Уведомление в Роскомнадзор: штрафы

Роскомнадзор повысил компаниям и ИП штрафы, которые касаются работы с персональными данными. Из материала вы узнаете, какая ответственность предусмотрена в 2025 году за нарушения в данной сфере. Также выясните, что грозит за неподачу уведомления и ошибки в нем.

Над статьей работали:
Автор: Елена Ошмарина; редактор: Шкембри Евгения

Содержание

Ответственность за неподачу уведомления об обработке персональных данных
Штраф за неподачу уведомления об обработке персональных данных в Роскомнадзор
Штраф за ошибки в уведомлении Роскомнадзора

Ответственность за неподачу уведомления об обработке персональных данных

Если вы, как работодатель или контрагент, собираетесь заниматься автоматизированной обработкой персональных данных сотрудников, деловых партнеров, покупателей и иных лиц, вы обязаны об этом уведомить Роскомнадзор (РКН). Причем обратите внимание, что речь идет только об автоматизированной обработке. Подавать уведомление должны все, кто работает с персональной информацией физлица: организации, ИП и даже самозанятые. Причем оповестить РКН нужно до начала обработки. К персданным относят практически любую информацию о человеке, как то (ст. 3 Закона от 27.07.2006 № 152-ФЗ, письмо Минэкономсвязи РФ от 28.08.2020 № ЛБ-С-074-24059):

Ф.И.О.,
дату рождения;
паспортные реквизиты,
адрес проживания или пребывания,
ИНН, СНИЛС,
номер телефона,
информацию об образовании, должности,
данные о зарплате и иных доходах и прочее.

Также есть такое понятие, как «биометрические персональные данные». К ним относятся отпечатки пальцев, фото- и видеоматериалы о сотрудниках, контрагентах (письмо Роскомнадзора от 10.02.2020 № 08АП-6782).

То есть к персданным относится любая информация, которая прямо или косвенно связана с человеком. Получив ее, организация (ИП, самозанятый) становится оператором персданных. Поэтому о начале их автоматизированной обработки необходимо уведомить Роскомнадзор (п. 1 ст. 22 закона № 152-ФЗ). Уведомление можно направить в бумажном либо электронном виде с подписью уполномоченного лица. Формы уведомлений будут меняться в зависимости от ситуации:

если нужно уведомить госорган о начале обработки персданных, уведомление необходимо составить по форме, представленной в приложении № 1 к Приказу Роскомнадзора от 28.10.2022 № 180. Уведомление необходимо направить до начала обработки личной информации;
если нужно изменить информацию, отраженную в указанном выше уведомлении, используйте форму из приложения № 2 приказа. Документ направьте в РКН до 15-го числа месяца, следующего за месяцем, когда произошли изменения;
если прекращаете обрабатывать персданные (например, в связи с увольнением сотрудника), заполните форму из приложения № 3 к приказу. В этом случае уведомите ведомство на протяжении 10 рабочих дней.

Отправить электронное уведомление можно через сайт Роскомнадзора, авторизация проходит через «Госуслуги». Бумажную версию документа перешлите заказным письмом в региональное отделение ведомства.

Подробнее о том, как заполнить, в какие сроки, куда и как направить уведомление о начале обработки персданных, изложено в этой статье.

После получения такого уведомления РКН внесет сведения об операторе в специальный реестр. В результате у оператора появятся законные основания работать с персональной информацией. Чтобы убедиться в том, что организацию добавили в реестр, надо указать ее название или ИНН в отведенном поле и провести поиск по указанному реестру.

Также ведомство необходимо уведомить об утечке персданных. На это у оператора есть 24 часа с момента, когда выявлена неправомерная или случайная их передача. Далее на протяжении 72 часов с момента инцидента в Роскомнадзор необходимо направить еще одно уведомление с результатами внутреннего расследования и информацией о лицах, по вине которых произошла утечка (пп. 3.1 ст. 21 закона № 152-ФЗ).

За отсутствие или несдачу уведомления в срок грозит немалый штраф. Но помимо несоблюдения требований по сдаче уведомления, проверка может выявить еще какие-либо нарушения. Если все проступки, включая неотправку уведомления, будут предусмотрены одной статьей раздела 2 КоАП РФ, накажут как за одно нарушение. Если же будут нарушены несколько статей, наказание назначается по более строгой норме. Не исключено также применение дополнительных санкций (ч. 2–6 ст. 4.4 КоАП РФ).

Причем оштрафовать могут как оператора (компанию, ИП, самозанятого), так и виновного человека. Оператор может избежать ответственности, если с его стороны соблюдены все требования по защите персданных, а также если штраф выпишут на должностное лицо (работника).

