Обработка персональных данных, о намерении обрабатывать которые оператор должен уведомить Роскомнадзор (РКН)

С 30 мая 2025 года действуют поправки в ст. 13.11 КоАП РФ по ФЗ от 30.11.2024 №420-ФЗ, согласно которым обработка персональных данных без уведомления ведомства является незаконной.

Некоторые особенности уведомления в РКН в 2025 году:

Уведомление заполняется в электронной форме на официальном сайте РКН. https://roskom.online/?utm_source=rbc_roskom&utm_medium=fedresurs_online&utm_campaign=uvedomlenie_roskomnadzora_ob_obrabotke_pd
Работодателю необходимо назначить ответственное лицо за организацию обработки персональных данных. Ответственный в компании назначается только один.
Уведомление не нужно подавать, когда данные обрабатываются в целях защиты безопасности государства и общественного порядка, транспортной безопасности.
Уведомление заполняется по строго разработанной форме, утверждённой приказом Роскомнадзора от 28.10.2022 №180.
Датой начала обработки данных является дата основания организации.
Необходимо указать условие или срок прекращения обработки данных.

Варианты доставки уведомления в РКН: в бумажном виде почтой России или сдать нарочно в ведомство, в электронном виде с использованием усиленной квалифицированной электронной подписи или средств аутентификации ЕСИА.

Статус уведомления можно отслеживать на сайте ведомства. Роскомнадзор в течение 30 дней с даты поступления уведомления вносит информацию в реестр операторов.

В соответствии со ст. 22 ФЗ №152, оператор уведомляет Роскомнадзор о своем намерении обрабатывать персональные данные. Уведомление заполняется в электронной форме на официальном сайте РКН. Работодателю необходимо назначить ответственное лицо за организацию обработки персональных данных. Ответственный в компании назначается только один.

Согласно ст.22 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», представлять уведомление в Роскомнадзор должны организации, предприниматели и самозанятые, собирающие и обрабатывающие персональные данные:

сотрудников и кандидатов на работу;
контрагентов;
членов общественных объединений и религиозных организаций;
посетителей для однократного пропуска на территорию компании;
ФИО любого лица, полученное организацией.

Уведомление не нужно подавать, когда данные обрабатываются в целях защиты безопасности государства и общественного порядка, транспортной безопасности.

Уведомление заполняется по строго разработанной форме, утвержденной приказом Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных».

При заполнении уведомления необходимо учитывать многие аспекты — и вот некоторые из них:

датой начала обработки данных является дата основания организации. Пример: если компания основана в 2010 году, а уведомление подается в 2025 году, то датой обработки персональных данных будет 2010 год.
необходимо указать условие или срок прекращения обработки данных. Это может быть конкретная дата или условие (прекращение деятельности компании)
необходимо обратить особое внимание целям, так как они должны совпадать с целями, указанными в политике компании.

После того как уведомление заполнено на сайте ведомства, есть следующие варианты доставки его в Роскомнадзор, а именно:

в бумажном виде почтой России или сдать нарочно в ведомство;
в электронном виде с использованием усиленной квалифицированной электронной подписи;
в электронном виде с использованием средств аутентификации ЕСИА.

Статус уведомления можно отслеживать на сайте ведомства. Роскомнадзор в течение 30 дней с даты поступления уведомления вносит информацию в реестр операторов. Если уведомление было направлено почтой, то дата будет отсчитываться с момента его получения территориальным отделением.

Уведомление подается один раз, и компания фиксируется в реестре. В случае каких-либо изменений в сведениях оператор уведомляет ведомство об их изменении. Сведения могут измениться, в частности, добавления или исключения какой-либо из целей, личных данных, добавления филиалов компании, нового адреса компании, реорганизации юридического лица и так далее.

Уведомление об изменении данных подается тем же способом, что и первоначальное, но с оговоркой на изменение.

С 30 мая 2025 года действуют поправки в ст. 13.11 КоАП РФ по ФЗ от 30.11.2024 № 420-ФЗ. С этой даты, если не уведомлять ведомство, то предусмотрен штраф:

на граждан — от 5 000 до 10 000 рублей;
на должностных лиц от 30 000 до 50 000 рублей;
на юридических лиц от 100 000 до 300 000 рублей.

Ранее применялась такая санкция за непредставление информации по ст. 19.7 КоАП РФ. Максимальное наказание для компании было — 5 000 рублей.

Таким образом, с майскими изменениями в законодательстве неуведомление Роскомнадзора переходит в разряд критических рисков для бизнеса. Обработка персональных данных без уведомления ведомства об этом является незаконной. Подача уведомления является основанием для внесения компании в реестр операторов персональных данных и легализует всю ее дальнейшую работу по сбору и обработке таких данных. Если компания собирает такие данные, как ФИО, электронная почта или место работы, то она является оператором персональных данных, а следовательно, должна взаимодействовать с Роскомнадзором. То же самое касается ситуаций, когда у компании есть хотя бы один клиент или сотрудник, чьи личные сведения обрабатываются.

Подавая уведомление в Роскомнадзор, компания не только исполняет законное требование, но и поддерживает свою репутацию как ответственного контрагента в деловом сообществе. Любой желающий может зайти и посмотреть в реестре операторов, как та или иная компания обеспечивает защиту персональных данных и соблюдает действующее законодательство.