Вопрос: Оператор до начала обработки обязан уведомить Роскомнадзор о своем намерении осуществлять обработку персональных данных. Можно ли начать осуществлять обработку сразу после того, как направили уведомление, или нужно ждать 30 дней, чтобы Роскомнадзор включил оператора в реестр?
Ответ: Можно начинать осуществлять обработку персональных данных с даты, указанной в уведомлении о начале обработки персональных данных.
Требование ждать 30 дней для включения в реестр отсутствует.
Обоснование: На данный момент представление уведомлений об обработке (намерении осуществлять обработку) персональных данных регулируется двумя нормативными актами: Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — Закон N 152-ФЗ), Методическими рекомендациями по уведомлению уполномоченного органа о начале обработки персональных данных и о внесении изменений в ранее представленные сведения (утв. Приказом Роскомнадзора от 30.05.2017 N 94) (далее — Методические рекомендации).
За исключением случаев, указанных в ч. 2 ст. 22 Закона N 152-ФЗ, оператор обязан представить в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) уведомление об обработке (намерении осуществлять обработку) персональных данных.
Форма уведомления свободная, но оно в обязательном порядке должно содержать сведения, указанные в ч. 3 ст. 22 Закона N 152-ФЗ. Рекомендуется такое уведомление составить по форме из Приложения N 1 к Методическим рекомендациям.
В уведомлении предусмотрена строка для указания даты начала обработки персональных данных. С этой даты можно начинать обработку персональных данных при условии, что уведомление направляется в Роскомнадзор до начала обработки данных, то есть «задним числом» направить уведомление не получится.
За следующие нарушения при уведомлении о начале обработки персональных данных возможно привлечение к административной ответственности по ст. 19.7 Кодекса РФ об административных правонарушениях:
непредставление в уполномоченный орган уведомления об обработке персональных данных;
несвоевременное представление (в том числе уже после начала обработки персональных данных);
представление уведомления, содержащего неполные или недостоверные сведения.
Ответственность установлена в виде предупреждения или штрафа в размере:
— для граждан — от 100 до 300 руб.;
— для должностных лиц (в том числе индивидуальных предпринимателей — примечание к ст. 2.4 КоАП РФ) — от 300 до 500 руб.;
— для юридических лиц — от 3 000 до 5 000 руб.
