Как оператору по обработке персональных данных заполнить уведомление в Роскомнадзор и избежать штрафа
С 30 мая 2025 года повысятся штрафы за нарушение законодательства, связанного с обработкой персональных данных (ПД). Если не сообщить Роскомнадзору о намерении обрабатывать ПД, могут оштрафовать на сумму до 300 тысяч рублей (ч. 10 ст. 13.11 КоАП РФ). Поэтому самое время заполнить соответствующее уведомление на сайте ведомства, если вы не сделали этого раньше. В этой статье эксперты click.ru пошагово разбирают процесс его оформления и отправки.
Оглавление
Кто должен уведомлять Роскомнадзор об обработке ПД
Согласно закону о персональных данных (ФЗ №152), операторами по обработке ПД считаются организации и физлица (включая самозанятых и ИП), которые осуществляют сбор и обработку ПД граждан: сотрудников, клиентов, пользователей онлайн-сервисов и т. д.
Все операторы обязаны быть зарегистрированы в реестре Роскомнадзора. Для этого необходимо подать соответствующее уведомление (ч. 1 ст. 22 ФЗ №152). Оно должно быть направлено до того, как начнется фактическая обработка ПД.
Подать уведомление можно разными способами:
- заполнить форму на бумаге и передать в территориальный орган Роскомнадзора;
- заполнить цифровую форму на портале pd.rkn.gov.ru и подписать ее ЭЦП;
- заполнить цифровую форму на портале pd.rkn.gov.ru и подтвердить ее с помощью аутентификации на Госуслугах.
Кому можно не отправлять уведомление
Закон освобождает от необходимости подачи уведомления на включение в реестр тех, кто:
- обрабатывает ПД исключительно вручную, не задействуя никакие средства автоматизации (то есть информация не заносится в компьютер никаким образом);
- обрабатывает ПД для обеспечения транспортной безопасности;
- работает с ГИС (информационными системами), нацеленными на обеспечение безопасности.
Всем остальным, кто так или иначе собирает и использует персональные данные, нужно подать сведения для включения в реестр операторов ПД.
Как заполнить форму уведомления
Мы рассмотрим порядок отправки уведомления для физического лица через Госуслуги (ЕСИА). Если уведомление подает ИП, то нужно авторизоваться в ЕСИА как предприниматель. Если уведомление подает организация, учетная запись Госуслуг должна быть привязана к ней.
Чтобы отправить форму, зайдите на портал Роскомнадзора по ссылке и выберите подачу уведомления через Госуслуги.
Введите данные для авторизации в Госуслугах (телефон, почту, код из СМС). Подтвердите согласие на передачу персональных данных ЕИС Роскомнадзора. Выберите для авторизации подходящую роль. В нашем случае это физическое лицо.
После авторизации на экране появится форма уведомления. В первый блок нужно внести сведения об операторе обработки персональных данных. ФИО, реквизиты паспорта и СНИЛС, телефон, e-mail, регион обработки подгружаются из Госуслуг автоматически. Регион регистрации, адрес деятельности оператора и регион обработки персональных данных потребуется указать вручную.
Дальше идет большой блок с целями обработки персональных данных. Здесь выберите из выпадающего списка, для чего вы собираете и обрабатываете персональные данные. Например, если вы заключаете договоры, в которых содержатся ПД клиентов и партнеров, целью будет «Подготовка, заключение и исполнение договоров гражданско-правового характера с контрагентами»; если собираете данные о работниках — «Обеспечение соблюдения трудового законодательства» и т. д.
Затем отметьте галочками конкретные виды персональных данных для обработки (ФИО, даты рождения, телефоны, семейное положение и т. д.) и категории субъектов (работники, соискатели вакансий, клиенты и т. д.).
Далее отметьте правовые основания для обработки персональных данных, например согласие субъектов на обработку ПД. Ниже нужно проставить галочки напротив действий, которые будут осуществляться с собранными данными. В стандартный набор входят сбор, накопление, систематизация, уточнение (обновление, изменение), хранение, передача, использование, уничтожение информации.
Также нужно указать, как будет осуществляться обработка данных (вручную, автоматически, смешанным способом), будет ли полученная информация передаваться по интернету и внутренним сетям оператора.
Дальше опишите меры, которые будут использоваться для обеспечения защиты обрабатываемых персональных данных. Можно перечислить базовые меры, указанные в ст. 19 ФЗ №152, и/или указать свои. Также отметьте средства, используемые вами для обеспечения безопасности персональной информации, например:
- пароли и ключи;
- ЭЦП;
- уровни доступа работников к базе с персональными данными;
- обучение персонала безопасности при работе с ПД;
- наличие средств восстановления системы защиты ПД.
