С 30 мая 2025 года вступят в силу изменения в статью 13.11 Кодекса об административных правонарушениях, которые в частности устанавливают ответственность за неуведомление Роскомнадзора об обработке персональных данных. Притом штрафы значительные: на ИП или юридических лиц — от 100 000 до 300 000 рублей.
Кто должен подать уведомления? Касается ли это Вас?
Подать уведомление должен оператор персональных данных, то есть ИП или компания, которая занимается обработкой персональных данных, когда, например:
• Проводит подбор персонала, размещает вакансии, просматривает резюме;
• Нанимает сотрудников на работу, ведет по ним учет, платит налоги;
• Заключает договоры с физическими лицами (любые договоры вообще);
• В договор с юрлицами взаимодействует с работниками (ФИО, должность, телефон и почта сотрудника вашего контрагента – тоже персональные данные);
• У кого есть корпоративный сайт и формы обратной связи на сайте;
• Кто ведёт аналитику посещений на своём сайте через Яндекс.Метрику и cookies.
Практически любой бизнес является оператором персональных данных, если это не ИП-шка без сотрудников, который продаёт произведенный им же товар офлайн.
Разберём несколько частных примеров, по которым наиболее часто задают вопросы:
• Я селлер на Wildberries, ИП на УСН доходы. Работников нет. Являюсь ли я оператором персональных данных? Нужно подавать уведомление? — Вы работаете с отзывами, претензиями к качеству товара от физических лиц (пишите ответы на обращения и пр.) Также Вы работаете с закупом товара, общаетесь с сотрудниками поставщиков, ведете с ними переписку. Получается, так или иначе обрабатываете их персональные данные. Поэтому, да, Вы являетесь оператором персональных данных;
• Я дальнобойщик, ИП, работаю сам, работников нет. Являюсь ли я оператором персональных данных? Нужно подавать уведомление? — Вы подписываете транспортные документы, у вас есть контактные данные грузоотправителя, грузополучателя, заказчика перевозки — ФИО, телефоны, должности. Это всё персональные данные.
• Я продаю товары на Авито. Работников нет. Являюсь ли я оператором персональных данных? Нужно подавать уведомление? — Опять же, Вы обрабатываете обращения клиентов, их заказы, созваниваетесь с ними, оформляете заказы. Конечно, вы обрабатываете персональные данные.
То есть формально, все указанные лица являются операторами персональных данных по смыслу законодательства, поэтому обязаны подать уведомления. Иначе — штраф.
Другой вопрос, насколько вероятно, что подобный бизнес действительно подвергнется тщательному контролю со стороны Роскомнадзора? По состоянию на май 2025г. такая вероятность представляется малозначительной.
Куда более вероятно в первую очередь проверят иных субъектов, о которых укажем далее.
Кому точно не стоит рисковать и обязательно подать уведомления в РКН?
Во-первых, компаниям и предпринимателям, которые привлекают к работе физических лиц на основании трудовых и гражданско-правовых договоров. Вы плательщик НДФЛ, значит 100% обрабатываете персональные данные. Сверить списки плательщиков НДФЛ и лиц, подавших уведомления в Роскомнадзор и выявить нарушителей — самая очевидная и простая мера, которую могут предпринять контролирующие органы.
Во-вторых, владельцы сайтов, на которых размещены формы обратной связи, в которых пользователь оставляет свои ФИО, контактные телефону и адрес электронной почты. Роскомнадзор еще до изменения законодательства проверял сайты компаний на предмет наличия на них «галочек» согласия на обработку персональных данных и соответствующих политик, размещенных на сайте. Добавить к предмету проверки сайтов еще и наличие компании в перечне операторов персональных данных — самый простой и логичный сайт.
Пошагово заполняем уведомление об обработке персональных данных на сайте Роскомнадзора
1️⃣ Подать уведомление об обработке персональных данных Вы можете либо через госуслуги, либо через сайт Роскомнадзора https://pd.rkn.gov.ru/operators-registry/notification/form/ при наличии у Вас электронной подписи и установленного плагина. При заполнении уведомления через сайт РКН используйте Яндекс Браузер.
