Если у вас есть сотрудники, подрядчики, соискатели, бухгалтерия на аутсорсе, вы используете 1С, CRM или просто записываете контакты клиентов в телефон — вы оператор персональных данных.
А это значит, что до 30 мая 2025 года вы должны либо подать уведомление в Роскомнадзор, либо обновить уже поданное. Иначе штраф. По статье 19.7 КоАП до 300 тысяч рублей. И это, как говорится, только начало.
Кто вообще такой оператор персональных данных? И почему почти каждый ИП, самозанятый и микробизнес попадает под это определение?
Кто такой оператор персональных данных?
Если выражаться максимально просто,: оператор — это любое физическое или юридическое лицо, которое в процессе своей деятельности собирает, хранит, передаёт, обрабатывает, систематизирует или использует данные других людей. То есть не свои.
У вас есть база клиентов? Вы записали номер телефона или e-mail представителя подрядчика? У вас есть сотрудники и вы видите их СНИЛС, ИНН и дату рождения? Поздравляю, вы — оператор.
Даже если вы не юрлицо, а, например, самозанятый, и работаете напрямую с другими физлицами или ИП, вы всё равно в 99% случаев обрабатываете персональные данные. И даже если это просто e-mail + имя + телефон — уже считается.
Кому можно НЕ подавать уведомление?
Исключения настолько редки, что почти не встречаются в живой природе.
Уведомление в Роскомнадзор можно не подавать, если:
- вы не ИП, не юрлицо, не самозанятый, а просто физлицо
- обрабатываете данные исключительно на бумаге
- не передаёте эти данные никому
- не используете в работе электронные средства (даже смартфон!)
Если вы ведёте учёт в Excel, используете почту, CRM, мессенджеры, записываете номера клиентов в телефон, электронные средства в деле. Значит, подавать уведомление нужно.
Самые частые заблуждения
"Я работаю с юрлицами, у них нет персональных данных!"
Если в договоре с юрлицом фигурирует контактное лицо с ФИО, почтой и телефоном — это уже персональные данные.
"Я ИП, и в договорах только мой ИНН, ФИО и номер телефона — это же мои данные!"
Вы работаете с другими ИП? Значит, вы используете их ФИО, ИНН и телефоны — это тоже персональные данные. Ваши клиенты — люди. Их данные — это ПДн.
"У меня нет сайта, мне не нужно уведомление."
Сайт тут вообще ни при чём. Даже если вы работаете без сайта, но у вас есть сотрудники, подрядчики, клиенты — вы оператор. Значит, уведомление нужно.
Почему важно не тянуть до последнего?
До 30 мая 2025 года Роскомнадзор ждёт либо новое уведомление, либо обновление старого. И судя по тенденции, за этим будут следить. Штрафы не единственный риск.
К слову, штраф до 300 тысяч рублей — это только за то, что вы не уведомили. А ведь могут найти и другие нарушения:
- отсутствие согласия на обработку
- передача данных без письменного разрешения
- нарушение правил хранения и защиты информации
А вот там уже сумма штрафов может вырасти до 15 миллионов рублей.
Что делать?
Если вы точно не уверены, надо ли вам подавать уведомление, задайте себе три вопроса:
- Есть ли у меня сотрудники, подрядчики, клиенты или соискатели?
- Использую ли я их ФИО, телефоны, e-mail или ИНН?
- Храню ли я эти данные хоть где-то — в телефоне, таблице, CRM, на бумаге?
Если хотя бы один ответ — «да», то уведомление нужно. Лучше не откладывать.
Это не страшно, не сложно, но обязательно.