Уведомление Роскомнадзора о персональных данных: подготовка и подача

Уведомление – это документ в особой форме, который направляется в Роскомнадзор юридическим лицом, индивидуальным предпринимателем или физическим лицом (например, самозанятым, обрабатывающим сведения о своих клиентах). В документе отражаются категории личной информации, способы ее использования, а также местонахождение электронной базы (при автоматизированном процессинге)

По общему правилу подать уведомление должен любой оператор (от физического лица до государственного органа), за исключением случаев, прямо предусмотренных предусмотренным Федеральным законом от 27.07.2006 N 152-ФЗ

Возникает вопрос срока подачи сведений в РКН. Обязанность подать уведомление в Роскомнадзор существует уже практически 20 лет, однако особое внимание на нее стали обращать только недавно. Связано это с тем, что, с 30 мая 2025 года Кодекс об административных правонарушениях предусматривает штрафы за отсутствие отправленного извещения или недостоверную информацию в таком документе

В случае, если компания несколько лет ведёт свою деятельность и осуществляет процессинг ПД, но не направила соответствующее заявление в РКН, то рекомендуется все же исправить это нарушение. В противном случае в 2026 году организация с высокой долей вероятности будет привлечена к ответственности. До конца 2025 года действует мораторий на осуществление Роскомнадзором плановых проверок операторов, который вряд ли будет продлён в 2026 году. Осуществляются только внеплановые проверки, например, в связи с жалобами субъектов ПД или в случае, если ранее отправленные в РКН сведения не соответствуют действительности. Таким образом, если компания ведь сколь-нибудь заметную деятельность и имеет большое количество клиентов-физических лиц, если следует заранее подготовиться к грядущей плановой проверке со стороны ведомства.

Далее следует рассмотреть ситуацию, если предприниматель только начинает свою деятельность или собирается ее начать. В этом случае необходимо подать уведомление о начале обработки конфиденциальной информации до начала фактического использования ПД. Эта норма легко исполнима для индивидуальных предпринимателей и физических лиц, но создает сложности для юридических лиц, которые с момента своего создания обрабатывают сведения о своих учредителях и руководителях. Как следствие, юридическим лицам рекомендуется подавать извещение в течение десяти рабочих дней с момента государственной регистрации. Этот срок – оптимальный и разумный, и его соблюдение позволяет оспорить решение РКН о привлечении компании к ответственности, если она не подала сведения сразу же после регистрации

На втором этапе заполняется информация о работе с ПД, а именно: регионы процессинга, цели, категории ПД, основания и способы процессинга, а также действия с ПД в ходе процессинга. Важно: сведения вносятся для каждой цели отдельно

Для юридических лиц, как основной категории операторов ПД, можно указать следующие цели процессинга, которые в 99% случаев будут отражать реальность:

Далее заполняются сведения о тех мерах и способах, которые организация применяет для защиты ПД, а также основания, по которым работа с ПД может быть прекращена. Как правило, операторы указывают следующие способы защиты:

• Использование организационных и технических мер безопасности процессинга сведений о физических лицах и определение потенциальных угроз и их нивелирование
• Принятие политики обработки ПДн и других локальных актов организации
• Назначение лица, ответственного за обработку ПД и инструктаж сотрудников о порядке работы с такими сведениями

На завершающем этапе заполняется информация о сотруднике, ответственным за использование ПД, а также местонахождение базы данных с ПД. Заполнение сведений об ответственном лице, как правило, не вызывает вопросов: необходимо указать только ФИО, адрес, должность и контактную информацию. Напротив, правильное заполнение сведений о расположении информационных баз может вызвать трудности. Если у компании свой собственный центр обработки ПД, то, как правило, известен точный адрес его местонахождения. Если же сервера арендуются у сторонних компаний, то узнать точный адрес не всегда представляется возможным. В таком следует обратиться к экспертам по работе с ПД, которые помогут подготовить правильное сообщение

Если речь идет о молодой компании, в которой процессы использования ПД не до конца сформированы, указанный срок соблюдается достаточно редко. В этом случае для минимизации рисков ответственности со стороны Роскомнадзора рекомендуется поддерживать в актуальном состоянии наиболее значимую информацию:

Извещения о начале обработки ПДн носит для Роскомнадзора уведомительный, информационный характер. Напротив, извещение о трансграничной передаче имеет разрешительный характер, то есть Роскомнадзор имеет право отказать в осуществлении трансграничной передачи. Отказ возможен в случаях, если ведомство посчитает, что цели, указанные в сообщении, не подтверждают необходимость трансграничной передачи. Наиболее часто это происходит при использовании Google Analytics и других иностранных сервисов, имеющих российские аналоги. В связи с этим, чтобы избежать отказа, рекомендуется обратиться к специалистам по взаимодействию с Роскомнадзором, которые помогут правильно сформировать текст сообщения. В некоторых случаях трансграничная передача возможна без подачи особого сообщения в РКН