Обновленные правила подачи уведомления в Роскомнадзор о работе с персональными данными Уважаемые партнеры! Важная информация для риелторов и руководителей АН. С 30 мая 2025 года изменились правила подачи уведомления в Роскомнадзор о работе с персональными данными. «Оператор персональных данных должен уведомить Роскомнадзор о своем намерении обрабатывать персональные данные до начала их обработки (ст. 22 ФЗ «О персональных данных» от 27.07.2006 № 152-ФЗ)». Что значит «обработка» персональных данных Это любое действие с персональными данными, включая сбор, запись, систематизацию, хранение, изменение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение. Исключения Уведомлять Роскомнадзор не нужно только в трех случаях: Оператор обрабатывает персональные данные без автоматизации (т. е. без использования ЭВМ). Персональные данные включены в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка. Обработка персональных данных в случаях, предусмотренных законодательством РФ о транспортной безопасности (Федеральный закон от 14.07.2022 № 266-ФЗ). Исключения неприменимы к сфере деятельности риелторов Риелтор передает персональные данные агрегатору или застройщику, в кредитные учреждения или страховые компании. Все это сопровождается автоматизированными процессами. Таким образом, деятельность риелтора подпадает под действие 152-ФЗ и влечет обязанность последнего по соблюдению его условий. При этом не имеет значения канал связи, по которому риелтор получил персональные данные клиентов (рекомендации, рекламные интеграции и т.д.). Ответственность и штрафы с 30 мая 2025 года Важно помнить, что нарушение порядка подачи уведомления или обработки персональных данных влечет административную ответственность по ст. 13.11 КоАП РФ. С 30 мая 2025 года размеры штрафов были существенно увеличены: За неподачу уведомления (или подачу с нарушением срока): для самозанятых: штраф от 5 000 до 10 000 рублей; для должностных лиц (например, директора ИП): от 30 000 до 50 000 рублей; для юридических лиц: от 100 000 до 300 000 рублей. За утечку персональных данных (в зависимости от объема): для должностных лиц: от 100 000 до 600 000 рублей; для юридических лиц: от 1 000 000 до 15 000 000 рублей (или оборотные штрафы до 3% от выручки). Таким образом, своевременная подача уведомления и принятие мер по защите данных — это не просто формальность, а необходимость для минимизации финансовых рисков. Подробнее Изменения с 30 мая 2025 года С 30 мая 2025 года вступили в силу поправки в КоАП РФ, которые существенно ужесточили административную ответственность за нарушения в сфере обработки персональных данных. Сама обязанность подачи уведомления до начала обработки данных действовала и ранее (ст. 22 152-ФЗ), однако с этой даты контроль за соблюдением сроков и штрафные санкции были усилены. Кого касается Обязанность уведомлять Роскомнадзор распространяется на все организации, индивидуальных предпринимателей и самозанятых, которые обрабатывают персональные данные. Это могут быть данные сотрудников, клиентов, пользователей сайта и т.д. Какие сроки подачи уведомлений устанавливает Роскомнадзор Если самозанятый или ИП на НПД намерен работать с персональными данными, то подать уведомление в РКН необходимо строго до начала их обработки (сбора, записи, систематизации, хранения и т.д.). Это прямое требование ст. 22 Федерального закона № 152-ФЗ. Уведомление, поданное после начала обработки, считается поданным с нарушением, что влечет административную ответственность. Таким образом, крайний срок подачи — это дата, предшествующая началу любой деятельности с данными клиентов. Уведомление о любых изменениях в сведениях о самозанятом или ИП на НПД или способах обработки персональных данных нужно направить до 15 числа следующего месяца. Уведомление о прекращении работы с персональными данными направляются за 10 дней до прекращения. Уведомление об утечке персональных данных самозанятый или ИП на НПД должен направить в Роскомнадзор в течение 24 часов, а в следующие 72 часа ему необходимо провести внутреннее расследование, выявить причины инцидента и сообщить о результатах в Роскомнадзор. Как подать уведомление Уведомление подается через официальный сайт Роскомнадзора или в бумажном виде в территориальное подразделение. 1. Выбираем способ подачи уведомления через сайт Роскомнадзора (понадобится ЭЦП); в бумажном виде — для этого нужно заполнить форму на сайте, направить сообщение о заполнении формы в Роскомнадзор (понадобится ЭЦП), распечатать уведомление и передать почтой или лично в территориальное управление Роскомнадзора по месту регистрации самозанятого или ИП на НПД. После выбора удобного способа подачи уведомления отобразятся поля соответствующей формы для заполнения.  2. Заполняем форму. Важно! Информацию необходимо указывать без сокращений — согласно вашим паспортным данным и данным регистрации в налоговой инспекции. а) В поле «Регион регистрации» укажите субъект Российской Федерации, на территории которого вы зарегистрированы в качестве индивидуального предпринимателя (ИП) или самозанятого: б) В разделе «Сведения об операторе» заполняется информация о реквизитах (ИП или самозанятом): ФИО, адрес регистрации как самозанятого или ИП, паспортные и контактные данные, телефон, адрес электронной почты и т. д. Пример полного заполнения раздела «Сведения об операторе» для самозанятого: в) В поле «Регионы обработки» укажите все субъекты Российской Федерации, где могут проживать ваши клиенты. Можно поставить отметку «Все субъекты Российской Федерации», чтобы не перечислять все возможные регионы. г) В поле «Цель обработки ПД» выберите, например, «Продвижение товаров, работ, услуг на рынке»: д) В подразделе «Категории персональных данных» необходимо отметить всю информацию, которую вы собираете от своих клиентов для обработки их персональных данных (для конкретной цели, которую вы выбрали на предыдущем этапе), например: е) В качестве категории субъектов укажите (для конкретной цели, которую вы выбрали) «Клиенты». Если у вас на сайте есть форма обратной связи (обратный звонок, запись на встречу и т.