Кому необходимо направить уведомления в РКН.
Уведомление о начале или осуществлении обработки персональных данных.
Уведомление об осуществлении трансграничной передачи ПД.
Что нужно сделать, если у компании есть сайт.
Почему следует поторопиться.
Всем владельцам интернет-магазинов, которые обрабатывают персональные данные, напоминаем: до 30 мая необходимо направить в Роскомнадзор, уведомления, предусмотренные 152-ФЗ «О персональных данных». Это требование затрагивает юридических лиц, индивидуальных предпринимателей и физических лиц (самозанятых), которые собирают и обрабатывают персональные данные следующих категорий:
- сотрудников и претендентов на работу;
- контрагентов;
- членов общественных и религиозных организаций;
- посетителей для разового пропуска на территорию компании;
- ФИО любого лица, полученное компанией (ИП, частным лицом).
Важно учесть, что оператор персональных данных обязан уведомить Роскомнадзор о своем намерении заниматься этой деятельностью ещё до того, как непосредственно приступить к обработке. Это дает основание для внесения подателя уведомления в реестр операторов персональных данных (ОПД), то есть легализации его дальнейшей работы.
Поясним некоторые нюансы. Юридическое или физическое лицо, обрабатывающее персональные данные, обязано подать уведомление даже если:
- оно не работает непосредственно с Роскомнадзором;
- есть только один сотрудник или клиент, чьи данные обрабатываются;
- компания сдает в аренду программы, облачные хранилища и другие места хранения ПД.
Подавая уведомление, ОПД не только выполняет закон, но и демонстрирует свои действующим и потенциальным клиентам, что их персональные данные защищены.
Тех, кто не сделал этого до сих пор и не поторопится сделать в ближайшие дни, ждут неприятные для бюджета последствия: с 30 мая штраф за неисполнение данного требования возрастёт, как и ряд других штрафных санкций. За непредставление или несвоевременную подачу уведомлений и, соответственно, отсутствие регистрации в Роскомнадзоре, штрафы составят:
- для граждан – от 5 000 до 10 000 рублей;
- для должностных лиц – от 30 000 до 50 000 рублей;
- для организаций – от 100 000 до 300 000 рублей.
Ещё более высокие штрафы могут быть назначены за другие возможные нарушения, о которых мы расскажем ниже.
Напомним, какие именно документы руководителям организаций, ИП и самозанятым надо направить в РКН и как это осуществить на практике.
Перед тем, как уведомить РКН о данной деятельности необходимо назначить ответственного сотрудника за работу с персональными данными и подготовить ряд локальных нормативных документов:
- политика обработки персональных данных;
- политика конфиденциальности;
- согласие на обработку ПД;
- акт на уничтожение персональных данных.
Этот перечень должен содержаться в уведомлении в РКН. Впоследствии Вы будете знакомить с ним клиентов.
Зайдите на сайте Роскомнадзор в Реестр операторов персональных данных и проверьте, подавалось ли уведомление ранее. Если да, следует убедиться в корректности и актуальности информации. Если документ был направлен до 26 декабря 2022 года, его следует обновить, поскольку сейчас используются новые формы уведомлений.
Вы можете использовать один из трех вариантов заполнения и отправки уведомления:
- непосредственно на сайте Роскомнадзора, если у вас есть усиленная квалифицированная электронная подпись;
- в личном кабинете не портале Госуслуг при наличии подтвержденной учетной записи;
- в бумажном виде – заполненную на сайте Роскомнадзора форму распечатать и отправить в территориальный орган ведомства.
Особое внимание следует уделить описанию целей обработки ПД, указанию категорий обрабатываемых данных и мерам по организации защиты данных. В этих пунктах чаще всего допускаются ошибки.
В течение 10 дней Роскомнадзор рассмотрит уведомление и примет решение о постановке компании на учет или отказе в этом. Проконтролируйте результат. При положительном решении ваша задача в дальнейшем: следить за актуальностью локальных нормативных актов. В случае изменений в законодательстве или изменений деятельности подателя уведомления, нужно будет внести поправки в документы, иначе Вы можете подвергнуться штрафу.
Если в компании есть сотрудники, необходимо разработать для них правила и обязанности при работе с персональными данными и контролировать их соблюдение.
