Здравствуйте.

Последние два месяца наблюдаю в сети ненормальное количество материалов по вопросу обработки персональных данных (далее – данные), а в частности: призывы «специалистов» к подаче уведомления в Роскомнадзор о намерении обрабатывать данные под «соусом» если не подадите до 29.05.2025 уведомление или не скорректируете информацию, то получите штраф от 100 000 до 300 000 руб.

Такой жесткий маркетинг привел к тому, что в последнюю неделю мая воспользоваться сайтом Роскомнадзора не представлялось возможным: сайт не был рассчитан на такое количество законопослушных операторов (тот, кто обрабатывает данные).

Сегодня постараемся разобраться: призывы к подаче уведомления о намерении обрабатывать данные – это необходимость, вызванная снижением рисков привлечения к административной ответственности, или маркетинг, единственная цель которого заработать на непосвященном в вопросе бизнесе.

Статья 22 Закона об обработке данных[1] устанавливает обязанность для оператора до начала обработки данных уведомить Роскомнадзор о намерении обрабатывать данные. Не буду сегодня рассуждать о целесообразности данной обязанности в эпоху, когда каждое лицо так или иначе выступает в качестве оператора, что существенно увеличивает нагрузку на регулятора.

Из буквального прочтения ч. 1 ст. 22 Закона об обработке данных оператор до начала обработки данных обязан отправить уведомление. Мы с вами можем столкнуться с двумя сложностями:

Первая. Не конкретизирован срок, когда оператор обязан подать уведомление, соответственно, возникают сложности в установлении сроков для отправки уведомления. Что существенно влияет на вопрос: как определить момент совершения административного правонарушения?

Вторая сложность. До момента регистрации юридического лица у последнего отсутствует возможность подать уведомление в Роскомнадзор, а так как с момента регистрации[2] юридическое лицо уже начинает обрабатывать данные, а именно: данные учредителей, то последний автоматически нарушает требования об отправке уведомления.

На мой взгляд необходимо скорректировать порядок направления уведомления – установить срок для подачи, отсчет которого начнется с момента начала обработки. А пока ошибка не исправлена, то Роскомнадзору следует подходить более лояльно к нарушению порядка, т.к. новые штрафы никак не соответствуют потенциальному ущербу, который может наступить за несвоевременное направление уведомления.

Также законодатель устанавливает обязанность:

С 30 мая начал действовать новый состав за невыполнение обязанности по уведомление Роскомнадзор о намерении обрабатывать данные (ч. 10 ст. 13.11 КоАП РФ).

Важно отметить, что к ответственности по новому составу будут привлекать только за неуведомление или несвоевременное уведомление о намерении обрабатывать данные. Соответственно, за нарушение сроков направления уведомлений об изменении порядка обработки, о прекращении обработки или направление неполного или неточного уведомления о намерении обрабатывать данные будут привлекать по прежнему составу (ст. 19.7 КоАП РФ), что хорошо, т.к. ответственность для юридических лиц составляет от 3 000 до 5 000 руб., что не так много на фоне новых сумм (от 100 000 до 300 000 руб.).

Ответив на вопрос: является ли ч. 10 ст. 13.11 и ст. 19.7 КоАП РФ длящимися правонарушениями? Мы сможем установить сроки привлечения к ответственности, что, в конечном итоге, приведет нас к правильному ответу.

Ранее мы с вами установили, что для уведомлений об изменении порядка обработки данных и об прекращении обработки установлены точные сроки, в отличии от уведомления о намерении обрабатывать данные.

Можно сделать безусловный вывод, что нарушение сроков направления уведомлений об изменении порядка обработки данных и об прекращении обработки не является длящимся правонарушением.

Для уведомления о намерении обрабатывать данные не установлен конкретный срок, но установлен порядок его определения – до начала обработки данных. С момента начала обработки оператор признается правонарушителем, и, соответственно, начинает течь срок привлечения к административной ответственности.

Вывод: ч. 10 ст. 13.11 и ст. 19.7 КоАП РФ не является длящимся правонарушением, что также подтверждается судебной практикой[4].

Необходимо сказать, что направление уведомления с недостоверными или неполными сведениями, также будет формировать состав правонарушения (ст. 19.7 КоАП РФ). И данное правонарушение будет уже длящимся[5], соответственно, срок привлечения к административной ответственности начинает течь с момента составления протокола об административном правонарушении[6].

После того как мы с вами определились с моментом начала течения срока привлечения к ответственности, необходимо установить срок привлечения к ответственности.

Для ч. 10 ст. 13.11 и ст. 19.7. КоАП РФ установлен единый срок – 90 календарных дней (ч. 1 ст. 4.5 КоАП РФ).

Сводная таблица:

А теперь выводы:

1. Если вы уже давно обрабатываете данные (более 90 дней), что применимо к большинству бизнеса, то оснований для привлечения к ответственности по новому составу (от 100 000 до 300 000 руб.) нет.

2. Если вы после 30.05.2025 планируете запускать бизнес, то рекомендую позаботиться подачей уведомления. Но нужно учитывать, что ресурсы Роскомнадзора не позволяют следить за каждым новым бизнесом, что снижает риски привлечения к ответственности по новому составу.

3. Если ранее вы уже подавали уведомление, но оно не отражает фактические процессы по обработке данных, то максимум на что вы можете рассчитывать — это штраф в размере 5 000 руб.

4. Призывы к подаче уведомления до 29.05.2025 – это лишь маркетинг.

