Как подать уведомление в Роскомнадзор об обработке ПД пошагово

Новая компания запустилась, наняла людей, открыла приём заявок на сайте и тут же стала оператором персональных данных. Самый частый вопрос на старте звучит коротко. С чего начать, чтобы не нарваться на штраф. Ответ простой по структуре и строгий по срокам. Сначала уведомление в Роскомнадзор, потом обработка. Разберём порядок по шагам, опираясь на статью 22 закона 152-ФЗ.

Шаг 1. Проверить, нужно ли уведомление

Часть 1 статьи 22 устанавливает правило. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган о намерении осуществлять обработку, кроме случаев из части 2. Поэтому первый шаг это проверить, не подпадает ли деятельность под исключение.

Часть 2 после реформы 2022 года оставила узкий перечень. Пункты 1 6 утратили силу с 1 сентября 2022 года. Среди оставшихся исключений, в частности, данные в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, обработка исключительно без использования средств автоматизации и случаи, связанные с транспортной безопасностью. Для большинства коммерческих компаний исключение не применяется, и уведомление обязательно.

Шаг 2. Собрать сведения для уведомления

Часть 3 статьи 22 определяет, что уведомление направляется на бумаге или в форме электронного документа и подписывается уполномоченным лицом. Содержание уведомления это и есть основная работа на этом шаге. Понадобятся следующие сведения.

Наименование и адрес оператора. Цель обработки персональных данных. Описание мер, предусмотренных статьями 18.1 и 19, в том числе сведения о наличии шифровальных средств и их наименования. ФИО или наименование лица, ответственного за организацию обработки, с номерами телефонов, почтовыми адресами и адресами электронной почты. Дата начала обработки. Срок или условие прекращения обработки. Сведения о наличии или отсутствии трансграничной передачи. Сведения о месте нахождения базы данных, содержащей данные граждан России. Сведения об обеспечении безопасности данных в соответствии с требованиями, установленными Правительством.

Часть 3.1 добавляет важное уточнение. Для каждой цели обработки оператор указывает категории персональных данных, категории субъектов, правовое основание обработки, перечень действий с данными и способы обработки. Поэтому одной общей фразой про цель обойтись не получится, каждая цель раскрывается отдельно.

Шаг 3. Выбрать способ подачи

Часть 3 статьи 22 прямо допускает два формата документа. Бумажный носитель или форма электронного документа, подписанная уполномоченным лицом. Часть 8 закрепляет, что формы уведомлений устанавливаются уполномоченным органом по защите прав субъектов персональных данных. Это значит, что заполнять уведомление нужно по актуальной форме Роскомнадзора, а не по произвольному шаблону.

При подаче стоит проверить полномочия подписанта и корректность реквизитов оператора, поскольку именно на этой стадии чаще всего возникают расхождения, ведущие к запросу уточнений.

Шаг 4. Дождаться внесения в реестр

Часть 4 статьи 22 устанавливает срок для уполномоченного органа. В течение тридцати дней с даты поступления уведомления орган вносит сведения, указанные в части 3, а также сведения о дате направления уведомления в реестр операторов. Сведения реестра, кроме данных о средствах безопасности, общедоступны, поэтому после внесения запись можно проверить.

Часть 5 снимает финансовый вопрос. На оператора не могут возлагаться расходы в связи с рассмотрением уведомления и внесением сведений в реестр. Процедура для оператора бесплатна.

Часть 6 описывает сценарий неполных или недостоверных сведений. Если в уведомлении часть 3 заполнена не полностью или недостоверно, уполномоченный орган вправе требовать от оператора уточнения сведений до их внесения в реестр. Запрос уточнений это не отказ, а возможность исправить уведомление.

Цена ошибки

Неуведомление это не формальность. Часть 10 статьи 13.11 КоАП прямо устанавливает ответственность за невыполнение или несвоевременное выполнение оператором обязанности по уведомлению уполномоченного органа о намерении осуществлять обработку персональных данных. Санкция для граждан от пяти тысяч до десяти тысяч рублей, для должностных лиц от тридцати тысяч до пятидесяти тысяч рублей, для юридических лиц от ста тысяч до трёхсот тысяч рублей. Эта часть введена законом от 30 ноября 2024 года N 420-ФЗ и появилась как отдельный состав именно под просрочку уведомления.

Слово несвоевременное в диспозиции означает, что наказуема и задержка, а не только полное отсутствие уведомления. Поэтому подача с опозданием, после начала фактической обработки, тоже образует состав.

На что смотрит проверяющий

Инспектор сопоставляет дату начала обработки, заявленную в уведомлении, с реальной деятельностью. Если компания работает с данными давно, а уведомление подано задним числом или вовсе отсутствует, это прямой признак нарушения по части 10 статьи 13.11 КоАП. Второй фокус полнота сведений по части 3.1. Уведомление с одной размытой целью без привязки категорий данных и оснований выглядит как недостоверные сведения и провоцирует запрос уточнений по части 6 статьи 22.

Частые ошибки

Первая ошибка подать уведомление после старта обработки. Часть 1 статьи 22 требует уведомить до начала, иначе наступает риск по части 10 статьи 13.11 КоАП. Вторая ошибка указать цель обработки одной строкой без раскрытия категорий и оснований, чего требует часть 3.1. Третья ошибка использовать произвольный бланк вместо формы, установленной уполномоченным органом по части 8.

Частые вопросы

Сколько стоит подача уведомления. Нисколько. Часть 5 статьи 22 запрещает возлагать на оператора расходы в связи с рассмотрением уведомления и внесением сведений в реестр.

Что будет, если в уведомлении ошибка. По части 6 статьи 22 уполномоченный орган вправе потребовать уточнить сведения до внесения в реестр. Это рабочая стадия, а не отказ.

Какой штраф за неподачу уведомления. Часть 10 статьи 13.11 КоАП предусматривает для юридических лиц от ста тысяч до трёхсот тысяч рублей, для должностных лиц от тридцати тысяч до пятидесяти тысяч рублей, для граждан от пяти тысяч до десяти тысяч рублей.

Чтобы корректно описать цели и категории данных и пройти внесение в реестр без запросов на уточнение, имеет смысл подготовить уведомление в рамках услуги по персональным данным и обсудить детали через контакты.