Иконка поиска
Логотип Все адвокаты
Вопрос
Социальные права и льготы

Нужно ли АНО с одним сотрудником подавать уведомление в Роскомнадзор, если обязательства выполняются добровольно

Краткий ответ

Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут

Рекомендуемые действия

  1. 1
    Подайте уведомление в территориальное управление Роскомнадзора по месту нахождения АНО, если данные обрабатываются на компьютере.
  2. 2
    Направьте уведомление через портал pd.rkn.gov.ru или на бумажном носителе по форме из приказа Роскомнадзора от 30.05.2017 № 94.
  3. 3
    Подайте уведомление до начала обработки персональных данных; если обработка уже идет, сделайте это в кратчайшие сроки.
  4. 4
    Назначьте ответственного за обработку персональных данных, им может быть сам директор.
  5. 5
    Разработайте и утвердите политику обработки персональных данных и ознакомьте с ней всех, у кого есть доступ к данным.
  6. 6
    Учитывайте, что за неуведомление штраф грозит директору как должностному лицу — от 30 000 до 50 000 рублей.

Документы и доказательства

  • Уведомление о намерении обработки персональных данных (форма приказа Роскомнадзора № 94)
  • Документы, подтверждающие автоматизированную обработку данных (договоры, акты, приказы)
  • Политика оператора в отношении обработки персональных данных
  • Приказ о назначении ответственного за организацию обработки персональных данных
  • Документы, подтверждающие полномочия директора (приказ о назначении, трудовой договор)
  • Сведения о месте нахождения АНО (свидетельство о постановке на учет в налоговом органе)

  • Срочно: первые шаги

    • Проверьте, ведёте ли вы обработку данных директора с помощью компьютера или электронной отчётности: если да — уведомление в Роскомнадзор обязательно.
    • Не откладывайте подачу уведомления: обязанность действует уже сейчас, предельный срок законом не установлен, но штраф для директора — от 30 000 до 50 000 рублей.
    • Подайте уведомление в территориальное управление Роскомнадзора по месту нахождения АНО, даже если сотрудник всего один.
    • Используйте форму из приказа Роскомнадзора от 30.05.2017 № 94 — подача через портал pd.rkn.gov.ru или на бумаге.

  • Сроки и риски

    • Подайте уведомление в Роскомнадзор до начала обработки персональных данных, если используете компьютер или облачные сервисы.
    • При уже начатой обработке направьте уведомление немедленно: предельный срок законом не установлен, но обязанность уже действует.
    • При неподаче уведомления директору грозит штраф от 30 000 до 50 000 рублей по ч. 10 ст. 13.11 КоАП РФ.
    • Сама АНО как некоммерческая организация по этому составу не штрафуется — ответственность несет только директор.
    • Освобождение от уведомления действует только при исключительно бумажной (неавтоматизированной) обработке данных.
    • Добровольный характер деятельности и наличие одного сотрудника не освобождают от обязанности уведомить Роскомнадзор.

  • Чего не делать

    • Не полагайтесь на добровольный характер деятельности или единственного сотрудника — это не освобождает от обязанности уведомить Роскомнадзор.
    • Не считайте, что обработка данных директора в рамках трудовых отношений освобождает от уведомления — это исключение утратило силу.
    • Не ведите кадровый учет и не храните данные директора в электронном виде, если хотите избежать обязанности уведомлять Роскомнадзор.
    • Не игнорируйте требование назначить ответственного за обработку персональных данных и утвердить политику — это обязанность независимо от уведомления.
    • Не рассчитывайте, что штраф минует вас как директора: за неуведомление вас привлекут как должностное лицо некоммерческой организации.
    • Не откладывайте подачу уведомления, если обработка уже ведется — обязанность действует, хотя предельный срок законом не установлен.

  • Когда нужен адвокат

    • Подайте уведомление в Роскомнадзор, если данные директора обрабатываются на компьютере или в электронном виде.
    • Учтите: добровольный характер деятельности и один сотрудник не освобождают от обязанности уведомить Роскомнадзор.
    • Адвокат поможет, если вы не можете определить, является ли ваша обработка данных автоматизированной.
    • Обратитесь к адвокату, если вам нужно оспорить штраф за неуведомление, выписанный директору.
    • Консультация адвоката нужна, если вы планируете разработать политику обработки персональных данных и локальные акты.
    • Адвокат потребуется, если Роскомнадзор уже проводит проверку или запросил документы о вашей деятельности.

Столкнулись с похожей ситуацией?

