Оглавление
Почему важно уведомить Роскомнадзор
▶ Потому что, во-первых, отсутствие уведомления делает обработку персональных данных незаконной.
▶ А во-вторых (и для многих это главный аргумент), весной 2025 года штрафы за нарушения правил обработки персданных были увеличены в разы. Не уведомите РКН, ответственные лица заплатят до 50 тыс. рублей, а юрлица до 300 тыс. рублей.
Кто должен уведомить Роскомнадзор об обработке ПД
Это должен сделать каждый оператор персональных данных, если его деятельность не подпадает под одно из исключений, перечисленных в законе.
Оператор — это любой человек или организация, которые самостоятельно или совместно с другими организуют и осуществляют обработку персональных данных:
- юридические лица — ООО, АО, некоммерческие организации;
- индивидуальные предприниматели;
- самозанятые;
- физические лица — если нанимают няню или работников для ремонта квартиры.
На практике уведомление нужно подавать подавляющему большинству компаний и ИП, которые ведут базы клиентов (в CRM-системах, Excel); обрабатывают информацию на сайте (cookies, аналитик, данные в формах); используют данные для маркетинга; передают на аутсорсинг (бухгалтеру, call-центру, курьерской службе), нанимают сотрудников (в штат или по договорам ГПХ).
Если планируется передача данных за рубеж, то нужно будет подавать отдельное уведомление о трансграничной передаче данных с указанием стран (например, при использовании зарубежного хостинга или CRM-системы, чьи сервера находятся не в РФ).
Получив уведомление, РКН вносит организацию или ИП в реестр операторов ПД, и предприниматели получают право работать с данными без нарушения закона.
Когда не нужно уведомлять Роскомнадзор об обработке персональных данных
Случаи, когда можно работать без уведомления, закреплены в ст. 22 № 152-ФЗ, их всего три:
- обработка данных из определённых ГИС;
- цель обработки — обеспечение безопасности в транспортной сфере;
- данные фиксируются на бумаге.
Первые два относятся преимущественно к крупному бизнесу, и только последнее затрагивает малые и микропредприятия. Но если организация или ИП хотя бы один раз внесли в компьютер информацию о контрагентах или работниках, то всё, — по нормам № 152-ФЗ «О персональных данных» считается, что производится обработка ПД и они становятся операторами.
Как правильно заполнить уведомление в Роскомнадзор
Разберём пошагово процесс заполнения и подачи уведомления в Роскомнадзор.
Шаг 0: проверьте, нужно ли вообще подавать уведомление
Убедитесь, что ваше ООО или ИП не попадаете под исключения из ст. 22 № 152-ФЗ (обработка данных без средств автоматизации или включённых в определённые ГИС).
Если вы нанимаете сотрудников, у вас есть сайт с формой обратной связи, вы рассылаете коммерческие предложения, ведёте базу клиентов для рекламных целей или передаёте их данные хоть кому-то ещё (например, в курьерскую службу для доставки) — вы обязаны подать уведомление в Роскомнадзор.
Если не уверены, всё равно лучше подать, — лучше иметь уведомление без необходимости, чем необходимость без уведомления.
Шаг 1: подготовка необходимой информации и документов
Перед началом заполнения формы на сайте РКН, изучите её, она открывается в свободном доступе. Там не так много свободных форм для самостоятельного ввода данных, преимущественно требуется расставить галочки у нужных пунктов.
