ТСЖ и УК ЖКХ как операторы ПДн

С 30 мая 2025 года в силу вступила обновлённая ст. 13.11 КоАП в редакции ФЗ-420 от 30 ноября 2024 года. Санкции выросли кратно: оборотный штраф за повторную утечку теперь составляет от 1 до 3 процентов годовой выручки, но не менее 20 млн рублей. ТСЖ и управляющие компании ЖКХ обрабатывают персональные данные сотен и тысяч собственников, нанимателей и подрядчиков — и большинство из них до сих пор не включены в реестр операторов Роскомнадзора. Ниже — что именно обрабатывают эти организации, какие нормы применимы и что юрист должен проверить в первую очередь.

Почему ТСЖ и УК ЖКХ признаются операторами ПДн по ст. 3 ФЗ-152?

Статья 3 ФЗ-152 определяет оператора как лицо, которое самостоятельно или совместно с другими организует и осуществляет обработку персональных данных. ТСЖ и управляющая компания собирают ФИО и паспортные данные собственников и нанимателей для начисления платежей, хранят номера телефонов и адреса электронной почты для уведомлений об общих собраниях, формируют реестры проживающих и владельцев помещений, обрабатывают реквизиты счетов при расчётах через лицевые счета. Все эти действия — обработка персональных данных по ст. 3 ФЗ-152 вне зависимости от организационно-правовой формы и числа жильцов.

Закон не содержит исключения для небольших ТСЖ или частных управляющих компаний. Если организация собирает, хранит или передаёт хотя бы ФИО и адрес физического лица в систематическом режиме — она оператор. Этот статус влечёт обязанности по всем разделам ФЗ-152: уведомление РКН, политика обработки, согласия, назначение ответственного, технические меры защиты.

Какие данные о собственниках и жильцах обрабатывают ТСЖ и УК?

Состав обрабатываемых персональных данных в ЖКХ значительно шире, чем принято считать. Юрист, проводящий аудит, должен проверить следующие категории.

Идентификационные данные: ФИО собственника, серия и номер паспорта, СНИЛС при расчётах с гражданами, ИНН при договорах с физическими лицами — подрядчиками.

Контактные данные: номер телефона и адрес электронной почты для уведомлений об общих собраниях по ст. 45 Жилищного кодекса, а также для передачи показаний приборов учёта.

Данные о праве собственности: реквизиты выписки из ЕГРН, доля в праве, основание владения — эти сведения формально относятся к персональным данным, поскольку связаны с конкретным физическим лицом.

Платёжные данные: номер лицевого счёта, история начислений и платежей, задолженности. При интеграции с ГИС ЖКХ часть этих данных передаётся во внешнюю систему, что означает поручение обработки или самостоятельную передачу третьему лицу.

Данные о составе семьи: сведения о зарегистрированных в помещении лицах, включая несовершеннолетних. Обработка данных детей требует согласия законного представителя по ст. 9 ФЗ-152.

Биометрические данные: если УК или ТСЖ используют систему контроля и управления доступом с распознаванием лиц или отпечатков пальцев — это обработка биометрических персональных данных по ст. 11 ФЗ-152, требующая отдельного письменного согласия каждого жильца.

Как ГИС ЖКХ влияет на статус ТСЖ и УК как операторов ПДн?

Государственная информационная система жилищно-коммунального хозяйства (ГИС ЖКХ) обязывает управляющие компании, ТСЖ и ресурсоснабжающие организации размещать в ней сведения о жильцах, лицевых счетах, начислениях и договорах. Передача данных в ГИС ЖКХ — самостоятельное основание обработки, которое не отменяет обязанности оператора по ФЗ-152.

Практический вопрос для юриста: является ли передача данных в ГИС ЖКХ поручением обработки по п. 3 ст. 6 ФЗ-152 или самостоятельной обработкой третьим лицом? Оператор ГИС ЖКХ — Министерство строительства и ЖКХ РФ — самостоятельный оператор. Управляющая компания передаёт данные как оператор оператору, что требует соответствующего правового основания в договоре или соглашении. Согласие жильца при этом, как правило, не требуется — передача осуществляется во исполнение обязательных требований законодательства по п. 2 ч. 1 ст. 6 ФЗ-152. Тем не менее это основание должно быть явно указано в политике обработки ПДн.

