Подача уведомления об обработке персональных данных в Роскомнадзор

Компания может получать персональные данные в самых разных ситуациях: когда принимает заявку на сайте, оформляет сотрудника на работу, общается с клиентом или собирает анкеты соискателей. В таких случаях бизнесу важно определить, возникает ли у него статус оператора персональных данных и нужно ли сообщать об этом в Роскомнадзор.

Персональными данными считают сведения, по которым можно прямо или косвенно установить человека. Это могут быть имя и телефон, данные анкеты, информация из заявки, а в некоторых случаях — запись разговора.

В статье расскажем, кому необходимо подавать уведомление в Роскомнадзор, какие сведения подготовить перед заполнением формы и как отправить ее в ведомство. Также разберем ответственность за отсутствие уведомления, типичные ошибки и случаи, когда сообщать об обработке персональных данных не требуется.

• Кто должен подавать заявление в Роскомнадзор
• Что подготовить перед подачей уведомления
• Как подать уведомление в Роскомнадзор: пошаговая инструкция
• Штрафы за отсутствие регистрации и нарушения
• Частые ошибки при регистрации и как их избежать
• Нужно ли подавать уведомление до старта обработки
• Нужно ли уведомлять, если все данные обезличены
• Нужно ли уведомление, если происходит обработка только данных сотрудников и кандидатов

Сначала нужно определить, является ли компания или предприниматель оператором персональных данных. Именно на оператора возлагается обязанность уведомить Роскомнадзор.

Оператор — это тот, кто самостоятельно решает, зачем ему нужны персональные данные и как именно он будет их использовать. Поэтому сам по себе статус ООО, ИП или физического лица еще не определяет необходимость подачи уведомления.

Кто может быть оператором

В эту категорию попадают:

• организации — коммерческие компании, банки, НКО, образовательные учреждения и другие юридические лица
• индивидуальные предприниматели
• физические лица, если они работают с персональными данными не только для личных или семейных целей

Например, оператором будет предприниматель, который собирает заявки посетителей сайта, хранит клиентскую базу или использует CRM. Такой статус может возникнуть и у компании, которая принимает анкеты от кандидатов или устанавливает камеры, позволяющие идентифицировать людей.

При определении обязанности важно смотреть не столько на форму бизнеса, сколько на фактическую работу с персональными данными: какие сведения получает организация, для чего они ей нужны и что она с ними делает.

Когда уведомление Роскомнадзору не требуется

Закон предусматривает ситуации, в которых оператор может не направлять отдельное уведомление. В частности, это возможно, если данные:

• используются исключительно в рамках трудовых отношений и в соответствии с требованиями трудового законодательства
• необходимы для исполнения договора с человеком и после этого не используются для иных целей
• обрабатываются человеком исключительно для личных, семейных или бытовых задач
• обезличены таким образом, что установить конкретного человека по ним невозможно

Если деятельность не относится к перечисленным случаям, оператору необходимо проверить обязанность по направлению уведомления в Роскомнадзор.

До заполнения формы стоит разобраться, как именно компания или предприниматель работает с персональными данными. Это поможет не пропустить важные сведения и не указать в уведомлении то, чего на самом деле нет в бизнес-процессах.

Заранее подготовьте информацию:

• об операторе — название организации или ФИО предпринимателя, ИНН, ОГРН или ОГРНИП, адрес
• о целях обработки — для чего бизнесу нужны персональные данные
• о людях, чьи данные обрабатываются — например, клиентах, сотрудниках, кандидатах или посетителях сайта
• о составе данных — какие именно сведения собираются и используются
• о правовых основаниях — на каком основании компания получает право работать с персональными данными
• о способах обработки и хранения — где и каким образом используются сведения
• о передаче информации другим лицам — в том числе о случаях трансграничной передачи
• о мерах защиты — какие действия предпринимаются для безопасности персональных данных
• об ответственном за организацию обработки — кто в компании отвечает за это направление

Отдельно проверьте работу подрядчиков. Если сторонняя компания получает доступ к персональным данным, например через CRM, сервис рассылок или другую информационную систему, это также следует учитывать при подготовке сведений для уведомления.

