В цифровой экономике сбор и использование персональных данных — неотъемлемая часть деятельности почти любого бизнеса или специалиста. Однако любая работа с такими данными требует внимательного соблюдения законодательства, особенно в части уведомления Роскомнадзора. Это не формальность, а базовое условие легальной работы с данными, за нарушение которого предусмотрены существенные санкции. Чтобы избежать проблем, важно понимать, кто и в каких случаях обязан направить уведомление, а также — какие действия уже не подпадают под прежние исключения.
Кто считается оператором персональных данных и обязан уведомить Роскомнадзор
Согласно закону № 152-ФЗ, уведомление необходимо подавать до начала обработки персональных данных. Это требование распространяется на широкий круг лиц: государственные органы, компании, ИП и даже частных лиц, если они собирают и используют данные хотя бы одного человека — сотрудника, клиента, арендатора или партнёра.
Под оператором понимается тот, кто не просто собирает данные, но и определяет цели их обработки. Это может быть крупная компания, а может — частный репетитор, работающий без статуса ИП, но хранящий имена и телефоны учеников. Даже если предприниматель не нанимает сотрудников, но, к примеру, заключает договор аренды с физическим лицом, он уже подпадает под требования закона.
Раньше такие частные и мелкие случаи нередко выходили за рамки регулирования. Сегодня — это норма. Подход к надзору изменился, и теперь почти любая деятельность, связанная с данными, должна быть задекларирована. Это усиливает контроль, но одновременно требует от бизнеса большей осведомлённости и дисциплины.
Какие исключения всё ещё действуют (и как изменились правила с 1 сентября 2022 года)
Ранее в законе было немало послаблений. Например, не нужно было уведомлять Роскомнадзор, если данные использовались только для заключения договора или в рамках трудовых отношений. Но с осени 2022 года этот подход ушёл в прошлое.
Теперь уведомление не требуется лишь в нескольких случаях, которые чётко очерчены:
- работа с данными ведётся исключительно в целях обеспечения общественного порядка;
- защита государственной или транспортной безопасности;
- обработка осуществляется частным лицом в личных или семейных целях и не нарушает права других.
Все остальные случаи — от кадрового учёта до клиентской базы — требуют уведомления.
Миф о “ручной обработке”: когда он не работает
Иногда можно услышать, что если данные обрабатываются вручную, уведомлять Роскомнадзор не нужно. На практике это правило почти не работает.
Ручной считается обработка, полностью исключающая автоматизацию. Но сегодня даже минимальное использование электронной почты, таблиц, облачных хранилищ или CRM делает работу с данными частично автоматизированной. Использование Excel на домашнем компьютере уже исключает возможность ссылаться на «ручной» способ обработки.
Надеяться на это исключение — значит сознательно идти на риск. Для всех, кто ведёт предпринимательскую деятельность и получает персональные данные от других лиц, уведомление требуется по умолчанию, вне зависимости от масштаба и уровня цифровизации.
Как правильно подать уведомление в Роскомнадзор: ключевые элементы
Процедура подачи уведомления требует чёткости и внимания к деталям. Ошибки в формулировках или неполные сведения могут привести к отказу во включении в реестр или к штрафам.
Что нужно указать:
- Информация об операторе: юридическое лицо, ИП или физическое лицо должны предоставить полные и актуальные сведения — от наименования и ИНН до адреса деятельности. Если есть филиалы — они тоже должны быть указаны.
- Цели обработки: каждую цель нужно формулировать отдельно. Не стоит ограничиваться общими словами — необходимо указать, чьи данные обрабатываются, какие именно данные собираются, и каким образом осуществляется работа с ними. К примеру, обработка данных сотрудников для кадрового учёта и данных клиентов для оказания услуг — это две разные цели, каждая со своими параметрами.
- Способы обработки: в уведомлении необходимо перечислить все действия, совершаемые с данными — от сбора и хранения до удаления.
- Дата начала обработки: это не дата отправки уведомления, а реальная точка отсчёта — часто она совпадает с датой начала деятельности.
- Меры безопасности: следует подробно описать, какие шаги предпринимаются для защиты персональных данных. Это могут быть внутренние регламенты, назначение ответственных лиц, физическая охрана документации и использование программных решений.
- Ответственный за обработку данных: указываемый сотрудник должен реально влиять на процессы — формально назначенный человек без полномочий не считается надлежащим ответственным.
- Трансграничная передача данных: если персональные данные передаются за пределы России, это необходимо отдельно указать. Для таких случаев действуют дополнительные регламенты, и мы подробно рассмотрим их в отдельном материале.
Что изменилось после 30 мая 2025 года: штрафы и ужесточение контроля
С наступлением лета 2025 года в силу вступают изменения в КоАП РФ, ужесточающие ответственность за нарушения. Самое значимое из них — резкое увеличение штрафов. Юридическим лицам теперь грозит до 300 тысяч рублей за неподачу уведомления — это в 60 раз больше, чем раньше. Причём это только за сам факт отсутствия уведомления, не говоря уже о последствиях утечки данных.
Также вводятся оборотные штрафы — суммы, рассчитываемые исходя из оборота компании. Это означает, что крупный бизнес может быть оштрафован на десятки или сотни миллионов рублей в случае серьёзных нарушений.
Выводы
- Обязанность по уведомлению — почти универсальна: подавляющее большинство организаций и специалистов обязаны уведомлять Роскомнадзор о работе с персональными данными. Исключений стало очень мало.
- На “ручную” обработку рассчитывать не стоит: даже частично цифровые процессы лишают права на это исключение.
- Важно точное и полное оформление: ошибки или недочёты в уведомлении могут обернуться серьёзными проблемами. Всё должно быть согласовано с внутренними регламентами компании.
- Контроль стал жёстче: новые штрафы и подход к регулированию делают игнорирование закона слишком дорогостоящим риском.
- Комплексная защита данных — не роскошь, а обязанность: государство ожидает, что операторы будут выстраивать полноценную систему безопасности, а не просто имитировать выполнение требований.
Соблюдение норм в сфере персональных данных перестаёт быть «бумажной» задачей. Это — реальный элемент управления репутацией, рисками и отношениями с клиентами. Чем раньше компания или специалист выстроит грамотную систему работы с данными, тем ниже будет вероятность столкнуться с серьёзными последствиями.