Дополнительная сложность: ГИС ЖКХ интегрирована с порталом Госуслуг и рядом региональных систем. Если УК использует личный кабинет жильца через ЕСИА — у неё возникает трансграничная передача при использовании зарубежных CDN-решений, и одновременно вопрос о локализации по ч. 5 ст. 18 ФЗ-152.

Как разграничить ответственность ТСЖ и подрядчиков при обработке ПДн?

Управляющие компании и ТСЖ активно используют сторонних подрядчиков: расчётные центры, биллинговые платформы, провайдеров домофонных систем, сервисных операторов лифтового оборудования. Каждая такая передача данных требует юридического оформления.

По п. 3 ст. 6 ФЗ-152 оператор вправе поручить обработку ПДн другому лицу на основании договора или иного правового акта. Договор с подрядчиком-обработчиком должен содержать: перечень действий с ПДн, цели обработки, обязанность соблюдать конфиденциальность, требования к техническим мерам защиты. Если договора нет — каждый факт передачи данных подрядчику потенциально образует нарушение ч. 1 ст. 13.11 КоАП.

Позиция судебной практики: оператор несёт ответственность за действия обработчика перед субъектом персональных данных. Если расчётный центр допустил утечку — штраф получит управляющая компания как оператор, а не расчётный центр как технический исполнитель.

Типовые ситуации из практики: три сценария для юриста

Сценарий 1. ТСЖ без уведомления в реестре РКН. Небольшое ТСЖ на 80 квартир обрабатывает ФИО, телефоны и паспортные данные собственников в таблице Excel для начисления взносов. Уведомление в РКН никогда не подавалось. При плановой проверке РКН составляет протокол по ч. 10 ст. 13.11 КоАП. Штраф для юридического лица — от 100 000 до 300 000 рублей. Стратегия юриста: немедленно подать уведомление, подготовить политику и доказательства наличия организационных мер — это не устранит уже возбуждённое производство, но может повлиять на размер в рамках ст. 4.1 КоАП при рассмотрении дела.

Сценарий 2. Управляющая компания передаёт базу жильцов расчётному центру без договора поручения. УК на 3 000 квартир использует сторонний расчётный центр для начисления платежей. Договора с обработчиком нет — есть только договор об оказании бухгалтерских услуг без упоминания ПДн. Жилец направляет жалобу в РКН. Доказательства: у жильца есть скриншоты личного кабинета расчётного центра с его данными без его согласия. Вероятный исход: протокол по ч. 1 ст. 13.11 (150 000 – 300 000 рублей). Стратегия: параллельно заключить договор поручения с расчётным центром, добавить раздел о передаче в политику и уведомление РКН — это демонстрирует устранение нарушения и даёт аргументы для снижения штрафа.

Сценарий 3. СКУД с распознаванием лиц в жилом комплексе без согласий. Девелопер передал УК систему видеодомофонии с функцией распознавания лиц жильцов. Письменных согласий ни у кого нет — жильцы просто въехали и пользуются. Один из жильцов узнал, что его изображение хранится в облаке вендора, и обратился в РКН. Исход: нарушение ст. 11 ФЗ-152 (обработка биометрии без согласия) влечёт ч. 16 ст. 13.11 КоАП. Стратегия: немедленно собрать письменные согласия от всех жильцов по форме ст. 9 ФЗ-152, оформить договор с вендором как обработчиком, уточнить, находятся ли данные в облаке за рубежом — если да, добавить уведомление о трансграничной передаче.

Как применяется ст. 13.11 КоАП к ТСЖ и УК: актуальные кейсы

Кейс 1. Управляющая компания в Сибирском федеральном округе (конец 2025 года) получила протокол РКН по ч. 10 ст. 13.11 КоАП за работу без уведомления в реестре операторов. УК на 2 000 квартир собирала ФИО, телефоны и реквизиты собственников на протяжении трёх лет без регистрации. Штраф составил сумму в нижней части диапазона. После подачи уведомления и принятия политики обработки ПДн юрист смог добиться снижения санкции через указание на активное устранение нарушений в ходе производства по делу.