[1]Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных».

[2] С момента внесения в ЕГРЮЛ сведений о его создании (п. 3 ст. 49 ГК РФ).

[3] Абз. 3 п. 19 Постановление Пленума ВАС РФ от 27.01.2003 N 2 "О некоторых вопросах, связанных с введением в действие Кодекса Российской Федерации об административных правонарушениях" и абз. 6 п. 13.1 Постановление Пленума Верховного Суда РФ от 24.03.2005 N 5 "О некоторых вопросах, возникающих у судов при применении Кодекса Российской Федерации об административных правонарушениях".

[4] Постановление Первого кассационного суда общей юрисдикции от 11.08.2023 N 16-4407/2023 и Постановление Новгородского областного суда от 07.11.2017 N 44А-261/2017.

[5] Постановление Верховного суда Республики Коми от 16.04.2018 N 4А-65/2018.

[6] Абз. 1 п. 19 Постановление Пленума ВАС РФ от 27.01.2003 N 2 "О некоторых вопросах, связанных с введением в действие Кодекса Российской Федерации об административных правонарушениях".

Здравствуйте.

Чтобы не потерять статус ИТ-аккредитации разберем: как проходит ежегодное подтверждение, какие документы нужно подать, кого проверяют внепланово и в каких случаях аккредитацию могут аннулировать.

Плановая процедура подтверждения проводится ежегодно до 1 июля. Минцифры проверяет все аккредитованные организации, за исключением случаев, когда процедура не требуется:

Если до 2026 года компании имели право не проходить процедуру подтверждения, если применяли пониженные тарифы по страховым взносам, то в 2026 такого права нет.

В рамках плановой процедуры проверки Минцифры проверяет:

При этом, при проверке правообладателей ПО, включенного в реестр российского ПО, Минцифры не проверяет его на соответствие критерию об уровне средней заработной платы.

ИТ-стартапы освобождаются от проверки на соответствие критерию - доли выручки от ИТ-деятельности.

Организация обязана ежегодно, не ранее 7 мая и не позднее 1 июня, подать через личный кабинет на Госуслугах заявление о прохождении плановой процедуры подтверждения.

Справка о выручке за календарный год, предшествующий году подтверждения. В справке должна содержаться расшифровка доли выручки от ИТ-деятельности, которая должна составлять более 30%.

Для компаний, зарегистрированных в году, предшествующем подтверждению, и не имевших выручку в году подтверждения аккредитации, – справка предоставляется за период с 1 января текущего года по день, предшествующий началу процедуры.

С начала 2026 года у некоторых компаний появились новые обязанности.

Если компания применяет пониженные тарифы страховых взносов и (или) налога на прибыль, а также соответствует условиям выручки (более 1 млрд. руб.) и численности сотрудников (более 100 человек), она обязана заключить соглашение с высшим учебным заведением.

Такими компаниями дополнительно к вышеуказанным документам представляются:

Если компания не использует средние значения стоимости мероприятий, установленные Минцифры, к отчёту прилагается аудиторское заключение.

Итоги процедуры подводятся до 1 июля. Если по результатам подтверждения выявлены основания для аннулирования аккредитации, Минцифры принимает решение об аннулировании и исключает организацию из реестра в течение 15 рабочих дней.

Минцифры вправе проводить внеочередную проверку не чаще одного раза в год. Проверка может быть инициирована за последний отчетный период по следующим направлениям:

Организация по запросу Минцифры вправе представить дополнительные документы, подтверждающие соблюдение требований. Для подтверждения доли выручки (расходов) запрашивается справка, подписанная руководителем.

Для некоторых ИТ-аккредитованных компаний установлены послабления в порядке прохождения внеочередной проверки.

Так, Организации, являющиеся правообладателями ПО из реестра российского ПО и имеющие выручку от реализации прав на него, освобождаются от проверки по показателю среднемесячной заработной платы.

ИТ-стартапы освобождаются от проверки по доли доходов от ИТ-деятельности.

В последнее время набирает обороты новая схема обмана: массовая рассылка писем, якобы от имени Роскомнадзора. Выглядят они убедительно: бланк, печати, угрозы штрафов и отзыва лицензий, сжатые сроки. Обычный получатель – будь то ИП, небольшая компания или просто гражданин – может запаниковать и совершить ошибку.

Мошенники рассылают письма с поддельных адресов (например, @rsoc-rkn-gov.ru вместо официального @rkn.gov.ru), представляются сотрудниками Роскомнадзора, прикладывают файлы с названиями вроде «Предписание» и «Таблица», а также давят на получателя срочностью и угрозами штрафов или отзыва лицензий. От пользователя ждут паники и необдуманных действий: открытия вредоносных вложений, ответа на письмо, перехода по фишинговым ссылкам или сканирования QR-кодов, а в перспективе – передачи паролей, личных данных или оплаты вымышленных «пошлин».

Если вы получили подозрительное письмо якобы от РКН — не паникуйте, не отвечайте и ни в коем случае не открывайте вложения (в них могут быть вирусы). Проверьте адрес отправителя: официальный домен только @rkn.gov.ru, всё остальное — фейк. Удалите письмо в спам или корзину, после чего свяжитесь с ведомством напрямую через официальный сайт, чтобы убедиться, что предписание не высылалось. Если вы уже открыли файл — запустите антивирус и смените пароли. И обязательно предупредите коллег о новой схеме.