Подала уведомление в РКН как оператор персональных данных, но нет политики конфиденциальности и согласия на обработку — что делать, если работаю только через соцсети, как избежать штрафа и нужен ли юрист для оформления документов

В данной ситуации речь идет об отношениях в сфере обработки персональных данных, урегулированных Федеральным законом «О персональных данных». Пользователь (физическое лицо) зарегистрировался в Роскомнадзоре в качестве оператора персональных данных — то есть лица, самостоятельно или совместно с другими организующего и (или) осуществляющего обработку персональных данных, а также определяющего цели и состав таких данных. Однако на момент подачи уведомления у пользователя отсутствуют ключевые документы, подтверждающие соблюдение требований закона: политика в отношении обработки персональных данных (политика конфиденциальности) и согласие субъектов на обработку их персональных данных.

Юридически значимым является то, что обработка персональных данных без указанных документов может квалифицироваться как нарушение установленного порядка сбора, хранения, использования или распространения информации о гражданах. При этом способ обработки — через социальные сети без собственного сайта — не освобождает от обязанности иметь политику конфиденциальности и получать согласие. Отсутствие сайта означает, что оператор обязан обеспечить доступ к политике иным способом, например, разместив её в аккаунте в соцсети или предоставляя по запросу. Само по себе уведомление Роскомнадзора — это лишь регистрационное действие, но оно не подтверждает фактическое соблюдение всех требований закона.

Пользователю необходимо учитывать, что с момента начала обработки персональных данных (в том числе через соцсети) у оператора возникает обязанность иметь политику и согласие. Если эти документы отсутствуют, контролирующий орган (Роскомнадзор) вправе привлечь к административной ответственности при проверке или по жалобе субъекта данных. Подготовка документов во время рассмотрения уведомления (30 дней) сама по себе не отменяет факта их отсутствия в предыдущий период, однако может быть расценена как добровольное устранение нарушения, что учитывается при назначении наказания.

Кроме того, пользователь сомневается в правильности заполнения самого уведомления. Юридически значимыми элементами здесь являются: корректность указанных сведений об операторе, целях обработки, категориях субъектов и данных, а также способах их обработки. Ошибки или неполнота уведомления могут повлечь отказ во внесении в реестр операторов, а также дополнительные риски при проверках. Таким образом, ситуация требует не только восполнения недостающих документов, но и возможной корректировки уведомления.

Согласно статье 18.1 Федерального закона «О персональных данных», оператор обязан принимать меры, направленные на обеспечение выполнения обязанностей, возложенных на него законом. Поскольку вы подали уведомление в Роскомнадзор как оператор, на вас распространяются требования этой статьи вне зависимости от того, есть у вас сайт или вы обрабатываете данные через соцсети. Отсутствие у вас политики конфиденциальности — это прямое нарушение, так как издание документа, определяющего политику оператора в отношении обработки персональных данных, прямо названо в законе одной из мер, которую оператор обязан принять. Применение этой нормы к вашей ситуации означает, что факт подачи уведомления сам по себе не освобождает вас от обязанности иметь такой внутренний документ: он должен быть не в уведомлении, а реально действовать и быть доступным субъектам.

Статья 18.1. Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом. 1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам, в частности, относятся: ... 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику о
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 18.1

Вы подали уведомление как оператор, но уже осуществляли обработку персональных данных через соцсети без законных оснований — политики конфиденциальности и согласия субъектов. Это является прямым нарушением, за которое предусмотрен административный штраф по ст. 13.11 КоАП РФ. Тот факт, что документы будут подготовлены в период рассмотрения уведомления, не освобождает от ответственности за прошлый период, однако добровольное устранение нарушения будет признано смягчающим обстоятельством.

Рекомендуемые действия

• Немедленно прекратить активный сбор и обработку новых персональных данных (например, приостановить рекламные кампании, сбор заявок через формы в соцсетях) до полного оформления документов.
• Незамедлительно разработать и утвердить политику в отношении обработки персональных данных, а также форму согласия субъекта, адаптировав их под взаимодействие через социальные сети без веб-сайта.
• Разместить утверждённую политику конфиденциальности в доступном для пользователей месте в вашем аккаунте в соцсети (например, в постоянных публикациях, историях, описании профиля) и организовать сбор согласий с тех лиц, чьи данные вы уже обрабатываете или планируете обрабатывать.
• Подать в Роскомнадзор информационное письмо или уведомление об изменении сведений, чтобы скорректировать неточности в ранее поданном уведомлении.
• В случае возбуждения дела об административном правонарушении или получения запроса от Роскомнадзора активно ссылаться на факт добровольного устранения нарушения, так как это смягчает наказание и может повлечь назначение минимального штрафа или предупреждения (при наличии соответствующих условий).
• Привлечь профильного адвоката для проверки корректности составленных документов и уведомления, особенно с учётом того, что нестандартный способ обработки данных (без сайта, через соцсети) требует выверенных формулировок для минимизации рисков претензий со стороны контролирующего органа.