Выбор даты начала обработки персональных данных при подаче уведомления в уполномоченный государственный орган

Указание даты начала обработки персональных данных при опоздании с подачей уведомления

Анализ ситуации

Вы начали обработку персональных данных несколько месяцев назад, однако уведомление в Роскомнадзор (уполномоченный орган) подаёте только сейчас. Это означает, что обработка велась до исполнения обязанности по уведомлению, что является нарушением установленного порядка. Вопрос о дате, которую необходимо указать в уведомлении, напрямую связан с минимизацией рисков административной ответственности.

Применимые нормы и их толкование

1. Требования к дате начала обработки в уведомлении

Согласно закону, уведомление должно содержать конкретные сведения, среди которых:

"8) дата начала обработки персональных данных;" (Источник: Федеральный закон "О персональных данных", статья 22, часть 3)

Законодательство не даёт определения "даты начала обработки" и не содержит специальных правил для случаев, когда обработка начата до подачи уведомления. Логическое и буквальное толкование нормы приводит к выводу, что в уведомлении должна быть указана фактическая дата начала любых действий по обработке персональных данных, то есть та дата, когда вы впервые начали их собирать или иным образом обрабатывать. Указание даты подачи уведомления или даты оформления документов будет являться предоставлением искажённых сведений, что прямо запрещено.

"...представление... сведений (информации) в неполном объеме или в искаженном виде... влечет предупреждение или наложение административного штрафа..." (Источник: КоАП РФ, статья 19.7)

2. Ответственность за начало обработки до подачи уведомления

Обязанность оператора заключается в следующем:

"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган..." (Источник: Федеральный закон "О персональных данных", статья 22, часть 1)

Начало обработки до направления уведомления является самостоятельным административным правонарушением – несвоевременным представлением сведений, предусмотренным статьей 19.7 КоАП РФ. Ответственность для юридического лица по этой статье предусматривает предупреждение или штраф от трёх до пяти тысяч рублей.

3. Влияние основания обработки на дату в уведомлении

Основание для обработки (например, наличие согласия субъекта) определяет правомерность самой обработки, но не изменяет дату её фактического начала. Если обработка начата до получения надлежащего согласия, это является отдельным, более серьёзным нарушением требований закона о персональных данных.

"Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе." (Источник: Федеральный закон "О персональных данных", статья 9, часть 1)

Таким образом, если обработка велась без законного основания (в том числе без согласия), это не меняет дату начала обработки для целей уведомления, но создаёт дополнительные правовые риски.

4. Обстоятельства, смягчающие ответственность

При подаче уведомления с опозданием важно, что ваши последующие действия могут быть расценены как смягчающие обстоятельство:

"Обстоятельствами, смягчающими административную ответственность, признаются: ... 3) добровольное сообщение лицом, совершившим административное правонарушение, в орган, уполномоченный осуществлять производство по делу об административном правонарушении, о совершенном административном правонарушении..." (Источник: КоАП РФ, статья 4.2, часть 1)

Самостоятельная и добровольная подача уведомления (даже запоздалая) может быть квалифицирована как такое добровольное сообщение. Кроме того, при малозначительности нарушения возможно освобождение от ответственности с устным замечанием.

"При малозначительности совершенного административного правонарушения... могут освободить лицо... от административной ответственности и ограничиться устным замечанием." (Источник: КоАП РФ, статья 2.9)

Выводы и конкретные рекомендации

1. Указывайте фактическую дату. В поле "дата начала обработки персональных данных" в уведомлении необходимо указать реальную дату, когда вы впервые начали сбор или иную обработку персональных данных. Указание будущей или иной даты является предоставлением заведомо искажённых сведений, что влечёт отдельную ответственность по ст. 19.7 КоАП РФ.

2. Немедленно подайте уведомление. Подача уведомления прекращает длящееся нарушение (неисполнение обязанности по уведомлению) и может быть учтена как смягчающее обстоятельство (добровольное сообщение о нарушении) в случае привлечения к ответственности.

3. Проверьте основания обработки. Незамедлительно приведите в соответствие с законом основания для обработки данных, которые уже ведутся. Если обработка велась на основании согласия, убедитесь, что согласия получены по правилам ст. 9 ФЗ "О персональных данных". Если согласия не было, срочно получите его у субъектов данных или найдите иное законное основание для обработки (например, исполнение договора), предусмотренное законом.

4. Будьте готовы к диалогу с Роскомнадзором. В случае запроса или проверки честно сообщите, что осознали нарушение и самостоятельно его устранили, подав уведомление. Это позволит ссылаться на смягчающие обстоятельства.

Резюме: Риск штрафа за опоздание с уведомлением существует (штраф для юрлица 3-5 тыс. руб.), но он значительно ниже рисков, связанных с предоставлением ложных сведений в уведомление. Корректная дата — это дата фактического начала обработки. Для минимизации последствий срочно подайте уведомление с верной датой и приведите в порядок всю документацию по обработке ПДн. В сложной ситуации, особенно если уже ведётся проверка, рекомендуется обратиться к адвокату, специализирующемуся на информационном праве.