Уведомление об обработке персональных данных: что нужно знать бухгалтеру

Если вы работаете с личной информацией граждан в своем бизнесе, то вы оператор персональных данных и сведения о вас должны быть в Реестре Роскомнадзора. Рассказываем в статье, как подать уведомление об обработке персональных данных, когда и в какие сроки его нужно обновлять. За невыполнение этой обязанности с 30 мая 2025 года есть штраф до 300 000 рублей.

Если вы работаете с личной информацией граждан (сотрудников, исполнителей-самозанятых и даже ИП), то считаетесь оператором персональных данных, а значит, сведения о вас должны быть в реестре Роскомнадзора. Для этого нужно подать уведомление об обработке персональных данных, иначе грозит штраф до 300 000 рублей, а в сочетании с другими нарушениями в области персональных данных штрафы могут доходить до нескольких миллионов.

30 мая 2025 года вступили в силу поправки в ст. 13.11 КоАП РФ, которые ужесточили санкции за нарушения в области персональных данных (ПД). Смотрите ниже, за какие нарушения теперь штрафуют и на какую сумму.

Индивидуальные предприниматели за нарушения из ч. 10-18 ст. 13.11 КоАП РФ несут ответственность как юридические лица. Поэтому им также придется платить многомиллионные штрафы или процент с оборота.

Обратите внимание, что с 30 мая 2025 года есть отдельная административная ответственность за неподачу уведомления в Роскомнадзор об обработке ПД. Причем если предприниматель не сообщит о себе в РКН, а потом у него найдут нарушение с защитой личной информации клиентов, штрафы будут выше в несколько раз: до 3 млн руб. вместо 300 тыс. руб.

Есть всего три случая, когда оператор персональных данных может не сообщать о себе в Роскомнадзор (п. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ):

Первый и третий случай не имеют отношения к обычному бизнесу — это вопросы безопасности граждан и государства. Второй пункт ИП или самозанятые могут использовать как повод не подавать уведомление, но есть риск.

Согласно Постановлению Правительства от 15.09.2008 № 687, обработка без средств автоматизации в информационной системе — это «если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека».

На наш взгляд, сдача электронной отчетности, хранение данных на гаджетах с доступом в интернет — это уже автоматизация. Есть риск, что Роскомнадзор посчитает так же и оштрафует за неподачу уведомления.

Чтобы корректно сообщить о себе в Роскомнадзор, следуйте алгоритму.

Подготовьте список всех персональных данных, которые вы сейчас собираете. Далее вы будете исключать из него избыточные данные, чтобы не нарушить закон. В таблице со штрафами есть ответственность за обработку ПД, несовместимую с целями обработки, — это как раз про «лишнюю» личную информацию граждан. Подсказка: больше всех ПД обрабатывают кадровики и менеджеры по работе с клиентами.

Составьте список целей обработки. Это то, для чего вы собираете и используете ПД

Не рекомендуем ориентироваться только на всплывающий список в форме уведомления Роскомнадзора — лучше формулировать свои цели в соответствии с бизнес-процессами, чтобы было проще найти правовое основание обработки

Соберите все цели, которые соответствуют вашей деятельности. Например, самозанятый редактор сотрудничает с ИП — субъектом ПД и ведет блог для продвижения услуг и сбора заказов. В качестве целей он может указать:

• подготовка, заключение и исполнение гражданско-правового договора на оказание услуг по написанию и редактуре текстов;
• продвижение товаров, работ, услуг на рынке через личный сайт.

Для бизнеса с наемными работниками список целей будет больше. Например:

• ведение бухгалтерского и налогового учета;
• добровольное медицинское страхование;
• содействие работникам в трудоустройстве, получении образования и продвижении по службе;
• обеспечение личной безопасности работников, контроля количества и качества выполняемой работы и сохранности имущества.

Под каждую цель составьте список категорий (общие, биометрические, специальные) и видов ПД (ФИО, адрес, фото, СНИЛС, запись голоса и т.д.), которые вам нужны для достижения цели. Рекомендуем идти от целей, а не подгонять цели под личную информацию, которая у вас уже есть. Уже на этом этапе вы можете выявить избыточные ПД. Для этого просто сравните данные, которые вам нужны для достижения цели, с тем, что собираете на самом деле.

Например, для приема сотрудника на работу в общем случае нужны только паспорт, СНИЛС и трудовая книжка (сведения о трудовой деятельности). В отдельных ситуациях перечень может быть больше: например, у военнообязанных нужно запросить военный билет или приписное свидетельство, а у кандидатов на должность с требованиями к квалификации — диплом или иной документ об образовании. Список документов, которые можно требовать при трудоустройстве, есть в ст. 65 Трудового кодекса. Сравните его с тем, что вы запрашиваете у кандидатов, — нет ли там лишних?

Всегда задавайте себе вопрос: «Разрешает ли мне закон обрабатывать эти персональные данные?». Если не можете точно на него ответить, лучше исключайте обработку.

Список правовых оснований для обработки ПД смотрите в ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ. Обратите внимание, что согласие субъекта ПД получать не нужно, если оператор собирает персональные данные в соответствии с ситуациями, описанными в п. 2-11 этой нормы.

Под каждую цель обработки составьте список субъектов, чьи данные вы собираете. Например: работники, соискатели на вакансии, клиенты, посетители сайта, представители подрядчика и т.д. Также определите перечень действий с ПД и способы обработки.

