2026 год. Мы всё ещё пересылаем показания счётчиков по почте?
Сценарий, который разыгрывается в каждом рижском дворе как минимум раз в год. Старший по дому — пенсионер-инженер с папкой распечатанных Excel-таблиц — хочет сфотографировать показания водосчётчиков у всех жильцов. Более молодой жилец отказывается. Он проходил тренинги по защите данных на работе и теперь подозревает, что сосед, собирающий показания расхода, нарушает закон. Оба неправы. И оба отчасти правы.
GDPR на самом деле не запрещает никому фотографировать водосчётчики. Исходная позиция закона такая: если вам нужны данные для законной цели и вы собираете не больше, чем требует эта цель, вы, как правило, вправе их собирать. Старшему по дому показания действительно нужны — без них товарищество не сможет выставить счета за воду вообще. Это не слежка, это хозяйство.
Но именно на слове «хозяйство» воображение людей разгоняется. Поэтому пройдусь по тому, где домовые комитеты действительно ошибаются — и, что важно, где паникуют без причины. Основной упор сделаю на правила Латвии (поскольку именно с латвийскими бумагами я сталкивался больше всего), изредка поглядывая на Эстонию, которая кое-что делает иначе.
Кто контролёр данных? (Спойлер: это вы)
Это первый вопрос, который стоит прояснить, потому что он решает, кто несёт обязанности. Как только товарищество собственников начинает собирать данные жильцов — имена, показания расхода, платёжные записи, списки должников — оно становится контролёром данных в смысле статьи 4(7) GDPR. Не управляющая компания. Не поставщик ПО. Само товарищество.
Я бывал на собраниях управляющих компаний, где менеджер настаивает: «это проблема ИТ-фирмы». Нет. ИТ-фирма — это обработчик. Тот, кто решает, зачем собираются данные и что с ними происходит, — это товарищество. Закон Латвии об управлении жилой недвижимостью (Dzīvojamās mājas pārvaldīšanas likums) обязывает управленца вести учёт потребления; он не перекладывает ответственность по GDPR на чужие плечи.
И да, товарищества в Риге уже получали штрафы. В 2023–2024 годах Государственная инспекция данных (Datu valsts inspekcija, ДВИ) выносила штрафы за публикацию имён жильцов с суммами долгов в общих помещениях дома, за рассылку полных платёжных данных всем жильцам и за то, что персональные данные жильцов оставались открыто доступными в общественных зонах. Я лично видел список должников, приклеенный на лестничной клетке на Mēness iela, — имена и суммы в евро были видны с улицы через окно. Лента новостей инспекции читается как каталог именно таких ошибок.
Классические ошибки (из реальных решений ДВИ)
ДВИ публикует решения, и некоторые повторяются снова и снова.
1. Списки должников на доске объявлений. Решение ДВИ по делу G30-746 (2021) касалось именно этого: товарищество разместило полные имена и суммы долгов на домовой доске объявлений. Вывод: полные имена плюс суммы — чрезмерное раскрытие. Субъекта данных может опознать любой в доме. Инспекция не сказала «никогда не публикуйте должников» — она сказала, что раскрытие должно быть соразмерным. Инициалы или номера квартир могут быть допустимы; полные имена с суммами в евро — это уже перебор.
2. Платёжные данные, разосланные всему дому. Было и решение о товариществе, которое раздавало платёжные данные и данные о потреблении всех жильцов всем подряд. Товарищество ссылалось на законный интерес. Инспекция не согласилась: распространение данных, не относящихся к получателю, в форме, где люди остаются идентифицируемыми, одним интересом не оправдывается.
3. Камеры без табличек. Проблема не в самой камере, а в отсутствии предупреждения. Если товарищество установило камеру над входом «для безопасности», нужны таблички, правила хранения записей и документированное основание. Камера, молча снимающая публичный тротуар, — совсем другой тип проблемы: это видеонаблюдение в общественном пространстве, и в Латвии оно требует опоры в законе, а не только решения правления.