Стоит хорошо продумать, что именно указывать:
- сведения об операторе — указываете информацию так, как написано в выписке ЕГРЮЛ, адрес выбираете из предлагаемого системой;
- цели обработки — их может быть несколько: сначала заполняете все пункты в рамках одной цели, затем жмёте на кнопку «добавить цель» (цели предзаполнены и нужно только внимательно прочитать и выбрать подходящую);
- категории обрабатываемых ПД — для каждой цели выбираете свои категории, например, для взаимодействия с клиентами собирают телефон и адрес (для доставки), а для приёма сотрудников ФИО, паспортные данные, ИНН и СНИЛС;
- категории субъектов, чьи данные обрабатываются, — тут тоже нужно поставить галочки напротив нужных пунктов;
- правовое основание — здесь нужно выбрать из предложенного: ставьте галочки после внимательного прочтения и оценки применительно к бизнесу;
- действия с данными — также нужно выбрать из предложенного (простое закончилось, дальше начинается немного сложнее);
- способы обработки — под автоматизацией подразумевается использование компьютера, а неавтоматизированный способ подразумевает бумажные носители;
- описание мер, предусмотренных законом — недостаточно просто указать закон № 152-ФЗ (он только регулирует отношения, связанные с обработкой ПД), нужно указать, что конкретно вы собираетесь предпринимать: например, разработать политику обработки ПД, обеспечить учёт и сохранность носителей ПД, восстановление утерянных ПД и др.
- средства обеспечения безопасности — это электронная подпись (если есть), антивирус, сложные пароли и др. некоторые из них и есть шифровальные (криптографические) средства).
Рекомендуем не указывать «на всякие случай» много данных, которые впоследствии могут не понадобиться, так вы сократите риски нарушения требований законодательства. Если вдруг «случится страшное», то размер штрафа будет зависеть от того, сколько данные будет скомпрометировано.
Шаг 2: заполнение формы на официальном портале РКН
При заполнении уведомления на сайте РКН нет возможности сохранить черновик и вернуться к нему спустя некоторое время. Нужно проделать процедуру за один раз, поэтому и требуется предварительная подготовка со сбором данных.
Несмотря на подготовку, некоторые пункты могут вызвать затруднения при заполнении. Например, наши клиенты часто спрашивают, как указать данные о месте нахождении базы данных.
По сути, это адрес, где физически хранится информация: если в офисе, то указывать юрадрес, если используется облачный сервис или хостинг-провайдера, то адрес размещения серверов (легко найти в поисковиках).
Мы не оказываем услугу по заполнению уведомления в РКН, поэтому не можем заполнить его за вас.
Но всегда готовы помочь советом, например, рекомендуем ознакомиться с информацией РКН, которая поможет найти ответы на вопросы в ходе заполнения уведомления.
Шаг 3: способы подачи и получение регистрационного номера
Есть четыре варианта заполнить уведомление — два электронных, один наполовину электронный, а наполовину бумажный, а третий полностью бумажный.
▶ Первый подойдёт тем, у кого есть подтверждённый аккаунт на «Госуслугах». Если уведомление подаётся за юрлицо, то потребуется учётная запись, привязанная к аккаунту организации на портале «Госуслуг». Авторизация таким образом позволит заполнить электронную форму и сразу отправить её в ведомство.
▶ Если первый способ не подходит, то можно воспользоваться УКЭП. Это также позволит отправить уведомление, как говорится, «не отходя от кассы». А точнее, от компьютера.
▶ Можно отправить на бумаге «Почтой России» — заполнить форму на сайте РКН (она в свободном доступе), распечатать и отправить в территориальный орган. Отправляйте заказным письмом с описью вложения и уведомлением о вручении.
▶ Наконец, допускается взять форму уведомления (утверждена приказом РКН), заполнить её на компьютере или от руки, и также отправить «Почтой России» или занести лично, если отделение у вас в шаговой доступности. Только убедитесь, что вы взяли актуальную форму.
После успешного формирования уведомления вы получите сообщение, что уведомление передано в систему, а также номер и ключ, которые нужны для отслеживания статуса.
Если формировали бумажный документ, информацию пришлют на электронную почту.
Вся эта процедура не требует какого-то одобрения со стороны РКН — не нужно ждать «разрешения» или «подтверждения». Предприниматель просто информирует регулятора о своей деятельности, регистрация в реестре подтверждает факт этого уведомления.
Шаг 4: как проверить статус уведомления
Максимум через 30 дней удостоверьтесь, что компания или ИП внесены в реестр — столько дней отводится ведомству на внесение информации об операторе в реестр. Он расположен на официальном сайте РКН.
