Уведомление в Роскомнадзор об обработке персональных данных: кому обязательно и как подать

Уведомление об обработке персональных данных — это заявление оператора о том, что он обрабатывает ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн)., которое включает его в реестр операторов Роскомнадзора. Это первый и самый дешёвый шаг комплаенса: он ничего не стоит, подаётся через электронную форму, а его отсутствие — одно из самых частых и легко выявляемых нарушений. После изменений 2022 года круг тех, кто обязан уведомлять, резко расширился. Разберём, кому это нужно и как подать.

Что это и зачем

Обязанность уведомить Роскомнадзор об обработке ПДн установлена статьёй 22 152-ФЗ. На основании уведомления оператора вносят в общедоступный реестр. Именно по этому реестру (поиск по ИНН) проще всего проверить, подал оператор уведомление или нет, — что и делает автоматизированный мониторинг РКНРоскомнадзор — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций; надзор за обработкой ПДн..

Кому обязательно

Практически любому оператору, который обрабатывает персональные данные: клиентов, посетителей сайта, контрагентов-физлиц и собственных работников. Это касается и организаций, и индивидуальных предпринимателей. Ключевое изменение: раньше можно было не уведомлять, если данные обрабатываются в рамках трудовых отношений (то есть о работниках), — после поправок 2022 года это исключение убрали, и теперь уведомлять нужно, даже если вы обрабатываете только данные сотрудников.

Когда уведомление не нужно

До 1 сентября 2022 года исключений было много (обработка данных работников, только ФИО, разовый пропуск, общедоступные данные и другие), но поправками 266-ФЗ пункты 1-6 части 2 статьи 22 отменены. В актуальной редакции исключений осталось мало. Уведомление можно не подавать, в частности, если данные:

• обрабатываются без использования средств автоматизации (только на бумаге);
• включены в государственные информационные системы ПДн, созданные для защиты безопасности государства и общественного порядка;
• обрабатываются в случаях, предусмотренных законодательством о транспортной безопасности.

Прежних послаблений — про данные работников, только ФИО, пропускной режим или общедоступные данные — больше нет. На практике почти любая компания обрабатывает данные в программах (клиенты, зарплата, кадры), поэтому уведомление сегодня обязательно практически для всех. Если сомневаетесь, нужно ли вам вообще регистрироваться оператором, — разбор в статье «Нужно ли ИП и компании регистрироваться оператором ПДн».

Как подать: бесплатно, через форму

Уведомление подаётся бесплатно, тремя способами на выбор:

• Через портал Роскомнадзора — электронная форма на сайте РКН: заполняете поля и отправляете (можно с электронной подписью).
• Через Госуслуги — если доступна соответствующая услуга для вашего типа оператора.
• На бумаге — заполненная форма почтой в территориальный орган Роскомнадзора.

Что указать в уведомлении

• наименование (ФИО для ИП), адрес и реквизиты оператора;
• цель обработки персональных данных;
• правовое основание обработки;
• категории данных и категории субъектов;
• перечень действий с данными и общее описание способов обработки;
• принимаемые меры по защите данных и сведения об ответственном за организацию обработки;
• сведения о трансграничной передаче и о месте нахождения баз данных (локализация в России);
• дату начала обработки и срок или условие её прекращения.

Состав уведомления опирается на ваши внутренние документы, прежде всего на политику обработки ПДн, поэтому удобно готовить их вместе.

После подачи

Оператора вносят в реестр. Если сведения меняются (новые цели, категории данных, ответственный, переезд баз), нужно подать информацию об изменениях. При прекращении обработки — уведомить об этом.

Штраф за неподачу

За неисполнение или несвоевременное исполнение обязанности уведомить установлена административная ответственность по части 10 статьи 13.11 КоАП РФ: для юридических лиц штраф от 100 000 до 300 000 рублей (ИП по примечанию к статье отвечают как юридические лица). Отдельно отметим: неполные или недостоверные сведения — это не тот же состав; их Роскомнадзор вправе потребовать уточнить до внесения в реестр (часть 6 статьи 22 152-ФЗ). Учитывая, что само уведомление бесплатно, это нарушение из категории обидных — его легко не допустить.

Типичные ошибки

• «У нас только сотрудники». Считают, что обработка зарплаты и кадров не требует уведомления, — после 2022 года требует.
• Подали и забыли. Изменились цели или категории данных, а сведения в реестре не обновили.
• Указали не всё. Забыли про трансграничную передачу или место хранения баз — это недостоверные сведения.
• Откладывают. Тянут с подачей до претензии РКН, хотя уведомление бесплатно.

Главное

Уведомление об обработке ПДн обязательно почти для всех операторов, включая ИП и работодателей, обрабатывающих данные сотрудников; оставшиеся исключения статьи 22 узкие. Подать его можно бесплатно через сайт Роскомнадзора или Госуслуги, а за неподачу грозит штраф до 300 000 рублей по части 10 статьи 13.11 КоАП РФ. Это самый дешёвый шаг к соответствию, и затягивать с ним нет смысла.