Документ предоставлен КонсультантПлюс

		КонсультантПлюс | Изменения за последний месяц | Актуально на 15.04.2025		
ПУТЕВОДИТЕЛЬ ПО ГОСУСЛУГАМ ДЛЯ ЮРИДИЧЕСКИХ ЛИЦ

ПРЕДСТАВЛЕНИЕ УВЕДОМЛЕНИЯ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Представление уведомления об обработке персональных данных. Общая информация >>>
1.1. Нормативное регулирование представления уведомления об обработке персональных данных >>>
1.2. Случаи, в которых необходимо представлять уведомление об обработке персональных данных >>>
1.3. Лица, которые должны представлять уведомление об обработке персональных данных, и орган, в который оно подается >>>
1.4. Последствия обработки персональных данных без подачи уведомления, а также в случаях его несвоевременной подачи либо подачи уведомления, содержащего неполные или недостоверные сведения >>>
2. Порядок представления уведомления об обработке персональных данных >>>
2.1. Заполнение формы уведомления об обработке персональных данных >>>
2.2. Представление уведомления об обработке персональных данных в уполномоченный орган >>>
3. Дополнительные процедуры, осуществляемые после представления уведомления об обработке персональных данных >>>
3.1. Получение сведений из реестра операторов, осуществляющих обработку персональных данных >>>
3.2. Представление уведомления об изменении сведений, содержащихся в ранее поданном уведомлении >>>
3.3. Представление уведомления о прекращении обработки персональных данных >>>

1. ПРЕДСТАВЛЕНИЕ УВЕДОМЛЕНИЯ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ. ОБЩАЯ ИНФОРМАЦИЯ

1.1. Нормативное регулирование представления уведомления об обработке персональных данных >>>
1.2. Случаи, в которых необходимо представлять уведомление об обработке персональных данных >>>
1.3. Лица, которые должны представлять уведомление об обработке персональных данных, и орган, в который оно подается >>>
1.4. Последствия обработки персональных данных без подачи уведомления, а также в случаях его несвоевременной подачи либо подачи уведомления, содержащего неполные или недостоверные сведения >>>

1.1. Нормативное регулирование представления уведомления об обработке персональных данных

Порядок представления уведомлений об обработке персональных данных регулируется Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон).

1.2. Случаи, в которых необходимо представлять уведомление об обработке персональных данных

До начала обработки персональных данных оператор обязан представить в уполномоченный орган уведомление о намерении осуществлять такую обработку (ч. 1 ст. 22 Закона).
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Закона). Полагаем, такой информацией могут являться, например, фамилия, имя, отчество, год, месяц, дата рождения, место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия.
Обработкой персональных данных признаются любое действие (операция) или совокупность действий (операций), совершаемых с использованием или без использования средств автоматизации. К таким действиям относятся, в частности, сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение (п. 3 ст. 3 Закона).
Условия обработки персональных данных предусмотрены в ст. 6 Закона.

Не требуется представление уведомления
Без уведомления уполномоченного органа может производиться обработка следующих персональных данных (ч. 2 ст. 22 Закона):
1) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка (п. 7 ч. 2 ст. 22 Закона);
2) обрабатываемых без использования средств автоматизации (п. 8 ч. 2 ст. 22 Закона).
Постановлением Правительства РФ от 15.09.2008 N 687 утверждено Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (далее - Положение).
Критерии, при которых такая обработка признается (либо не признается) неавтоматизированной, сформулированы в п. п. 1 и 2 Положения. Согласно п. 1 Положения считается неавтоматизированной обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из нее, если такие операции с персональными данными, как использование, уточнение, распространение, уничтожение (в отношении каждого из субъектов персональных данных), осуществляются при непосредственном участии человека. Кроме того, обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что эти данные содержатся в информационной системе персональных данных либо извлечены из нее (п. 2 Положения).
Необходимо отметить, что приведенные в п. 1 Положения критерии недостаточно конкретны для разграничения на практике случаев, в которых подача уведомления для обработки персональных данных с применением вычислительной техники требуется и не требуется. В связи с этим при возникновении сложностей с определением того, нужно ли подавать уведомление при различных вариантах использования вычислительной техники в процессе обработки персональных данных, следует уточнять этот вопрос в уполномоченном органе. С контактной информацией уполномоченного органа и его территориальных подразделений можно ознакомиться на портале персональных данных http://pd.rkn.gov.ru - специальном сайте уполномоченного органа по защите прав субъектов персональных данных;
3) обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, для обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства (п. 9 ч. 2 ст. 22 Закона).

