Что это такое
Уведомление подаётся до начала обработки персональных данных — это разовое действие при первом появлении у организации статуса оператора, а не периодическая процедура. В уведомлении указываются: сведения об операторе, цель обработки, категории обрабатываемых данных и субъектов, правовые основания, сведения о мерах защиты, срок обработки и другие данные, установленные формой.
Закон освобождает от обязанности уведомлять только в узком перечне случаев — до 1 сентября 2022 года такой перечень был шире (шесть оснований для освобождения), но большинство из них утратили силу, и сейчас обычная деятельность работодателя по обработке данных своих сотрудников для целей трудовых отношений почти всегда требует уведомления, если только не подпадает под оставшиеся узкие исключения.
Работодателям, ошибочно полагавшим, что их деятельность освобождена от уведомления по старым, уже недействующим основаниям, стоит перепроверить актуальный перечень отдельно — сужение перечня освобождений с 2022 года означает, что часть организаций, ранее законно обходившихся без уведомления, теперь обязана его подать, даже если их деятельность с тех пор не менялась.
После подачи уведомления работодатель включается в реестр операторов персональных данных, который ведёт Роскомнадзор, — этот реестр публичный, и его можно проверить онлайн, что делает факт отсутствия организации в реестре легко обнаруживаемым при проверке.
Практический момент, который часто упускают: уведомление подаёт именно юридическое лицо (или ИП) как самостоятельный субъект — при реорганизации, смене наименования или реквизитов организации требуется актуализировать сведения в реестре, а не полагаться на то, что однажды поданное уведомление действует автоматически при любых изменениях. Расхождение между данными в реестре и фактическими реквизитами оператора — частое основание для замечаний при проверке.
Частые вопросы
Может ли новая компания начать обрабатывать данные сотрудников до подачи уведомления?
Формально нет — уведомление подаётся до начала обработки. На практике многие компании фактически нанимают первых работников раньше подачи уведомления, что создаёт формальное нарушение — правильная последовательность действий важна с самого начала деятельности.
Что грозит за отсутствие уведомления Роскомнадзора?
Административная ответственность по ст. 19.7 либо по соответствующим составам ст. 13.11 КоАП РФ — штрафы для юридических лиц измеряются сотнями тысяч рублей, при повторном нарушении — существенно выше.
Нужно ли повторно уведомлять Роскомнадзор при изменении целей обработки?
Да, оператор обязан направить уточнённые сведения при существенном изменении информации, указанной в первоначальном уведомлении (например, новые цели или категории обрабатываемых данных).
Как BLS помогает
BLS готовит и подаёт уведомление в Роскомнадзор корректно и своевременно — до фактического начала обработки данных сотрудников.