Уведомление Роскомнадзора об обработке персональных данных

Уведомление Роскомнадзора об обработке персональных данных подают до начала обработки, и с 1 сентября 2022 года это обязанность почти любой компании и ИП. Если у вас есть работники, учёт клиентов в программе или форма заявки на сайте, уведомление нужно. Освобождение осталось только для узких случаев, например для обработки исключительно на бумаге. За неподачу компанию штрафуют на сумму от 100 000 до 300 000 ₽.

Кратко

• Уведомить Роскомнадзор нужно раньше, чем вы начнёте обрабатывать данные, это требование ч. 1 ст. 22 Закона № 152-ФЗ.
• Без уведомления можно работать только в трёх случаях из ч. 2 ст. 22, например при обработке данных исключительно без средств автоматизации.
• Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180, сведения указывают отдельно по каждой цели обработки (ч. 3.1 ст. 22 Закона № 152-ФЗ).
• Изменения сведений сообщают до 15-го числа месяца после изменений, а о прекращении обработки за 10 рабочих дней после него (ч. 7 ст. 22 Закона № 152-ФЗ).
• Компании и ИП за неподачу или опоздание грозит штраф по ч. 10 ст. 13.11 КоАП РФ в размере от 100 000 до 300 000 ₽.

Содержание

• Кто подаёт уведомление в Роскомнадзор
• Когда уведомление можно не подавать
• Содержание уведомления об обработке персональных данных
• Как подать уведомление в Роскомнадзор об обработке персональных данных
• Штраф за неподачу уведомления
• Когда нужен юрист
• Частые вопросы

Кто подаёт уведомление в Роскомнадзор

Уведомление подаёт оператор, то есть компания, ИП или гражданин, которые сами или вместе с другими организуют обработку персональных данных и определяют её цели. Обязанность закреплена в ч. 1 ст. 22 Закона о персональных данных № 152-ФЗ, далее Закон № 152-ФЗ. Подать уведомление нужно до того, как вы начали обрабатывать данные, а не после первой проверки.

До 1 сентября 2022 года закон освобождал от уведомления многих операторов, например работодателей, которые обрабатывали только данные своих сотрудников, или компании, получившие данные клиентов по договору. Федеральный закон от 14.07.2022 № 266-ФЗ эти исключения отменил. Теперь уведомление нужно, если у вас есть хотя бы одно из перечисленного:

• работники, данные которых ведут в бухгалтерской или кадровой программе;
• клиентская база в CRM, таблице или облачном сервисе;
• форма заявки, обратного звонка или регистрации на сайте;
• пропускной режим или видеонаблюдение, по которому можно узнать человека;
• рассылка по базе адресов электронной почты или телефонов.

Подрядчик и заказчик

Уведомление подаёт тот, кто решает, зачем и какие данные обрабатывать. Если вы поручили ведение кадрового учёта аутсорсинговой бухгалтерии, оператором остаётесь вы, и уведомление подаёте тоже вы. В нём стоит указать, что обработку по поручению ведёт другое лицо. Сама бухгалтерия подаёт уведомление о своей обработке, например данных своих сотрудников и контактных лиц клиентов.

Сайт с аналитикой посещений тоже может требовать отражения в уведомлении. Если сервис аналитики собирает сведения, по которым можно определить посетителя, это отдельная цель обработки. Подробнее в статье о файлах cookie на сайте.

Если компания уже подавала уведомление до 2022 года, проверьте, что в нём указаны все нынешние цели обработки. Старые уведомления часто описывают только кадровый учёт, хотя компания давно собирает данные клиентов через сайт.

Когда уведомление можно не подавать

Часть 2 ст. 22 Закона № 152-ФЗ после 2022 года оставила три исключения. Без уведомления можно обрабатывать персональные данные:

• включённые в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
• если оператор обрабатывает данные исключительно без средств автоматизации;
• в случаях, предусмотренных законодательством о транспортной безопасности, для защиты транспортного комплекса от актов незаконного вмешательства.

Для обычного бизнеса реально только второе исключение. Обработка без средств автоматизации означает, что данные хранят только на бумаге, в журналах и папках. Достаточно одной таблицы с телефонами клиентов на компьютере, и обработка становится автоматизированной (п. 4 ст. 3 Закона № 152-ФЗ). Поэтому почти любой компании и ИП уведомление нужно.

Содержание уведомления об обработке персональных данных

Содержание уведомления об обработке определяет ч. 3 ст. 22 Закона № 152-ФЗ, а форма утверждена приказом Роскомнадзора от 28.10.2022 № 180. В уведомлении указывают:

1. наименование или ФИО и адрес оператора;
2. цели обработки персональных данных;
3. описание мер по ст. 18.1 и 19 Закона № 152-ФЗ, включая сведения о шифровальных средствах и их названия;
4. ФИО или наименование ответственного за организацию обработки, его телефоны, почтовый и электронный адреса;
5. дату начала обработки и срок или условие её прекращения;
6. есть ли трансграничная передача данных;
7. где находится база данных с персональными данными граждан России;
8. сведения об обеспечении безопасности данных по требованиям Правительства.

Для каждой цели обработки отдельно перечисляют категории данных, категории людей, чьи данные обрабатываются, правовое основание, перечень действий с данными и способы обработки (ч. 3.1 ст. 22 Закона № 152-ФЗ). Это самая трудоёмкая часть формы.

