Кому нужно уведомление, коротко
Закон о персональных данных (152-ФЗ, статья 22) требует: оператор до начала обработки уведомляет Роскомнадзор. Оператор здесь не только крупная компания. Это любой, кто собирает и хранит данные людей: имена, телефоны, почту, паспортные данные. Если ИП, ООО или самозанятый обрабатывает такие данные, он тоже оператор.
До 1 сентября 2022 года у закона был длинный список исключений: данные сотрудников, данные по договору с клиентом, общедоступные данные и другие. С 1 сентября 2022 года (закон № 266-ФЗ) пункты 1–6 части 2 статьи 22 утратили силу. Остались три узких случая:
- данные в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка;
- обработка исключительно без средств автоматизации;
- обработка по законодательству о транспортной безопасности.
Для обычного малого бизнеса важен второй пункт: бумажная картотека без компьютера. Если вы держите данные в таблице, 1С, CRM или принимаете заявки через форму на сайте, обработка автоматизирована, и исключение вам не подходит.
Ситуация → нужно ли уведомление
| Ситуация | Уведомление |
|---|---|
| Есть сотрудники, кадры и зарплата ведутся на компьютере или в программе | Нужно: исключение по трудовому законодательству отменено |
| На сайте есть форма заявки, регистрация или обратный звонок | Нужно |
| Клиенты (физлица) записаны в таблице, CRM или телефоне | Нужно: это автоматизированная обработка |
| Работаете только с организациями и не собираете данные людей | Не нужно, если персональных данных физлиц нет. Но ФИО и телефон представителя компании уже персональные данные |
| Только бумажные договоры и журнал, компьютер для этого не используется | Не нужно: обработка без средств автоматизации (на практике редкий случай) |
| Самозанятый, который хранит данные заказчиков в телефоне или программе | Нужно, если обработка автоматизирована: закон отдельных исключений для самозанятых не делает |
| Компания или ИП уже есть в реестре операторов | Заново подавать не надо, подают уведомление об изменениях |
| Обработку прекратили | Подают уведомление о прекращении |
Если ваш случай не похож ни на одну строку, лучше уточнить у специалиста, чем решать наугад.
Как подать уведомление
Подают через портал персональных данных pd.rkn.gov.ru, в разделе «Реестр операторов». Роскомнадзор называет три способа:
- В электронном виде с усиленной квалифицированной электронной подписью.
- В электронном виде через вход ЕСИА, то есть учётную запись Госуслуг.
- На бумаге. Адрес и порядок бумажной подачи смотрите на портале и сайте Роскомнадзора. Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180.
Есть три вида уведомлений: о начале обработки, об изменении сведений и о прекращении обработки. Подача бесплатная.
Что нужно заранее знать. Статья 22 перечисляет, что указывают в уведомлении:
- название (ФИО) и адрес оператора;
- цели обработки и, по каждой цели, категории данных, категории людей, правовое основание, перечень действий и способы обработки;
- меры защиты данных, в том числе сведения о шифровальных средствах, если они есть;
- ответственного за организацию обработки: ФИО, телефон, почтовый и электронный адрес;
- дату начала обработки и срок или условие её прекращения;
- есть ли трансграничная передача данных;
- где находится база данных с персональными данными граждан России.
На практике «цели» это, например, ведение кадрового и бухгалтерского учёта, исполнение договоров с клиентами, обработка заявок с сайта. Для каждой надо подобрать основание: трудовой договор, договор с клиентом, согласие.
После подачи Роскомнадзор в течение 30 дней вносит сведения в реестр. Это срок самого ведомства, а не ваш. Сведения реестра общедоступны, кроме данных о средствах обеспечения безопасности. Если сведения неполные или недостоверные, Роскомнадзор вправе потребовать их уточнить.
Сроки
- Первое уведомление: до начала обработки. Если вы уже обрабатываете данные, а уведомления нет, подайте его сейчас: срок формально уже нарушен, и чем дольше тянуть, тем дольше висит риск штрафа.
- Изменения: не позднее 15-го числа месяца, следующего за месяцем изменения. Сменили ответственного 12 марта: сообщить нужно до 15 апреля. Несколько изменений за месяц можно собрать в одно уведомление.
- Прекращение обработки: в течение 10 рабочих дней с даты прекращения.
Отдельно стоит трансграничная передача. Если данные уходят за границу, например на иностранный сервис рассылок или в облако за рубежом, нужно подать отдельное уведомление о намерении такой передачи (действует с 1 марта 2023 года). Для стран, не обеспечивающих адекватную защиту, Роскомнадзор указывает: до истечения 10 рабочих дней после подачи данные передавать нельзя. Перечень стран и исключения смотрите на странице раздела «Трансграничная передача» портала.
Как проверить, что вы в реестре
Откройте раздел «Реестр» на pd.rkn.gov.ru и найдите себя по названию или ИНН. Если запись есть, обязанность выполнена. Только что поданное уведомление проверяют в разделе «Проверка состояния уведомления»: нужны номер и ключ, которые вы получили при подаче. Сохраните их.
Штрафы
Неподача уведомления или подача с нарушением срока наказывается по части 10 статьи 13.11 КоАП (действует с 30 мая 2025 года, закон № 420-ФЗ от 30.11.2024). По примечанию к статье ИП отвечают как юридические лица:
| Кто | Штраф |
|---|---|
| ИП и организации | 100 000–300 000 ₽ |
| Должностные лица (по примечанию к статье это работники госорганов, муниципальных органов и некоммерческих организаций; директор коммерческой организации сюда не входит) | 30 000–50 000 ₽ |
| Граждане без статуса ИП, например самозанятые | 5 000–10 000 ₽ |
За неуведомление Роскомнадзора об утечке данных отвечает часть 11 той же статьи: для ИП и организаций от 1 до 3 млн ₽. Сами утечки наказываются по частям 12–14 в зависимости от числа затронутых людей и идентификаторов: для ИП и организаций от 3 до 5, от 5 до 10 и от 10 до 15 млн ₽. За повторное нарушение (часть 15) штраф для ИП и организаций составляет от 1 до 3% выручки, но не менее 20 млн и не более 500 млн ₽. Суммы в КоАП меняют часто, поэтому перед расчётами сверьтесь с действующей редакцией статьи 13.11.
Что ещё нужно, кроме уведомления
Уведомление не заменяет остальные документы. Обычно нужны политика обработки персональных данных, согласия людей там, где без них нельзя, и назначенный ответственный. Это отдельные задачи, здесь мы их не разбираем.
Типичные ошибки
- Считать, что сотрудников и договоров достаточно для освобождения. Эти исключения отменены с 1 сентября 2022 года.
- Путать срок. Для изменений срок не «15 рабочих дней», а 15-е число следующего месяца.
- Подать уведомление и забыть. Сменился ответственный, адрес, появился новый сервис или цель: нужно уведомление об изменениях.
- Не указать зарубежные сервисы. Рассылки, аналитика и облака часто передают данные за границу.
- Потерять номер и ключ уведомления. Без них не проверить статус онлайн.
- Подать, не зная, где лежат данные. Расположение базы с данными россиян указывают в уведомлении, поэтому ответ нужен заранее.
Подготовим и подадим уведомление, если оно нужно: соберём сведения, отправим и напомним об изменениях. Если сомневаетесь, нужно ли оно вам, оставьте заявку, и мы подскажем.
Про другие обязанности бизнеса, которые не связаны с налогами, читайте на странице что ещё нужно бизнесу, кроме налогов. Если вы только открываетесь, начните со статьи про открытие ИП. Для компаний есть материал про бухгалтерское обслуживание ООО.
