Если вы собираете, храните или обрабатываете данные о людях — вы оператор персональных данных. И это касается не только крупных компаний: под требования закона попадают и ИП, и самозанятые, и небольшие онлайн?школы. Разберём, что это значит на практике, когда нужно подавать уведомление в Роскомнадзор, кому можно этого не делать и как не попасть на штрафы.
Кто по закону является оператором персональных данных
Согласно Федеральному закону № 152?ФЗ «О персональных данных», оператором считается любое лицо (организация, ИП, самозанятый), которое самостоятельно или совместно с другими лицами организует и/или осуществляет обработку персональных данных.
Простыми словами: если вы определяете, зачем нужны данные, какие именно данные собираете и что с ними делаете — вы оператор.
Примеры, когда бизнес автоматически становится оператором:
- на сайте есть форма заявки с полями «Имя» и «Телефон»;
- вы ведёте базу клиентов в Excel или CRM;
- собираете e?mail для рассылки;
- оформляете договоры с физлицами;
- нанимаете сотрудников и обрабатываете их кадровые данные.
Даже минимального набора «имя + телефон» достаточно, чтобы считаться оператором.
Когда нужно подавать уведомление в Роскомнадзор
По общему правилу, оператор обязан уведомить Роскомнадзор до начала обработки персональных данных (ч. 1 ст. 22 Закона № 152?ФЗ). Уведомление подаётся один раз, но его нужно актуализировать при изменениях. Уведомления которые были поданы до 01.09.2022 г. нужно перепадать в новой форме. С 30 мая 2025 года за отсутствия уведомления - штраф до 300 тыс. рублей для юрлиц.
Кому можно не подавать уведомление
Есть исключения (ч. 2 ст. 22 Закона № 152?ФЗ), когда уведомление не требуется, например:
- обработка ведётся исключительно без использования средств автоматизации (вручную), при соблюдении установленных требований;
- данные обрабатываются в рамках отдельных специальных режимов (например, госбезопасность, транспортная безопасность — это узкие случаи);
- персональные данные используются для личных и семейных нужд (например, контакты в телефонной книге для личного пользования).
Важно: большинство коммерческих сценариев (сайт, CRM, рассылки, найм) не попадают под эти исключения.
Почему старые уведомления могут «не работать»
Уведомление — это не «разрешение на всю жизнь». Если у оператора изменились сведения, указанные в уведомлении, он обязан их актуализировать.
Частые причины, когда «старое» уведомление перестаёт соответствовать действительности:
- изменились цели обработки (например, запустили программу лояльности и стали собирать даты рождения);
- появились новые категории данных или новые каналы сбора (чат?бот, новый лендинг);
- изменилась передача данных третьим лицам (новый подрядчик, сервис рассылок, облачная CRM);
- поменялись меры защиты или место хранения баз данных;
- сменился ответственный за обработку персональных данных.
По закону, оператор должен направить уведомление об изменении сведений не позднее 15?го числа месяца, следующего за месяцем, когда произошли изменения. Если этого не сделать, сведения в реестре Роскомнадзора будут неактуальными, а при проверке это могут расценить как нарушение.
Как исправить ошибки и что делать при изменениях
Частые вопросы
Вопрос: «Я самозанятый, у меня только форма заявки на лендинге. Нужно ли подавать уведомление?»
Ответ: Да, если вы собираете персональные данные (даже имя и телефон) в коммерческих целях, вы оператор. Исключения для самозанятых законом не предусмотрены.
Вопрос: «У меня уже есть уведомление, но я подключил новый сервис рассылок. Что делать?»
Ответ: Нужно актуализировать сведения в Роскомнадзоре, указав нового обработчика и цели передачи данных.
Вопрос: «Если я не подавал уведомление вообще, стоит ли сейчас это делать?»
Ответ: Да. Лучше добровольно привести процессы в соответствие с законом, чем ждать проверки и штрафов.
Чем грозит отсутствие уведомления или неактуальные сведения
За нарушения в области персональных данных предусмотрена административная ответственность по ст. 13.11 КоАП РФ. Штрафы могут быть значительными, особенно при повторных нарушениях или утечках. Кроме того, Роскомнадзор может выдать предписание, а в случае неисполнения — обратиться в суд.
Статус оператора персональных данных возникает автоматически при работе с данными людей. Уведомление в Роскомнадзор — не разовое действие, а процесс: его нужно подавать до начала обработки и своевременно обновлять при любых изменениях. Если вы ещё не подавали уведомление или не актуализировали его после изменений в процессах — самое время это сделать.