Как описать цели

Ошибка многих компаний состоит в одной общей цели вроде «осуществление деятельности организации». Роскомнадзор вправе потребовать уточнить такие сведения до внесения в реестр (ч. 6 ст. 22 Закона № 152-ФЗ). Разбейте обработку на конкретные цели, например кадровый учёт, исполнение договоров с клиентами, рассылка рекламы, пропускной режим. Для каждой цели указывайте своё правовое основание. Для договора с клиентом это исполнение договора, для рекламной рассылки согласие человека.

Цели и перечень данных в уведомлении должны совпадать с политикой обработки персональных данных на сайте и с текстами согласий. Расхождения инспекторы замечают первыми. О политике и согласиях мы писали в статье об обязанностях бизнеса по персональным данным.

Как подать уведомление в Роскомнадзор об обработке персональных данных

Уведомление направляют на бумаге или в форме электронного документа, его подписывает уполномоченное лицо (ч. 3 ст. 22 Закона № 152-ФЗ). Электронную форму заполняют на портале персональных данных Роскомнадзора. Платить за рассмотрение уведомления и внесение в реестр не нужно (ч. 5 ст. 22 Закона № 152-ФЗ).

Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления (ч. 4 ст. 22 Закона № 152-ФЗ). Реестр открыт, любой человек может найти в нём компанию, кроме сведений о средствах защиты.

Изменением считается любая смена сведений из уведомления, например новый адрес, новый ответственный, новая цель или новая CRM на чужих серверах. Сроки для изменений и прекращения установлены ч. 7 ст. 22 Закона № 152-ФЗ.

Уведомление о трансграничной передаче подают отдельно от основного (ч. 3 ст. 12 Закона № 152-ФЗ). Оно нужно, например, если вы пользуетесь зарубежным сервисом рассылок или храните копии базы у иностранного провайдера. Подробнее в статье о трансграничной передаче персональных данных.

Штраф за неподачу уведомления

За невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные предусмотрена ответственность по ч. 10 ст. 13.11 КоАП РФ.

По примечаниям к ст. 13.11 КоАП РФ в ч. 10-18 должностным лицом считается только должностное лицо государственного или муниципального органа либо некоммерческой организации, а ИП за эти нарушения отвечает как юридическое лицо. Для коммерческой компании штраф по ч. 10 назначают самой организации.

Неподанное уведомление редко остаётся единственным нарушением. Проверка, начатая по жалобе клиента, обычно выявляет и отсутствие политики на сайте, и согласия без нужных реквизитов. За отсутствие опубликованной политики отдельно штрафуют по ч. 3 ст. 13.11 КоАП РФ, а за обработку без согласия там, где оно нужно, по ч. 2 той же статьи.

Пример (условные цифры). Небольшая студия дизайна с тремя сотрудниками принимает заявки через форму на сайте. Уведомление она не подавала, считая, что малый бизнес освобождён. После жалобы клиента Роскомнадзор выявил нарушение, и студии грозит штраф по ч. 10 ст. 13.11 КоАП РФ. Подача уведомления заранее заняла бы один рабочий день.

Когда нужен юрист

Небольшая компания с одной-двумя целями обработки обычно может заполнить уведомление сама по форме Роскомнадзора. Юрист нужен, если целей много, данные передаются подрядчикам и за границу, если компания уже получила запрос или предписание Роскомнадзора, или если нужно одновременно привести в порядок политику, согласия и уведомление.

Мы проведём аудит обработки данных, подготовим уведомление, политику и согласия и ответим на запросы Роскомнадзора. Подробнее о сопровождении по персональным данным → Если нужен подробный разбор с документами, запишитесь на онлайн-консультацию с партнёром.

Частые вопросы

Нужно ли ИП подавать уведомление в Роскомнадзор
Да, если ИП обрабатывает персональные данные с помощью компьютера или сервисов, например ведёт базу клиентов или принимает заявки на сайте. Без уведомления можно работать только при обработке исключительно на бумаге.

Какой штраф за неподачу уведомления в Роскомнадзор
По ч. 10 ст. 13.11 КоАП РФ компанию и ИП штрафуют на 100 000-300 000 ₽, гражданина на 5 000-10 000 ₽.

Сколько Роскомнадзор рассматривает уведомление об обработке персональных данных
Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления (ч. 4 ст. 22 Закона № 152-ФЗ). Плата не взимается.

Когда подавать уведомление об изменении сведений
Срок истекает 15-го числа месяца, который идёт за месяцем изменений (ч. 7 ст. 22 Закона № 152-ФЗ). Если сведения поменялись в марте, сообщите до 15 апреля.

Можно ли не подавать уведомление, если данные хранятся только на бумаге
Да. Обработка исключительно без средств автоматизации освобождает от уведомления (п. 8 ч. 2 ст. 22 Закона № 152-ФЗ). Но если хотя бы часть данных попадает в таблицу на компьютере, в почту или мессенджер, освобождение уже не действует, и уведомление придётся подать.

Нужно ли отдельное уведомление о передаче данных за границу
Да. Уведомление о трансграничной передаче подают отдельно от уведомления об обработке и до начала передачи (ч. 3 ст. 12 Закона № 152-ФЗ).

Правовая база

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3, ч. 3 ст. 12, ст. 22
• Федеральный закон от 14.07.2022 № 266-ФЗ
• Приказ Роскомнадзора от 28.10.2022 № 180 (формы уведомлений)
• Кодекс РФ об административных правонарушениях, ч. 2, 3, 10 ст. 13.11 и примечания к ней

Статья носит информационный характер и актуальна на дату обновления. Для решения вашей ситуации обратитесь к юристу.