Уведомление об обработке персональных данных – хайп или необходимость?

Здравствуйте.

Последние два месяца наблюдаю в сети ненормальное количество материалов по вопросу обработки персональных данных (далее – данные), а в частности: призывы «специалистов» к подаче уведомления в Роскомнадзор о намерении обрабатывать данные под «соусом» если не подадите до 29.05.2025 уведомление или не скорректируете информацию, то получите штраф от 100 000 до 300 000 руб.

Такой жесткий маркетинг привел к тому, что в последнюю неделю мая воспользоваться сайтом Роскомнадзора не представлялось возможным: сайт не был рассчитан на такое количество законопослушных операторов (тот, кто обрабатывает данные).

Сегодня постараемся разобраться: призывы к подаче уведомления о намерении обрабатывать данные – это необходимость, вызванная снижением рисков привлечения к административной ответственности, или маркетинг, единственная цель которого заработать на непосвященном в вопросе бизнесе.

Статья 22 Закона об обработке данных[1] устанавливает обязанность для оператора до начала обработки данных уведомить Роскомнадзор о намерении обрабатывать данные. Не буду сегодня рассуждать о целесообразности данной обязанности в эпоху, когда каждое лицо так или иначе выступает в качестве оператора, что существенно увеличивает нагрузку на регулятора.

Из буквального прочтения ч. 1 ст. 22 Закона об обработке данных оператор до начала обработки данных обязан отправить уведомление. Мы с вами можем столкнуться с двумя сложностями:

Первая. Не конкретизирован срок, когда оператор обязан подать уведомление, соответственно, возникают сложности в установлении сроков для отправки уведомления. Что существенно влияет на вопрос: как определить момент совершения административного правонарушения?

Вторая сложность. До момента регистрации юридического лица у последнего отсутствует возможность подать уведомление в Роскомнадзор, а так как с момента регистрации[2] юридическое лицо уже начинает обрабатывать данные, а именно: данные учредителей, то последний автоматически нарушает требования об отправке уведомления.

На мой взгляд необходимо скорректировать порядок направления уведомления – установить срок для подачи, отсчет которого начнется с момента начала обработки. А пока ошибка не исправлена, то Роскомнадзору следует подходить более лояльно к нарушению порядка, т.к. новые штрафы никак не соответствуют потенциальному ущербу, который может наступить за несвоевременное направление уведомления.

Также законодатель устанавливает обязанность:

С 30 мая начал действовать новый состав за невыполнение обязанности по уведомление Роскомнадзор о намерении обрабатывать данные (ч. 10 ст. 13.11 КоАП РФ).

Важно отметить, что к ответственности по новому составу будут привлекать только за неуведомление или несвоевременное уведомление о намерении обрабатывать данные. Соответственно, за нарушение сроков направления уведомлений об изменении порядка обработки, о прекращении обработки или направление неполного или неточного уведомления о намерении обрабатывать данные будут привлекать по прежнему составу (ст. 19.7 КоАП РФ), что хорошо, т.к. ответственность для юридических лиц составляет от 3 000 до 5 000 руб., что не так много на фоне новых сумм (от 100 000 до 300 000 руб.).

Ответив на вопрос: является ли ч. 10 ст. 13.11 и ст. 19.7 КоАП РФ длящимися правонарушениями? Мы сможем установить сроки привлечения к ответственности, что, в конечном итоге, приведет нас к правильному ответу.

Ранее мы с вами установили, что для уведомлений об изменении порядка обработки данных и об прекращении обработки установлены точные сроки, в отличии от уведомления о намерении обрабатывать данные.

Можно сделать безусловный вывод, что нарушение сроков направления уведомлений об изменении порядка обработки данных и об прекращении обработки не является длящимся правонарушением.

Для уведомления о намерении обрабатывать данные не установлен конкретный срок, но установлен порядок его определения – до начала обработки данных. С момента начала обработки оператор признается правонарушителем, и, соответственно, начинает течь срок привлечения к административной ответственности.

Вывод: ч. 10 ст. 13.11 и ст. 19.7 КоАП РФ не является длящимся правонарушением, что также подтверждается судебной практикой[4].

Необходимо сказать, что направление уведомления с недостоверными или неполными сведениями, также будет формировать состав правонарушения (ст. 19.7 КоАП РФ). И данное правонарушение будет уже длящимся[5], соответственно, срок привлечения к административной ответственности начинает течь с момента составления протокола об административном правонарушении[6].

После того как мы с вами определились с моментом начала течения срока привлечения к ответственности, необходимо установить срок привлечения к ответственности.

Для ч. 10 ст. 13.11 и ст. 19.7. КоАП РФ установлен единый срок – 90 календарных дней (ч. 1 ст. 4.5 КоАП РФ).

Сводная таблица:

А теперь выводы:

1. Если вы уже давно обрабатываете данные (более 90 дней), что применимо к большинству бизнеса, то оснований для привлечения к ответственности по новому составу (от 100 000 до 300 000 руб.) нет.

2. Если вы после 30.05.2025 планируете запускать бизнес, то рекомендую позаботиться подачей уведомления. Но нужно учитывать, что ресурсы Роскомнадзора не позволяют следить за каждым новым бизнесом, что снижает риски привлечения к ответственности по новому составу.

3. Если ранее вы уже подавали уведомление, но оно не отражает фактические процессы по обработке данных, то максимум на что вы можете рассчитывать — это штраф в размере 5 000 руб.

4. Призывы к подаче уведомления до 29.05.2025 – это лишь маркетинг.

[1]Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных».

[2] С момента внесения в ЕГРЮЛ сведений о его создании (п. 3 ст. 49 ГК РФ).

[3] Абз. 3 п. 19 Постановление Пленума ВАС РФ от 27.01.2003 N 2 "О некоторых вопросах, связанных с введением в действие Кодекса Российской Федерации об административных правонарушениях" и абз. 6 п. 13.1 Постановление Пленума Верховного Суда РФ от 24.03.2005 N 5 "О некоторых вопросах, возникающих у судов при применении Кодекса Российской Федерации об административных правонарушениях".

[4] Постановление Первого кассационного суда общей юрисдикции от 11.08.2023 N 16-4407/2023 и Постановление Новгородского областного суда от 07.11.2017 N 44А-261/2017.

[5] Постановление Верховного суда Республики Коми от 16.04.2018 N 4А-65/2018.

[6] Абз. 1 п. 19 Постановление Пленума ВАС РФ от 27.01.2003 N 2 "О некоторых вопросах, связанных с введением в действие Кодекса Российской Федерации об административных правонарушениях".