Уведомление об обработке персональных данных в 2025 году

С 1 сентября 2022 года вступили в действие изменения в законодательстве, касающемся обработки персональных данных, что значительно уменьшило количество ситуаций, в которых отпадает необходимость уведомлять о таком процессе. Теперь все работодатели обязаны уведомлять Роскомнадзор о своей деятельности с персональными данными, хотя ранее такой обязанности не существовало.

Что такое персональные данные

Под персональными данными понимается любая информация, которая относится к конкретному физическому лицу. Этот термин определён в законе № 152-ФЗ от 27 июля 2006 года, однако в самом документе нет точного его разъяснения. Статья 3 этого закона гласит: «Персональные данные – это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу». В Указе Президента РФ от 6 марта 1997 года также дано определение персональных данных, как сведений о событиях и обстоятельствах частной жизни гражданина, позволяющих идентифицировать его.

Более детальная информация о составе персональных данных представлена в разделе 2.5 Методических рекомендаций, утверждённых приказом Роскомнадзора от 30 мая 2017 года. К таким данным относятся фамилия, имя, отчество, дата и место рождения, адрес проживания, семейное и материальное положение, уровень образования, профессия и доходы, а также другие сведения, позволяющие идентифицировать личность, такие как номер телефона, адрес электронной почты и паспортные данные.

Хотя налоговый номер (ИНН) по своей сути позволяет идентифицировать лицо, Минфин в своих письмах 28 января и 12 февраля 2020 года указывает, что ИНН не представляет собой персональные данные и используется исключительно для учета налогоплательщиков. Однако это положение может быть предметом споров, так как позиции различных ведомств иногда противоречат друг другу, и в большинстве случаев лучше относить ИНН к категории персональных данных.

Также существует вопрос о том, являются ли комбинированные персональные данные, такие как номер телефона или адрес электронной почты без указания имени владельца, персональными данными. Роскомнадзор ответил на этот вопрос отрицательно, считая такие данные недостаточными для идентификации.

Если у вас есть сомнения относительно того, осуществляется ли в вашем случае обработка персональных данных, стоит обратиться с вопросом в Роскомнадзор, используя письмо или электронную форму на их сайте. Необходимо помнить, что любое нарушение порядка обработки персональных данных может повлечь за собой административное наказание в соответствии со статьёй 13.11 КоАП РФ, где штрафы могут достигать значительных сумм. Например, обработка персональных данных без достаточного согласия может привести к штрафу в 700 тысяч рублей, а за содержание данных граждан РФ за границей — до 18 миллионов рублей при повторном нарушении.

Кто должен подавать уведомление об обработке персональных данных

В законе № 152-ФЗ операторами персональных данных называются государственные и муниципальные органы, а также юридические и физические лица, которые производят с ПД любые действия: сбор, накопление, запись, хранение, систематизацию, использование, передачу, блокирование, уничтожение и др.

С 1 сентября 2022 года обработка персональных данных операторами без уведомления Роскомнадзора допускается только в ситуациях, перечисленных в п. 2 статьи 22 закона № 152-ФЗ:

• персональные данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка (МВД и другие силовые структуры);
• деятельность по обработке ПД осуществляется без использования средств автоматизации (например, ведётся только бумажный журнал учёта посетителей);
• ПД обрабатываются в целях безопасности транспорта и объектов транспортного комплекса.

Таким образом, с 01.09.2022 подавать уведомление об обработке персональных данных должны также операторы, которые занимаются:

• обработкой ПД по трудовому законодательству;
• получением информации с согласия субъекта только для исполнения договора, с ним заключённого;
• обработкой ПД участников религиозных организаций и общественных объединений;
• распространение личной информации с согласия субъекта;
• обработка ПД, состоящих только из имени, отчества, фамилии;
• оформление разового пропуска для прохождения на территорию оператора ПД.

Ранее действовавшее исключение для таких ситуаций больше не применяется.

По сути, если говорить о бизнесе, то подавать уведомление в РКН должны практически все организации и ИП. Даже если у них нет работников, персональные данные обрабатываются также при заключении договоров, выполнении работ, оказании услуг, продаже товаров, сборе базы покупателей и клиентов, регистрации на сайтах и др.

Важно: если вы уже подавали уведомление об обработке персональных данных, когда действовали перечисленные исключения, необходимо добавить в него новые основания. В частности, если ранее работодатели не указывали своих работников в качестве субъектов ПД, то теперь это требуется. Подробнее об этом расскажем далее.

Как направить уведомление в Роскомнадзор

Проще всего заполнить уведомление об обработке персональных данных через сайт Роскомнадзора. Здесь же можно выбрать способ подачи:

• в бумажном виде (почтой, курьером или лично в территориальное отделение РКН);
• в электронном виде с использованием ЭЦП;
• через портал Госуслуг (для этого надо быть идентифицированным в ЕСИА, а если уведомление об обработке персональных данных подается от имени организации, то учётная запись должна быть привязана к этому юрлицу).