Затем укажите, будут ли использоваться для работы с персональными данными криптографические средства.
Заполните данные о физическом лице или компании, которые (по поручению или в рамках должностных обязанностей) отвечают за организацию обработки персональных данных.
Укажите сроки начала и сроки либо условия окончания сбора ПД. Отметьте, будет ли осуществляться трансграничная передача персональных данных (передача на территорию другого государства, в том числе использование инструментов и/или сервисов, локализованных не в РФ).
В следующем блоке формы нужно указать, какой центр обработки данных использует оператор (собственный или чужой) и где он находится.
Если к обрабатываемым ПД получают доступ третьи лица, обязательно заполните блок со сведениями о них: типом, адресом, контактной информацией.
Следующий блок включает перечень мер по обеспечению безопасности ПД в соответствии с требованиями законодательства к защите персональных данных. Эти меры можно найти в Постановлении Правительства РФ от 01.11.2012 N 1119.
В конце формы указываются ФИО, должность и контактная информация исполнителя. Нужно отметить галочками, что вы ознакомились с порядком передачи данных и согласны на обработку своих ПД. После этого данные в форме нужно еще раз проверить, если все заполнено корректно, нажать кнопку «Отправить».
Форму с данными можно загрузить на портал в виде черновика, чтобы в дальнейшем изменить или еще раз проверить перед отправкой. В этом случае обязательно сохраните ссылку на черновик, иначе часть информации из заполненных полей может удалиться, и придется вводить ее заново.
Сроки обработки уведомления
Официально Роскомнадзор может рассматривать отправленную форму до 30 рабочих дней. Если уведомление заполнено верно, то оператору присваивают регистрационный номер, данные о нем вносят в реестр. Проверить статус поданного уведомления можно здесь.
Можно ли внести в уведомление оператора ПД изменения
Это можно сделать только в том случае, если вас внесли в реестр операторов ПД и присвоили регистрационный номер. Изменения оформляются с помощью специального уведомления. Его статус отслеживается так же, как и статус основного уведомления на включение в реестр.
Что будет, если не заполнить уведомление для включения в реестр операторов ПД
Лицо или организация, которые планируют использовать (обрабатывать) ПД (а эта практически любая организация или лицо, которое ведет/будет вести хозяйственную/предпринимательскую деятельность), должны подать уведомление в Роскомнадзор до того, как фактически начнут собирать и обрабатывать персональные данные. Если этого не сделать, то контролирующие органы расценят это как нарушение законодательства о ПД. Если лицо или организация уже ведет деятельность и обрабатывает ПД, то подать уведомление в любом случае обязательно, при этом необходимо указать дату начала обработки, которая соответствует фактической дате начала обработки (чаще всего это дата регистрации юридического лица/дата начала деятельности).
С 30 мая 2025 года вступают в силу изменения, внесенные в КоАП РФ в части установления наказания за совершение правонарушений в области персональных данных. Придется платить штрафы, сумма которых выросла в разы. В том числе отдельно обозначены штрафы за невыполнение или несвоевременное выполнение оператором обязанности по подаче уведомления в следующих размерах:
- для физлиц — от 5 до 10 тысяч рублей;
- для должностных лиц НКО, муниципальных и государственных организаций — от 30 до 50 тысяч рублей;
- для юридических лиц (не являющихся НКО, муниципальными и государственными организациями) и ИП — от 100 до 300 тысяч рублей.
При этом невыполнение или несвоевременное выполнение оператором обязанности по уведомлению в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных влечет штрафы:
- для физлиц — от 50 до 100 тысяч рублей;
- для должностных лиц НКО, муниципальных и государственных организаций — от 400 до 800 тысяч рублей;
- для юридических лиц (не являющихся НКО, муниципальными и государственными организациями) и ИП — от 1 000 000 до 3 000 000 тысяч рублей.
Законодательство в области обработки персональных данных постоянно ужесточается, Роскомнадзор и другие контролирующие органы все тщательнее проверяют граждан и организации на предмет нарушения ФЗ №152 и других нормативно-правовых актов. Поэтому если вы намерены обрабатывать ПД или уже это делаете, не откладывайте на потом отправку уведомления в Роскомнадзор для включения в реестр операторов персональных данных. Также не забудьте привести в порядок все документы и политики в области персональных данных (как внутрикорпоративные, так и те, что расположены на сайте). Это позволит избежать крупного штрафа и других неприятных последствий.