Обычно информацию вносят намного оперативнее. Рекомендуем также периодически проверять нахождение компании в реестре, тем более что это быстро и удобно.
Шаг 5: что делать после подачи
Помните об обязанности актуализировать сведения в реестре. Если какие-то данные изменились (например, сменился юридический адрес или вы добавили новую цель обработки), нужно в течение 10 рабочих дней подать в РКН изменения к уведомлению, заполнив информационное письмо (форму ищите на сайте РКН).
Также не забудьте уведомить РКН о прекращении обработки ПД, если решите закрыть бизнес. И затем проверить, что фирму действительно исключили.
Какие согласия нужны для подачи уведомления в РКН
У предпринимателей складывается ошибочное мнение, что придётся уведомлять РКН по каждому новому сотруднику или клиенту. А у клиентов и сотрудников — что они могут зайти на сайт Роскомнадзора и увидеть, какая компания занимается обработкой их данных.
Это не так, уведомление «одноразовое» и в нём не передаются сведения по работникам или клиентам. Поэтому никаких дополнительных согласий для подачи уведомления не требуется.
Предприниматель подаёт уведомление от своего имени как оператор, информируя ведомство, что начал обрабатывать такой-то вид персональных данных.
Однако, для соблюдения законодательства предприниматель должен получать согласие от субъектов данных на обработку их данных им самим. Простите за «масло масляное», просто хотели обратить ваше внимание, что предприниматель получает согласие от клиентов или работников на обработку уже после подачи в РКН уведомления о том, что он начинает такую обработку.
Процесс подачи уведомления технически прост и бесплатен. Основная работа — это подготовительная: разработка политики обработки ПД, определение целей, категорий данных и субъектов. Если вы сомневаетесь в формулировках, лучше проконсультироваться с юристом, чтобы избежать ошибок, которые могут привести к штрафам в будущем.
Вопросы и ответы
Конкретных сроков для подачи уведомления законодательством не установлено. Закреплено только, что оно должно быть подано до начала обработки ПД.
Т.е. уведомление нужно подать в промежутке после регистрации ИП или ООО и перед тем, как записать номер телефона первого клиента.
Если впоследствии будет принято решение принять на работу сотрудника, то перед этим уведомление нужно дополнить новой целью. Для этого заполняют информационное письмо, форма также есть на сайте РКН.
Лучше подать его с опозданием, чем не сделать этого вообще.
Роскомнадзор лояльно относится к малому и среднему бизнесу, который не успевает следить за изменениями законодательства, и не понимает, какие и куда нужно подавать уведомления.
Штрафа за нарушение сроков пока ещё никто не получил, но не факт, что не начнут штрафовать в ближайшем будущем.
Это самый популярный вопрос среди предпринимателей, которые торгуют на маркетплейсах, ищут клиентов на агрегаторах услуг и используют для работы сервисы записи клиентов. «Ведь я не получаю непосредственного доступа к данным клиентов, поэтому не должен подавать уведомление», — рассуждают они.
Однозначного ответа на этот вопрос нет — нужно найти и изучить политику обработки ПД каждого сайта. В ней будет ответ на вопрос, признаёт ли конкретный сервис предпринимателей операторами или нет. Если признаёт, то уведомление подавать необходимо.
Если хотите подать уведомление с первого раза, избежав всех ошибок, жмите сюда: мы написали отдельную статью с полным перечнем ошибок.
Здесь лишь отметим самые распространённые:
- поле «Адрес» — заполняют данными из ЕГРЮЛ, вне зависимости от того, в каком регионе ведётся деятельность;
- поле «Цель обработки ПД» — не забудьте, что юрлица осуществляют бухгалтерский и кадровый учёт (в рамках которого обрабатывают ПД работников), ИП представляют налоговую отчётность;
- поле «Категории субъектов» — не следует упомянуть юридические лица, т.к. у них персональных данных не бывает;
- в поле «Дата нала обработки ПД» — нужно указывать фактическое начало осуществления деятельности, т.е. дату регистрации ООО или ИП, ведь уже в то время вы оказывали услуги или продавали товары клиентам.
