Штраф за неподачу уведомления в Роскомнадзор об обработке ПД

До конца 2024 года уведомление в Роскомнадзор воспринималось бизнесом как формальность, за которую почти ничего не грозит. Картина изменилась резко. Федеральным законом от 30.11.2024 N 420-ФЗ в статью 13.11 КоАП РФ введена отдельная часть 10, которая прямо карает оператора за то, что он не сообщил надзорному органу о своём намерении обрабатывать персональные данные. Штраф для юридического лица доходит до трёхсот тысяч рублей, и это уже не теория. Под удар попадают почти все, кто ведёт клиентскую базу, кадровый учёт или хотя бы форму обратной связи на сайте.

Раньше существовал длинный перечень исключений, под который пытались подвести почти каждого оператора. Сейчас логика обратная. Уведомлять нужно практически любому, кто собирает персональные данные, а перечень случаев, когда уведомление не требуется, сократился до узких ситуаций. Поэтому компания, которая годами работала без уведомления и считала это нормой, сегодня находится в зоне прямого риска.

Что именно наказывает часть 10 статьи 13.11 КоАП

Диспозиция части 10 статьи 13.11 КоАП РФ сформулирована так. Ответственность наступает за невыполнение или несвоевременное выполнение оператором предусмотренной законодательством в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных.

Здесь два самостоятельных варианта нарушения. Первый, это полное отсутствие уведомления, когда оператор вообще не подавал документ в Роскомнадзор. Второй, несвоевременная подача, когда уведомление отправлено, но с опозданием против установленного срока. Закон уравнивает их по тяжести, и просрочка квалифицируется так же, как и молчание. Это важная деталь для тех, кто рассчитывает спастись фразой «мы как раз собирались подать».

Размеры санкции по части 10 статьи 13.11 КоАП такие. Граждане платят от пяти тысяч до десяти тысяч рублей. Должностные лица платят от тридцати тысяч до пятидесяти тысяч рублей. Юридические лица платят от ста тысяч до трёхсот тысяч рублей. Часть 10 введена Федеральным законом от 30.11.2024 N 420-ФЗ, то есть это новелла, а не давно действовавшая норма, и судебная практика по ней только формируется.

Чем часть 11 отличается от части 10

Рядом стоит часть 11 статьи 13.11 КоАП РФ, и её путают с частью 10, хотя речь идёт о совершенно разных обязанностях. Часть 11 наказывает оператора за то, что он не уведомил Роскомнадзор об инциденте, а именно об установлении факта неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлёкшей нарушение прав субъектов.

Простыми словами, часть 10 это про вход в реестр операторов, а часть 11 это про утечку. Санкция по части 11 на порядок жёстче. Граждане платят от пятидесяти тысяч до ста тысяч рублей. Должностные лица платят от четырёхсот тысяч до восьмисот тысяч рублей. Юридические лица платят от одного миллиона до трёх миллионов рублей. Часть 11 также введена Федеральным законом от 30.11.2024 N 420-ФЗ.

Здесь видна авторская мысль законодателя. Сам по себе пропуск уведомления о намерении обрабатывать данные обходится сравнительно недорого, до трёхсот тысяч для компании. А вот сокрытие утечки приравнено к одному из самых дорогих составов в главе и тянет до трёх миллионов. Поэтому стратегия защиты по этим двум частям строится по-разному, и смешивать их в одном объяснении инспектору опасно.

Как обязанность уведомлять связана с самой обработкой данных

Обязанность уведомлять вырастает из общей конструкции законодательства о персональных данных. Обработка по статье 6 Федерального закона от 27.07.2006 N 152-ФЗ допускается, в частности, с согласия субъекта персональных данных, а также в ряде иных случаев, например когда обработка необходима для исполнения договора, стороной которого является субъект. То есть оператор почти всегда обрабатывает данные на законном основании, но наличие законного основания не освобождает его от уведомления о намерении эту обработку вести. Это два разных юридических действия, и их нельзя подменять одно другим.

