Полный гайд по работе с персональными данными. Кто такие операторы ПД, зачем нужна регистрация, какие штрафы и как предотвратить утечку данных. Часть 2
Многие даже не подозревают, что обязаны регистрироваться как оператор ПД. А штрафы за нарушения – до 18 млн рублей! Сегодня разберем, кто под ударом, как избежать проблем и что делать, если уже нарушили. Ну и, конечно же, обсудим утечку данных.
Всем привет! Меня зовут Вадим Твердохлеб, и я много лет консультирую бизнесменов, помогая им развивать их компании. Но есть одна больная тема, с которой сталкиваются почти все мои клиенты — это бюрократические моменты, связанные с регистрацией в Роскомнадзоре.
Да, согласен, это неудобно, много бумажек, и все как-то откладывается в долгий ящик. Но вот беда — можно легко нарваться на жесткий штраф, если не выполнить все требования вовремя. В этой статье мы подробно разберем, кто такой оператор персональных данных, как подать уведомление в Роскомнадзор, а также что грозит за отсутствие регистрации и утечки данных.
Кто такой оператор персональных данных?
Оператор персональных данных — это любая компания, организация или индивидуальный предприниматель, которые собирают, хранят, передают, используют или каким-либо образом обрабатывают персональные данные физических лиц. Даже если бизнес не ведет сложную клиентскую базу, а всего лишь собирает номера телефонов для рассылки скидок или просит email для оформления заказа, он уже попадает под это определение и обязан соблюдать требования законодательства.
Как бизнес становится оператором ПД? Наглядные примеры
– Интернет-магазин принимает заказы и фиксирует ФИО, телефон, email, адрес.– Фитнес-клуб при регистрации запрашивает номер телефона, дату рождения, сведения о здоровье.– Ресторан или кафе оформляет карту постоянного клиента, требуя личные данные.– Компания нанимает сотрудников, заключает трудовые договоры, в которых указаны паспортные данные, ИНН, СНИЛС, банковские реквизиты.– Бизнес использует форму обратной связи на сайте, где клиент оставляет контакты.– Маркетинговое агентство собирает данные через анкеты или подписку на рассылку.
Если ваш бизнес делает хоть что-то из этого списка – вы уже оператор персональных данных. И значит, обязаны зарегистрироваться в Роскомнадзоре.
Как подать уведомление в Роскомнадзор?
Для регистрации необходимо подать уведомление через сайт Роскомнадзора. А вот ссылка.
В уведомлении указываются:
- Полное наименование организации или ФИО индивидуального предпринимателя.
- Цели обработки персональных данных.
- Категории данных, которые будут собираться.
- Способы обработки (бумажный, автоматизированный).
- Меры защиты данных.
- Контактные данные ответственного лица.
После подачи заявки Роскомнадзор проверяет информацию и в течение 30 дней вносит компанию в реестр операторов ПД: ссылка.
Когда регистрация в Роскомнадзоре не нужна?
Большинство компаний, работающих с персональными данными, обязаны регистрироваться в Роскомнадзоре. Но есть исключения. В ряде случаев можно обрабатывать данные без уведомления регулятора – главное, не ошибиться в границах дозволенного.
1. Персональные данные для личного пользования
Если вы собираете данные исключительно для себя, без связи с бизнесом, регистрация не требуется.
Примеры:
- У вас в телефоне список контактов друзей и коллег.
- Семейный врач ведет записи пациентов для личного пользования, без передачи третьим лицам.
- Родительский комитет школы собирает номера телефонов для общения в мессенджере.
Но: если данные используются в коммерческих целях – например, для рекламных рассылок или клиентской базы – регистрация обязательна.
2. Бумажный учет без цифровых систем
Если персональные данные не оцифровываются, а хранятся исключительно на бумаге, можно обойтись без регистрации.
Примеры:
- Анкеты клиентов хранятся в папках, без переноса в электронную базу.
- Вся кадровая документация ведется вручную, без использования компьютера.
- Школа фиксирует посещаемость учеников только в бумажных журналах.
Но: как только информация попадает в компьютер, даже в обычный Excel-файл, это уже автоматизированная обработка – регистрация обязательна.
Стоит ли рисковать?
Закон о персональных данных становится все жестче. Если ваша деятельность хоть немного затрагивает обработку персональных данных, проще сразу зарегистрироваться, чем потом объясняться с проверяющими и платить штрафы.
Итак, если данные используются исключительно в личных целях или хранятся только на бумаге, регистрацию можно не проходить. Но как только бизнес касается клиентов, маркетинга или найма сотрудников, статус оператора персональных данных становится неизбежным.
Что грозит за отсутствие регистрации?
