Роскомнадзор найдет к чему придраться, если уже сейчас «выйдет на охоту по персональным данным»

Документы и положения по персональным данным нужны, чтобы компания работала по закону, защищала информацию клиентов и сотрудников, избегала штрафов и вызывала доверие. Они регламентируют, кто и как обрабатывает данные, помогают избежать утечек и быстро реагировать на запросы или проверки.

Каждая компания, ИП или даже физлицо, которое собирает, хранит или обрабатывает данные сотрудников, клиентов или пользователей сайта, обязана соблюдать 152-ФЗ «О персональных данных». Без правильных документов и регламентов бизнес рискует получить штрафы, а директор личную ответственность.

Роскомнадзор найдет к чему придраться, если уже сейчас «выйдет на охоту по персональным данным» И под штраф может попасть 99% компаний, ИП и даже физлиц!

Не входит ли вы в их число Ваша компания?

Вы нанимаете сотрудников?

Храните контакты клиентов?

Собираете данные через сайт или соцсети?

Если да — вы оператор персональных данных.

И по закону обязаны уведомить Роскомнадзор.

Не сделали этого — штраф до 300 000 рублей для компании и до 50 000 рублей для руководителя.

Не указали в уведомлении все цели обработки — снова штраф. Без уведомления работа с данными незаконна, и Роскомнадзор уже начал массовые проверки.

Как избежать штрафов? Нужно разобраться с двумя типами документов: уведомлениями для Роскомнадзора и согласиями для тех, чьи данные вы обрабатываете.

Уведомления в Роскомнадзор: четыре ситуации

Уведомление в Роскомнадзор — это не разовый документ «на всякий случай». Закон предусматривает несколько видов уведомлений в зависимости от ситуации.

1. Уведомление о начале обработки персональных данных
Подаётся до того, как вы начнёте собирать личные данные. Если бизнес уже работает с данными, а уведомление не подано — это нарушение.

2. Уведомление об изменении сведений
Нужно, если изменились цели обработки, категории данных, адрес, ответственный за обработку или иные сведения из первоначального уведомления. Подаётся до 15 числа месяца, следующего за месяцем изменений.

3. Уведомление о прекращении обработки
Подаётся, если вы полностью прекращаете работу с персональными данными — например, закрываете бизнес или отказываетесь от этого направления. Срок — 10 рабочих дней.

4. Уведомление о трансграничной передаче
Отдельная форма. Нужна, если вы передаёте данные за рубеж: иностранному отелю, зарубежной авиакомпании, консульству — или используете иностранные сервисы, CRM или аналитику, работающие на зарубежных серверах.

Согласия: без них данные собирать нельзя

Уведомление в Роскомнадзор — только половина дела. Второе обязательное условие — согласие каждого субъекта, чьи данные вы обрабатываете: работника, клиента, контрагента, соискателя. Согласие доказывает, что человек разрешает собирать, хранить и передавать свои данные. С 1 сентября 2025 года согласие оформляется исключительно как отдельный документ, а не как пункт в другом договоре или анкете.

Вот основные виды согласий, которые могут понадобиться вашей организации:

Согласие на обработку персональных данных (общее) — базовый документ для работников, клиентов, пользователей сайта. Указываются цели, перечень данных, действия с ними и срок.

Согласие на распространение персональных данных — отдельная форма. Нужна, если вы публикуете данные публично: фото сотрудников на сайте, отзывы клиентов, списки участников мероприятий.

Согласие на передачу данных третьим лицам — если вы передаёте данные партнёрам, подрядчикам, страховщикам, банкам или в иные организации. В документе должны быть указаны цель, получатель и перечень передаваемых данных.

Согласие на обработку биометрических данных — отдельная письменная форма. Нужна для отпечатков пальцев, изображения лица, голоса и других биометрических параметров.

Согласие соискателя (кандидата на вакансию) — оформляется до того, как вы начнёте обрабатывать резюме и данные кандидата.

Согласие клиента (пациента, покупателя, заказчика) — отдельная форма под конкретную цель: оказание услуг, консультирование, запись на приём и т.д.

Что нужно сейчас каждому работодателю?

Проверьте, подано ли уведомление в Роскомнадзор. Если вы собираете данные, но уведомления нет — это прямой риск штрафа до 300 000 рублей.

Проверьте, все ли цели указаны в уведомлении. Если вы начали обрабатывать данные для новых целей, а уведомление не обновили — это тоже нарушение.

Проверьте согласия. Есть ли отдельный документ для каждого субъекта? Указаны ли цели, перечень данных и срок? Согласие на распространение оформлено отдельно, если вы публикуете данные?

Проверьте трансграничную передачу. Если ваши сервисы, CRM или аналитика работают на зарубежных серверах — подано ли отдельное уведомление?

Роскомнадзор уже проверяет. Штрафы — реальные. Начните с аудита документов сегодня, чтобы завтра не платить до 300 000 рублей.

Материал носит информационный характер и не заменяет юридическую консультацию.