Рекомендуем до заполнения уведомления проверить, есть ли у вас соответствующая техническая возможность (наличие необходимого ЭЦП, плагина, браузера).
2️⃣Заполните первый раздел Сведения об операторе
• Выберите регион регистрации из выпадающего списка
• Выберите Вашу форму ведения бизнеса и его организационно-правовую форму
• Укажите полное наименование вашей компании. Сокращенное наименование указывать необязательно. В случае, если оператор – ИП, укажите: «Индивидуальный предприниматель Фамилия Имя Отчество» (полностью, без сокращений).
• Заполните адрес местонахождения (фактический адрес) и почтовый адрес (юридический адрес). Не забудьте заполнить почтовый индекс (узнать его можно на сайте Почты России https://www.pochta.ru/offices/). Если почтовый и фактический адреса совпадают, поставьте галочку в соответствующем поле). В нашем случае, например, адреса не совпадают.
• Заполните адрес электронной почты, ИНН, ОГРН и дату регистрации компании (присвоения ОГРН)
3️⃣ Заполните раздел Цели обработки персональных данных
• Укажите нужно вам количество целей обработки персональных данных. Добавлять и удалять их можно с помощью кнопок вверху…
• …и внизу блока
• Заполните блоки по каждой из целей обработки. Универсальных рекомендаций здесь быть не может, так как порядок заполнения зависит от нюансов Вашей работы.
Мы укажем лишь варианты заполнения по самым распространенным целям, опираясь на опыт работы большинства наших клиентов.
ВАЖНО: варианты заполнения зависят от нюансов работы внутри конкретно вашей компании. Предложенный вариант заполнения не универсален.
• Обработка резюме соискателей;
Цель обработки ПД – Подбор персонала (соискателей) на вакантные должности оператора
Персональные данные — фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, семейное положение, пол, адрес электронной почты, номер телефона, профессия, должность, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), сведения об образовании, фото-видео изображение лица
Категории субъектов, персональные данные которых обрабатываются — Соискатели
Правовое основание обработки персональных данных — обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных, осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом Трудовым кодексом Российской Федерации
Перечень действий — сбор запись систематизация накопление хранение уточнение (обновление, изменение) извлечение использование передача (предоставление, доступ) блокирование удаление уничтожение
Способы обработки – смешанная, без передачи по внутренней сети юридического лица, с передачей по сети Интернет
• Официальное трудоустроенные сотрудники
Цель обработки ПД — Ведение кадрового и бухгалтерского учета,
Персональные данные — фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; доходы; пол; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; профессия; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании; фото-видео изображение лица
Категории субъектов, персональные данные которых обрабатываются – Работники; Родственники работников; Уволенные работники
Правовое основание обработки персональных данных – обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; Трудовой Кодекс Российской Федерации
Перечень действий — сбор запись систематизация накопление хранение уточнение (обновление, изменение) извлечение использование передача (предоставление, доступ) блокирование удаление уничтожение
Способы обработки – смешанная, без передачи по внутренней сети юридического лица, с передачей по сети Интернет
Цель обработки ПД — Обеспечение соблюдения трудового законодательства РФ,
Персональные данные — фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; доходы; пол; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; профессия; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании; фото-видео изображение лица
Категории субъектов, персональные данные которых обрабатываются — Работники; Родственники работников; Уволенные работники
Правовое основание обработки персональных данных – обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных, осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом; Трудовой кодекс Российской Федерации
Перечень действий — сбор запись систематизация накопление хранение уточнение (обновление, изменение) извлечение использование передача (предоставление, доступ) блокирование удаление уничтожение
Способы обработки – смешанная, без передачи по внутренней сети юридического лица, с передачей по сети Интернет
Цель обработки ПД — Обеспечение соблюдения налогового законодательства РФ,
Персональные данные — фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; доходы; пол; адрес места жительства; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; профессия; должность;
Категории субъектов, персональные данные которых обрабатываются — Работники;
Правовое основание обработки персональных данных – обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей Налоговый кодекс РФ
