В последнее время в прессе стала часто мелькать информация о необходимости успеть до 30.05.2025 г. подать уведомление об обработке персональных данных, т.к. с этой даты соответствующие штрафы за неподачу уведомления повышаются для организаций с 5 000 руб. до 300 000 руб. (см. Федеральный закон от 30.11.2024 N 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»).
При этом автором данной информации являются должностные лица Роскомнадзора РФ, т.е. органа, который вправе наказывать лиц, не представивших данные уведомления. Давайте разберемся, а так ли нужно успевать подать это уведомление до 30.05.2025 г.?
Обязанность по уведомлению Роскомнадзора о начале обработки персональных данных возникла довольно давно, как минимум с 01 сентября 2022 г., когда отменили право не подавать уведомления при заключении договоров с физическими лицами (в т.ч. трудовых) (см. Федеральный закон от 14.07.2022 N 266-ФЗ). При этом формулировка закона, устанавливающая данную обязанность, звучит следующим образом: «Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных» (см. п.1 ст.22 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»). Согласно ст.3 Федерального закона №152-ФЗ под оператором понимается любое лицо, организующее или осуществляющее обработку персональных данных (т.е. любых данных, отождествляемых с конкретным физическим лицом, — заключение договора, выписка пропуска, выдача справки, характеристики и др.). Т.е. оператором, по сути, является любой хозяйствующий субъект, который осуществляет предпринимательскую деятельность.
Неисполнение данной обязанности по уведомлению Роскомнадзора о намерении осуществлять обработку персональных данных признается недлящимся правонарушением (см. Постановление Новгородского областного суда от 07.11.2017 N 44А-261/2017), т.к. подать уведомление нужно до момента начала обработки персональных данных (в частности, до заключения любого договора с физическим лицом, в т.ч. получения от него заявки на товар).
Таким образом, в случае начала обработки персональных данных до 30.05.2025 г. за неподачу данного уведомления оштрафовать могут только по ст.19.7 КоАП РФ максимум до 5 тыс.руб., т.е. на момент совершения правонарушения, т.к. нормы, ухудшающие положение лица, совершившего правонарушение (см. Федеральный закон от 30.11.2024 N 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях», увеличивающий штраф до 300 000 руб. с 30.05.2025), обратной силы не имеют (см. п.2 ст.1.7 КоАП РФ). При этом срок давности по данному штрафу составляет 3 месяца с момента, когда должны были подать уведомление. Т.е. если вы начали обработку персональных данных до 01.03.2025 г. и не подали соответствующее уведомление в Роскомнадзор, то срок для возможности наложения на вас штрафа уже прошел. Получается, что если вы сейчас подаете уведомление, то вас могут оштрафовать за несвоевременную подачу уведомления (размер штрафа аналогичен штрафу за неподачу уведомления), что и происходит на практике, т.к. доказать факты обработки персональных данных обычно не составляет труда.
Также стоит учесть, что практически все представители бизнеса (за исключением недействующих лиц) являются операторами персональных данных и должны подать данное уведомление в Роскомнадзор, у которого просто нет столько ресурсов, чтобы проверить всех этих лиц и при этом еще и уложиться в срок давности.
