Как правильно заполнить уведомление в Роскомнадзор

Любое использование персональных данных (ПД) считается их обработкой. Этот процесс регулируется Федеральным законом №152-ФЗ. Поэтому еще перед началом сбора такой информации необходимо направить соответствующее уведомление в Роскомнадзор (РКН).

Невыполнение этого требования влечет проверку РКН и штраф, который с мая 2025 года значительно увеличен. При этом не важны ни статус оператора ПД, ни количество персональной информации: стать нарушителем может даже самозанятый, обрабатывающий всего одну фамилию.

В этой статье рассмотрим, как правильно составить уведомление в РКН и избежать типичных ошибок.

Уведомление в РКН: кому и для чего оно необходимо

Любое юридическое лицо, индивидуальный предприниматель или самозанятый, которые собирают и обрабатывают персональные данные третьих лиц, автоматически попадают под действие Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».

Закон обязывает направить уведомление в Роскомнадзор еще до начала сбора и обработки персональных данных. Тогда компанию, ИП или самозанятого внесут в реестр операторов персональных данных (ОПД). Это позволит не только исполнить требование закона, но и легализовать дальнейшее накопление информации о третьих лицах. К таким данным могут относиться:

1. фамилия, имя, отчество;
2. электронная почта, телефон;
3. место работы, жительства.

При этом неважно, чьи персональные данные обрабатываются и в каком объеме. Это могут быть:

1. сотрудники и соискатели на вакантные должности;
2. контрагенты, подрядчики;
3. клиенты;
4. разовые посетители;
5. любые лица, которые предоставили о себе информацию.

Почему регистрация в реестре ОПД — это выгодно

Статус оператора персональных данных не накладывает на компанию дополнительных обязанностей и не приводит к повышенному вниманию контролирующих органов. При этом подача уведомления в РКН дает множество преимуществ, особенно важных для предпринимательской деятельности. Рассмотрим основные плюсы:

1. Репутация. Присвоение официального статуса оператора ПД формирует репутацию ответственного и надежного партнера, так как информацию можно легко проверить в реестре ОПД.
2. Доступ к контрактам. Большая часть конкурсных процедур (торгов, аукционов, тендеров) доступна только участникам со статусом ОПД.
3. Трансграничная передача. Компания получает возможность легально передавать сведения о физлицах иностранным получателям за рубеж, что невозможно без уведомления РКН.

Что грозит за неисполнение закона о персональных данных

Любой субъект, обрабатывающий персональные данные – будь то организация, ИП, самозанятый или даже физическое лицо – рискует быть проверенным Роскомнадзором. За несоблюдение 152-ФЗ «О персональных данных» предусмотрена административная ответственность в виде штрафов:

1. Для граждан: от 5 000 до 10 000 рублей.
2. Для должностных лиц : от 30 000 до 50 000 рублей.
3. Для организаций: от 100 000 до 300 000 рублей.

Как заполнить уведомление в Роскомнадзор

Существует два основных подхода к заполнению и подаче уведомления в РКН: самостоятельный и с привлечением специалистов. Сначала рассмотрим первый способ.

Выбор типа уведомления: первичное или корректирующее

Уведомление подается в РКН только один раз. При первом обращении оно будет первичным. Если же вы обновляете данные, то подается корректирующее уведомление. В этом случае необходимо нажать кнопку «Заполнить уведомление данными из ранее составленного письма», и вся информация будет загружена автоматически.

Сведения об операторе

В данном разделе заполняются поля: «наименование организации/ФИО», «ИП», «ИНН», «адрес» и другие. Важные рекомендации:

1. При выборе региона указывайте фактическое местонахождение.
2. Адрес электронной почты обязателен и служит для связи по всем вопросам.
3. В поле «Регион обработки» укажите территорию работы с персональными данными: это может быть один субъект РФ, несколько или вся Российская Федерация.

Цель обработки ПД

Компании используют персональные данные в разных целях, которые часто совпадают. Например, ведение кадрового и бухгалтерского учета, обеспечение пропускного режима на предприятие, оформление и исполнение заказов на товары, связь с компанией через форму обратной связи и многое другое.