Теперь успокаивающая часть. Решения органа по защите данных показывают, что товарищества регулярно спокойно делают то, чего жильцы боятся.
Фотографии водосчётчиков. Сбор данных о потреблении для выставления счетов за коммунальные услуги — хрестоматийный случай законного интереса. Сама практика органа это подтверждает: товарищество может обрабатывать показания без согласия, потому что это необходимо для биллинга. Не нужно выпрашивать согласие у каждого жильца.
Письма о взыскании долгов. Тоже допустимо. Напоминание об оплате собственнику квартиры, чьи данные вы держите, на основании договора между ним и товариществом — отдельного согласия по GDPR не требуется.
Потоки данных в управляющую компанию. Если товарищество передало биллинг управляющей компании, вам не нужно заверять договор обработки у нотариуса по образцу статьи 30 GDPR. Достаточно письменного договора с обработчиком, а обязанности управляющей компании дополнительно определяются законом об управлении недвижимостью. Практический вывод: проверьте, что такой договор существует. Если ничего на бумаге нет — вот настоящая проблема, а не отсутствие нотариально заверенного документа.
Из всего этого складывается паттерн. Регуляторы не против самой обработки данных. Они против, когда внутренние данные дома выходят за круг людей, которым они нужны. Данные, собранные домом для дома, обработанные домом для дома, — редко проблема. Как только данные покидают этот круг, нужно основание.
Где люди паникуют без причины
Правила дома: что должно быть в базовой политике приватности
Статья 13 GDPR требует информировать людей об обработке данных. Практически для товарищества это одна страница: как к ней обратиться, что собирается, зачем, как долго хранится, к кому писать. Если у товарищества уже есть сайт, хватит одной статичной страницы.
Что должно быть на этой странице:
- какие категории данных обрабатывает товарищество (данные личности, контакты, данные потребления, история платежей, переписка);
- для каких целей (биллинг, взыскание долгов, содержание дома, безопасность);
- правовое основание для каждой цели (исполнение договора или законный интерес);
- сроки хранения (подробнее ниже);
- к кому обращаться с вопросами или для реализации прав субъекта данных.
Если у товарищества вообще нет сайта, разместите уведомление на домовой доске объявлений и убедитесь, что протокол правления фиксирует его утверждение. Стена на лестничной клетке — не самое удобное место для сроков хранения, признаю. Но обязанность существует, и одна страница — это действительно всё, что нужно.
Сколько можно хранить данные жильцов?
Принцип ограничения хранения гласит: пока существует цель, и не дольше. Звучит расплывчато. На практике практическим якорем служит обязанность хранения налоговых записей.
Товарищество обрабатывает данные членов и выставляет счета — значит, речь об учётных документах. По правилам бухгалтерии Латвии документы должны храниться 5 лет (для некоторых типов документов — дольше). Поэтому товарищество может обоснованно хранить записи о потреблении и платежах 5 лет. Дольше — цели уже нет, и принцип ограничения хранения начинает тянуть в обратную сторону.
Эстония делает это чуть иначе. Учётные акты хранятся 7 лет, поэтому записи о потреблении и платежах лежат в архиве дольше — 7 лет там безопасное число. Одна юридическая система... точнее, две, и дом в Валмиере, у которого дом-побратим в Тарту хранит такие же бумаги разное время. Не идеально. Но такова трансграничная жизнь многоквартирных домов.
«Я хочу знать, что вы обо мне знаете» — запросы субъектов данных
Жилец пишет правлению: дайте мне копию всех моих данных, историю платежей и запись о том, кому вы их передавали. Это запрос по статье 15 GDPR. На него обязаны ответить. В течение месяца, с возможностью продления ещё на два месяца, если запрос действительно сложный.