Разберёмся, как подать уведомление в бумажном виде, для этого надо выбрать первый способ. Верхняя часть уведомления заполняется, как и большинство других документов. Обратите внимание, что при наведении курсора на поле всплывает подсказка.

Заранее подготовьте сведения об операторе. Если это организация, то указывают полное ее фирменное наименование, местонахождение, почтовый адрес, контакты для связи, регистрационные коды.

Если в качестве оператора регистрируется индивидуальный предприниматель, то он вписывает паспортные данные, адрес проживания, контакты, коды ИНН и ОГРНИП.

А вот дальше при заполнении полей возможны сложности, поэтому стоит пользоваться подсказками формы.

В разделе «Цель обработки персональных данных» прежде всего из выпадающего списка выбирается цель. Она должна описывать действия оператора, для осуществления которых он обрабатывает ПД.

Компании, как минимум, используют личные данные сотрудников для ведения кадрового и бухгалтерского учета, для обеспечения соблюдения трудового законодательства, также они могут использоваться для подготовки, заключения, исполнения ГПХ, для обеспечения пропускного режима. Кроме того, компания может работать с ПД сторонних лиц — представителей контрагентов, клиентов и так далее. Так что целей обработки персональных данных может быть множество. В самом низу раздела, после пункта «Способы обработки», есть кнопка «Добавить цель обработки». При добавлении второй цели под названием раздела «Цели обработки персональных данных» появится вкладка «2». Безопаснее охватить все возможные случаи, когда будет обрабатываться персональная информация.

В том же разделе в следующих пунктах нужно отметить для каждой цели:

• Категории персональных данных, которые будут обрабатываться. Они разделены на 3 группы — персональные, специальные персональные и биометрические данные. Нужно отметить все необходимые категории.
• Категории субъектов, данные которых обрабатываются, например, работники, контрагенты, клиенты и так далее.
• Правовое основание, например, согласие субъекта на обработку ПД, договор либо требование законодательного акта. Следует отметить все подходящие позиции из предложенного списка.
• Способы обработки, то есть какие действия оператор будет производить с этими данными:

Сначала нужно отметить категории ПД.

При описании мер, предусмотренных статьями 18.1 и 19 закона № 152-ФЗ, можно воспользоваться формулировками, в них же приведенными. Например, в пп.1 п.1 статьи 18.1 приводится такое описание: «назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных». Конечно, не стоит полностью цитировать формулировки статей, можно их видоизменить, сократить и перечислить только те меры, которые реально предпринимаются оператором ПД.

Далее в поле «средство обеспечения безопасности» указывают название специального ПО, если оно применяется, а ниже — используется или нет криптографические средства.

Заканчивается уведомление указанием адреса базы данных, где хранятся ПД, а также контактов ответственного лица. Кроме того, в финальном блоке указывают дату начала обработки ПД, срок или условие окончания обработки, а также будет ли осуществляться трансграничная передача данных.

Среди характерных ошибок при оформлении уведомлений по обработке ПД Роскомнадзор перечисляет следующее:

• отсутствие реквизитов и конкретных статей нормативно-правовых актов, на основании которых осуществляется обработка персональных данных;
• неполный перечень категорий лиц, чьи персональные данные подвергаются обработке;
• отсутствие конкретики при описании категорий ПД, например, обобщение типа «иная информация», «другие сведения»;
• нечеткое указание на порядок передачи информации при смешанной и (или) автоматизированной обработке;
• отсутствие даты, с которой начинается обработка ПД, а также срока или основания прекращения этих действий.

Если вы испытываете сложности при заполнении уведомления, можно обратиться за разъяснениями в территориальное отделение РКН. Есть и другой способ – найти в реестре оператора, который осуществляет аналогичную коммерческую деятельность, и посмотреть, как эти поля заполнены у него.

Как сообщить о новых основаниях, если вы уже подавали уведомление

Многие операторы ПД уже зарегистрированы в реестре Роскомнадзора, ведь закон № 152-ФЗ действует давно. Если организация или ИП раньше подавали уведомление по другому поводу, например, для направления рекламных и информационных рассылок, то повторно регистрироваться не надо.

Однако стоит убедиться, что вы есть в реестре операторов, заодно проверить, какие основания обработки ПД были указаны при регистрации. Для этого надо ввести в форму поиска ИНН организации/индивидуального предпринимателя или регистрационный номер.

Способы подачи информационного письма такие же, как при подаче уведомления, а для его подготовки предусмотрена специальная форма. Впрочем, она практически идентична описанной выше, только заполнить ее нужно в отношении новых оснований обработки ПД. Для ее формирования пройдите по ссылке «перейти к форме», как указано на картинке.

Что касается сроков сообщения о наличии новых оснований обработки ПД (в первую очередь, это относится к работодателям), то Роскомнадзор указал, что дата вступления в силу изменений (1 сентября 2022) не является крайним сроком подачи уведомления либо внесения изменений. Так что если вдруг вы не уведомили РКН о новых основаниях, сделать это нужно как можно раньше. Ведь если обработка персональных данных проводится с нарушениями закона, организацию или ИП могут оштрафовать.