Трансграничная передача персональных данных – это передача ПД на территорию другого государства органу власти, иностранному физическому или юридическому лицу. С 1 июля 2025 года правила, регламентирующие этот процесс, в России ужесточаются.
Если Вы ведете или планируете вести ТППД, необходимо направить в Роскомнадзор отдельное уведомление об этом. На сайте ведомства размещены формы уведомления как о факте, так и о намерении передачи данных, Вам требуется заполнить нужную.
Передача ПД за рубеж без уведомления Роскомнадзора грозит штрафом до 2 млн рублей или в размере дохода за 3 года, лишением свободы сроком до 8 лет и дисквалификацией до 4 лет.
Важно: нередки случаи, когда предприниматели нарушают правила по незнанию. Трансграничная передача персональных данных – это не только прямое направление сведений заграничным субъектам, но и использование иностранных ПО или сервисов, позволяющих обмениваться информацией.
Необходимо подать уведомление в РКН тем компаниям/лицам, которые для сбора и хранения данных пользуются сервисами Google, иностранными мессенджерами или сервисами для отправки рассылок, иностранными CRM-системами или облачными сервисами.
Для определения сервисов, базы данных которых расположены за рубежом, следует внимательно знакомиться с пользовательскими соглашениями, а не ставить «Ознакомлен и согласен» не глядя.
Перед тем, как подавать уведомление о ТППД, необходимо зарегистрироваться в реестре операторов персональных данных в РКН, то есть направить в ведомство уведомление, которое мы рассматривали выше. Предварительно нужно также получить от иностранных юридических лиц, которым планируете передавать данные, предусмотренные статьей 12 ФЗ №152 сведения.
Порядок заполнения формы и отправки уведомления Вы найдете на портале Роскомнадзора.
Что нужно сделать, если у компании есть сайт
Если у компании либо предпринимателя есть официальный сайт, то до 30 мая 2025 года необходимо убедиться, соответствует ли он требованиям законодательства.
Проверке подлежат следующие составляющие сайта:
- наличие и правильность размещения полных контактных данных владельца сайта;
- наличие согласия о сборе cookie;
- актуальность политики обработки ПД;
- актуальность политики конфиденциальности;
- размещение во всех формах «галочки» согласия на обработку персональных данных.
Важно! Следите за тем, чтобы сайт не нарушал требования законодательства к ТППД – если нарушения выявит Роскомнадзор, Вас ждёт как минимум наложение штрафа. Проверка сайтов компаний входит в полномочия РКН, она проводится выборочно, и Вы вполне можете оказаться одним из выбранных
В настоящее время Роскомнадзор внедряет возможности искусственного интеллекта для совершенствования и развития системы контроля соблюдения законодательства о ПД, поэтому у ведомства есть большие возможности для выявления нарушителей.
Чтобы не оказаться в их числе, заботу о периодическом техническом и юридическом аудите сайта должны взять на себя владельцы. Практическое его осуществление рекомендуется доверить специалистам, знающим все нюансы и новеллы законодательства.
Почему следует поторопиться
Как уже указано выше, с 30 мая увеличиваются штрафы за нарушение законодательства об обработке персональных данных, с июля ужесточатся наказания за нарушения правил трансграничной передаче данных.
Сумма выплат может быть увеличена за счёт оборотных штрафов и положений КоАП об отягчающих обстоятельствах, влияющих на размер штрафов. В результате суммарная цифра штрафов за пренебрежение отправкой уведомления может исчисляться миллионами.
Ещё одна причина поторопиться – сокращаются сроки, в течение которых можно исправить ошибки. После получения предписания Роскомнадзора дается 10 дней на предоставление необходимого пакета документов или на устранение нарушения. Причем после исправления ошибок штраф всё равно придётся уплатить.
Следует также учесть, что компания или предприниматель обязаны в течение 10 дней ответить пользователю, если он спросит, с какой целью собираются персональные данные или же потребует их удаления. Поэтому необходимо заранее подготовиться к официальному ответу на такие запросы.
Если Вы ещё не направили уведомление в Роскомнадзор и не уверены, что справитесь с этим самостоятельно – срочно обратитесь к услугам юриста, оплата специалиста будет однозначно меньше миллионных штрафов.