?
3. Есть ли в моих действиях состав правонарушения по ст. 13.11 КоАП РФ или ст. 272.1 УК РФ, учитывая, что: мне 15, форму делал не я (юкасса), данные были на территории рф, данные не вводили.
4. Если формально нарушение есть — каков **реальный** размер риска
1. Само наличие формы на вашем сайте не делает вас оператором автоматически: оператор определяется тем, кто определяет цели и состав обработки (ст. 3 152-ФЗ). Если вы лишь разместили готовую форму ЮKassa, а данные непосредственно поступали ЮKassa, позиция об отсутствии у вас статуса оператора обоснована.
2. Требование ч. 5 Ст. 18 152-ФЗ относится к оператору, осуществляющему сбор ПД; расположение HTML на Vercel само по себе не означает нарушения локализации, если сбор осуществлялся ЮKassa в РФ.
3. В 15 лет административная ответственность по ст. 13.11 КоАП РФ не наступает: общий возраст — 16 лет (ст. 2.3 КоАП РФ). По ст. 272.1 УК РФ также ответственности нет, поскольку общий возраст уголовной ответственности — 16 лет, а эта статья не входит в перечень преступлений с ответственностью с 14 лет (ст. 20 УК РФ).
4. При описанных обстоятельствах практический риск для вас крайне низкий: пользователей было мало, данные фактически не вводились, собственного хранения/обработки не было, а в 15 лет вы не являетесь субъектом административной либо уголовной ответственности.
Оператором персональных данных в данной ситуации является Юкасса, поскольку именно она определяет цели и способы обработки. Нарушения локализации нет - данные уходили на российские серверы. Состав по упомянутым нормам отсутствует ввиду возраста и фактического характера действий. Реальный риск - минимален. На практике именно вопрос разграничения ролей оператора и обработчика персональных данных является ключевым при квалификации нарушений в подобных делах - вся цепочка фактической обработки должна быть исследована в совокупности, без чего верная правовая оценка невозможна. Имелись ли какие-либо письменные соглашения, пользовательские соглашения или политика конфиденциальности, размещённые на Вашем сайте? Желаю удачи в решении вопроса! С уважением, юрист Грачёв Георгий!
1. Являетесь ли вы оператором персональных данных? Оператором персональных данных в части платежной формы является ЮKassa (ООО НКО «ЮМани»), а не вы. 2. Считается ли это нарушением требования о локализации? Нет, нарушения требования о локализации (ч. 5 Ст. 18 152-ФЗ) здесь нет. 3. Есть ли состав правонарушения по КоАП или УК РФ? Состава правонарушения в ваших действиях нет. 4. Каков реальный размер риска? Реальный риск равен нулю.