1.3. Лица, которые должны представлять уведомление об обработке персональных данных, и орган, в который оно подается

Лица, которые должны представлять уведомление
Представлять уведомление об обработке персональных данных должен оператор (ч. 1 ст. 22 Закона).
Операторами признаются государственные и муниципальные органы, а также юридические и физические лица, которые самостоятельно или совместно с другими лицами организуют и (или) осуществляют обработку персональных данных, а также определяют цели такой обработки, состав персональных данных, подлежащих обработке, и действия (операции), совершаемые с ними (п. 2 ст. 3 Закона).

Дополнительная информация о том, должен ли оператор при поручении обработки персональных данных иному лицу подавать уведомление в уполномоченный орган
Оператор вправе поручить обработку персональных данных иному лицу на основании заключенного с ним договора (в то числе государственного или муниципального контракта) либо путем принятия соответствующего акта (если оператор - государственный или муниципальный орган). Для этого необходимо согласие субъекта персональных данных, если иное не установлено законодательством (ч. 3 ст. 6 Закона). Однако поручение обработки персональных данных иному лицу не освобождает оператора от обязанности подавать уведомление в уполномоченный орган, поскольку, как прямо установлено в ч. 1 ст. 22 Закона, уведомление об обработке персональных данных должно подаваться именно им.	

Орган, в который подается уведомление
Уведомление об обработке персональных данных представляется в уполномоченный орган по защите прав субъектов персональных данных (ч. 1 ст. 22 Закона). Таким органом является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций - Роскомнадзор (абз. 2 п. 1 Положения о Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций, утвержденного Постановлением Правительства РФ от 16.03.2009 N 228).

1.4. Последствия обработки персональных данных без подачи уведомления, а также в случаях его несвоевременной подачи либо подачи уведомления, содержащего неполные или недостоверные сведения

Непредставление в уполномоченный орган уведомления об обработке персональных данных, его несвоевременное представление (т.е. уже после начала обработки персональных данных) либо представление уведомления, содержащего неполные или недостоверные сведения, является административным правонарушением, ответственность за которое установлена ст. 19.7 КоАП РФ. Данная статья предусматривает ответственность за непредставление или несвоевременное представление в государственный орган сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом его законной деятельности. Ответственность по данной статье наступает также в случае предоставления сведений в неполном объеме или в искаженном виде.
Ответственность установлена в виде предупреждения или штрафа в размере:
- для граждан - от 100 до 300 руб.;
- для должностных лиц (в том числе индивидуальных предпринимателей - примечание к ст. 2.4 КоАП РФ) - от 300 до 500 руб. При этом согласно примечанию к ст. 2.4 КоАП РФ такими лицами являются руководители и иные работники организаций, выполняющие организационно-распорядительные или административно-хозяйственные функции;
- для юридических лиц - от 3000 до 5000 руб.

2. ПОРЯДОК ПРЕДСТАВЛЕНИЯ УВЕДОМЛЕНИЯ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Заполнение формы уведомления об обработке персональных данных >>>
2.2. Представление уведомления об обработке персональных данных в уполномоченный орган >>>

