Как уведомить Роскомнадзор об обработке персональных данных

С начала мая 2025 года количество уведомлений, подаваемых в Роскомнадзор, резко возросло. Если ранее ведомство получало около тысячи таких документов в день, то к концу апреля цифра достигла 40 тысяч ежесуточно. Такой скачок связан с тем, что с 30 мая начинает действовать прямая административная ответственность за отсутствие уведомления.

Это значит, что если вы начали обрабатывать данные без уведомления — вас могут оштрафовать сразу, без предупреждений и проверок.

Как защитить себя от штрафов: рекомендации и решения

Хорошая новость: ещё не поздно исправить ситуацию и привести свою деятельность в соответствие с новыми правилами. Вот несколько шагов, которые помогут избежать проблем:

1. Подайте уведомление в Роскомнадзор

Если вы еще не сделали этого, необходимо подать уведомление о начале обработки персональных данных через официальный портал Роскомнадзора. Это можно сделать самостоятельно или при помощи юридического консультанта.

2. Проверьте сайт и сервисы

Многие предприниматели используют сторонние сервисы, такие как Google Analytics, Яндекс.Метрика, формы обратной связи и cookie-файлы. Эти инструменты тоже могут собирать персональные данные, поэтому важно проверить, соответствует ли ваш сайт новым требованиям.

Как подать уведомление?

Подать уведомление можно следующими способами:

- На бумаге — лично или через представителя;

- Через программы 1С (например, «1С:Бухгалтерия»);

- Через личный кабинет на портале Госуслуг;

- Через сайт Роскомнадзора — при наличии усиленной квалифицированной электронной подписи (УКЭП);

- Через сервис "152DOC для 1С" — удобный инструмент для автоматической подготовки и отправки уведомлений.

Выбирайте наиболее удобный способ, но главное — успеть подать документ до начала обработки персональных данных.

Роскомнадзор рассматривает уведомление в течение 30 дней и вносит данные в Реестр. При выявлении ошибок может быть запрошено уточнение. Несвоевременная или отсутствующая подача уведомления грозит административной ответственностью по статьям 19.7 или 13.11 КоАП РФ. Соблюдение порядка уведомления помогает избежать штрафов и обеспечивает соответствие требованиям законодательства в сфере защиты персональных данных.

После подачи важно периодически проверять, есть ли ваше уведомление в реестре операторов персональных данных на сайте Роскомнадзора. Если вы ранее подавали уведомление по старой форме, необходимо подать корректирующее уведомление в соответствии с новыми требованиями.

Как правильно заполнить уведомление?

При заполнении уведомления обязательно указываются:

- Адрес центра обработки данных (ЦОД) и организация, которая его предоставляет;

- Способы обработки персональных данных (хранение, передача, анализ и т. д.);

- Меры по обеспечению безопасности информации;

- Дата начала обработки персональных данных.

Не забудьте про внутренние документы

Каждая компания должна разработать и поддерживать в актуальном состоянии внутренние документы, регулирующие работу с персональными данными:

- Политика в отношении обработки персональных данных;

- Приказы о назначении ответственных лиц;

- Инструкции по защите информации;

- Журналы учёта и инцидентов.

Какой адрес ЦОД указать?

При подаче уведомления в Роскомнадзор наиболее безопасный вариант — указать только свой адрес как ЦОД, подтвердив, что хостинг используется как техническая площадка, а обработка начинается после извлечения данных. Ответственность за соблюдение закона всегда лежит на операторе, поэтому важно подготовить внутренние документы и минимизировать риски: использовать защищённые формы, не хранить ПД в почте и выбирать хостера, готового к сотрудничеству как оператора по поручению.

Кто обязан подавать уведомление в Роскомнадзор?

С 30 мая 2025 года все организации и ИП, которые собирают, хранят или используют персональные данные, обязаны подать уведомление в Роскомнадзор до начала такой деятельности. Это требование распространяется на большинство предпринимателей и компаний.

Вы обязаны подать уведомление, если:

1. Вы нанимаете сотрудников

2. У вас есть клиенты, покупатели, заказчики

3. Вы используете CRM-системы, сайты, мессенджеры

4. Вы являетесь интернет-магазином, селлером, самозанятым или фрилансером

5. Вы оказываете услуги: бухгалтерские, юридические, образовательные

6. Вы используете сторонние сервисы, собирающие данные

7. Вы проводите маркетинговые акции, конкурсы, рассылки

8. Вы владеете сайтом, где пользователи регистрируются или оставляют контактные данные

9. Вы взаимодействуете с государственными органами, предоставляя данные

10. Вы используете системы видеонаблюдения, учитывающие данные посетителей

Кто освобождается от обязанности подавать уведомление?

Некоторые виды деятельности освобождаются от обязанности подавать уведомление. Они либо не считаются операторами ПД, либо регулируются специальными нормами.

1. Обработка данных в государственных информационных системах

2. Ручная обработка данных без использования технических средств

3. Обработка данных в целях обеспечения транспортной безопасности

4. Обработка данных в рамках научной, литературной или журналистской деятельности

5. Обработка данных близкими родственниками или частными лицами

6. Организации, полностью передавшие обработку данных другому ОПД

Как определить, являетесь ли вы оператором персональных данных?

Задайте себе следующие вопросы:

- Собираете ли вы данные о людях (ФИО, телефон, email, адрес и т. д.)?

- Храните ли вы эти данные (в электронном виде или на бумаге)?

- Используете ли вы эти данные (для связи, рассылок, заключения договоров)?

- Передаёте ли вы данные третьим лицам (курьерам, партнёрам, сайтам)?

Если хотя бы один ответ «да» — вы, скорее всего, являетесь оператором персональных данных и обязаны подать уведомление в Роскомнадзор.

Итоги: будьте готовы к 30 мая

Новые правила работы с персональными данными затронут почти всех предпринимателей и компании. Несоблюдение требований может привести к крупным штрафам.

Чтобы избежать проблем:

- Подайте уведомление в Роскомнадзор;

- Проверьте актуальность уже поданных документов;

- Разработайте внутренние нормативные акты;

- Обеспечьте защиту персональных данных.

Не ждите проверок — начните подготовку уже сегодня. Подайте уведомление, разработайте документы, защитите данные и продолжайте работать легально.

Использование сервисов Google и других зарубежных сервисов для аналитики и сбора данных и закон о персданных

Установлено, что использование сервисов Google может повлечь нарушение положений Федерального закона № 152-ФЗ «О персональных данных», а именно:

- Нарушение требований о локализации персональных данных;

- Осуществление трансграничной передачи персональных данных без соблюдения установленных процедур.

В связи с тем, что корректное исполнение требований к локализации данных при использовании указанных сервисов затруднено либо невозможно, рекомендуется исключить использование сервисов Google, собирающих персональные данные, из инфраструктуры компании.

Обработка персональных данных клиентов контрагентов

Если организация имеет доступ к персональным данным клиентов своих заказчиков и использует их в целях отчетности, рекламных кампаний, аналитики, доработки продукта — необходимо заключить дополнительные соглашения между организацией и каждым из таких заказчиков, регулирующие вопросы обработки персональных данных.

Обработка входящих звонков по новым правилам

Входящие телефонные звонки, в случае, если они содержат персональные данные, подлежат фиксации и регулируются нормами законодательства о персональных данных.

При начале разговора абонент должен быть уведомлен о том, что продолжая разговор, он дает согласие на обработку персональных данных;