Само заполнение формы не представляет особой сложности. Основная задача — указать сведения, которые действительно соответствуют работе компании с персональными данными.

Шаг 1. Определить, какие данные обрабатывает бизнес

Сначала составьте список процессов, в которых используются персональные данные. Например, это могут быть оформление сотрудника, прием заявок с сайта, работа с клиентской базой или хранение данных в CRM.

Для каждого процесса определите три вещи: чьи данные используются, какие именно сведения собираются и зачем они нужны. После этого проверьте, где эта информация хранится и кто получает к ней доступ.

Такой предварительный разбор поможет заполнить уведомление без пропусков и противоречий.

Шаг 2. Заполнить форму уведомления

Подать сведения можно в электронном виде или на бумаге.

Электронная форма доступна:

• на официальном портале Роскомнадзора
• через Госуслуги

Также уведомление можно оформить на бумажном носителе по установленной форме.

При электронной подаче часть информации система проверяет автоматически. Кроме того, такой способ позволяет сразу увидеть технические ошибки и не тратить время на отправку документов в бумажном виде.

Шаг 3. Направить уведомление в Роскомнадзор

После заполнения формы сведения нужно отправить в ведомство.

При электронной подаче используется квалифицированная электронная подпись либо подтвержденная учетная запись на Госуслугах — в зависимости от выбранного способа.

Если уведомление оформлено на бумаге, его направляют заказным письмом в территориальное управление Роскомнадзора по месту регистрации оператора.

Перед отправкой стоит еще раз сверить форму с реальными процессами компании: особенно цели обработки, категории данных и сведения о передаче информации другим организациям.

Шаг 4. Проверить, появилась ли запись в реестре

После рассмотрения уведомления сведения об операторе вносят в реестр операторов персональных данных.

Проверить результат можно самостоятельно на сайте Роскомнадзора. Для поиска достаточно указать, например, название организации или ИНН.

Если сведения о компании появились в реестре, это означает, что оператор зарегистрирован в установленном порядке.

Неподача уведомления в Роскомнадзор при наличии соответствующей обязанности является административным правонарушением. При этом для привлечения к ответственности не обязательно, чтобы произошла утечка информации или кому-либо был причинен ущерб.

Ответственность предусмотрена статьей 13.11 КоАП РФ. Она применяется не только при отсутствии уведомления. В статье также предусмотрена ответственность за другие нарушения законодательства о персональных данных — например, обработку не для заявленных целей, избыточный сбор информации, отсутствие законного основания или несоблюдение требований к защите и хранению данных.

Для Роскомнадзора наличие оператора в соответствующем реестре — один из базовых вопросов при проверке. Если организация или ИП фактически работает с персональными данными, но в реестре отсутствует, это может стать основанием для дальнейшего контроля. В ходе проверки могут обнаружиться и другие нарушения: например, проблемы с согласием на обработку данных или отсутствие необходимых локальных документов.

При этом небольшой масштаб бизнеса или отсутствие прибыли от обработки персональных данных сами по себе не освобождают от ответственности.

Размеры штрафов за неуведомление РКН

Конкретная сумма зависит от статуса нарушителя и характера нарушения. За неподачу уведомления об обработке персональных данных предусмотрены следующие штрафы:

• для физических лиц — от 5000 до 10 000 ₽
• для индивидуальных предпринимателей — от 100 000 до 300 000 ₽
• для должностных лиц — от 30 000 до 50 000 ₽
• для юридических лиц — от 100 000 до 300 000 ₽

Эти размеры относятся к ответственности за отсутствие уведомления либо существенные нарушения при его подаче, из-за которых документ не выполняет свою функцию.

При повторных нарушениях или утечке персональных данных возможны более серьезные санкции. В зависимости от обстоятельств действия оператора могут квалифицироваться по другим частям статьи 13.11 КоАП РФ.

Что делать, если срок пропущен

Если компания или предприниматель обнаружили, что уведомление не было направлено вовремя, откладывать подачу дальше не стоит. Уведомление можно направить и после начала обработки персональных данных, однако сам факт несоблюдения установленного срока уже является нарушением.

