Уведомление в Роскомнадзор об обработке персональных данных: кто обязан подать и как

Уведомление об обработке персональных данных — самая простая обязанность оператора по 152-ФЗ и одновременно самое массовое нарушение: тысячи организаций либо не подавали его вовсе, либо подали много лет назад и ни разу не обновляли. При этом проверить любую компанию по реестру операторов может кто угодно за минуту, а штраф за неподачу достигает 300 тысяч рублей. Разбираем, кто обязан подать уведомление, как это сделать пошагово и какие ошибки встречаются чаще всего.

Кто обязан подать уведомление

По общему правилу — все операторы персональных данных, то есть практически каждая организация и каждый ИП: если у вас есть сотрудники, клиенты-физлица или форма заявки на сайте, вы оператор. Уведомление подаётся до начала обработки персональных данных.

После изменений с 1 сентября 2022 года перечень исключений радикально сокращён — уведомляется любая обработка, кроме случаев, прямо названных в части 2 статьи 22 Закона № 152-ФЗ:

1. обработка персональных данных в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка;
2. обработка исключительно без использования средств автоматизации — то есть только на бумаге, без компьютеров вообще;
3. обработка в случаях, предусмотренных законодательством о транспортной безопасности.

Прежние популярные основания «не подавать» — обработка только данных своих работников, обработка в рамках договора с субъектом — отменены. Для клиники, стоматологии, диагностического центра или обычной коммерческой организации эти исключения, как правило, не применимы: сайт, CRM, МИС, 1С, электронная почта, облачные сервисы и мессенджеры означают, что обработка не является исключительно неавтоматизированной. Практический вывод: если ваша организация когда-то решила, что ей уведомление не нужно, это решение почти наверняка устарело.

Как проверить, есть ли вы в реестре

На сайте Роскомнадзора работает открытый реестр операторов персональных данных с поиском по ИНН. Проверка занимает минуту. Возможны три результата:

• организации нет в реестре — уведомление нужно подать как можно скорее;
• организация есть, но сведения устарели — старый адрес, не все цели обработки, не указаны текущие информационные системы: нужно подать информационное письмо о внесении изменений;
• организация есть и сведения актуальны — редкий случай; убедитесь, что при следующих изменениях (переезд, новая CRM, новые виды деятельности) реестр обновят.

Штрафы

Нарушение	Штраф
Уведомление не подано	организации — 100–300 тыс. ₽, должностному лицу — 30–50 тыс. ₽
Не сообщили об изменениях сведений в срок	организации — до 100 тыс. ₽

Это нарушение, которое инспектор видит без выезда и запроса документов — простой сверкой ИНН с реестром. Поэтому именно с него обычно начинается список претензий при любой проверке и именно его дешевле всего закрыть заранее.

Как подать уведомление: пошагово

Шаг 1. Инвентаризация. Прежде чем заполнять форму, соберите фактуру: какие категории данных обрабатываете (клиенты, сотрудники, соискатели), с какими целями, в каких информационных системах (CRM, 1С, сайт, МИС), где физически хранятся данные, есть ли передача третьим лицам и трансграничная передача.

Шаг 2. Назначьте ответственного. В уведомлении указываются сведения об ответственном за организацию обработки персональных данных — приказ о его назначении должен существовать до подачи.

Шаг 3. Заполните форму. Подать уведомление можно в электронном виде: через портал Госуслуг (потребуется подтверждённая учётная запись организации) или через форму на сайте Роскомнадзора с последующим подтверждением. Электронная подача через Госуслуги с УКЭП — самый быстрый вариант, без досылки бумаг.

Шаг 4. Дождитесь включения в реестр и сохраните подтверждение. Проверьте карточку организации в реестре: как записаны цели, категории, системы.

Шаг 5. Поддерживайте актуальность. Об изменениях сведений (новые цели, системы, адрес, смена ответственного) закон требует сообщать в Роскомнадзор в установленный срок — заведите правило пересматривать карточку реестра раз в год и при любых организационных изменениях.

Частые ошибки при заполнении

1. Цели обработки переписаны из устава, а не из реальных процессов. Цель — это «оформление трудовых отношений», «заключение и исполнение договоров с клиентами», «продвижение услуг», а не «извлечение прибыли».
2. Указаны не все категории субъектов. Классика: указали клиентов, забыли соискателей, чьи резюме лежат в почте годами.
3. Не указаны реальные информационные системы. В уведомлении «1С», а на деле ещё CRM, сервис рассылок и облачное хранилище.
4. Несоответствие уведомления и политики. Инспектор сверяет три вещи: уведомление в реестре, политику на сайте и реальные процессы. Расхождения между ними — готовый пункт акта проверки.
5. Подача «для галочки» без документов. Уведомление — верхушка комплекта: если по запросу инспектора за ним не обнаруживается политики, приказов и согласий, подача сама по себе от штрафов не защитит.

Частые вопросы

Мы ИП без сотрудников, работаем с физлицами. Нам подавать? Да: клиенты-физлица делают вас оператором, а исключения, позволяющие не уведомлять РКН, к типовой работе через сайт и CRM не применяются.

Уведомление подали в 2015 году. Этого достаточно? Проверьте карточку в реестре. За десять лет у организации почти наверняка поменялись системы, цели или адрес — устаревшие сведения приравниваются к несообщению об изменениях и штрафуются.

Сколько это стоит, если заказать? Подготовка и подача уведомления — одна из самых недорогих услуг по 152-ФЗ; дороже обходится то, что должно стоять за уведомлением: комплект документов и настройка процессов. Разумный путь — делать это одним проектом.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 22.
• Портал персональных данных Роскомнадзора (pd.rkn.gov.ru): порядок подачи уведомления и исключения по части 2 статьи 22 Закона № 152-ФЗ.
• Статья 13.11 КоАП РФ в действующей редакции.

Материал носит информационный характер и не является юридической консультацией. ООО «ИнфоКод» — лицензии ФСТЭК и ФСБ России.