Кейс 2. ТСЖ в Центральном федеральном округе (начало 2026 года) установило в подъездах домофонную систему с биометрической идентификацией без оформления согласий жильцов. После жалобы одного из собственников РКН провёл внеплановую проверку. Факт обработки биометрии без письменного согласия подтверждён документально. Протокол составлен по ч. 16 ст. 13.11 КоАП. ТСЖ признано юрлицом-оператором, несмотря на доводы об «отсутствии коммерческих целей». Точный размер штрафа — на стадии рассмотрения.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка полного цикла обработки ПДн, 38 пунктов, отчёт с планом.
• Комплект ОРД под ключ — политика, согласия, приказы, регламент реагирования.
• DPO-аутсорсинг — ответственный по ст. 22.1 ФЗ-152 на абонентском обслуживании.

Частые вопросы

1. Кто оператор: ТСЖ или УК?

Оператором является та организация, которая фактически определяет цели и осуществляет обработку персональных данных жильцов. Если дом управляется УК — оператором выступает УК. Если создано ТСЖ и оно самостоятельно ведёт расчёты и реестр жильцов — оператором является ТСЖ. При переходе от одной формы управления к другой обязанности оператора переходят к принявшей управление организации — уведомление в РКН подаётся заново. При совместной обработке оба субъекта могут признаваться операторами по ст. 3 ФЗ-152.

2. Освобождены ли СМИ от уведомления РКН?

Статья 22 ФЗ-152 предусматривает исключения из обязанности уведомления: к ним относятся обработка данных в целях деятельности журналиста или в соответствии с законодательством о СМИ — при условии, что данные не распространяются третьим лицам без согласия субъекта. ТСЖ и УК к этой категории не относятся. Если вопрос касается конкретной редакции корпоративного СМИ — исключение применяется узко и не освобождает от всех остальных обязанностей по ФЗ-152.

3. Как оформить передачу данных жильцов в расчётный центр?

По п. 3 ст. 6 ФЗ-152 передача данных расчётному центру оформляется договором поручения обработки. Договор должен содержать: исчерпывающий перечень персональных данных, виды разрешённых действий, цели обработки, требование конфиденциальности, обязанность применять технические и организационные меры защиты. Условия о ПДн могут быть частью основного договора на расчётно-кассовое обслуживание или оформляться дополнительным соглашением. Согласие жильцов на передачу при наличии договора поручения, как правило, не требуется — достаточно уведомить о передаче в политике обработки.

4. Что хранить о собственниках и как долго?

Срок хранения персональных данных определяется целью обработки по ст. 5 ФЗ-152: данные хранятся не дольше, чем необходимо для её достижения. Для ТСЖ и УК ориентиры: данные для расчётов — в течение срока действия договора управления плюс период исковой давности (как правило, 3 года после прекращения отношений); данные о задолженности — до погашения и истечения срока давности взыскания; документы общих собраний с ПДн участников — в соответствии с нормами жилищного законодательства. После достижения цели ПДн подлежат уничтожению или обезличиванию по ст. 21 ФЗ-152.

5. Какие технические меры защиты обязательны для УК по Приказу ФСТЭК №21?

Состав технических мер зависит от уровня защищённости информационной системы персональных данных (ИСПДн), определяемого по ПП РФ №1119. Для большинства УК с базой данных собственников (общие ПДн, угрозы 3-го типа, более 100 000 субъектов) установлен уровень защищённости УЗ-3. Приказ ФСТЭК №21 предписывает базовый набор мер: идентификация и аутентификация пользователей, управление доступом, регистрация событий безопасности, антивирусная защита, обновление программного обеспечения, защита от несанкционированного доступа. Конкретный состав мер формируется на основе модели угроз.

Итог

ТСЖ и управляющие компании ЖКХ — полноценные операторы персональных данных по ФЗ-152 с обязательствами по уведомлению РКН, разработке политики, оформлению согласий и обеспечению технической защиты. Обновлённая ст. 13.11 КоАП с 30.05.2025 сделала несоблюдение этих требований финансово болезненным: штраф за непостановку на учёт — до 300 000 рублей, за утечку — до 15 млн рублей и выше. Юрист, сопровождающий ТСЖ или УК, должен убедиться, что организация включена в реестр, имеет актуальный пакет ОРД и договора с подрядчиками оформлены как поручения обработки.

Практика DATUM охватывает сопровождение операторов ПДн в сфере ЖКХ: от первичного аудита до защиты интересов в РКН и мировом суде. Опыт сопровождения проверок — с 2014 года в составе сети «Ветров и партнёры».

14 января 2028 года