На практике первая реакция большинства товариществ — паника. Паниковать не нужно. Данные жильца лежат в двух-трёх системах: биллинговая книга, возможно, цепочка писем, возможно, бумажная папка в ящике старшего по дому. Соберите, просмотрите и отправьте. Срок считается с момента получения, поэтому дата поступления запроса в почту правления имеет значение — проставьте дату и отметьте в протоколе.
Более хитрый сценарий — обратный: жилец требует удалить его данные. Член правления отвечает: не можем, у нас законная обязанность хранить учётные документы. И это правильный ответ. GDPR никогда не даёт права на удаление записей, которые закон требует хранить. Маркетинговые данные, фото с летнего праздника, список рассылки новостей — удалить можно. Архив счетов — нельзя. Объяснить разницу можно одним абзацем в ответном письме. Игнорировать запрос нельзя.
45 минут правления: чек-лист
Никто не ждёт, что члены правления станут юристами. Но один вечер с кофе и этот чек-лист покрывают необходимое. Я видел, как товарищество проходило весь список меньше чем за час — главная стоимость была в том, чтобы найти человека, готового набрать текст уведомления о приватности.
1. Найдите свои документы. Нужны три бумаги: уведомление о приватности, договоры с обработчиками (с управляющей компанией, биллинг-провайдером, бухгалтером) и — вот это многих удивляет — письменная доверенность для всех, кто работает с данными от имени правления. Последний пункт важнее, чем кажется: тот, кто обрабатывает данные от имени товарищества, должен иметь письменную доверенность, чтобы было ясно, кто на что имеет право. Не нужно ничего вычурного; полстраницы с описанием, к чему человек имеет доступ и что он обязан делать с данными, — вполне достаточно.
2. Пройдитесь по дому физически. Посмотрите на дом своими глазами. Камеры над входами? Таблички на дверях? Приклеенные списки должников? Списки рассылки с 40 получателями в одном поле «Кому»? Сама лестничная клетка — часть вашего аудита данных. Возьмите блокнот.
3. Задайте правила хранения. Зафиксируйте в протоколе: записи о потреблении и платежах — 5 лет (ЛВ) или 7 лет (ЭЭ); заявления и переписка — пока длится аренда/владение плюс разумный срок; записи камер — 30 дней как обычное значение по умолчанию.
4. Назначьте контактное лицо. Не обязательно DPO — большинству товариществ не нужен формальный офицер по защите данных. Но один поименованный человек, которому жильцы могут писать. Имя и почта на доске объявлений. Всё.
5. Отвечайте на запросы письменно. Когда кто-то запрашивает свои данные, проставьте дату на запросе, ответьте в срок и сохраните ответ. Не потому что придут юристы — а потому что член правления, уйдущий через два года, должен оставить прослеживаемую историю, а не загадку.
Большая часть этого — обычное хозяйство с юридическими названиями. Сам закон вполне разумен: собирайте только то, что нужно, говорите людям, что вы делаете, не показывайте их данные всему дому. Вот и вся философия.
И старший по дому с папкой Excel?
Пусть оставляет. Показания в папке, биллинг раз в месяц, долги через персональные письма, а не через список на доске объявлений, — это полностью совместимая с GDPR операция. Хранится ли это в Excel или в специализированном ПО, для закона значения не имеет. Важно, чтобы доступ был ограничен, срок хранения определён, а сосед мог узнать, что дом знает о нём, если спросит.
Проблемы людям как раз и создаёт самодеятельное раскрытие. Список должников, приклеенный на лестнице. Письмо всем жильцам с платёжными данными каждого. Камера без таблички. Это не проблемы права, это проблемы привычек. А привычки, в отличие от софта, исправлять бесплатно.
GDPR в многоквартирном доме — это не про юридическую машинерию, а про несколько привычек. Собирайте меньше, передавайте узко, храните записи столько, сколько хочет налоговая, говорите людям, что дом о них знает. Члены правления тратят сорок пять минут, пишут полстраницы, и после этого тема может тихо спать в папке с протоколами. Что, честно говоря, ей самое место.
