Согласно Федеральному закону № 420-ФЗ от 30.11.2024, с 30 мая 2025 года вступают в силу новые правила в сфере защиты персональных данных. Основное изменение — ужесточение ответственности за нарушения при их обработке, включая появление новых составов правонарушений и существенное увеличение штрафов. Особое внимание уделено инцидентам, связанным с массовыми утечками персональных данных.
В связи с этими изменениями у операторов персональных данных — организаций и ИП — возникает необходимость убедиться, что их деятельность соответствует требованиям законодательства, включая наличие уведомления в Роскомнадзоре о намерении обрабатывать персональные данные.
Что такое 152-ФЗ и зачем нужна документация? |
152-ФЗ устанавливает правила обработки персональных данных, чтобы защитить права граждан. Документация по 152-ФЗ включает внутренние регламенты, политики и отчеты, которые подтверждают, что компания соблюдает закон. Без правильно оформленных документов организация рискует получить штрафы или приостановку деятельности. |
Кому необходимо подать уведомление
В соответствии с п. 2 ст. 3 Федерального закона № 152-ФЗ «О персональных данных», оператором признается любое лицо (физическое или юридическое), которое самостоятельно или совместно с другими обрабатывает персональные данные. Подать уведомление необходимо до начала обработки персональных данных, независимо от того, ведется ли речь о сотрудниках, клиентах или иных физических лицах.
Что изменилось?
Ранее отдельные категории операторов, в том числе работодатели, могли обрабатывать персональные данные без уведомления, если информация была получена в рамках трудовых отношений. Однако с 1 сентября 2022 года эти исключения были отменены, и теперь подача уведомления обязательна практически во всех случаях, в том числе при заключении договоров с физлицами или использовании минимального набора данных (например, ФИО для оформления пропусков).
Последствия за отсутствие уведомления
Если организация или ИП обрабатывает персональные данные без подачи уведомления в Роскомнадзор, это считается нарушением закона. Срок давности привлечения к ответственности отсчитывается с момента обнаружения нарушения, а не с даты начала обработки.До 30 мая 2025 года действуют мягкие меры ответственности по ст. 19.7 КоАП РФ, предусматривающие:
С 30 мая 2025 года вступают в силу новые санкции, установленные ч. 10 ст. 13.11 КоАП РФ:
Неуведомление об обработке персональных данных
100 000 ₽ - 300 000 ₽ |
Неуведомление об утечке персональных данных1 000 000 ₽ - 3 000 000 ₽Ответственность за неуведомление Роскомнадзора о намерении обрабатывать персональные данные |
Утечка персональных данных3 000 000 ₽ - 15 000 000 ₽Ответственность за неуведомление Роскомнадзора о намерении обрабатывать персональные данные |
Утечка персональных данных15 000 000 ₽ - 20 000 000 ₽ Ответственность за утечку персональных данных с биометрией. Размер штрафа зависит от масштаба утечки. |
За повторную утечку персональных данных, в том числе специальных или биометрических ПДн1% - 3% выручки но не менее 25 000 000 ₽ |
Вывод:
|
Нужна помощь в разработке документации по 152-ФЗ? |