Вопросы про уведомления о персональных данных в РКН

30 мая 2025 года вступили в силу изменения в ст. 13.11 КоАП РФ. Теперь, если не предоставить РКН уведомление о начале обработки персональных данных, можно получить штраф до 300 тысяч рублей. Как правильно оформить и подать уведомление? И нужно ли переживать, если вы не успели внести изменения в уведомление до 30 мая?

На эти другие вопросы ответила наш директор по информационной безопасности — Вероника Нечаева.

Вопрос 1

Уведомление по обработке ПДн в ГИС должен подавать Владелец ГИС или Оператор ГИС? Или и тот, и другой?

Нужно подавать и тем, и другим. Если речь идет об информационной системе с персональными данными и вы являетесь обработчиком, вы эту информационную систему тоже подаете в уведомлении. Если вы владелец и к вам подключаются еще другие юридические лица, вы должны перечислить каждого. Это просто титанический труд.

Вопрос 2

Если медицинская организация не является владельцем ГИС, но обрабатывает в ГИС ПДн своих пациентов, нужно ли актуализировать уведомление?

Если вы писали эту систему как ИСПДн, то нет, не нужно.

Вопрос 3

Мы — управление социальной защиты. Нужно ли подавать два разных уведомления: одно по обработке ПДн для ведения кадрового и бухгалтерского учета , а второе — для обработки данных получателей социальных выплат?

Уведомление — одно на одно юридическое лицо.

Вопрос 4

Чтобы оформить ДМС, нужно ли подавать в уведомлении сведения, если основная деятельность — производство? Мы просто страхуем сотрудников.

В уведомлении вы подаете все информационные системы, в которых обрабатываете персональные данные.

Вопрос 5

Цель сбора персональных данных  в уведомлении —  «продвижение товаров и услуг». Это подведет меня под закон о рекламе? Плохая цель?

Надо смотреть закон о рекламе. Цель нормальная. Если у вас есть система, «Битрикс”, например, и в системе собираются лиды после мероприятий различных — это и есть продвижение товаров и услуг. Если вы с ними снова будете работать, возьмите у них согласие в соответствии с законом о рекламе. Понятно, что будете выполнять требования — ничего страшного. Может, закон о рекламе какой-то страшный, но наш маркетинг пока не жаловался 🙂

Вопрос 6

Если подали уведомление вчера, но, например, сегодня после вебинара поняли, что совершили ошибку,  когда мы можем подавать корректирующее уведомление? Нужно ли ждать оповещения о том, что уведомление в реестре?

Да, все правильно. Вносить корректировки надо только после того, как вы себя в реестре найдёте, через ваш ключ, который вы при уведомлении должны были себе сохранить.

Вопрос 7

А можно ли отправить уведомление в РКН об обработке персональных данных бумажным письмом почтой?

Да, можно.

Вопрос 8

Уведомление подавали 17.10.22. С этого периода были внесены изменения в ООО, а именно — произошла смена генерального директора, юридического адреса и названия фирмы. Требуется ли уведомлять РКН о внесении изменений? В какие сроки ? И будут ли штрафы,  если не успеем до 1 июня 2025 года?

Да, надо уведомить об изменениях. Нарушения не будет, вам надо только поменять данные.

Вопрос 9

В уведомлении об изменениях сведений есть такая строка: сведения о лицах, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных системах. Правильно ли я понимаю, что в эти сведения нужно подавать на тех сотрудников организации, которые выгружают сведения с ФИС ФРДО, ФИС ГИА? Мы образовательная организация.

Эту строчку заполняет владелец ГИСа. Вы образовательная организация, вы не заполняете.

Вопрос 10

Государственная организация, которая предоставляет государственные услуги по регистрации техники, подает уведомление впервые. Все сотрудники работают с ПД в федеральной программе ФГИС УСМТЮ. Уведомление подаем от организации или от каждого сотрудника отдельно?

Подавать уведомление нужно от юридического лица. Со стопроцентной вероятностью в вашем юридическом лице есть 1С, есть система по учёту кадров, есть ЗУП — зарплата и управление персоналом, какие-то банковские программы о начислении заработной платы. ФГИС — это не единственная система, которую вы должны подать.

Вопрос 11

Нам бы «типовую рыбу» для уведомления.. нет такой?

Конечно, есть. В приказе Роскомнадзора “О форме уведомления на обработку персональных данных”. Если вы не можете на сайте зайти, потому что он лежит, найдите в любой правовой системе. Есть в бумажной, только тогда на бумаге надо будет нести или отправлять. Если придется отправлять и вы не в одном городе со своим Роскомнадзором, тогда надо будет хранить вот эти “корешки”,  чтобы не потерялись.

Вопрос 12

А если мы используем государственную ИС (СМЭВ),  нужно ли её указывать в уведомлении?

Как стороннюю систему — да,  если вы с помощью этой системы персональные данные передаете.

Вопрос 13

В случае, если нам передают по поручению ПДн, нужно ли указывать в уведомлении об обработке перечень ПДн, которые нам передают по поручению?

Если вы уведомление подавали и вообще видели его, там есть пункт “цель обработки”, а потом  идут категории ПДн. Вот ваша цель обработки — это работы по поручению. То есть, договор такой-то… Вы на него всё время должны ссылаться.

Вопрос 14

Есть ООО, которая обрабатывает ПДн своих сотрудников, их количество не больше 10. Как компании исполнить 152-ФЗ? И нужно ли подавать уведомление?

Уведомление подавать нужно 100%. Как выполнить 152 федеральный закон — зависит от того уровня защищенности, которые вы посчитаете нужным. Там будут после уровня защищенности группы мер, которые необходимо выполнить — и организационные, и технические, и физические, связанные с персоналом. Вот как только их выполните, тогда всё будет окей.

Вопрос 15

Добрый день! Почему органы обороны не подают уведомление?

Потому что они попадают под исключение 152-ФЗ. У них есть более жесткие требования, чем требования РКН.

Вопрос 16

Вероника, по вашему мнению, будет ли РКН наказывать за старые уведомления, где заявлены только ПДн работников? Таких уведомлений больше всего на портале РКН.

С происходящей вакханалией им бы хотя бы разобраться с тем потоком, который у них сейчас будет. Что будет происходить — зависит от того, какие у вас взаимоотношения на данный момент с РКН, от контекста конкретного вопроса, который задает Роскомнадзор. Но вообще в НПА есть информация о том, до какого срока вы должны были подать изменения.

Вопрос 17

Мы отправили уведомление 31.08.2021 надо ли сейчас в связи с выходом 26.12.2022 новой формы уведомления подавать его повторно по новой форме?

Нет, повторно отправлять не надо. Надо внести изменение через уведомления об изменениях.

Если вы также хотите получить подробную консультацию по вопросам ПДн от нашего ИБ-отдела — просто заполните форму. Мы свяжемся с вами.