Может ли Роскомнадзор контролировать соблюдение требований в сфере персональных данных, если организация не подавала уведомление о начале их обработки? Нужно ли такое уведомление подавать организациям, созданным в 2022 году и ранее?

Представлять уведомление об обработке персональных данных должен оператор (ч. 1 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ). Операторами признаются государственные и муниципальные органы, а также юридические и физические лица, которые самостоятельно или совместно с другими лицами организуют и (или) осуществляют обработку персональных данных, а также определяют цели такой обработки, состав персональных данных, подлежащих обработке, и действия (операции), совершаемые с ними (п. 2 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ).

Конкретный срок подачи уведомления законодательством РФ не предусмотрен. Начиная с 1 сентября 2022 года у оператора (за исключением отдельных случаев) появилась обязанность направлять такое уведомление в Роскомнадзор. Сделать это необходимо до того, как оператор начнет обработку персональных данных (ч. 1 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ).

Если обработку персональных данных работников и других физических лиц организация начала до 1 сентября 2022 года, когда такой обязанности еще не было, уведомить Роскомнадзор необходимо сейчас. Предельный срок направления такого уведомления не установлен (Письмо Роскомнадзора от 06.09.2022 N 08-80975). Однако рекомендуем сделать это как можно скорее, иначе существует риск привлечения к административной ответственности. За неуведомление или несвоевременное уведомление Роскомнадзора о намерении обрабатывать персональные данные штраф для юрлиц с 30 мая 2025 года составляет от 100 000 до 300 000 руб. (ч. 10 ст. 13.11 КоАП РФ).

Для органов Роскомнадзора не имеет значения, подано уведомление о начале обработки персональных данных или нет. Они могут контролировать соблюдение организацией требований в любом случае. Ни Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», ни Положение о госконтроле (надзоре) за обработкой персональных данных прямо об этом не говорят. В этих документах речь идет об операторах персональных данных. Таковыми признаются любые лица, организующие и (или) осуществляющие обработку данных, а также определяющие цели и содержание такой обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с данными. Роскомнадзор подчеркивает, что лицо признается оператором персональных данных вне зависимости от того, включено оно или нет в реестр операторов, который ведет Роскомнадзор (п. 2 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ, Информация Роскомнадзора от 15.04.2024).

На заметку: кто и в каких случаях возбуждает дело об административном правонарушении в сфере персональных данных, какой срок давности установлен для привлечения к ответственности в сфере персональных данных, рассказано в Готовом решении: Как привлекают к административной ответственности за нарушения в сфере персональных данных (КонсультантПлюс, 2025).

Узнать, в каких случаях уведомление в Роскомнадзор подавать не нужно, можно в материале Путеводитель по госуслугам для юридических лиц. Представление уведомления об обработке персональных данных {КонсультантПлюс}.

Тематический сборник «Персональные данные» на нашем сайте поможет не упустить важных новостей и разъяснений, а также записаться на образовательные мероприятия по данной теме.