Справочник Роскомнадзора предлагает более 30 стандартных целей, из которых можно выбрать подходящие или внести свою формулировку. Важно: в одно поле вносится только одна цель, не несколько через запятую, во избежание ошибки.

Далее под каждой целью необходимо указать именно то сведение о физлице, которое будет использоваться для обработки. Например: ФИО, пол, место жительства, семейное положение, гражданство, СНИЛС, ИНН, номер телефона и пр.

Сведения о местонахождении БД, которые содержат данные пользователей

Персональные данные обычно хранятся в базах, размещенных на серверах и сетевом оборудовании для обработки и распространения — дата-центрах или центрах обработки данных (ЦОД). Поэтому при заполнении уведомления в РКН необходимо указать их точный адрес: страна, город, улица, дом, номер офиса или квартиры.

Если у компании нет собственного ЦОД и она использует арендованное хранилище (например, «Яндекс.Диск»), следует указать данные провайдера облачного сервиса: его наименование, ИНН, ОГРН и адрес.

Сведения о лицах, которые имеют доступ к ПД

Независимо от количества сотрудников, обрабатывающих персональные данные, внутренним приказом утверждается конкретный специалист, который будет нести ответственность за эту деятельность перед проверяющими органами. Именно его ФИО надо указать в этом поле.

Для выполнения этой работы также возможно привлечение сторонней организации (аутсорсинг). Тогда в уведомлении указывается наименование этого юридического лица.

Сведения о защите персональных данных

Этот раздел является очень важным, поскольку в нем необходимо указать конкретные меры по защите персональных данных. Их полный перечень представлен в статьях 18.1 и 19 Федерального закона №152-ФЗ. К этим мерам относятся:

1. Разработка политики обработки ПД, например выпуск локальных актов.
2. Применение правовых, организационных и технических мер. Это включает ограниченный доступ к базам данных, использование индивидуальных паролей сотрудниками бухгалтерии или отдела кадров, межсетевых экранов, антивирусов, систем предотвращения утечек, а также криптографических решений для шифрования.
3. Проведение внутреннего аудита.
4. Ознакомление сотрудников компании с положениями законодательства и ответственностью.
5. Публикация политики обработки ПД на сайте компании.

При заполнении этой информации важно указывать только достоверные сведения, поскольку они могут быть проверены Роскомнадзором в любой момент.

Даты по началу и окончанию действия обработки персональных данных

В этом поле рекомендуется заполнять дату регистрации компании или ИП, даже если она произошла год назад. Подавать уведомление в РКН оптимально одновременно с реальным началом деятельности. В качестве причины окончания обработки персональных данных можно выбрать: ликвидация юридического лица или окончание регистрации ИП.

Подача уведомления в РКН

Теперь рассмотрим пошаговый порядок действий при самостоятельной подаче уведомления в Роскомнадзор:

1. Изучите форму уведомления, подготовьте всю необходимую информацию и документы согласно требованиям.
2. Выберите один из трех способов подачи уведомления:
   — Электронно: через официальный сайт Роскомнадзора.
   — Через Госуслуги: при наличии подтвержденной учетной записи.
   — В бумажном виде: документы подаются в РКН лично или направляются по почте.
3. Если уведомление подается на сайте РКН, его нужно подписать усиленной электронной подписью.
4. После отправки электронного письма сервис пришлет вам номер и ключ документа, которые потребуются для внесения последующих изменений в сведения.
5. Роскомнадзор рассматривает обращение в течение 30 календарных дней. По истечении этого срока информация об операторе вносится в реестр персональных данных.
6. Через 30 дней рекомендуется проверить свой статус в публичном реестре операторов ПД на сайте Роскомнадзора. Для поиска нужно ввести данные по одному из следующих пунктов:
7. ИНН организации или ИП (рекомендуется);
8. Полное или сокращённое наименование;
9. Регистрационный номер уведомления;
10. ФИО (для физлиц и самозанятых).