Подробно опишите детали, и Нейроадвокат подберёт решение

Развёрнутый ответ Нейроадвоката

Автономная некоммерческая организация (АНО) с единственным сотрудником — директором, осуществляющая деятельность на добровольной основе, является оператором персональных данных, поскольку организует и определяет цели обработки персональных данных директора (паспорт, ИНН, СНИЛС, контакты) в рамках трудовых отношений и кадрового учёта. Организационно-правовая форма, численность в один человек и добровольный характер обязательств не исключают статус оператора. Обработка персональных данных директора с использованием средств автоматизации (компьютер, электронная отчётность, облачное хранение) влечёт обязанность АНО подать уведомление в Роскомнадзор до начала обработки, поскольку исключение для трудовых отношений утратило силу с 01.09.2022. Освобождение от уведомления действует только при исключительно неавтоматизированной (бумажной) обработке. За неисполнение обязанности уведомить Роскомнадзор директор АНО как должностное лицо некоммерческой организации несёт административную ответственность по ч. 10 ст. 13.11 КоАП РФ со штрафом от 30 000 до 50 000 рублей; сама АНО как некоммерческая организация по данному составу не штрафуется в силу примечания 3 к ст. 13.11 КоАП РФ.

Затронутые правоотношения:

  • Отношения по обработке персональных данных между оператором (АНО) и субъектом (директором) — возникают в силу трудовых отношений и кадрового учёта; определяют статус АНО как оператора и объём её обязанностей по 152-ФЗ, включая уведомительную.
  • Административно-публичные отношения между оператором и Роскомнадзором — возникают в связи с обязанностью уведомить уполномоченный орган о начале обработки персональных данных; их наличие или отсутствие зависит от способа обработки (автоматизированная или исключительно бумажная).
  • Отношения административной ответственности — возникают при невыполнении уведомительной обязанности; примечания 2 и 3 к ст. 13.11 КоАП РФ разграничивают субъектов ответственности, исключая штраф для НКО как юридического лица, но сохраняя его для директора как должностного лица.

Юридически значимые обстоятельства, решающие дело:

  • АНО является юридическим лицом и оператором персональных данных, поскольку самостоятельно определяет цели и состав обработки персональных данных директора.
  • Обработка ведётся с использованием средств автоматизации (компьютер, электронные документы, отчётность), что исключает применение освобождения по п. 8 ч. 2 ст. 22 152-ФЗ.
  • Исключение для обработки в рамках трудовых отношений (ранее п. 1 ч. 2 ст. 22 152-ФЗ) утратило силу с 01.09.2022, поэтому обработка данных единственного сотрудника-директора требует уведомления Роскомнадзора.
  • АНО является некоммерческой организацией, что в силу примечания 3 к ст. 13.11 КоАП РФ исключает её привлечение к ответственности как юридического лица по ч. 10 ст. 13.11 КоАП РФ, но директор отвечает как должностное лицо НКО со штрафом от 30 000 до 50 000 рублей.

Признаётся ли АНО оператором персональных данных и обязана ли уведомлять Роскомнадзор

АНО — юридическое лицо, определяющее цели и состав обработки ПД. Такой субъект признаётся оператором:

  1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
    — п. 2 ст. 3 Федерального закона № 152-ФЗ

Сама по себе организационная форма (некоммерческая), численность в один человек (директор) и «добровольная основа» обязательств не освобождают от статуса оператора: даже единственный директор, чьи ПД (паспорт, ИНН, СНИЛС, контакты) обрабатываются в рамках трудовых отношений и кадрового учёта, является субъектом ПД, а АНО — оператором, обрабатывающим эти данные.

  1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: 1) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 2) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 3) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 4) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 5) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 6) (Пункт утратил силу - Федеральный закон от 14.07.2022 № 266-ФЗ) 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
    — ч. 1, 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»

Из приведённой нормы следует решающий момент: до 14.07.2022 (ФЗ № 266-ФЗ, вступил в силу с 01.09.2022) п. 1 ч. 2 ст. 22 освобождал от уведомления обработку ПД в рамках трудовых отношений. Это исключение утратило силу — все пункты 1–6 ч. 2 ст. 22 (включая трудовые отношения) исключены. Поэтому обработка ПД даже единственного сотрудника-директора в общем случае требует уведомления Роскомнадзора. Для АНО сохранилось лишь исключение п. 8 ч. 2 ст. 22: уведомление не требуется, только если обработка ведётся исключительно без использования средств автоматизации.