Раньше за отсутствие регистрации оператора персональных данных ничего серьезного не было. Роскомнадзор мог вынести предписание или сослаться на ст. 19.7 КоАП РФ, где штрафы чисто символические: 500 рублей для ИП и 5000 рублей для юрлиц.
Но с 30 мая 2025 года все меняется.
Какие штрафы вводятся?
В КоАП появится новый пункт в ст. 13.11, который закрепит ответственность именно за несвоевременную регистрацию. И цифры тут уже совсем другие:
Самозанятые – от 5 000 до 10 000 рублей. ИП и юрлица – от 100 000 до 300 000 рублей.
Больше не отделаться легким испугом. Теперь игнорировать закон станет дорого.
Обновление данных в реестре операторов персональных данных: что нужно сделать, чтобы не нарваться на санкции
Кто обязан обновлять сведения?
Все операторы персональных данных, зарегистрированные в Роскомнадзоре, обязаны актуализировать информацию, если:
- С 26 декабря 2022 года не обновляли данные – придется подать новые сведения по обновленной форме.
- Изменились ключевые параметры, указанные в уведомлении, такие как:
- ФИО или должность ответственного за обработку персональных данных;юридический адрес компании;перечень обрабатываемых данных или цели их использования.
Формы заявлений: pd.rkn.gov.ru
Как подать изменения?
Уведомление подается не позднее 15-го числа месяца, следующего за месяцем изменений. Сделать это можно через сайт Роскомнадзора:Форма для обновления данных
В уведомлении указываются:
- реквизиты ранее поданного уведомления;
- информация, которая изменилась;
- дата вступления изменений в силу.
Роскомнадзор обновит реестр в течение 30 дней после подачи заявки.
Передача данных за границу: как не попасть под запреты?
Сегодня многие компании хранят и обрабатывают данные в зарубежных сервисах: клиентская база может быть в Google Drive, заказы обрабатываются через иностранные CRM, а сотрудники работают в международных облачных платформах. Но насколько это законно?
Любая передача персональных данных за пределы России – это трансграничная передача, и у нее есть строгие правила.
Какие страны считаются безопасными?
Роскомнадзор делит страны на две группы:
- Страны с адекватной защитой данных
- Евросоюз, Великобритания, Израиль, Казахстан и другие, признанные безопасными.Передача данных возможна без лишних формальностей, но с уведомлением Роскомнадзора.
- Страны с неадекватной защитой данных
- США, Египет, Чили и другие, где защита данных не соответствует российским требованиям.Передача возможна только через 10 рабочих дней после подачи уведомления – за это время Роскомнадзор может потребовать разъяснений или вовсе запретить отправку данных.
Форма уведомления: pd.rkn.gov.ru
Что делать, если данные уже передаются за границу без уведомления?
- Срочно подать уведомление в Роскомнадзор.
- Временно приостановить передачу данных.
- Дождаться одобрения (если передача в страну с неадекватной защитой).
Несоблюдение этих правил грозит не только штрафами, но и блокировкой деятельности. Теперь за трансграничную передачу данных без согласования можно дорого заплатить.
Почему утечка данных — это гипер важный момент, о котором всегда нужно помнить?
Если персональные данные вашей компании уже где-то «гуляют», значит, проблема не в будущем — она уже случилась. И вот почему это критично.
Последствия утечек данных
Утечка персональных данных — это не просто неприятность. Это убытки, репутационные риски, юридические проблемы и даже уголовные дела. Разберем главные угрозы.
1. Финансовые потери
Каждая утечка — это потенциальный ущерб в миллионы рублей. Штрафы, судебные иски, расходы на ликвидацию последствий — все это ложится на компанию тяжким бременем.
- Штрафы от Роскомнадзора. Нарушение закона «О персональных данных» (ФЗ-152) грозит штрафами до 18 миллионов рублей.
- Иски от клиентов. Пострадавшие пользователи могут требовать компенсации за утраченные деньги или репутационные потери.
- Расходы на устранение последствий. Чем крупнее утечка, тем больше компания потратит на восстановление систем безопасности.
2. Репутационный крах
Одна утечка — и ваша компания попадает в черные списки. Бизнес может годами выстраивать доверие, но потерять его за один день.
- Потеря клиентов. Люди не хотят работать с теми, кто не может защитить их данные.
- Проблемы с партнерами. Компании, сотрудничающие с вами, могут пересмотреть договоренности, если ваша безопасность под угрозой.
- Имиджевые потери. В СМИ появится информация о вашей «дыравой» системе безопасности — и ее будут долго обсуждать.
3. Использование данных мошенниками
Если ваша база данных попала в чужие руки, ждите проблем:
- Клиентов начнут атаковать фишинговые схемы. Их банковские данные или паспортные данные уже могут использоваться в мошеннических целях.
