Если вы собираете заявки на сайте, ведёте CRM-систему, принимаете резюме, делаете рассылки или просто храните контакты клиентов, с высокой вероятностью вы являетесь оператором персональных данных и обязаны уведомить Роскомнадзор о начале обработки․ В этой статье разберём, кто должен подавать уведомление, как его правильно составить, в какие сроки и какие штрафы грозят за нарушение․

Что такое уведомление об обработке персональных данных

Согласно статье 22 Федерального закона № 152-ФЗ «О персональных данных», оператор до начала обработки персональных данных обязан уведомить уполномоченный орган — Роскомнадзор, о своём намерении осуществлять такую обработку․ Это не разрешение и не лицензия, а именно уведомление: ведомство вносит сведения в реестр операторов персональных данных․

Проверить, внесена ли организация в реестр, можно на официальном сайте Роскомнадзора в разделе «Реестр операторов, осуществляющих обработку персональных данных»․

Кто обязан подавать уведомление

Уведомление подают практически все субъекты, которые систематически работают с персональными данными:

• юридические лица (ООО, АО и другие организационно-правовые формы);
• индивидуальные предприниматели;
• физические лица, осуществляющие предпринимательскую деятельность без образования юрлица;
• государственные и муниципальные органы․

Типичные ситуации, когда уведомление обязательно:

• сбор заявок и обратных звонков через формы на сайте;
• ведение базы клиентов в CRM;
• приём и хранение резюме соискателей;
• email- и SMS-рассылки;
• оформление сотрудников в штат (кадровый учёт);
• работа интернет-магазина с заказами покупателей;
• программы лояльности и дисконтные карты․

Когда уведомление подавать не нужно

Часть 2 статьи 22 закона № 152-ФЗ предусматривает исключения․ Уведомление не требуется, если обработка ведётся:

1. в целях исполнения трудового законодательства, только в отношении сотрудников (кадровый учёт);
2. в связи с участием субъекта в договоре, где он является стороной или выгодоприобретателем, при условии что данные не распространяются и не передаются третьим лицам без согласия;
3. в отношении общедоступных персональных данных;
4. только фамилии, имени и отчества субъекта;
5. для однократного пропуска субъекта на территорию оператора;
6. в автоматизированных системах, если данные получены в связи с оказанием услуг связи;
7. без использования средств автоматизации по правилам, обеспечивающим защиту данных․

Важно: на практике большинство компаний обрабатывают данные не только сотрудников, но и клиентов, поэтому освобождение от уведомления применимо редко․ Если есть сомнения — уведомление лучше подать․

Сроки подачи уведомления

Уведомление подаётся до начала обработки персональных данных․ На практике это означает: сначала регистрация в реестре, затем сбор данных клиентов․ Если обработка уже ведётся, а уведомление не подано, это нарушение, и подать документ следует как можно скорее․

Также оператор обязан сообщать об изменениях сведений (смена адреса, наименования, целей обработки) в течение 10 рабочих дней с момента изменения․

Какие сведения указываются в уведомлении

Форма уведомления утверждена приказом Роскомнадзора․ В документе указываются:

• наименование (ФИО) и адрес оператора;
• цели обработки персональных данных;
• категории персональных данных (ФИО, телефоны, адреса, паспортные данные и т․д․);
• категории субъектов, данные которых обрабатываются (клиенты, сотрудники, контрагенты);
• правовое основание обработки;
• перечень действий с данными (сбор, запись, хранение, передача, удаление и др․);
• способы обработки (автоматизированная, неавтоматизированная, смешанная);
• сведения об обеспечении безопасности данных;
• сроки обработки и хранения;
• сведения о трансграничной передаче данных (если есть);
• сведения об ответственном за организацию обработки ПДн;
• дата начала обработки․

Образец заявления (уведомления) в Роскомнадзор

Ниже приведён упрощённый пример структуры уведомления․ Официальную актуальную форму рекомендуется скачать на сайте Роскомнадзора или заполнить через личный кабинет․

УВЕДОМЛЕНИЕ об обработке (о намерении осуществлять обработку) персональных данных