Типичная ошибка звучит так. «У нас есть согласие клиентов, значит к нам претензий быть не может». Согласие закрывает вопрос правомерности самой обработки, но не закрывает вопрос уведомления реестра. Привлечь по части 10 статьи 13.11 КоАП можно и того оператора, у которого все согласия идеально оформлены.

На что смотрит суд и Роскомнадзор

При разборе дела по части 10 статьи 13.11 КоАП внимание сосредоточено на нескольких точках. Первое, является ли организация оператором персональных данных по факту своей деятельности, а не по записи в каком-либо реестре. Если есть клиенты, сотрудники, контрагенты-физлица, оператор существует. Второе, подавалось ли уведомление вообще и в какую дату. Третье, попадает ли деятельность под исключение, освобождающее от уведомления, и доказал ли это сам оператор. Бремя обоснования исключения лежит на компании, а не на надзоре.

Частые ошибки операторов выглядят так. Компания считает себя слишком маленькой, чтобы быть оператором, и не подаёт уведомление. Компания подаёт уведомление с большим опозданием и думает, что просрочка ненаказуема. Компания обрабатывает данные сотрудников и уверена, что кадровый учёт автоматически выведен из-под уведомления, хотя круг исключений узкий. Компания путает уведомление о намерении обрабатывать данные с уведомлением об утечке и из-за этого недооценивает свои обязанности по части 11.

Конкретный пример

Интернет-магазин работает три года, ведёт базу из нескольких тысяч покупателей, собирает имя, телефон, адрес доставки. Уведомление в Роскомнадзор не подавалось ни разу, потому что прежний бухгалтер сказал, что «торговля под исключение попадает». В ходе проверки выявлено отсутствие уведомления о намерении обрабатывать персональные данные. Состав части 10 статьи 13.11 КоАП налицо, поскольку магазин является оператором и обязанность уведомить не исполнена. Для юридического лица санкция находится в диапазоне от ста тысяч до трёхсот тысяч рублей. Если бы при этом база утекла и магазин скрыл бы факт от надзора, добавился бы самостоятельный состав по части 11 с санкцией до трёх миллионов рублей.

Что делать оператору прямо сейчас

Тактика простая и прагматичная. Сначала честно ответьте на вопрос, обрабатываете ли вы персональные данные хоть кого-то, клиентов, работников, посетителей сайта. Почти всегда ответ положительный. Затем проверьте, подавали ли вы уведомление и в какую дату. Если уведомления нет, подайте его, не дожидаясь проверки, потому что добровольное устранение нарушения и подача до прихода надзора это сильный аргумент при назначении наказания. Если деятельность кажется подпадающей под исключение, зафиксируйте обоснование письменно заранее, ведь доказывать исключение придётся вам.

Отдельно держите в голове разделение составов. Уведомление о намерении обрабатывать данные закрывает риск по части 10. Регламент реагирования на утечку, который обеспечивает уведомление надзора в установленные сроки, закрывает риск по части 11. Это два разных внутренних процесса, и оба нужны.

Частые вопросы

Нужно ли подавать уведомление, если у нас только данные сотрудников. Да, кадровая обработка не выводит компанию из-под обязанности автоматически. Круг ситуаций, освобождающих от уведомления, узкий, и его применимость нужно обосновывать. По умолчанию исходите из того, что уведомление требуется.

Если мы подали уведомление с опозданием, нас всё равно оштрафуют. Часть 10 статьи 13.11 КоАП прямо называет несвоевременное выполнение обязанности наказуемым. Просрочка квалифицируется наравне с полным отсутствием уведомления. При этом сам факт того, что вы устранили нарушение до проверки, работает в вашу пользу при определении размера штрафа.

Чем грозит, если мы скрыли утечку. Это уже не часть 10, а часть 11 статьи 13.11 КоАП. Санкция для юридического лица доходит до трёх миллионов рублей. Сокрытие инцидента наказывается на порядок строже, чем непредставление уведомления о намерении обрабатывать данные.

Если вы не уверены, нужно ли вам уведомление и как закрыть оба риска сразу, разумнее разобрать конкретную деятельность с юристом по защите данных. Мы помогаем оценить статус оператора, подготовить и подать уведомление, выстроить регламент реагирования на инциденты. Подробнее об услуге и контактах.