Перечень действий — сбор запись систематизация накопление хранение уточнение (обновление, изменение) извлечение использование передача (предоставление, доступ) блокирование удаление уничтожение
Способы обработки – смешанная, без передачи по внутренней сети юридического лица, с передачей по сети Интернет
Цель обработки ПД — Обеспечение соблюдения пенсионного законодательства РФ
Персональные данные — фамилия, имя, отчество; дата рождения; место рождения; доходы; пол; адрес места жительства; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации);
Категории субъектов, персональные данные которых обрабатываются – Работники;
Правовое основание обработки персональных данных — обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;Федеральный закон от 01.04.1996 № 27-ФЗ » Об обязательном (персонифицированном) учете в системе обязательного пенсионного страхования», Федеральный закон от 15.12.2002 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»
Перечень действий — сбор запись систематизация накопление хранение уточнение (обновление, изменение) извлечение использование передача (предоставление, доступ) блокирование удаление уничтожение
Способы обработки – смешанная, без передачи по внутренней сети юридического лица, с передачей по сети Интернет
• Работа сайта – формы обратной связи, сбор поведенческих факторов, Метрика, cookies
Цель обработки ПД – Продвижение товаров, работ, услуг на рынке
Персональные данные – фамилия, имя, отчество; адрес места жительства; номер телефона;
Категории субъектов, персональные данные которых обрабатываются – Посетители сайта
Правовое основание обработки персональных данных — обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
Перечень действий — сбор запись систематизация накопление хранение уточнение (обновление, изменение) извлечение использование передача (предоставление, доступ) блокирование удаление уничтожение
Способы обработки – смешанная, без передачи по внутренней сети юридического лица, с передачей по сети Интернет
•Клиенты – физические лица и сотрудники юридических лиц
Цель обработки ПД — Подготовка, заключение и исполнение гражданско-правового договора
Персональные данные – фамилия, имя, отчество; адрес электронной почты; адрес места жительства; номер телефона; должность, ИНН; данные документа, удостоверяющего личность; номер расчетного счета; адрес места жительства
Категории субъектов, персональные данные которых обрабатываются – Контрагенты; Представители контрагентов; Клиенты;
Правовое основание обработки персональных данных – обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных,;
заключение договоров на оказание услуг или выполнение работ\
Перечень действий — сбор запись систематизация накопление хранение уточнение (обновление, изменение) извлечение использование передача (предоставление, доступ) блокирование удаление уничтожение Способы обработки – смешанная, без передачи по внутренней сети юридического лица, с передачей по сети Интернет
4️⃣ Заполните раздел, в котором указаны Средства и меры защиты
• Укажите меры, которые в вашей компании приняты в целях охраны персональных данных. Например, следующие:
- Разработаны локальные акты по вопросам обработки персональных данных;
- Лица, осуществляющие обработку ознакомлены с локальными актами и законодательством о персональных данных;
- С субъектов собираются согласия на обработку персональных данных;
- Назначен ответственный за организацию обработки персональных данных;
- Исключена возможность неконтролируемого проникновения или пребывания посторонних лиц в помещения, где ведется работа с персональными данными;
- Обеспечена сохранность носителей персональных данных и средств защиты информации;
- Для обеспечения безопасности персональных данных применяются программно-технические средства;
- Осуществляется внутренний контроль соответствия обработки персональных данных требованиям Федерального закона РФ № 152 «О персональных данных» и принятым в соответствии с ним нормативно правовым актам.
• Укажите средства, которые в вашей компания приняты в целях охраны персональных данных. Например, следующие:
- Пара логин-пароль при входе в систему и сервисы компании;
- Антивирусные средства защиты информации;
- Электронная цифровая подпись.
Также можете указать сейфы, запираемые металлические шкафы, сигнализацию и др.
• Укажите данные цифровой подписи, которая наверняка есть у вашей компании
• Укажите лицо, ответственное за обработку персональных данных в Вашей компании. Это может быть директор, кадровик, бухгалтер или иной сотрудник, непосредственно связанный с обработкой ПД
• Дата начала обработки персональных данных. Укажите дату с учётом того, что уведомление должно быть подано за месяц до начала обработки. Дата начала обработки персональных данных может совпадать с датой регистрации оператора в ЕГРЮЛ.