  1. Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее - персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека. 10. Уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание). 11. Правила, предусмотренные пунктами 9 и 10 настоящего Положения, применяются также в случае, если необходимо обеспечить раздельную обработку зафиксированных на одном материальном носителе персональных данных и информации, не являющейся персональными данными. 12. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными. III. Меры по обеспечению безопасности персональных данных при их обработке, осуществляемой без использования средств автоматизации 13. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ. 14. Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях. 15. При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором. ____________ 2. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее.
    — п. 1, 2 Положения, утв. Постановлением Правительства РФ от 15.09.2008 № 687

Если кадровый учёт, бухгалтерия, электронная отчётность, обмен документами, хранение данных в компьютерных файлах или в облаке ведутся с использованием компьютеров (средств вычислительной техники) — обработка автоматизирована, и исключение п. 8 ч. 2 ст. 22 не применяется. Письмо Роскомнадзора подтверждает порядок и саму обязанность:

в случае осуществления вами деятельности по обработке персональных данных, не подпадающей под исключения ч. 2 ст. 22 Закона, полагаем, вам надлежит направить уведомление об обработке (о намерении осуществлять обработку) персональных данных (далее - Уведомление) в территориальное управление Роскомнадзора по месту нахождения юридического лица в соответствии с учредительными документами и свидетельством о постановке юридического лица на учет в налоговом органе. Необходимо отметить, что Федеральным законом предельный срок уведомления Роскомнадзора об обработке персональных данных не определен, в связи с чем 01.09.2022 не может рассматриваться как контрольная дата обязательного предоставления уведомления в Роскомнадзор. Для внесения сведений об операторе в реестр операторов, осуществляющих обработку персональных данных, оператору необходимо направить в территориальный орган Роскомнадзора по месту регистрации в качестве юридического лица Уведомление по форме, установленной в соответствии с приложением N 1 к Методическим рекомендациям по уведомлению уполномоченного органа о начале деятельности по обработке персональных данных и внесении изменений в ранее представленные сведения, утвержденных приказом Роскомнадзора от 30.05.2017 N 94, в виде документа на бумажном носителе или в форме электронного документа.
— Письмо Роскомнадзора от 06.09.2022 № 08-80975

Процедурно: уведомление подаётся в территориальное управление Роскомнадзора по месту нахождения АНО по форме из приказа Роскомнадзора от 30.05.2017 № 94 (бумажный или электронный вид, в т.ч. через портал pd.rkn.gov.ru). Предельный срок подачи законом не установлен (но ч. 1 ст. 22 обязывает уведомить «до начала обработки»).

Вывод по вопросу: АНО признаётся оператором ПД и обязана подать в Роскомнадзор уведомление об обработке ПД, если обработка (в т.ч. данных единственного директора) ведётся с использованием средств автоматизации. Освобождение от уведомления возможно только при исключительно неавтоматизированной (бумажной) обработке по п. 8 ч. 2 ст. 22 152-ФЗ; добровольная основа деятельности и численность один человек на обязанность не влияют.

Обязанности оператора, сохраняющиеся даже при освобождении от уведомления

Даже если АНО подпадёт под исключение п. 8 ч. 2 ст. 22 (только бумажная обработка), статус оператора сохраняется, а вместе с ним — обязанности по ст. 18.1 152-ФЗ: назначить ответственного за организацию обработки ПД, издать документы (политику обработки ПД, локальные акты), принять меры по безопасности данных, ознакомить причастных лиц. Это не отменяется тем, что в организации один сотрудник или что деятельность ведётся на добровольной основе.

  1. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам , в частности, относятся : (В редакции Федерального закона от 14.07.2022 № 266-ФЗ) 1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных; 2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных
    — ч. 1 ст. 18.1 Федерального закона № 152-ФЗ

Для АНО с одним директором это значит: даже без подачи уведомления необходимо оформить политику обработки ПД и иные организационно-распорядительные документы, а также соблюдать общие принципы обработки (ст. 5 152-ФЗ). Опубликовать документ, определяющий политику, — обязанность по ч. 2 ст. 18.1, за неисполнение которой предусмотрен штраф.

Вывод: независимо от наличия или отсутствия обязанности уведомить Роскомнадзор, АНО обязана выполнять требования ст. 18.1 152-ФЗ (назначение ответственного, издание политики и локальных актов, меры безопасности). Наличие одного сотрудника и добровольный характер обязательств от этих обязанностей не освобождает.

Ответственность за невыполнение обязанности уведомить Роскомнадзор

За невыполнение или несвоевременное выполнение обязанности по уведомлению Роскомнадзора предусмотрена административная ответственность по ч. 10 ст. 13.11 КоАП РФ.

