Персональные данные: штрафы растут, а уведомлений становится больше

Все операторы персональных данных знают: перед началом обработки нужно подать уведомление в Роскомнадзор. Но это только начало. На самом деле таких уведомлений как минимум пять. Плюс есть ещё один адресат — ФСБ. И пока вы не учтёте все, ваша компания остаётся под дамокловым мечом внезапной проверки и крупных штрафов.

1. Уведомление о начале обработки

Подаётся до того, как вы начали обрабатывать персональные данные (ч. 1 ст. 22 закона № 152‑ФЗ). Срок чёткий: сразу после регистрации бизнеса, но до того, как вы начали набирать сотрудников или клиентов.

Кто не подаёт? Те, кто обрабатывает данные без использования средств автоматизации (постановление Правительства № 687). Это значит, что каждое действие с данными делает человек. Но если в вашей учётной программе есть автозаполнение полей, поиск, сортировка — вы уже используете автоматизацию и уведомление нужно.

Штраф за отсутствие уведомления или опоздание:

на ИП и юрлиц — до 300 000 руб.

на должностных лиц — до 50 000 руб. (ч. 10 ст. 13.11 КоАП РФ).
Срок давности по этому нарушению — 1 год. Состав правонарушения — не сам факт обработки, а именно факт неподачи уведомления в срок.

2. Уведомление об изменении сведений

Вам включили в реестр операторов, и вы успокоились. Но если в ваших данных что-то поменялось — адрес, телефон, ответственный за обработку персональных данных, место хранения базы (например, вы перешли в другой ЦОД), — вы обязаны сообщить об этом в Роскомнадзор.

Срок: до 15‑го числа месяца, следующего за месяцем, в котором произошли изменения (ч. 7 ст. 22 закона № 152‑ФЗ).

Штраф за неподачу этого уведомления (ст. 19.7 КоАП РФ):

для ИП — 300–500 руб.

для организаций — 3 000–5 000 руб.
Срок давности — 90 календарных дней.

Маленькие суммы? Да, но забывать об этом уведомлении — значит оставлять в реестре недостоверные сведения.

3. Уведомление о прекращении обработки

Если вы ликвидируете компанию, реорганизуетесь или просто перестаёте обрабатывать какую‑то категорию персональных данных — нужно сообщить и об этом.

Срок: 10 рабочих дней после наступления соответствующего события (ч. 7 ст. 22 закона № 152‑ФЗ).

Штраф — такой же, как за уведомление об изменениях (ст. 19.7 КоАП РФ).

4. Уведомление об утечке (первый этап)

Вы узнали, что персональные данные утекли или кто‑то нарушил правила их обработки. В течение 24 часов с момента обнаружения вы обязаны уведомить Роскомнадзор (ч. 3.1 ст. 21 закона № 152‑ФЗ).

Штраф за неподачу или несвоевременную подачу этого уведомления (ч. 11 ст. 13.11 КоАП РФ):

для должностных лиц — до 800 000 руб.

для организаций и ИП — от 1 млн до 3 млн руб.

5. Уведомление о результатах расследования

В течение 72 часов после того, как вы сообщили о факте утечки, нужно представить в Роскомнадзор результаты внутреннего расследования (п. 2 ч. 3.1 ст. 21 закона № 152‑ФЗ). Даже если вы ещё не выяснили всех деталей, важно показать, что работа идёт.

Штраф за неподачу или просрочку — такой же, как и за первое уведомление об утечке (от 1 до 3 млн рублей для бизнеса).

6. Плюс один адресат — ФСБ

Если произошёл компьютерный инцидент (взлом, кража базы, хакерская атака), вы должны сообщить о нём в ГосСОПКУ — государственную систему обнаружения и предупреждения компьютерных атак (ч. 12 ст. 19 закона № 152‑ФЗ, приказ ФСБ № 77). Формализованное сообщение передаётся через специальный портал. Это требование работает параллельно с уведомлением Роскомнадзора.

Итог

Большинство операторов знают только о первом уведомлении, а потом искренне удивляются, когда получают штраф за то, что не сообщили о смене ответственного лица или о переезде базы в облако. Теперь у вас есть карта: пять уведомлений — про начало, изменения, прекращение, утечку и результаты расследования — плюс уведомление в ФСБ при хакерской атаке.

Ведите учёт, назначайте ответственных и не ждите, когда штрафы вырастут ещё больше. А они вырастут — потому что за персональные данные государство следит всё пристальнее.

Источники:

https://www.consultant.ru/document/cons_doc_LAW_61801/

https://base.garant.ru/193875/

https://www.garant.ru/products/ipo/prime/doc/406315719/

https://www.consultant.ru/document/cons_doc_LAW_34661/