• Заполните данные о прекращении обработки персональных данных. Чаще всего для ООО – ликвидация или реорганизация, для ИП – прекращение деятельности в качестве индивидуальной предпринимателя (прекращение статуса ИП)
• Трансграничная передача данных – не осуществляется.
5️⃣ Заполните сведения о Центрах обработки персональных данных
В первую очередь, это фактические адреса, где
- хранятся, создаются в электронном виде и обрабатывается на локальных ПК организации/ИП,
- хранятся документы, которые создаются на бумажных носителях (например, трудовые книжки, резюме, заявления на налоговый вычет и пр.).
Во-вторых, если вы используете облачные сервисы битрикс.24, AMO CRM, 1С, автоматический сбор заявок на сайтах tilda, иных CMS, следовательно, у вас есть иные ЦОД. Указать нужно и их, нажав кнопку «Добавить сведения».
Заполнить в таком случае необходимо
- тип организации;
- организационно-правовую форму;
- наименование организации;
- ОГРН;
- ИНН;
- страну местонахождения организации, ответственной за хранение данных;
- адрес местонахождения организации, ответственной за хранение данных в соответствии с ЕГРЮЛ.
• Если у вас нет государственных или муниципальных информационных систем, то необходимо удалить набор полей
6️⃣ Заполните сведения о Лицах, обрабатывающих персональные данные
Укажите лицо, ответственное за обработку персональных данных в Вашей компании. Это может быть директор, кадровик, бухгалтер или иной сотрудник, непосредственно связанный с обработкой ПД
7️⃣ Заполните Сведения об обеспечении безопасности персональных данных
Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством РФ:
1. Обеспечена безопасность помещений, в которых осуществляется обработка персональных данных.
2. Обеспечена сохранность носителей персональных данных.
3. Обеспечена безопасность персональных данных при их обработке в информационных системах.
8️⃣ Завершите заполнение, подпишите и направьте форму
Заполните сведения о лице, подающем уведомление, проставьте «галочки» в окошках после уведомления и нажмите «Отправить электронное уведомление и подготовить форму к распечатке».
Если уведомление отправляет не руководитель, то приложите файл машиночитаемой доверенности в форматах XML и SIG.
Какие документы должны быть разработаны в компании
Помимо подачи уведомления, у компании Оператора персональных данных должна быть принята и утверждена Политика по обработке персональных данных, а все сотрудники, клиенты и посетители сайта должны быть ознакомлены с указанной документацией и подписать согласие на обработку персональных данных.
Скачать форматы указанных документов за символическую оплату Вы можете по ссылке ниже. В пакет документов включены:
- Политика в сфере обработки персональных данных
- Лист ознакомления с политикой
- Формат согласия на обработку персональных для посетителя сайта
- Формат согласия на обработку персональных для сотрудника
- Формат согласия на обработку персональных для клиента
- Пример заполнения уведомления об обработке персональных данных
- Инструкция по заполнению уведомления об обработке персональных данных
Проведите аудит вашего корпоративного сайта
Если Ваш корпоративный сайт собирает поведенческие факторы посетителей, вы анализируете статистику посещений, а также на сайте есть формы сбора обратной связи, в которых пользователи указывают свои ФИО, телефоны, адреса электронной почты, задают вопросы, то на сайте обязательно должны быть:
• Политика по обработке персональных данных (текст или скан документа);
• Согласие на обработку персональных данных (текст);
• В формах обратной связи — «галочка» о том, что пользователь ознакомлен с политикой и даёт своё согласие на обработку персональных данных. При этом должны быть установлены активные ссылки на Политику и согласие;
• Уведомление о том, что администрация сайта использует сервисы сбора поведенческих факторов пользователей сайта.
Если вам требуется помощь юриста по вопросу обработки персональных данных — обратитесь в нашу компанию
Мы поможем разработать документы в сфере охраны персональных данных, заполнить и подать уведомление в РКН, проведём аудит сайта и решим иные вопросы в сфере обработки ПД