  1. Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц - от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц - от ста тысяч до трехсот тысяч рублей.
    — ч. 10 ст. 13.11 КоАП РФ

Для АНО как некоммерческой организации решающее значение имеют примечания к ст. 13.11:

  1. В частях 10 - 18 настоящей статьи под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации. 3. В частях 10 - 18 настоящей статьи под юридическим лицом понимается оператор - юридическое лицо, не являющееся государственным или муниципальным органом либо некоммерческой организацией.
    — примечания 2, 3 к ст. 13.11 КоАП РФ, п. 2

Из примечаний следует, что АНО (некоммерческую организацию) нельзя привлечь как юридическое лицо по ч. 10 ст. 13.11 КоАП (под "юридическим лицом" в частях 10–18 понимается оператор-юрлицо, не являющееся НКО), но директор АНО как должностное лицо некоммерческой организации может быть привлечён к ответственности со штрафом от 30 000 до 50 000 руб. Также сохраняется риск привлечения по общим составам ст. 13.11 (например, ч. 1 — обработка в случаях, не предусмотренных законом, или без оснований), где НКО не изъята из числа субъектов.

Вывод: за неуведомление Роскомнадзора при автоматизированной обработке директору АНО грозит административный штраф по ч. 10 ст. 13.11 КоАП РФ как должностному лицу некоммерческой организации в размере от 30 000 до 50 000 руб.; привлечение самой АНО как юридического лица по этому составу исключено в силу примечания 3 к ст. 13.11 КоАП РФ. Для минимизации рисков целесообразно либо подать уведомление, либо документально подтвердить исключительно неавтоматизированный (бумажный) характер обработки.

Да, ваша АНО обязана подать уведомление в Роскомнадзор, если обработка персональных данных (включая данные директора) ведется с использованием компьютера или иных средств автоматизации. Добровольный характер деятельности и наличие всего одного сотрудника от этой обязанности не освобождают.

Разбор ситуации по ключевым аспектам

1. Статус оператора и обязанность уведомления
Ваша автономная некоммерческая организация является юридическим лицом, которое самостоятельно определяет цели и состав обрабатываемых персональных данных (например, паспортные данные, ИНН, СНИЛС директора для кадрового учета). В силу п. 2 ст. 3 Федерального закона № 152-ФЗ это делает вас оператором персональных данных.
По общему правилу ч. 1 ст. 22 Федерального закона № 152-ФЗ оператор обязан уведомить Роскомнадзор до начала обработки. Ранее действовавшее исключение для обработки данных в рамках трудовых отношений утратило силу. Единственное применимое для вас исключение — это обработка исключительно без использования средств автоматизации (п. 8 ч. 2 ст. 22 Федерального закона № 152-ФЗ). Если вы ведете кадровый учет, бухгалтерию или храните данные в электронном виде (компьютер, облако), обработка считается автоматизированной, и уведомление подать необходимо.

2. Обязанности, не зависящие от уведомления
Даже если бы ваша деятельность подпадала под исключение (только бумажная обработка), вы как оператор обязаны соблюдать требования ч. 1 ст. 18.1 Федерального закона № 152-ФЗ. Вам необходимо:

  • Назначить ответственного за организацию обработки персональных данных (им может быть сам директор).
  • Издать документы, определяющие политику в отношении обработки персональных данных, и ознакомить с ними всех лиц, имеющих доступ к данным.
    Эти обязанности абсолютны и не зависят ни от количества сотрудников, ни от добровольного характера деятельности.

3. Ответственность за неподачу уведомления
Если вы обязаны подать уведомление, но не сделаете этого, наступает административная ответственность. Поскольку ваша организация является некоммерческой, применяется специальный порядок, установленный примечаниями 2 и 3 к ст. 13.11 КоАП РФ:

  • Саму АНО как юридическое лицо оштрафовать не могут.
  • К ответственности по ч. 10 ст. 13.11 КоАП РФ привлекут директора как должностное лицо некоммерческой организации. Штраф для него составит от 30 000 до 50 000 рублей.

Пошаговые действия

  1. Определите способ обработки данных. Проверьте, используете ли вы компьютер, программы кадрового учета, облачные сервисы или отправляете электронную отчетность в госорганы. Если да — вы обязаны подать уведомление.
  2. Подготовьте уведомление. Заполните его по форме, утвержденной приказом Роскомнадзора от 30.05.2017 № 94 (приложение № 1 к Методическим рекомендациям).
  3. Направьте уведомление в Роскомнадзор. Подайте его в территориальное управление Роскомнадзора по месту нахождения вашей АНО (согласно учредительным документам). Это можно сделать:
    • В электронном виде через портал pd.rkn.gov.ru.
    • На бумажном носителе.
  4. Соблюдайте сроки. Уведомление необходимо направить до начала обработки персональных данных. Если обработка уже ведется, подайте уведомление в кратчайшие сроки, так как предельный срок законом не установлен, но обязанность уже действует.
  5. Приведите документацию в порядок. Независимо от подачи уведомления, разработайте и утвердите политику обработки персональных данных и назначьте ответственного за их обработку.