2.1. Заполнение формы уведомления об обработке персональных данных

Форма уведомления о намерении осуществлять обработку персональных данных утверждена Приказом Роскомнадзора от 28.10.2022 N 180.
По вопросу подачи уведомления в связи с изменениями с 1 сентября 2022 г. в Законе см. Готовое решение: Каковы обязанности оператора персональных данных.
В уведомлении необходимо указать обязательные сведения, в частности (п. п. 1, 2, 7 - 11 ч. 3, ч. 3.1 ст. 22 Закона):
1) наименование (Ф.И.О.), адрес оператора;
2) цель обработки персональных данных. Для каждой цели необходимо указать ряд сведений, в частности: категории персональных данных, категории субъектов, способы обработки персональных данных;
3) дату начала обработки персональных данных;
4) срок или условие прекращения обработки персональных данных. Таким основанием может являться, например, ликвидация юрлица, аннулирование лицензии на осуществление соответствующего вида деятельности, вступившее в законную силу решение суда о прекращении оператором обработки персональных данных;
5) сведения о наличии или отсутствии трансграничной передачи персональных данных в процессе их обработки. Условия, при которых допускается трансграничная передача персональных данных, установлены в ст. 12 Закона.
6) сведения об обеспечении безопасности персональных данных.
Требования к защите персональных данных при их обработке в информационных системах персональных данных утверждены Постановлением Правительства РФ от 01.11.2012 N 1119. Кроме того, в разд. III Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации (утв. Постановлением Правительства РФ от 15.09.2008 N 687) приведены меры по обеспечению безопасности персональных данных при такой обработке.
Уведомление должно быть подписано уполномоченным лицом (ч. 3 ст. 22 Закона).
Рекомендация: в Законе не конкретизируется, какое именно лицо должно подписать уведомление. О возможном варианте (руководитель организации, лицо, наделенное такими полномочиями по доверенности) целесообразно уточнить в уполномоченном органе.

2.2. Представление уведомления об обработке персональных данных в уполномоченный орган

Оператор направляет уведомление на бумажном носителе или в электронной форме в Роскомнадзор (ч. 1, 3 ст. 22 Закона).
Сопроводительная информация о предоставлении уведомления приведена на сайте Роскомнадзора http://pd.rkn.gov.ru.

Последствия представления уведомления, содержащего неполные или недостоверные сведения
Если представленное уведомление содержит неполные или недостоверные сведения, уполномоченный орган вправе потребовать уточнить их до внесения данных сведений в реестр операторов (ч. 6 ст. 22 Закона).

Внесение сведений об операторе в реестр
В течение 30 дней с даты поступления уведомления уполномоченный орган вносит содержащиеся в нем сведения (а также сведения о дате направления уведомления) в реестр операторов, осуществляющих обработку персональных данных (ч. 4 ст. 22 Закона).

Дополнительная информация о возможных действиях оператора при отказе в приеме уведомления или во внесении сведений о нем в реестр, либо при невнесении данных сведений в установленный срок
Если уполномоченный орган отказал оператору в приеме уведомления или внесении сведений о нем в реестр, либо если данные сведения не были внесены в установленный срок, соответствующее решение либо действия (бездействие) уполномоченного органа можно обжаловать в арбитражном суде в порядке, предусмотренном гл. 24 АПК РФ. Обжаловать действие (бездействие) можно в течение трех месяцев со дня, когда организации или индивидуальному предпринимателю стало известно о нарушении их прав и законных интересов (ч. 4 ст. 198 АПК РФ).
Возможен и административный порядок обжалования, установленный в гл. 2.1 Федерального закона от 27.07.2010 N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг" (далее - Закон N 210-ФЗ). В ст. 11.1 Закона N 210-ФЗ приведен примерный перечень тех нарушений порядка предоставления госуслуг, которые могут обжаловаться в досудебном (внесудебном) порядке. К ним относятся, в частности:
- нарушение срока предоставления госуслуги (п. 2 ст. 11.1 Закона N 210-ФЗ);
- отказ в ее предоставлении по основаниям, не установленным нормативными правовыми актами (п. 5 ст. 11.1 Закона N 210-ФЗ);
- требование у заявителя документов, информации либо осуществления действий, не предусмотренных нормативными правовыми актами (п. 3 ст. 11.1 Закона N 210-ФЗ);
- отказ в приеме документов (п. 4 ст. 11.1 Закона N 210-ФЗ).
Общие требования к порядку подачи и рассмотрения жалобы установлены в ст. 11.2 Закона N 210-ФЗ. Жалоба подается непосредственно в тот орган, который предоставляет госуслугу (т.е. в управление Роскомнадзора по субъекту РФ), а в случае, если обжалуется решение руководителя этого органа, - в вышестоящий орган (ч. 1 ст. 11.2 Закона N 210-ФЗ). Вышестоящим органом в данном случае будет являться Роскомнадзор.
Требования к содержанию жалобы указаны в ч. 5 ст. 11.2 Закона N 210-ФЗ. Правила подачи и рассмотрения жалоб утверждены Постановлением Правительства РФ от 16.08.2012 N 840.
Нарушение должностным лицом федерального органа исполнительной власти порядка предоставления госуслуги, повлекшее ее непредоставление либо предоставление с нарушением установленных сроков, влечет наложение на указанное лицо административного штрафа в размере от 3000 до 5000 руб. (ч. 1 ст. 5.63 КоАП РФ). Штраф за требование в ходе предоставления госуслуги от заявителя документов или платы, не предусмотренных законодательством, составляет от 5000 до 10 000 руб. (ч. 2 ст. 5.63 КоАП РФ). Административная ответственность в указанных случаях наступает, если действия должностного лица не содержат уголовно наказуемого деяния.	

