Обязанность организации по уведомлению Роскомнадзора об обработке персональных данных
Анализ вашей ситуации
Ваша организация с штатом 10 человек осуществляет обработку персональных данных сотрудников (при найме, ведении расчетов) и контрагентов (как разовых, так и постоянных). Обработка ведется более года, уведомление в уполномоченный орган (Роскомнадзор) ранее не подавалось.
Применимые правовые нормы
Согласно Федеральному закону "О персональных данных", оператор до начала обработки персональных данных обязан уведомить уполномоченный орган о своем намерении осуществлять такую обработку.
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22, часть 1)
Ключевой вопрос — подпадаете ли вы под исключения, когда уведомление не требуется. Закон предусматривает несколько исключений, но наиболее relevantное для вашего случая:
"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: ... 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22, часть 2, пункт 8)
Это означает, что если вы обрабатываете персональные данные только вручную (бумажные носители, без использования компьютеров, баз данных и т.д.), то уведомление подавать не нужно.
Однако из вашего описания следует, что вы ведете расчеты с сотрудниками, что с высокой вероятностью предполагает использование средств автоматизации (бухгалтерские программы, Excel и т.п.). В этом случае исключение на вас не распространяется, и уведомление подавать обязаны.
Сроки подачи уведомления и ответственность
Закон четко устанавливает, что уведомление должно направляться до начала обработки персональных данных. Поскольку вы уже осуществляете обработку более года, формально срок подачи уведомления вами пропущен.
За неподачу уведомления установлена административная ответственность:
"Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на юридических лиц - от ста тысяч до трехсот тысяч рублей." (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11, часть 10)
Крайнего срока "легализации" в законодательстве не установлено. Риск привлечения к ответственности существует с момента начала обработки данных. Рекомендуется подать уведомление в кратчайшие сроки, чтобы минимизировать этот риск.
Где найти форму и разъяснения
Формы уведомлений устанавливаются самим уполномоченным органом — Роскомнадзором.
"Формы уведомлений, предусмотренных частями 1, 4.1 и 7 настоящей статьи, устанавливаются уполномоченным органом по защите прав субъектов персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22, часть 8)
Актуальные формы уведомлений, инструкции по их заполнению и порядок подачи (в том числе в электронной форме) размещены на официальном сайте Роскомнадзора (rkn.gov.ru) в соответствующем разделе, посвященном персональным данным.
Выводы и рекомендации
- Вы обязаны подать уведомление в Роскомнадзор, так как с высокой вероятностью обрабатываете персональные данные с использованием средств автоматизации (компьютеров, программного обеспечения).
- Срок подачи уведомления был до начала обработки данных. Поскольку вы уже обрабатываете данные, уведомление следует подать немедленно, чтобы снизить риск административного штрафа.
- Размер потенциального штрафа для юридического лица составляет от 100 000 до 300 000 рублей.
- Актуальную форму уведомления и разъяснения по ее заполнению необходимо искать на официальном сайте Роскомнадзора.
Учитывая, что законодательство в области персональных данных достаточно сложное и нарушение может повлечь существенные штрафы, для подготовки и подачи уведомления, а также для приведения всей деятельности по обработке персональных данных в соответствие с законом (политика, согласия, меры защиты), рекомендуется обратиться за консультацией к адвокату, специализирующемуся на этом вопросе.