Как уже было отмечено, уведомление в Роскомнадзор можно подать и с помощью специалистов. Подготовка документов в соответствии с 152-ФЗ «под ключ» и включение компании в государственный реестр операторов персональных данных — одна из услуг патентного бюро «Ezybrand».

Мы проведем правовой аудит сайта, информационных и бизнес-процессов, разработаем необходимые документы, подготовим уведомление в Роскомнадзор, окажем профессиональную консультацию и поддержку по вопросам обработки персональных данных.

Основные ошибки при оформлении и подаче уведомления в РКН

Предприниматели часто допускают ошибки при заполнении уведомления в РКН. Их последствием может стать отказ в предоставлении услуги, либо проверка со стороны РКН и штраф. Обратите особое внимание на следующие пункты:

1. Цели. Их необходимо указывать в строгом соответствии с видом предпринимательской деятельности. Например, при онлайн-продажах целями будут: «Подготовка, заключение и исполнение гражданско-правового договора» и «Продвижение товаров, работ, услуг на рынке». Если вы укажите только одну из них, РКН может расценить это как некорректную информацию.

   Роскомнадзор легко проверяет соответствие целей, анализируя ваш сайт или ОКВЭДы (Общероссийский классификатор видов экономической деятельности), указанные при регистрации бизнеса.

   Некорректное заполнение целей обработки персональных данных влечет штраф до 100 тысяч рублей согласно ч.1 ст.13.11 КоАП РФ.

2. Избыточные сведения. Слишком обширный сбор персональных данных нежелателен. Например, если для цели «Обеспечение соблюдения законодательства РФ в сфере образования» при онлайн-обучении будут указаны такие категории ПД, как ФИО, место жительства, телефон, почту, СНИЛС, ИНН, водительское удостоверение, специалисты Роскомнадзора могут расценить это как избыточный сбор персональной информации. Данное нарушение влечет штраф по ч.1 ст.13.11 КоАП РФ. Поэтому необходимо указывать только те данные, которые вы имеете право запрашивать в рамках законодательства.
3. Обобщенность сведений. Формулировки целей обработки должны быть предельно понятными и конкретными. Обобщенная цель типа «Охрана объекта» является некорректной и может привести к штрафу по ч.1 ст.13.11 КоАП РФ. Правильные примеры: «Выдача пропусков на предприятиях с пропускным режимом» и «Обеспечение безопасности труда и охраны здоровья сотрудников».
4. Перечень субъектов. Компания может собирать персональные данные не только своих сотрудников, но и контрагентов, клиентов и других лиц. В уведомлении необходимо указать все категории субъектов, чьи данные обрабатываются, иначе возможен штраф.
5. Расхождение информации. Несоответствие реальных документов компании и информации в уведомлении – одна из самых распространенных ошибок. Например, при обращении в РКН вы указали, что утвердили места хранения материальных носителей персональных данных согласно приказу. Если он не опубликован на сайте, то это может считаться расхождением. Если таких расхождений будет более трех, РКН вправе назначить контрольную проверку.
6. Личные контакты. В уведомлении важно указывать только рабочие телефоны и адреса сотрудников, ответственных за сбор, хранение и обработку персональных данных. Это конфиденциальная информация, и оператор не имеет права ее обнародовать.

Также важно следить за тем, чтобы рабочие адреса и телефоны были актуальными. Например, РКН может направить вам предписание, а вы о нем даже не узнаете. Неисполненное предписание влечет за собой штраф.

Резюмируем

Штрафы за несоблюдение 152-ФЗ «О персональных данных» могут достигать 300 000 рублей. Поэтому еще до начала обработки персональной информации необходимо направить соответствующее уведомление в Роскомнадзор. Важно следовать правилам и рекомендациям по заполнению документа. Это позволит избежать претензий со стороны ведомства и проверок компании.

Лучшим решением будет доверить эту работу нашим специалистам. Они проведут подробный аудит бизнес-процессов и на основе результатов разработают документы, необходимые для РКН. Это гарантирует включение компании в реестр операторов персональных данных.