Поэтому оптимальный вариант — как можно быстрее привести ситуацию в соответствие с требованиями закона и подать необходимые сведения в Роскомнадзор.

После включения оператора в реестр продолжающееся нарушение прекращается. При этом сам факт того, что уведомление было подано позже установленного срока, не исчезает.

При оценке ситуации учитываются обстоятельства конкретного дела: продолжительность нарушения, его характер, наличие умысла и действия оператора, направленные на устранение проблемы. Если остальные требования законодательства выполнялись, отсутствие уведомления может рассматриваться отдельно от других нарушений.

Наибольшее количество проблем возникает не на этапе отправки формы, а при подготовке информации для нее. В уведомлении должны быть отражены реальные процессы работы с персональными данными. Если сведения в форме расходятся с тем, как компания фактически собирает, хранит или использует информацию, это может стать причиной претензий.

Разберем наиболее распространенные ошибки.

Неполные данные

Иногда уведомление заполняют слишком формально: указывают только общие сведения, не раскрывая, какие именно данные и для чего обрабатываются.

В результате из документа может быть непонятно:

• какие цели преследует оператор
• с какими категориями людей он работает
• какие персональные данные получает
• каким способом хранит и обрабатывает информацию
• какие меры принимает для ее защиты

Проблема часто возникает из-за желания заполнить форму как можно быстрее или использовать универсальный шаблон. Но сведения в уведомлении должны позволять понять реальную модель обработки персональных данных.

Чтобы снизить риск ошибок:

• описывайте процессы исходя из фактической деятельности компании
• сопоставляйте уведомление с локальными документами
• проверьте все каналы, через которые поступают персональные данные: сайт, кадровые процессы, договоры, учетные системы и другие источники

Чем точнее описана обработка, тем меньше вероятность, что сведения придется уточнять или исправлять.

Трансграничная передача

Отдельно необходимо проверить, используются ли при работе с персональными данными иностранные сервисы. Это особенно важно для почты, облачных платформ, аналитических инструментов и некоторых мессенджеров.

Трансграничная передача возможна не только тогда, когда сотрудник напрямую отправляет файл с персональными данными в другую страну. Значение имеет также использование IT-инфраструктуры, при котором данные или доступ к ним связаны с иностранной юрисдикцией.

Распространенные ошибки:

• пункт о трансграничной передаче вообще не заполняют
• указывают отсутствие такой передачи, хотя используются иностранные сервисы
• не перечисляют государства, в которые передаются данные
• не учитывают различия между странами с адекватным уровнем защиты прав субъектов персональных данных и другими государствами

Перед заполнением уведомления стоит провести ревизию используемых сервисов: определить, где находятся их серверы, кому принадлежат платформы и может ли осуществляться доступ к данным из-за границы.

Если такая передача действительно происходит, ее необходимо корректно отразить в уведомлении. Само наличие трансграничной передачи не означает нарушение — проблема возникает, когда оператор не указывает ее или предоставляет недостоверные сведения.

Да. В общем случае оператор должен направить уведомление в Роскомнадзор до того, как начнет обрабатывать персональные данные. Такое требование установлено статьей 22 Федерального закона № 152-ФЗ.

Технически отправить уведомление после начала работы возможно, однако это не отменяет нарушения установленного срока.

Если информация действительно обезличена и по ней нельзя определить человека ни напрямую, ни косвенно, обязанность подавать уведомление не возникает.

При этом одного удаления имени и фамилии недостаточно. Если после этого остаются уникальные идентификаторы или другие сведения, позволяющие установить конкретного человека, данные нельзя автоматически считать обезличенными.

Если организация работает только с персональными данными своих сотрудников и использует их в рамках трудовых отношений и требований трудового законодательства, уведомление не требуется. Такая обработка относится к предусмотренным законом исключениям.

С данными кандидатов ситуация зависит от целей их использования. Если сведения соискателей нужны исключительно для решения вопроса о трудоустройстве и не применяются для других задач, Роскомнадзор допускает возможность не подавать уведомление.

Если же компания использует данные кандидатов дополнительно — например, для формирования кадрового резерва или маркетинговых целей, — условия меняются и может возникнуть обязанность уведомить Роскомнадзор.