Что нужно делать операторам персональных данных после 30 мая 2025 года

Что делать, если не успели подать уведомление в Роскомнадзор до 30 мая

     Если организация, ИП или самозанятый не успели подать в Роскомнадзор уведомление об обработке персональных до 30 мая 2025 года, то они могут сделать это позднее. 30 мая не является крайним сроком для подачи таких уведомлений. Это всего лишь дата вступления в силу Федерального закона от 30.11.2024 №420-ФЗ, который помимо всего прочего увеличил размеры административных штрафов за непредставление в Роскомнадзор уведомлений об обработке персональных данных. В соответствии с законом за указанное нарушение организации и ИП теперь штрафуют на сумму от 100 000 до 300 000 рублей, а самозанятых – от 5 000 до 10 000 рублей (ч.10 ст.13.11 КоАП РФ). Напомним, ранее штраф за это нарушение для компаний был от 3 000 до 5 000 рублей по ст.19.7 КоАП РФ.


     Действующее законодательство не устанавливает никаких крайних, пресекательных сроков для подачи уведомлений об обработке персональных данных, по истечении которых такие уведомления уже не могут быть представлены. В ч.1 ст.22 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» говорится только о том, что уведомление необходимо направить в Роскомнадзор до начала обработки персональных данных. Конкретных сроков данная норма не устанавливает.


     Соответственно, уведомление в Роскомнадзор можно направить в любое время до того, как Роскомнадзор обнаружит, что компания осуществляет обработку персональных данных без представления соответствующего уведомления. 


     Уведомление нужно представить по форме, утв. приказом Роскомнадзора от 28.10.2022 №180. Заполнить уведомление можно на сайте Роскомнадзора, через портал Госуслуг, в программе 1С:Бухгалтерия 8 или вручную, распечатав его на бумажном носителе. Направить заполненное уведомление можно в электронном виде через сайт Роскомнадзора или портал Госуслуг, подписав его электронной подписью. Также уведомление можно сдать на бумажном носителе по почте заказным письмо с описью вложения, направив его в территориальный орган РКН по месту регистрации компании (месту жительства ИП).


     Получив уведомление, Роскомнадзор в течение 30 дней проверит содержащиеся в нем сведения и внесет компанию в Реестр операторов персональных данных (ч.4 ст.22 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»). 


    Кто подпадает под штрафы за отсутствие уведомления в Роскомнадзор

     Даже если компания не успела подать уведомление об обработке персональных данных до 30 мая 2025 года и Роскомнадзор это обнаружил, то это не значит, что ее сразу оштрафуют на сумму от 100 000 до 300 000 рублей. То же самое касается и случаев, когда компания подает такое уведомление позже даты начала обработки персональных данных (например, обработка началась в январе 2018 года, а организация подала уведомление об обработке только в июле 2025 года). По общему правилу и в той, и в другой ситуации штрафа не будет.


     В настоящее время контролеры, в том числе и Роскомнадзор, обязаны соблюдать правило, установленное ч.1 ст.4.1.1 КоАП РФ. Согласно данному правилу, если административное правонарушение допущено впервые и за его совершение нормой КоАП РФ предусмотрено наказание в виде штрафа, то штраф подлежит обязательной замене на предупреждение. Неподача и несвоевременная подача в Роскомнадзор уведомления об обработке персональных данных подпадают под это правило.


     Поэтому, установив, что компания обрабатывает персональные данные граждан без подачи уведомления, Роскомнадзор не будет ее штрафовать, а направит в ее адрес предупреждение о недопустимости обработки персональных данных без уведомления. Исключение составят случаи, когда компания в течение года уже привлекалась к административной ответственности в виде предупреждения или штрафа за нарушения в сфере персональных данных по ст.13.11 КоАП РФ. Таким компаниям за непредставление уведомления действительно грозит административный штраф.


     Получив предупреждение и специальное предписание, компания должна устранить нарушение и направить в Роскомнадзор уведомление об обработке персональных данных. Если же и в таком случае не направить уведомление, то контролеры уже могут оштрафовать ч.10 ст.13.11 КоАП РФ. Но штраф последует только после неисполнения предписания Роскомнадзора, а не по факту выявления обработки персональных данных без подачи уведомления. Поэтому, получив из Роскомнадзора предписание и предупреждение, компания в обязательном порядке должна направить в ведомство уведомление в указанные в предписании сроки (как правило, это 10 дней с момента получения предписания).


Также предписание Роскомнадзора компания может получить и в случаях, если ранее она представила уведомление об обработке персональных данных с ошибками и неточностями. В этой ситуации ранее поданное уведомление необходимо исправить. Также исправить уведомление нужно при изменении сведений, которые были в нем указаны (например, при добавлении новых целей обработки персональных данных или изменении лица, ответственного за такую обработку).

Как исправить ранее поданное уведомление в Роскомнадзор

     Если уведомление об обработке персональных данных было оформлено с ошибками (указаны излишние цели обработки, заявлен сбор персональных данных, не соответствующих целям обработки, неправильно указан адрес ЦОД и т.д.) или если компания изменила порядок обработки данных (например, сократила или увеличила цели обработки), она должна исправить ранее поданное уведомление.


     Для этого в Роскомнадзор необходимо направить корректирующее уведомление по форме, приведенной в приложении №2 к приказу Роскомнадзора от 28.10.2022 №180. В этой форме указывают наименование и ИНН компании-оператора, ее регистрационный номер записи в реестре операторов, дату изменения сведений и сведения, которые нужно изменить. Заполнить уведомление можно на сайте Роскомнадзора, в программе 1С или на бумажном носителе.


     Срок направления корректирующего уведомления зависит от причин, по которым потребовалась корректировка. Если в первоначальном уведомлении была допущена ошибка, то корректирующее уведомление необходимо направить сразу же после ее выявления. Если же корректировка обусловлена изменением сведений, заявленных в первоначальном уведомлении, то исправляющее уведомление нужно подать не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения, влияющие на порядок обработки персональных данных (ч.7 ст.22 Федерального закона от 27.07.2006 №152-ФЗ).

     Если компания не исправит ранее поданное уведомление, содержащее ошибочные или устаревшие, неактуальные сведения, ее могут привлечь к административной ответственности по ст.13.11 КоАП РФ. Например, если в уведомлении указаны излишние цели обработки персональных данных или данные, сбор которых не соответствует заявленным целям обработки, компанию могут оштрафовать по ч.1 ст.13.11 КоАП РФ за нецелевую обработку персональных сведений. Штраф за такое нарушение составляет для ИП от 50 000 до 100 000 рублей, а для организаций – от 150 000 до 300 000 рублей.


     Поэтому актуальность и достоверность сведений, содержащихся в уведомлении, необходимо держать на постоянном контроле и при необходимости подавать в Роскомнадзор корректирующее уведомление об обработке персональных данных. 

Остались вопросы? Нужна помощь? Звоните тел. 8-921-930-03-20


     Источник https://buh.ru/articles/chto-nuzhno-delat-operatoram-personalnykh-dannykh-posle-30-maya-2025-goda.html