Сведения об операторе:
Наименование: Общество с ограниченной ответственностью «Пример»
ИНН/ОГРН: ### / 1157700000000
Адрес: 123456, г․ Москва, ул․ Примерная, д․ 1, офис 10
Телефон, e-mail: +7 (495) 000-00-00, info@primer․ru

Цели обработки персональных данных:
— исполнение договоров с клиентами (оказание услуг, доставка товаров);
— исполнение требований трудового законодательства РФ;
— информирование клиентов об услугах (при наличии согласия)․

Категории субъектов персональных данных:
клиенты, физические лица; работники оператора; представители контрагентов․

Категории обрабатываемых персональных данных:
фамилия, имя, отчество; номер телефона; адрес электронной почты; адрес доставки; паспортные данные (работники); СНИЛС, ИНН (работники)․

Правовое основание обработки:
ст․ 6, 22 ФЗ № 152-ФЗ; согласие субъекта; договор; Трудовой кодекс РФ․

Перечень действий с персональными данными:
сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение․

Способ обработки: смешанная (с использованием средств автоматизации и без таковых)․

Сведения об обеспечении безопасности: назначен ответственный за организацию обработки ПДн; изданы локальные акты; применяются средства защиты информации; доступ ограничен․

Ответственный за организацию обработки ПДн:
Иванов Иван Иванович, директор по персоналу, тел․ +7 (495) 000-00-01․

Дата начала обработки: ․

Генеральный директор ООО «Пример» ____________ /Петров П․П․/
Дата, печать

Как подать уведомление: способы

1. Через личный кабинет оператора ПДн на сайте Роскомнадзора (pd․rkn;gov․ru) — самый быстрый и удобный способ․ Потребуется учётная запись (в т․ч․ через Госуслуги)․
2. Через портал Госуслуг — электронная подача с подтверждённой учётной записью․
3. Почтой России — заказным письмом с уведомлением о вручении в территориальный орган Роскомнадзора по месту регистрации оператора․
4. Лично — в территориальное управление Роскомнадзора (на копии ставится отметка о приёме)․

Госпошлина за подачу уведомления не взимается․

Частые ошибки при подаче

• указание неполного перечня категорий данных или субъектов;
• несоответствие целей обработки фактической деятельности;
• отсутствие сведений об ответственном за обработку ПДн;
• неуведомление об изменениях (смена адреса, руководителя, целей);
• подача уведомления уже после начала активного сбора данных;
• отсутствие на сайте политики обработки персональных данных — это отдельное нарушение, даже если уведомление подано․

Ответственность за неподачу уведомления

За неуведомление Роскомнадзора предусмотрена административная ответственность по статье 13․11 КоАП РФ․ Штрафы (с учётом актуальных изменений законодательства) могут составлять:

• для должностных лиц — предупреждение или штраф;
• для ИП и юридических лиц — штрафы в размере от десятков до сотен тысяч рублей, а при повторных и тяжких нарушениях, значительно выше;
• за утечку персональных данных предусмотрены оборотные штрафы для юридических лиц․

Кроме штрафов, Роскомнадзор вправе выдать предписание, ограничить доступ к сайту, а пострадавшие субъекты данных могут требовать компенсацию морального вреда․

Что ещё нужно сделать оператору помимо уведомления

1. Разработать и опубликовать политику обработки персональных данных (на сайте, в открытом доступе)․
2. Назначить ответственного за организацию обработки ПДн приказом․
3. Издать локальные акты: положение об обработке ПДн, перечень данных, регламент доступа․
4. Получать согласия субъектов там, где это требуется (рассылки, cookies, фото и т․п․)․
5. Обеспечить техническую защиту информационных систем․
6. Проводить внутренние проверки и обучать сотрудников․

Подача уведомления в Роскомнадзор — обязательный первый шаг для любого бизнеса, работающего с персональными данными клиентов и партнёров․ Процедура бесплатна и занимает немного времени, особенно при подаче через личный кабинет на сайте ведомства․ Используйте актуальную форму уведомления, внимательно указывайте цели и категории данных, не забывайте сообщать об изменениях — и вы избежите штрафов и претензий со стороны регулятора․

Обратите внимание: законодательство о персональных данных регулярно обновляется․ Перед подачей документов проверьте актуальную форму уведомления и требования на официальном сайте Роскомнадзора․