3. ДОПОЛНИТЕЛЬНЫЕ ПРОЦЕДУРЫ, ОСУЩЕСТВЛЯЕМЫЕ ПОСЛЕ ПРЕДСТАВЛЕНИЯ УВЕДОМЛЕНИЯ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Получение сведений из реестра операторов, осуществляющих обработку персональных данных >>>
3.2. Представление уведомления об изменении сведений, содержащихся в ранее поданном уведомлении >>>
3.3. Представление уведомления о прекращении обработки персональных данных >>>

3.1. Получение сведений из реестра операторов, осуществляющих обработку персональных данных

Сведения, содержащиеся в реестре операторов, осуществляющих обработку персональных данных (кроме информации о средствах обеспечения безопасности персональных данных при их обработке), являются общедоступными (ч. 4 ст. 22 Закона).
Ознакомиться с ними можно на портале персональных данных (http://pd.rkn.gov.ru/) Роскомнадзора.

3.2. Представление уведомления об изменении сведений, содержащихся в ранее поданном уведомлении

В случае изменения сведений, содержащихся в ранее поданном уведомлении, оператор обязан сообщить об этом уполномоченному органу не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения (ч. 7 ст. 22 Закона).
Форма уведомления об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, приведена в Приложении N 2 к Приказу Роскомнадзора от 28.10.2022 N 180. В нем необходимо указать, частности, регистрационный номер записи в реестре операторов, дату изменения сведений, а также сведения, подлежащие изменению.
Уведомление может быть представлено в уполномоченный орган на бумажном носителе или в форме электронного документа (ч. 3 ст. 22 Закона).
Составить уведомление в электронном виде можно также на портале персональных данных Роскомнадзора (https://pd.rkn.gov.ru/).
Неисполнение оператором обязанности по уведомлению уполномоченного органа об изменении сведений, содержащихся в ранее поданном уведомлении, будет влечь за собой такую же ответственность, как и в случае неподачи уведомления.

3.3. Представление уведомления о прекращении обработки персональных данных

В случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган в течение 10 рабочих дней (ч. 7 ст. 22 Закона).
Форма уведомления о прекращении обработки персональных данных приведена в Приложении N 3 к Приказу Роскомнадзора от 28.10.2022 N 180.
В уведомлении указываются:
- фамилия, имя и отчество (при наличии) гражданина или ИП, его ИНН и (или) ОГРНИП;
- наименование юрлица (полное и сокращенное (при наличии)), его ИНН и (или) ОГРН;
- адрес оператора;
- регистрационный номер записи в реестре операторов;
- основание прекращения обработки персональных данных: ликвидация оператора, его реорганизация, прекращение деятельности по обработке персональных данных, аннулирование лицензии, наступление срока или условия прекращения обработки персональных данных, указанного в уведомлении, вступившее в законную силу решение суда и др.;
- дата прекращения обработки персональных данных.
Уведомление подписывается оператором или его уполномоченным лицом с указанием фамилии, имени, отчества (при наличии), должности (при наличии), расшифровки подписи, даты составления.
Уведомление можно представить в уполномоченный орган на бумажном носителе или в форме электронного документа. Это следует из ч. 3 ст. 22 Закона и информации на портале персональных данных http://pd.rkn.gov.ru.
Уполномоченный орган в течение 30 дней с даты поступления уведомления исключает сведения из реестра операторов (ч. 4.1 ст. 22 Закона).
Неисполнение оператором обязанности по уведомлению уполномоченного органа о прекращении обработки персональных данных влечет за собой такую же ответственность, как и в случае неподачи уведомления об их обработке.