Обязанности оператора персональных данных в 2026–2026 годах
Роскомнадзор требует уведомление от каждой компании. Вы обрабатываете сведения сотрудников, данные клиентов или контакты посетителей. Это делает вас оператором персональных данных (ПДн). С сентября 2022 года закон 152-ФЗ обязывает подавать сведения в реестр почти во всех случаях. Исключений для малого бизнеса или внутреннего документооборота больше не существует.
Регистрация в реестре подтверждает законность вашей работы. Государство видит, какие данные вы собираете и где их храните. Отсутствие компании в списке регулятора сигнализирует о нарушениях. Это провоцирует внеплановые проверки и блокировки сайтов.
Подача уведомления — это официальное заявление о соблюдении прав граждан на защиту частной жизни. Любая ошибка в документе превращает его в доказательство нарушения закона.
Детализация целей обработки
Раньше операторы подавали одно общее уведомление. Теперь вы описываете каждую цель обработки отдельно. Регулятор проверяет соответствие состава данных заявленным задачам. Вы не можете собирать номера паспортов для рассылки новостей.
Для каждой цели укажите:
- категории персональных данных;
- категории субъектов (сотрудники, клиенты, соискатели);
- правовое основание (договор, согласие, закон);
- способы обработки (автоматизированная или ручная);
- сроки прекращения обработки.
Смешивание целей в одну кучу ведет к отказу в регистрации. Вы обязаны обосновать избыточность или достаточность собираемых сведений. Мы классифицируем ваши бизнес-процессы и подбираем корректные формулировки для каждой категории.
Трансграничная передача данных
Вы передаете данные за рубеж, если используете иностранные сервисы. Использование облачной почты, зарубежных CRM или аналитических систем требует отдельного уведомления. С 2023 года правила ужесточились. Теперь вы уведомляете Роскомнадзор о намерении передавать данные до начала этой деятельности.
Регулятор делит страны на две группы:
- Страны с адекватной защитой. К ним относятся участники Мадридской конвенции и государства из списка Роскомнадзора. Передачу можно начинать сразу после подачи документа.
- Страны без адекватной защиты. Сюда входят США и многие страны Азии. Вы ждете 10 рабочих дней. Если запрет не пришел, начинайте передачу.
Мы проверяем цепочки ваших провайдеров. Мы определяем физическое местоположение серверов и помогаем получить разрешение на работу с иностранными партнерами.
Требование о локализации баз данных
Закон требует хранить данные граждан России на серверах внутри страны. В уведомлении вы указываете точные адреса ЦОД (центров обработки данных). Это касается первичного сбора информации. Вы сначала записываете данные в российскую базу, а потом копируете их в зарубежные системы.
Указание только иностранного адреса хостинга в уведомлении гарантирует штраф. Для юридических лиц он составляет от 1 до 6 миллионов рублей при первом нарушении.
Мы проверяем договоры с вашими хостинг-провайдерами. Если вы используете облачные решения, мы находим фактические адреса дата-центров. Корректные сведения в реестре защищают вас от блокировок по статье 13.11 КоАП РФ.
Сведения о безопасности и технической защите
Вы подтверждаете принятие мер защиты данных. В тексте уведомления вы описываете организационные и технические методы. Это включает назначение ответственного лица, издание внутренних регламентов и установку средств защиты информации.
Ключевые блоки раздела:
- использование шифровальных средств;
- наличие антивирусной защиты;
- разграничение прав доступа сотрудников;
- физическая охрана помещений с серверами.
Сведения должны соответствовать вашим внутренним актам. Если проверка выявит отсутствие локальных документов, уведомление признают недостоверным. Мы готовим полный пакет документов, включая модель угроз и политику обработки ПДн.
Сроки и внесение изменений
Вы подаете сведения до начала обработки данных. Если компания уже работает, подавайте документы немедленно. Сведения в реестре требуют актуализации. Вы направляете уведомление об изменениях в течение 15 рабочих дней, если:
Вы сменили юридический адрес или название. Вы изменили цели обработки или категории данных. Вы наняли нового провайдера облачных услуг. Вы начали собирать биометрию или специальные категории данных. Несвоевременное информирование влечет административную ответственность.
Мы берем на себя взаимодействие с территориальными органами Роскомнадзора. Мы подаем документы через портал с использованием квалифицированной электронной подписи (УКЭП). Ваша компания попадает в реестр с первого раза без замечаний и возвратов.