Штраф за неподачу уведомления об обработке персональных данных в Роскомнадзор

С тридцатого мая 2025 года штрафы за нарушение требований по работе с персданными сильно увеличились. Размер штрафа будет меняться в зависимости от вида нарушения:

За неуведомление или несвоевременное уведомление о том, что вы собираетесь обрабатывать персданные, привлекут к ответственности по ч. 10 ст. 13.11 КоАП РФ. Сумма штрафа составит:

для физлиц — от 5 до 10 тыс. рублей;
должностных лиц — от 30 до 50 тыс. рублей;
юрлиц и ИП — от 100 до 300 тыс. рублей.

За опоздание с отправкой уведомления об утечке персданных или его непредоставление ответственность предусмотрена ч. 11 ст. 13.11 КоАП РФ. Сумма санкции составит:

для граждан – от 50 до 100 тыс. рублей;
должностных лиц – от 400 до 800 тыс. рублей;
юрлиц и ИП – от 1 до 3 млн рублей.

Если нарушителем стал сотрудник НКО или государственного (муниципального) органа, по указанной статье привлекут к ответственности именно данного сотрудника. Его работодатель по приведенной норме не несет ответственности (прим. 2, 3 к ст. 13.11 КоАП РФ).

Наказание в виде штрафа предусмотрено и за иные нарушения при взаимодействии с РКН. Например:

Оператор, если не подал в ведомство запрашиваемую информацию, будет привлечен к ответственности по ст. 19.7 КоАП РФ. Она предусматривает следующие виды наказания:

предупреждение,
штраф гражданина — от 100 до 300 рублей,
должностного лица — от 300 до 500 рублей,
юрлиц — от 3 до 5 тыс. рублей.

Если своевременно не выполнено предписание Роскомнадзора, нарушителя оштрафуют по ч. 1 ст. 19.5 КоАП РФ. Она предусматривает такие санкции:

для гражданина — от 300 до 500 рублей;
должностного лица — от 1 до 2 тыс. рублей либо отстранение от должности до трех лет;
юрлиц — от 10 до 20 тыс. рублей.

Если оператор будет уклоняться от проверки либо избегать ее, сумма штрафа по ч. 1 ст. 19.4.1 КоАП РФ составит:

для гражданина — от 500 до 1 тыс. рублей;
должностного лица — от 2 до 4 тыс. рублей;
юрлица — от 5 до 10 тыс. рублей.

Если не выполнены требования РКН по уничтожению либо блокировке персданных, нарушителю придется отвечать по ч. 5 ст. 13.11 КоАП РФ, которая предусматривает денежное взыскание:

для граждан в размере от 2 до 4 тыс. рублей;
должностных лиц – от 8 до 20 тыс. рублей;
ИП – от 20 до 40 тыс. рублей;
юрлиц – от 50 до 90 тыс. рублей.

Штраф за ошибки в уведомлении Роскомнадзора

Наиболее часто оператор при заполнении уведомления для РКН допускает следующие погрешности:

неправильно заполняет определенные поля в документе;
указывает не полностью информацию о физлице;
не обновляет сведения о физлице, если они изменились;
не указывает цель обработки персональных данных работников (она заключается в соблюдении ТК РФ).

Чтобы избежать таких ошибок, назначьте одного из сотрудников ответственным за поддержание персданных в актуальном состоянии. Например, это может быть специалист отдела кадров.

Если нарушение уже выявлено, оператора привлекут к административной ответственности по ст. 19.7 КоАП РФ. Она предусматривает нижеперечисленные штрафы за неполную или недостоверную информацию в уведомлении:

для граждан — от 100 до 300 рублей;
должностных лиц — от 300 до 500 рублей;
юрлиц – от 3 до 5 тыс. рублей.

За сдачу уведомления, в котором указана цель обработки, не предусмотренная законодательством, сумма штрафа резко увеличится. За такое нарушение придется отвечать по части 1 при первичном или ч. 1.1 ст. 13.11 КоАП РФ при вторичном проступке, которая предусматривает штрафы:

для граждан – от 10 до 15 тыс. рублей (вторичное нарушение – от 15 до 30 тыс. рублей);
должностных лиц – от 50 до 100 тыс. рублей (вторичное нарушение – от 100 до 200 тыс. рублей);
юрлиц и ИП – от 150 до 300 тыс. рублей (вторичное нарушение – от 300 до 500 тыс. рублей).

Поэтому перед заполнением и отправкой уведомления убедитесь, что ваши цели сбора и обработки персданных определены законодательством. С перечнем целей можно ознакомиться при формировании уведомления на сайте РКН из раскрывающего списка. Например, в отношении сотрудников обработка персданных может проводиться в таких целях:

ведение кадрового и бухгалтерского учета;
соблюдение трудового законодательства РФ;
соблюдение пенсионного законодательства РФ;
подготовка, заключение и исполнение гражданско-правового договора;
обеспечение пропускного режима на территорию оператора;
подбор персонала (соискателей) на вакантные должности оператора;
прохождение ознакомительной, производственной или преддипломной практики на основании договора с учебным заведением и прочее.

Если в данном перечне отсутствует нужная цель, укажите: «Иная». Затем в появившемся поле отобразите нужную цель, но убедитесь, что она является законной.