В данной ситуации речь идет об отношениях в сфере обработки персональных данных, урегулированных Федеральным законом «О персональных данных». Пользователь (физическое лицо) зарегистрировался в Роскомнадзоре в качестве оператора персональных данных — то есть лица, самостоятельно или совместно с другими организующего и (или) осуществляющего обработку персональных данных, а также определяющего цели и состав таких данных. Однако на момент подачи уведомления у пользователя отсутствуют ключевые документы, подтверждающие соблюдение требований закона: политика в отношении обработки персональных данных (политика конфиденциальности) и согласие субъектов на обработку их персональных данных.
Юридически значимым является то, что обработка персональных данных без указанных документов может квалифицироваться как нарушение установленного порядка сбора, хранения, использования или распространения информации о гражданах. При этом способ обработки — через социальные сети без собственного сайта — не освобождает от обязанности иметь политику конфиденциальности и получать согласие. Отсутствие сайта означает, что оператор обязан обеспечить доступ к политике иным способом, например, разместив её в аккаунте в соцсети или предоставляя по запросу. Само по себе уведомление Роскомнадзора — это лишь регистрационное действие, но оно не подтверждает фактическое соблюдение всех требований закона.
Пользователю необходимо учитывать, что с момента начала обработки персональных данных (в том числе через соцсети) у оператора возникает обязанность иметь политику и согласие. Если эти документы отсутствуют, контролирующий орган (Роскомнадзор) вправе привлечь к административной ответственности при проверке или по жалобе субъекта данных. Подготовка документов во время рассмотрения уведомления (30 дней) сама по себе не отменяет факта их отсутствия в предыдущий период, однако может быть расценена как добровольное устранение нарушения, что учитывается при назначении наказания.
Кроме того, пользователь сомневается в правильности заполнения самого уведомления. Юридически значимыми элементами здесь являются: корректность указанных сведений об операторе, целях обработки, категориях субъектов и данных, а также способах их обработки. Ошибки или неполнота уведомления могут повлечь отказ во внесении в реестр операторов, а также дополнительные риски при проверках. Таким образом, ситуация требует не только восполнения недостающих документов, но и возможной корректировки уведомления.
Согласно статье 18.1 Федерального закона «О персональных данных», оператор обязан принимать меры, направленные на обеспечение выполнения обязанностей, возложенных на него законом. Поскольку вы подали уведомление в Роскомнадзор как оператор, на вас распространяются требования этой статьи вне зависимости от того, есть у вас сайт или вы обрабатываете данные через соцсети. Отсутствие у вас политики конфиденциальности — это прямое нарушение, так как издание документа, определяющего политику оператора в отношении обработки персональных данных, прямо названо в законе одной из мер, которую оператор обязан принять. Применение этой нормы к вашей ситуации означает, что факт подачи уведомления сам по себе не освобождает вас от обязанности иметь такой внутренний документ: он должен быть не в уведомлении, а реально действовать и быть доступным субъектам.
Статья 18.1. Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом. 1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам, в частности, относятся: ... 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику о
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 18.1
Далее, статья 22 того же закона устанавливает, что в уведомлении об обработке персональных данных вы обязаны описать меры, предусмотренные статьёй 18.1, в том числе сведения о шифровальных средствах. Поскольку вы признаёте, что не уверены в правильности заполнения уведомления, есть риск, что сведения о принимаемых мерах (политике конфиденциальности и шифровании) в нём не указаны или указаны неверно. Это может привести к тому, что Роскомнадзор сочтёт уведомление неполным, что не является прямым основанием для штрафа по ст. 13.11 КоАП, но создаёт риск отказа во включении в реестр или требования исправить уведомление.
Статья 22. Уведомление об обработке персональных данных
- Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
- Уведомление должно содержать следующие сведения: ... 7) описание мер, предусмотренных статьями 18.1 и 19 настоящего Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств; ...
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 22
Теперь о согласии субъекта. Статья 9 закона требует, чтобы согласие на обработку персональных данных было конкретным, предметным, информированным, сознательным и однозначным. Отсутствие сайта не освобождает вас от этой обязанности: согласие может быть получено в любой форме, позволяющей подтвердить факт его получения — например, путём заполнения формы в соцсети или направления сообщения. Если вы прямо не получали от подписчиков или пользователей соцсетей такого согласия, вы обрабатываете данные без законного основания. Это напрямую подпадает под состав административного правонарушения.
Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. 3. Обязанность предоставить до
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Наконец, ответственность за эти нарушения предусмотрена статьёй 13.11 КоАП РФ. Важно разграничить два состава, которые к вам применимы. Часть 1 этой статьи штрафует за обработку персональных данных в случаях, не предусмотренных законом, либо обработку, несовместимую с целями сбора. Если вы начали собирать данные через соцсети, не получив согласия и не утвердив политику, — это обработка вне правового поля. Часть 2 устанавливает повышенный штраф за обработку без письменного согласия субъекта (когда такое согласие требуется по закону). В вашем случае, если вы обрабатываете данные не для простых случаев (например, не для исполнения договора, а для рассылок или рекламы), может быть вменена именно часть 2, штраф по которой для граждан составляет от 10 000 до 15 000 рублей, а для должностных лиц — от 50 000 до 100 000 рублей. При этом сам факт подачи уведомления в РКН, даже если оно находится на рассмотрении, не отменяет обязанности иметь согласие и политику: ответственность наступает с момента начала обработки, а не с момента постановки на учёт.
Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных
- Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, - влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
- Обработка персональных данных без согласия в письменной форме субъекта пер
— Кодекс Российской Федерации об административных правонарушениях, ст. 13.11
Таким образом, подготовка документов в течение 30-дневного срока рассмотрения уведомления не устраняет административную ответственность за период, когда вы уже обрабатывали данные без законных оснований. Однако прекращение нарушения (утверждение политики и получение согласия) до момента вынесения постановления о штрафе может быть учтено как смягчающее обстоятельство (ст. 4.2 КоАП РФ). Корректировка уведомления (подача изменений) позволит привести его в соответствие с законом, но не отменит само нарушение.
