Всем компаниям до конца мая нужно уведомить Роскомнадзор об обработке персональных данных

На самом деле уведомлять Роскомнадзор об обработке данных требовалось уже много лет и делать это было необходимо до начала деятельности организации, но все всполошились именно сейчас. В чем причина? С 30 мая штрафы за неподачу уведомления многократно возрастут, а Роскомнадзор уже активно рассылает письма‑требования о необходимости соблюдать законодательство. Спойлер: с персональными данными работает практически любая организация, поэтому требования коснутся многих, а эта статья будет вам точно полезна.

Зачем подавать уведомление

Любые организации и ИП используют персональные данные людей. Они нанимают сотрудников, заключают договоры с клиентами, ищут сотрудников на вакантные должности, делают рассылки, продвигают свои товары и услуги, берут студентов на практику и разное другое. Сбор, хранение, систематизация, использование и любые иные действия с личной информацией называется обработкой. Значит такие организации и ИП являются операторами и обязаны до начала своей деятельности уведомить Роскомнадзор о намерении обрабатывать персональную информацию граждан.

Уведомление надо подавать всем?

Практически всем. Закон содержит три исключения, когда можно обрабатывать данные без уведомления ведомства:

1. Организация обрабатывает данные без автоматизации. Например, вы собираете данные в бумажном виде, не используете в своей деятельности 1С бухгалтерию и прочие программы, а также программы для сдачи отчетности от налоговой. Если же у вас есть все вышеперечисленное, а также хранение данных в компьютерах и пересылка, например, их по сети организации, это будет считаться автоматизированной обработкой.
2. Если данные находятся в государственных инфосистемах, созданных для защиты безопасности государства и общественного порядка.
3. Обработка данных для обеспечения транспортной безопасности.

Исключения таковы, что мало какая компания в России под них подпадает. До 2022 года исключений было сильно больше, а теперь почти любая организация должна включиться в реестр операторов.

Почему уведомление нужно направить до конца мая 2025

Но это ошибочное мнение. Оператором организация будет считаться не в связи с подачей уведомления и включением в реестр, а по факту работы с данными людей. И соответственно Роскомнадзор вправе провести проверку организации даже в случае, если ее нет в реестре.

С 30 мая штрафы за неправомерную обработку данных, включая отсутствие уведомления об обработке данных, существенным образом вырастут. Например, штраф для ИП и организаций составит уже от 100 до 300 тысяч рублей. Согласитесь, такие риски более ощутимы.

Как подать уведомление

Вы можете использовать один из трех достаточно удобных способов:

1. Зайти на сайт Роскомнадзора и заполнить электронную форму. Можно сохранить черновик и заполнять постепенно, не за один раз. Как только вы отправите электронную форму, вам предложат распечатать уведомление и направить его обычной почтой в соответствующее региональное управление Роскомнадзора.
2. Подать уведомление на сайте Роскомнадзора с помощью УКЭП.
3. Подать через Госуслуги с помощью ЕСИА. Тоже удобно, поскольку большинство регистрационных данных оператора после аутентификации подтягивается автоматически.

Успеть подать уведомление необходимо до 30 мая. В течение месяца Роскомнадзор рассмотрит уведомление и включит организацию в реестр операторов персональных данных.

И это всё?

Не забывайте, что это всего лишь одна из необходимых мер, которую организации обязаны выполнять по Закону о персональных данных. Проверьте также:

1. Используете ли вы метрики на сайте и собираете ли cookies. Если да, то необходимо сделать всплывающее окно с предупреждением об этом и добавить.
2. Если используете Google Analitycs и другие зарубежные сервисы, то это считается трансграничной передачей и требует подачи отдельного уведомления Роскомнадзора. Об этом на Т‑Бизнес секретах есть отдельная статья.
3. Формы обратной связи, через которые собираются данные пользователей, должны быть оформлены надлежащим образом, с получением активного согласия на их обработку и ознакомлением с документом по обработке данных (например, политика конфиденциальности).
4. На сайте должен быть размещен документ, определяющий политику оператора в отношении обработки персональных данных. Чаще всего он называется Политика конфиденциальности. Этот документ должен соответствовать требованиям закона и содержать в себя ряд важных положений. Поэтому не стоит брать его слепо из интернета или копировать у коллег. Закажите у юриста.
5. Базы данных с персональными данными должны находиться на территории России. Иначе огромные штрафы от 1 до 6 миллионов рублей.

Если вы обрабатывается данные не только через сайт, но в рамках деятельности компании (нанимаете сотрудников, продаете товары или оказываете услуги физлицам, работаете с физлицами‑контрагентами), тогда в вашей организации должен быть целый пакет документов, определяющих вашу политику и условия работы с персональными данными.