Уведомление Роскомнадзора об обработке персональных данных¶
Уведомление в Роскомнадзор об обработке персональных данных — это предусмотренная Федеральным законом № 152-ФЗ «О персональных данных» обязательная процедура, в рамках которой оператор персональных данных информирует уполномоченный орган о своём намерении осуществлять обработку персональных данных. Уведомление подаётся до начала обработки и служит формой государственного учёта операторов. Уполномоченным органом по защите прав субъектов персональных данных с 2008 года является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).
¶Правовая основа
Обязанность оператора уведомить уполномоченный орган закреплена в статье 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Закон вступил в силу 27 июля 2006 года, однако массовая подача уведомлений началась после вступления в силу основной части его положений в 2007–2008 годах и после передачи функций уполномоченного органа Роскомнадзору.
Норма направлена на формирование открытого реестра операторов, что позволяет субъектам персональных данных получать сведения о том, кто обрабатывает их данные, а надзорному органу — планировать контрольно-надзорные мероприятия. Порядок ведения реестра и формы уведомлений устанавливаются постановлениями Правительства РФ и приказами Роскомнадзора.
¶Кто обязан подавать уведомление
Уведомление подают организации, индивидуальные предприниматели, государственные и муниципальные органы, а также физические лица, если они организуют и осуществляют обработку персональных данных, определяя её цели и состав. Такие субъекты именуются операторами.
Закон предусматривает ряд исключений (часть 2 статьи 22), когда уведомление не требуется. К ним относятся, в частности, обработка данных:
- в связи с трудовыми отношениями, если данные используются только для этих целей;
- для исполнения договора, стороной которого является субъект персональных данных;
- в отношении членов религиозных объединений и общественных организаций, если данные не распространяются;
- для защиты жизни, здоровья или иных жизненно важных интересов субъекта, когда получить согласие невозможно;
- в целях однократного пропуска на территорию или для иных аналогичных целей;
- входящих в государственные информационные системы персональных данных, созданные для защиты безопасности государства и общественного порядка;
- без использования средств автоматизации, если обработка ведётся в соответствии с трудовым законодательством.
Исключения не отменяют обязанности соблюдать иные требования закона: получение согласия, обеспечение конфиденциальности и безопасности данных.
¶Содержание уведомления
Уведомление оформляется по утверждённой форме и содержит сведения, перечень которых определён статьёй 22 закона. К основным сведениям относятся:
- наименование, адрес оператора, а для физического лица — фамилия, имя, отчество и адрес;
- цель обработки персональных данных;
- категории персональных данных, которые предполагается обрабатывать;
- категории субъектов, чьи данные обрабатываются;
- правовое основание обработки;
- перечень действий с персональными данными и способы их обработки;
- описание мер по обеспечению безопасности и конфиденциальности;
- сведения о наличии или отсутствии трансграничной передачи данных;
- сведения о месте хранения данных;
- фамилия, имя, отчество и контактные данные лица, ответственного за организацию обработки персональных данных.
При изменении указанных сведений оператор обязан уведомить Роскомнадзор в течение определённого срока — как правило, не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения. При прекращении обработки также подаётся соответствующее уведомление.
¶Способы подачи
Уведомление может быть подано несколькими способами:
| Способ | Особенности |
|---|---|
| Лично или через представителя | На бумажном носителе в территориальное управление Роскомнадзора |
| Почтовым отправлением | С описью вложения и уведомлением о вручении |
| В электронной форме | Через портал государственных услуг или официальный сайт ведомства |
| Через Единый портал госуслуг | С использованием усиленной квалифицированной электронной подписи |
Электронная подача стала преобладающей формой: она позволяет оператору отслеживать статус рассмотрения и получать уведомления о включении в реестр. Бумажный документ должен быть подписан уполномоченным лицом; электронный — заверен электронной подписью.
¶Порядок рассмотрения и реестр
После поступления уведомления Роскомнадзор проверяет полноту и корректность сведений. При отсутствии замечаний оператор включается в реестр операторов, осуществляющих обработку персональных данных. Реестр является открытым: сведения о зарегистрированных операторах публикуются на официальном сайте ведомства. Внесение в реестр не означает одобрения деятельности оператора и не заменяет иных разрешительных процедур.
Если уведомление оформлено с нарушениями, ведомство может вернуть его на доработку или запросить недостающие сведения. Отсутствие уведомления при наличии обязанности его подать рассматривается как нарушение законодательства о персональных данных.
¶Ответственность за неподачу
За непредставление или несвоевременное представление уведомления предусмотрена административная ответственность по статье 13.11 Кодекса РФ об административных правонарушениях. Штрафы налагаются как на должностных лиц, так и на юридические лица; размеры штрафов неоднократно повышались, в том числе в 2022–2024 годах. Отдельные составы касаются обработки данных без согласия субъекта, нарушения требований о локализации баз данных и утечек информации.
¶Практические аспекты
При подготовке уведомления оператору целесообразно определить цели и правовые основания обработки, составить перечень обрабатываемых данных и категорий субъектов, назначить ответственного за организацию обработки, а также разработать внутренние документы: политику обработки персональных данных, согласия, приказы. Эти документы не прилагаются к уведомлению, но могут быть запрошены при проверке.
Для отдельных сфер действуют дополнительные требования: так, при обработке данных в информационных системах, являющихся государственными, применяются отдельные регламенты; при трансграничной передаче требуется уведомление о начале такой передачи. Операторы, обрабатывающие данные в медицинских, финансовых и телекоммуникационных целях, дополнительно подчиняются отраслевому регулированию.
Уведомление подаётся однократно, но поддерживается в актуальном состоянии: изменение целей, состава данных, места хранения или ответственного лица требует уведомления об изменениях. Это делает процедуру не разовым действием, а элементом регулярного комплаенса в области защиты персональных данных.
Источники: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; Кодекс Российской Федерации об административных правонарушениях; официальные разъяснения и реестр операторов Роскомнадзора.