- Конкуренты могут получить коммерчески важную информацию. Базы клиентов, финансовые отчеты, внутренние процессы — все это может утечь.
- Сотрудников могут шантажировать или пытаться подкупить. Особенно если в базах есть их личные данные.
4. Юридическая ответственность
Утечки данных могут привести не только к штрафам, но и к уголовным делам.
- Нарушение закона о персональных данных. За халатность в защите информации предусмотрены административные и уголовные санкции.
- Ответственность должностных лиц. Руководство компании может понести наказание за утечку информации, если она произошла из-за халатности.
- Расторжение контрактов. Если утечка нарушает соглашения с партнерами, они могут прекратить сотрудничество.
Что делать при утечке персональных данных?
Операторы обязаны немедленно уведомлять Роскомнадзор об утечке данных. Да, медлить нельзя – иначе штрафы, репутационные потери и, возможно, разбирательства с клиентами.
Процедура уведомления:
- Первичное уведомление – в течение 24 часов после обнаружения утечки. Указать:
- дату и время инцидента;объем и категорию утерянных данных;предполагаемые причины утечки.
- Дополнительное уведомление – в течение 72 часов. Здесь уже должны быть:
- источник утечки;количество пострадавших;принятые меры для предотвращения повторного инцидента.
Где подать уведомление? На сайте Роскомнадзора: https://pd.rkn.gov.ru/incidents/form/
Примеры крупных утечек данных в России
Яндекс.Еда (2022 год):
Имена, адреса и заказы клиентов попали в открытый доступ. Штраф? 60 000 рублей. Для сравнения: месячный доход топ-менеджера IT-компании. Подробнее: Forbes
Сервис доставки «СДЭК» (2022 год):
800 000 записей: имена, адреса, телефоны. Всё оказалось в свободном доступе. Источник: FBKCS
Как предотвратить утечку данных?
Защититься можно, но потребуется комплексный подход. Данные – это новая нефть, и их защита требует не только технологий, но и грамотных решений на всех уровнях.
1. Технические меры защиты
- Шифрование – данные должны быть зашифрованы (AES-256, TLS), иначе их рано или поздно украдут.
- Антивирусы и фаерволы – стандарт, но не панацея. Важно их обновлять и правильно настраивать.
- Системы контроля доступа – каждый видит только то, что ему положено.
- Двухфакторная аутентификация (2FA) – обязательна.
- Журналирование – кто, когда, какие изменения вносил. Это спасёт при разборках.
- Резервные копии – если атака случится, можно будет восстановить данные.
2. Организационные меры защиты
- Обучение сотрудников – главная причина утечек – человеческий фактор.
- Проверка сотрудников – особенно если они работают с клиентскими данными.
- Аудит безопасности – регулярные тесты на уязвимости.
- Ограничение личных устройств – никаких данных на личных телефонах и ноутбуках.
- Контроль подрядчиков – у них тоже должны быть меры защиты.
3. Юридические меры защиты
- Политика конфиденциальности – компании обязаны публиковать документ, в котором объясняются цели сбора данных, способы их обработки и права пользователей. Этот документ должен быть доступен на сайте или по запросу клиентов.
- Договоры с подрядчиками – если компания передает данные третьим лицам (например, в call-центр или маркетинговое агентство), необходимо убедиться, что у подрядчиков также соблюдаются меры защиты информации.
- Согласие на обработку данных – без этого всё незаконно.
- Локальные акты – регламенты работы с данными внутри компании. Например, запрет на хранение и обработку персональных данных на личных ноутбуках, телефонах и флешках сотрудников.
Как итог
Ну что, друзья, мы прошлись по всем важным моментам, связанным с операторами персональных данных. Теперь вы знаете как подать уведомление в Роскомнадзор. А если не подали — штрафы вам точно не понравятся. Не говоря уже о том, что утечка данных — это не только юридический кошмар, но и огромный удар по репутации. Поэтому, если хотите избежать таких неприятностей, лучше не забывать о всех этих мелочах. Защищайте данные клиентов, и они будут защищать ваш бизнес. В конце концов, всегда приятно быть в числе тех, кто знает, как все сделать по правилам!
С вами был Вадим Твердохлеб. Задавайте вопросы в комментариях, буду рад ответить каждому. Если нужны целевые лиды, пишите в телеграм @vadim_tverdokhleb, проведем бесплатную диагностику вашего бизнеса и за 15 минут найдем индивидуальное решение.
P.S: подписывайтесь на мой телеграм-канал “Хлебушек для фрилансера”, там без воды делюсь мыслями и инсайтами для предпринимателей.