С 30 мая 2025 года существенно увеличились размеры штрафов за непредставление в Роскомнадзор уведомлений о намерении осуществлять обработку персональных данных. Федеральным законом от 30.11.2024 №420-ФЗ в ст.13.11 КоАП РФ была добавлена часть 10, согласно которой штрафы составляют:
Обязанность и порядок по уведомлению Роскомнадзора установлена ст.22 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее – «Закон о персональных данных»).
Напомним, что представлять уведомления о намерении осуществлять обработку персональных данных в Роскомнадзор должны организации, ИП и самозанятые (далее – «Операторы ПД»), собирающие и обрабатывающие персональные данные:
Исключением из указанной обязанности являются случаи, если Оператор ПД осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации (т.е. без средств вычислительной техники), а также другие случаи, предусмотренные ч.2 ст.22 Закона о персональных данных.
Уведомление направляется по форме, утвержденной приказом Роскомнадзора от 28.10.2022 №180. На сайте Роскомнадзора по указанной ссылке размещена информация о способах подачи уведомления: сделать это можно как в электронном виде, заполнив форму на сайте с использованием ЭЦП (должна быть подтвержденная учетная запись на портале Госуслуг), либо непосредственно через портал Госуслуг, так и в бумажном виде по почте.
Уведомление должно содержать, в том числе, следующие сведения:
1) цель обработки персональных данных;
2) описание мер, предусмотренных ст.18.1 и ст.19 Закона о персональных данных, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
3) ФИО физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и их контакты;
4) дата начала обработки персональных данных;
5) срок или условие прекращения обработки персональных данных;
6) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;
7) сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;
8) ФИО физического лица или наименование юридического лица, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах;
9) сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации.
Полный перечень сведений, которые должно содержать уведомление, приведен в ч.3 ст.22 Закона о персональных данных.
В уведомлении Оператор ПД для каждой цели обработки персональных данных указывает:
В течение 30 дней с даты получения уведомления, Роскомнадзор вносит Оператора ПД в реестр операторов персональных данных, с этого момента Оператор ПД вправе осуществлять действия по сбору и обработке персональных данных (ч.4 ст.22 Закона о персональных данных).
Помимо уведомления о намерении осуществлять обработку персональных данных Операторы ПД обязаны направлять также уведомления об изменении ранее поданных сведений (не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения), а также о прекращении обработки персональных данных (в течение 10 рабочих дней с даты прекращения). При этом для направления уведомления о намерении осуществлять обработку персональных данных (в отличие от других форм уведомления) конкретный срок не установлен, указано только на то, что оно осуществляется до начала работы с персональными данными.
Указанное нововведение представляет собой новую специальную норму, которая устанавливает ответственность только за невыполнение обязанности по уведомлению о намерении осуществлять обработку персональных данных. В части других уведомлений продолжает применяться ответственность, установленная общей нормой - ст.19.7 КоАП РФ.
Согласно ч.2 ст.3 Закона о персональных данных, оператором персональных данных является государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Оценщики как физические лица являются Операторами ПД только в том случае, если они осуществляют оценочную деятельность в порядке частной практики. Оценщики, заключившие трудовой договор с организаций, Операторами ПД не являются, им является сама организация. Соответственно, указанная в ст.22 Закона о персональных данных обязанность распространяется на частнопрактикующих оценщиков и оценочные организации.
Если вы являетесь частнопрактикующим оценщиком или руководителем оценочной организации и обрабатываете персональные данные, но еще не подали уведомление в Роскомнадзор, то рекомендуем сделать это в ближайшее время. Меры ответственности существовали и ранее, но не исключено, что в связи с новой нормой случаи, когда Роскомнадзор будет штрафовать Операторов ПД за невыполнение указанного требования, участятся.
Напомним также, что помимо уведомления Роскомнадзора Операторы ПД должны выполнять и другие обязанности, установленные Законом о персональных данных (в частности, иметь политику об обработке персональных данных и размещать ее на своем сайте, собирать согласия субъектов на обработку их персональных данных, организации - назначать ответственное за обработку персональных данных лицо и т.д.). Данные в уведомлении Роскомнадзора обязательно должны соответствовать политике об обработке персональных данных, перед подачей уведомления рекомендуется иметь ее на сайте.