д.), выберите еще и категорию «Посетители сайта»: ж) В подразделе «Правовое основание обработки персональных данных» (для конкретной цели, которую вы выбрали) выберите подходящий вам вариант. Например:  з) В подразделе «Перечень действий» нужно выбрать все действия, которые вы осуществляет с персональными данными (для конкретной цели, которую вы выбрали). Например:  и) В подразделе «Способы обработки» нужно указать, каким образом вы обрабатываете персональные данные (для конкретной цели, которую вы выбрали). Например: к) В качестве мер (для конкретной цели, которую вы выбрали), предусмотренных статьями 18.1. и 19 Федерального закона «О персональных данных», можно указать например следующие: в бумажном виде — для этого нужно распечатать форму с сайта РКН, заполнить ее и отправить почтой или лично в территориальное управление РКН по месту жительства. издание оператором документов, определяющих политику оператора в отношении обработки персональных данных применение правовых, организационных и технических мер по обеспечению безопасности персональных данных осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных законодательству определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных обнаружение фактов несанкционированного доступа к персональным данным и принятие мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных л) В поле «Средства обеспечения безопасности» укажите используемые технические средства, которые обеспечивают безопасность персональных данных при их обработке. Например: использование антивирусных средств защиты информации (перечислите программы, которые используются) идентификация и проверка подлинности пользователя при входе в информационную систему по паролю условно-постоянного действия м) В поле «Использование шифровальных (криптографических) средств» выберите «не используются» или «используются» если используете например ЭЦП (тогда можно указать например: класс СКЗИ - КС2): н) В поле «Дата начала обработки персональных данных» укажите дату регистрации вашего ИП на НПД или статуса самозанятого.  о) В поле «Срок или условие прекращения обработки персональных данных» выберите «Условие окончания», а ниже укажите например «Прекращение деятельности». п) В поле «Осуществление трансграничной передачи персональных данных» выберите:  «не осуществляется» - если используете в работе только российские хранилища данных (например Яндекс.диск)  «осуществляется» - если используете в работе иностранные хранилища данных (например Google.диск) или проводите зарубежные сделки р) В графе «Сведения о местонахождении базы данных, содержащей персональные данные граждан РФ» необходимо указать точный физический адрес места, где фактически хранятся данные клиентов. По закону № 152-ФЗ эти сервера или носители обязательно должны находиться в России. Тут возможны несколько вариантов: Вариант 1: Если храните данные на своем компьютере Укажите адрес своей регистрации по паспорту (или адрес фактического проживания, если работаете там). Страна: Россия Собственный ЦОД (центр обработки данных): выберите «Да» Адрес: ваш домашний адрес (индекс, город, улица, дом, квартира) Вариант 2. Если используете российское облако, CRM или конструктор сайтов Например собираете контакты через Tilda, обрабатываете их в Битрикс24 или храните базу в Яндекс.Диске, базой данных управляет сторонний провайдер. Собственный ЦОД: выберите «Нет» Адрес ЦОДа и Сведения об организации: необходимо указать наименование, ИНН и юридический адрес ИТ-компании, чьим сервисом вы пользуетесь. Эти данные всегда прописаны в их Политике конфиденциальности или Оферте в разделе «Локализация данных». с) В разделе «Сведения об обеспечении безопасности персональных данных» указываются меры, которые вы предпринимаете, чтобы соблюдать требования, установленные постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Например, укажите следующие меры: обеспечена сохранность носителей персональных данных используются средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз т) Заполните информацию об исполнителе. Исполнителем является лицо, заполняющее форму уведомления в Роскомнадзор. Это может быть не ответственный за обработку персональных данных, а совсем другой человек, фактически заполнивший уведомление. Важно!Если планируется подача уведомления в электронном виде с использованием ЭЦП, необходимо указывать данные лица, которому принадлежит ЭЦП у) После заполнения формы уведомления поставьте галочки в опциях ниже: ф) Подпишите заполненное уведомление Тут возможны несколько вариантов: Вариант 1: заполнение и подача уведомления в электронном виде. Вариант 2: Заполнение и отправка электронного уведомления с последующей распечаткой заявления и подачей его в бумажном виде в Роскомнадзор. х) Отправленная заявка рассматривается в течение 30 дней, после чего организация вносится в реестр операторов. Проверить состояние отправленного уведомления можно по ссылке с помощью номера и кода, который вы получили после отправки уведомления. Если спустя указанный срок организация не внесена в реестр операторов, вы можете обратиться в электронную приемную Роскомнадзора для уточнения информации (для этого вам понадобятся номер и ключ заявки отображаемые при отправке заявки): Ссылка на форму заявления Для самозанятых 21.07.2025