В итоге у вас должна получиться карта, которая выглядит примерно так:

Это все адреса, по которым оператор или третьи лица по его поручению работают с личной информацией граждан. Например, фирма 1С для своих клиентов сделала памятку с адресами ЦОД для разных своих сервисов. Также в перечне ЦОД указывают адреса деятельности самого оператора, т.е. компании или ИП, где физически стоят серверы или компьютеры, другие электронные устройства с базами ПД, и есть выход сотрудников в интернет.

На этом этапе рекомендуем проанализировать, с помощью каких программ вы обрабатываете персональные данные. Некоторые иностранные мессенджеры или программы ЭДО передают сведения в материнскую компанию в другой стране. Например, WhatsApp ещё в 2021 году объявил, что отправляет в материнскую компанию Facebook (сейчас — Meta Platforms, Inc.) регистрационные данные аккаунта, информацию о транзакциях и использовании услуг, данные о мобильных устройствах, IP-адреса и другую информацию. Во-первых, это уже трансграничная передача ПД, о которой надо уведомлять отдельно и в разрешительном порядке (ст. 12 Федерального закона от 27.07.2006 № 152-ФЗ). Во-вторых, здесь легко можно нарушить требование о локализации баз данных граждан РФ на территории России (ч. 5 ст. 18 Федерального закона от 27.07.2006 № 152-ФЗ).

Опасно использовать и Google Analytics. Вы не сможете установить, в какую страну попадают ПД из этой программы. Кроме того, сам Роскомнадзор плохо относится к использованию этого сервиса. А компанию Google неоднократно штрафовали в России за нарушения законодательства в области персональных данных.

Данные ответственного нужно указать в уведомлении.

Самозанятые и ИП без сотрудников в качестве ответственного и контактного лица в форме уведомления в РКН указывают свои данные. Компании обязаны назначить отдельного работника, который организует работу по защите ПД. ИП с наемными работниками тоже могут делегировать полномочия по организации обработки персональных данных кому-то из сотрудников или оставить их за собой.

Назначить ответственного — это не просто издать приказ, а включить соответствующие обязанности в трудовой договор и должностную инструкцию, если она есть. Иначе спрашивать будет не с кого.

Примерный перечень обязанностей ответственного за организацию обработки ПД можно посмотреть в ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ и Приказе Роскомнадзора от 15.12.2022 № 201.

Примерный перечень мер смотрите в ст. 18.1 и ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ.

Оператор должен разработать Политику в отношении обработки персональных данных и разместить ее в открытом доступе. Это обязательно не только для юрлиц, но и для ИП, самозанятых (ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ). Политику можно разместить:

Если у оператора есть сайт, он дополнительно разрабатывает и публикует Политику в отношении обработки ПД посетителей сайта.

В разработке Политики и других документов могут помочь:

Окончательного списка других локальных актов и документов, которые нужно издать, нет. Все зависит от того, в какой сфере работает оператор, какой объем ПД он обрабатывает, какие есть риски вреда при утечке личной информации его контрагентов и т.п. Мы не готовы утверждать, что локальные акты разрабатывает только юрлицо, а ИП ничего делать не нужно.

Если вы выполнили рекомендации из предыдущего раздела, у вас не должно возникнуть проблем с заполнением уведомления в РКН. Но на всякий случай рекомендуем посмотреть список типичных ошибок, который составил Роскомнадзор: список 1, список 2.

Подать уведомление в РКН можно тремя способами:

Важно. Дату начала обработки ПД в форме уведомления рекомендуем указывать по дате начала деятельности из выписки ЕГРЮЛ / ЕГРИП. Роскомнадзор будет ориентироваться на эти данные. Если вы работаете давно, а уведомление не подавали, то вы уже нарушили закон. Но срок давности по ст. 13.11 КоАП РФ (о нарушениях в области ПД) составляет один год. Так что к ответственности вас, скорее всего, не привлекут. А вот если произойдет утечка ПД или на вас пожалуется в РКН кто-то из работников или клиентов, за неподачу уведомления можно получить миллионный штраф.

Вы можете проверить статус своего сообщения на специальном сервисе Роскомнадзора, если подавали уведомление в электронном виде. Если подавали на бумаге — звоните в местное отделение и уточняйте у них про получение либо отслеживайте письмо через Почту России.

Кроме того, вы можете проверить информацию о себе в Реестре операторов. У Роскомнадзора есть 30 дней, чтобы внести ее туда после получения вашего уведомления.

Регулярно проверяйте актуальность информации о себе в реестре. Обо всех изменениях надо сообщать в Роскомнадзор до 15-го числа месяца, следующего за изменением. Например, в мае вы открыли сайт для продвижения своих услуг. Значит, до 15 июня вам нужно сообщить в Роскомнадзор, что теперь вы обрабатываете и ПД посетителей страницы в интернете.

О прекращении обработки ПД подайте уведомление в РКН в течение 10 рабочих дней (ч. 7 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ). Например, вы закрыли свой бизнес и больше не работаете с личными данными граждан. Увольнение отдельного работника или отказ от сотрудничества с физическими лицами напрямую — это не прекращение обработки ПД.

Оператор ПД обязан сообщить о себе в Роскомнадзор. Подайте уведомление как можно быстрее, если не сделали этого раньше. Не нужно думать, что вас все равно оштрафуют, раз вы опоздали сообщить о себе. Если истек срок давности в один год, то санкций не будет. Кроме того, штрафы могут быть меньше или вообще не назначаться, если:

А вот при выявлении других нарушений с персональными данными неподача уведомления будет отягчающим обстоятельством. И штраф для ИП или юрлица составит уже до 3 млн рублей, а не максимальные 300 тысяч.